污点和容忍以及驱逐

一、污点(Taint)

污点介绍

节点亲和性,是Pod的一种属性(偏好或硬性要求),它使Pod被吸引到一类特定的节点。Taint 则相反,它使节点能够排斥一类特定的 Pod。
Taint 和 Toleration 相互配合,可以用来避免 Pod 被分配到不合适的节点上。每个节点上都可以应用一个或多个 taint ,这表示对于那些不能容忍这些 taint 的 Pod,是不会被该节点接受的。如果将 toleration 应用于 Pod 上,则表示这些 Pod 可以(但不一定)被调度到具有匹配 taint 的节点上。

使用 kubectl taint 命令可以给某个 Node 节点设置污点,Node 被设置上污点之后就和 Pod 之间存在了一种相斥的关系,可以让 Node 拒绝 Pod 的调度执行,甚至将 Node 已经存在的 Pod 驱逐出去。

污点的组成格式如下:

key=value:effect

每个污点有一个 key 和 value 作为污点的标签,其中 value 可以为空,effect 描述污点的作用

当前 taint effect 支持如下三个选项:

NoSchedule:表示k8s 将不会把pod调度到具有该污点的 node上

PreferNoSchedule:表示k8s将尽量避免(但还可能会)把pod调度到具有该污点的 node上

NoExecute:表示k8s将不会把pod调度到具有该污点的Node,并且会把已存在的所有pod驱逐出去

查看master节点的taint污点

kubectl get nodes

kubectl describe node master01
#kubectl describe node master01 | grep Taints

master 就是因为有 NoSchedule 污点,k8s 才不会将 Pod 调度到 master 节点上

设置(增加)、查看和去除(删除)污点

#设置(增加)污点
kubectl taint node 节点名 键=值:污点类型
kubectl taint node node01 key1=value1:NoSchedule

#节点说明中,查找 Taints 字段
kubectl describe node 节点名 
kubectl describe node node01
kubectl describe node node01 | grep Taints
kubectl describe node node01 | grep -A2 -i taint

#去除(删除)污点
kubectl taint node 节点名 键名-
kubectl taint node node01 key1-
kubectl taint node 节点名 键名=值:污点类型-
kubectl taint node node01 key1:NoSchedule-

key2-    这将删除所有键名为key2的污点

-A2       表示显示过滤行及其后两行

-i           表示不区分大小写

二、 污点的配置与管理

设置污点
kubectl taint node node02 nanjing=monor:NoSchedule

kubectl describe nodes | grep -i taint

#设置污点效果为NoSchedule,表示不能容忍此污点的新的pod将不会在node02上建立
#已经运行的则不会有影响

创建控制器pod
#编辑yaml文件,创建一个deployment的pod
mkdir /opt/taint
vim /opt/taint/pod1.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: taint1-myapp
  labels:
    app: taint1-myapp
spec:
  replicas: 3
  selector:
    matchLabels:
      app: taint1-myapp
  template:
    metadata:
      labels:
        app: taint1-myapp
    spec:
      containers:
      - name: myapp-affinity
        image: soscscs/myapp:v1
        ports:
        - containerPort: 80
#创建资源
kubectl apply -f /opt/taint/pod1.yaml

由于node02被设置了污点,所以所有的pod实例都会被调度到node01节点上

###

所以在设置污点时,最好新建一个标签,或在hostname主机标签等、各node节点值不一样的标签上设置污点

带有污点的节点,可以使用nodeName选项绕过Scheduler调度创建

去除污点
kubectl taint node node02 nanjing=monor:NoSchedule-

kubectl describe nodes | grep -i taint

验证NoExecute 污点的驱逐

#设置污点
kubectl taint node node02 test=class:NoExecute

#查看污点
kubectl describe nodes node02 | grep -A2 -i taint

#查看pod
kubectl get pod -owide

设置了污点为NoExecute效果会不允许新的pod调度到该node 还会自动驱逐运行中的pod

查看 Pod 状态,会发现 node02 上的 Pod 已经被全部驱逐(注:如果是 Deployment 或者 StatefulSet 资源类型,为了维持副本数量则会在别的 Node 上再创建新的 Pod)

指定pod调度到node02时,会发现pod无法创建,处于Pending状态;

当使用硬策略时,还是可以创建到node02节点上的;

如果不是强制的调度规则,则会处于Pending或转调到node01上

当你在node01上也设置NoExecute 时,node01上已有的pod会被驱逐;新建的pod也会因为所有node节点都存在NoExecute污点拒绝pod的创建,而处于Pending状态 

通过nodename强制指定创建在污点的node还是会创建成功

验证NoSchedule 污点的作用

#设置污点
kubectl taint node node01 test:class:NoSchedule

#查看node01和node02 节点的taint污点
kubectl describe nodes node01 node02 | grep -i taint

#查看pod
kubectl get pod -owide

#删除所有pod
kubectl delete pod --all

#查看pod的状态和节点
kubectl get pod -owide

 验证PreferNoSchedule 污点的作用

#删除污点
kubectl taint node node01 test:class:NoSchedule-

#设置污点
kubectl taint node node01 test:class:PreferNoSchedule

#查看node01和node02 节点的taint污点
kubectl describe nodes node01 node02 | grep -i taint

#查看pod
kubectl get pod -owide

#删除所有pod
kubectl delete pod --all

#查看pod的状态和节点
kubectl get pod -owide

三、容忍(Tolerations)

设置了污点的 Node 将根据 taint 的 effect:NoSchedule、PreferNoSchedule、NoExecute 和 Pod 之间产生互斥的关系,Pod 将在一定程度上不会被调度到 Node 上。但我们可以在 Pod 上设置容忍(Tolerations),意思是设置了容忍的 Pod 将可以容忍污点的存在,可以被调度到存在污点的 Node 上。

容忍的定义

作用:通过配置容忍,管理员可以控制Pod在具有特定污点的节点上的行为,从而实现资源的精细管理和隔离。例如,可以使用容忍来确保某些Pod只能运行在具有特定硬件或软件特性的节点上,或者防止Pod被驱逐到不受信任的节点上

位置:容忍定义在Pod的spec.tolerations字段中。

容忍的组成

容忍通常包含以下几个部分:

键(Key):与污点的键相匹配。

值(Value):与污点的值相匹配。如果不指定值,Pod将容忍所有值的同名污点。

效应(Effect):与污点的效应相匹配。常见的效应包括NoSchedule、PreferNoSchedule和NoExecute。

容忍期限(TolerationSeconds)(仅对NoExecute效应有效):指定Pod在节点被赋予NoExecute污点后,能够继续在该节点上运行的时间(以秒为单位)。超过这个时间后,Pod将被驱逐。

操作符(Operator):用于指定容忍与污点的匹配方式。常见的操作符包括Equal和Exists。Equal要求键、值和效应都完全匹配,而Exists只要求键和效应匹配。

四、容忍的配置与管理

apiVersion: v1
kind: Pod
metadata:
  name: myapp01
  labels:
    app: myapp01
spec:
  containers:
  - name: with-node-affinity
    image: soscscs/myapp:v1
  #定义Pod可以容忍的节点污点
  tolerations:
  #污点的键。Pod可以容忍具有这个键的污点
  - key: "check"
    #定义如何与污点的值进行比较。Equal表示Pod仅容忍具有指定值的污点
    operator: "Equal"
    value: "nihao"
    #污点的效应
    effect: "NoExecute"
    #当Pod所在的节点被添加了匹配的污点后,Pod可以继续在该节点上运行的时间(秒)
    tolerationSeconds: 60

#operator:表示如何与污点的值进行比较,此参数有Equal与Exists两个选项
#Equal
'Pod将仅容忍节点上键(key)和值(value)与toleration中指定的键和值相匹配的污点。
例如node01节点上的pla=a,当toleration定义键和值为pla与a它会容忍,pla=b则不会容忍
如果value字段在容忍中未指定,则Equal操作符默认会使用空字符串作为值进行比较。'

#Exists
'当operator设置为Exists时,Pod将容忍所有具有指定键(key)的污点,而不管它们的值(value)
是什么。这允许Pod容忍同一类别(即具有相同键)的所有污点,而不必指定特定的值。
例如当有pla这个键的所有节点都设置污点时,不需要指定值,所有含有pla键的节点,都会被容忍'

---
tolerationSeconds:允许pod存在时间
'表示当Pod所在的节点被添加了匹配的污点后,Pod还可以继续在该节点上运行的时间(秒)
例如上述文件中设置为40,表示该pod在有污点的节点上创建后,如果污点没有被删除,它只会
在节点上存在60秒,60秒后,将会被删除

部署容忍

mkdir /opt/toler
vim /opt/toler/pod2.yaml

apiVersion: v1
kind: Pod
metadata:
  name: myapp01
  labels:
    app: myapp01
spec:
  containers:
  - name: with-node-affinity
    image: soscscs/myapp:v1
  tolerations:
  - key: "check"
    operator: "Equal"
    value: "a"
    effect: "NoExecute"
    tolerationSeconds: 60
#设置污点
kubectl taint node node02 check=a:NoExecute

#创建资源
kubectl apply -f /opt/toler/pod2.yaml

#动态查看pod
kubectl get pods -owide -w

这里我们可以看到60秒后自动将污点进行了剔除,也就是我们设置了容忍60秒,这台机器有污点,但是还是会调度在这台机器上持续60秒,60秒左右后离开该机器

#其中的 key、vaule、effect 都要与 Node 上设置的 taint 保持一致
#operator 的值为 Exists 将会忽略 value 值,即存在即可
#tolerationSeconds 用于描述当 Pod 需要被驱逐时可以在 Node 上继续保留运行的时间

其它注意事项

(1)当不指定 key 值时,表示容忍所有的污点 key

  tolerations:
  - operator: "Exists"

(2)当不指定 effect 值时,表示容忍所有的污点作用

  tolerations:
  - key: "key"
    operator: "Exists"

(3)有多个 Master 存在时,防止资源浪费,可以如下设置
kubectl taint node Master-Name node-role.kubernetes.io/master=:PreferNoSchedule

//如果某个 Node 更新升级系统组件,为了防止业务长时间中断,可以先在该 Node 设置 NoExecute 污点,把该 Node 上的 Pod 都驱逐出去

kubectl taint node node01 check=mycheck:NoExecute

//此时如果别的 Node 资源不够用,可临时给 Master 设置 PreferNoSchedule 污点,让 Pod 可在

Master 上临时创建

kubectl taint node master node-role.kubernetes.io/master=:PreferNoSchedule

//待所有 Node 的更新操作都完成后,再去除污点

kubectl taint node node01 check=mycheck:NoExecute-

五、资源优化

多master使用

当有多个master存在时,可以将备用的master的污点状态设置为PreferNoSchedule,这样的话,会尽可能避免此节点,当其它节点不可调用(资源顶峰、节点故障、节点更新等)时,可以使用master进行临时调度,待资源恢复时,再将pod转移

kubectl taint node Master-Name node-role.kubernetes.io/master=:PreferNoSchedule

Node更新

当某个node节点需要资源更新时,为防止业务长时间中断,可以依次升级node,首先将需要升级的node节点设置污点,将pod资源调度到其它node节点上(如master资源充足也可以临时调用),等到该节点升级完毕后,去除污点。依次类推,将所有节点更新升级 

#设置污点
kubectl taint node node-name key=value:NoExecute
-------------------------------------------------------------------------------
#去除污点
kubectl taint node node-name key:NoExecute-

维护操作

cordon 和 drain
#对节点执行维护操作:
kubectl get nodes

//将 Node 标记为不可调度的状态,这样就不会让新创建的 Pod 在此 Node 上运行

#该node将会变为SchedulingDisabled状态
kubectl cordon <NODE_NAME>

//kubectl drain 可以让 Node 节点开始释放所有 pod,并且不接收新的 pod 进程。drain 本意排水,意思是将出问题的 Node 下的 Pod 转移到其它 Node 下运行

kubectl drain <NODE_NAME> --ignore-daemonsets --delete-local-data --force
--ignore-daemonsets:无视 DaemonSet 管理下的 Pod。
--delete-local-data:如果有 mount local volume 的 pod,会强制杀掉该 pod。
--force:强制释放不是控制器管理的 Pod,例如 kube-proxy。

注:执行 drain 命令,会自动做两件事情:

(1)设定此 node 为不可调度状态(cordon)
(2)evict(驱逐)了 Pod

//kubectl uncordon 将 Node 标记为可调度的状态

kubectl uncordon <NODE_NAME>

cordon

作用:阻止新的 Pods 被调度到该节点上。当一个节点被标记为 cordon 时,已经在该节点上运行的 Pods 不会被驱逐,但新的 Pods 不会被调度到这个节点。

使用场景:通常用于节点的维护或升级,确保在维护期间不会有新的工作负载被分配到该节点上。

使用cordon指令,封锁节点
#其污点状态默认为node.kubernetes.io/unschedulable:NoSchedul

创建两个pod,进行验证

连续创建两个pod,由于node01被封锁(模拟节点维护更新),所以pod只能在node02上创建

恢复调度

恢复调度:使用 kubectl uncordon node01 命令可以恢复节点的调度状态,允许新的 Pods 调度到该节点上

kubectl uncordon node01
node/node01 uncordoned

kubectl describe nodes node01|grep -i taints
Taints:             <none>

drain

作用:驱逐节点上的所有 Pods,即将它们从节点上移除并重新调度到其他可用的节点上。在执行 drain 操作时,可以指定一些选项,如忽略 DaemonSets 管理的 Pods,或者强制驱逐即使 Pods 有对应的容忍度。

使用场景:当需要对某个节点进行维护、升级或删除时,可以使用 drain 命令来确保节点上的 Pods 被安全地迁移到其他节点。

命令示例:
kubectl drain node01:基本驱逐命令,会驱逐节点上的所有 Pods(除了 DaemonSets 管理的 Pods)。
 
kubectl drain node01 --ignore-daemonsets=true:忽略 DaemonSets 管理的 Pods,驱逐其他所有 Pods。
 
kubectl drain node01 --force --ignore-daemonsets --delete-local-data:强制驱逐所有 Pods(包括 DaemonSets),并删除 Pods 的本地数据。注意,使用 --force 选项可能会导致数据丢失,请确保在使用前备份重要数据。

kubectl drain node02 --ignore-daemonsets --delete-emptydir-data --force

恢复调度

恢复调度:和 cordon 一样,使用 kubectl uncordon node1 命令可以恢复节点的调度状态

kubectl uncordon node02
node/node02 uncordoned

kubectl describe node  node02 |grep -i taint
Taints:             <none>

注:执行 drain 命令,会自动做了两件事情:
(1)设定此 node 为不可调度状态(cordon)
(2)evict(驱逐)了 Pod  

简单来说

cordon的作用类似于NoSchedule

drain的作用类似于NoExecute

六、Pod启动阶段(相位 phase)

Pod启动阶段

Pod 创建完之后,一直到持久运行起来,中间有很多步骤,也就有很多出错的可能,因此会有很多不同的状态

pod 这个过程包含以下几个步骤:

(1)调度到某台 node 上。kubernetes 根据一定的优先级算法选择一台 node 节点将其作为 Pod 运行的 node
(2)拉取镜像
(3)挂载存储配置等
(4)运行起来。如果有健康检查,会根据检查的结果来设置其状态。

Pod启动阶段 

第一步:controller manager管理的控制器创建pod副本

第二步:scheduler调度器根据调度算法选择最合适的node节点调度pod

第三步:kubelet拉取镜像

第四步:kubelet挂载存储卷

第五步:kubelet创建并运行容器

第六步:kubelet根据容器探针的探测结果设置Pod状态

phase 的可能状态有

●Pending:表示APIServer创建了Pod资源对象并已经存入了etcd中,但是它并未被调度完成(比如还没有调度到某台node上),或者仍然处于从仓库下载镜像的过程中。

●Running:Pod已经被调度到某节点之上,并且Pod中所有容器都已经被kubelet创建。至少有一个容器正在运行,或者正处于启动或者重启状态(也就是说Running状态下的Pod不一定能被正常访问)。

●Succeeded:有些pod不是长久运行的,比如job、cronjob,一段时间后Pod中的所有容器都被成功终止,并且不会再重启。需要反馈任务执行的结果。

●Failed:Pod中的所有容器都已终止了,并且至少有一个容器是因为失败终止。也就是说,容器以非0状态退出或者被系统终止,比如 command 写的有问题。

●Unknown:表示无法读取 Pod 状态,通常是 kube-controller-manager 无法与 Pod 通信。

七、K8S 常见的排障手段

在k8s的操作中,由于组件较多,任何一步有错误,都可能导致整个k8s集群陷入不可以状态

环境设置

防火墙策略、核心防护可能会导致节点之间无法通信

swap分区会导致kubelet无法启动,kubelet无法启动,意味着网络插件与kube-proxy容器无法启动

集群信息:使用kubectl get node查看集群信息,确保节点之间通信正常

pod事件处理

kubectl describe <资源类型> <资源名称>:查看资源详细信息

kubectl get events:指令查看所有事件信息,并使用grep过滤关键字 

kubectl exec –it pod_name bash :进入容器查看,只限于处于Running状态

kubectl logs pod_name:查看pod日志,在Failed状态下

journalctl -xefu kubelet:查看kubelet日志

#查看Pod事件
kubectl describe TYPE NAME_PREFIX  
 
#查看Pod日志(Failed状态下)
kubectl logs <POD_NAME> [-c Container_NAME]
 
#进入Pod(状态为running,但是服务没有提供)
kubectl exec –it <POD_NAME> bash
 
#查看集群信息
kubectl get nodes
 
#发现集群状态正常
kubectl cluster-info
 
#查看kubelet日志发现
journalctl -xefu kubelet

针对组件故障

#查看node节点运行状态
kubectl get nodes
#查看node节点的详细信息和资源描述
kubectl describe nodes <node节点名称>
#查看master组件的健康状态
kubectl get cs
#查看集群信息
kubectl cluster-info
#跟踪查看kubelet进程日志
journalctl -u -f kubelet

针对pod故障

#查看Pod的运行状态和就绪状态
kubectl get pods -o wide

#查看资源的详细信息和事件描述,主要是针对处于Pending状态的故障
kubectl describe <pods|其它资源类型> <资源名称>

#查看Pod容器的主进程日志,主要是针对进入Running状态后的故障,比如Failed异常问题
kubectl logs <Pod资源名称> -c <容器名称> -f -p

#进入Pod容器查看容器内部相关的状态信息,比如进程、端口、文件、流量等状态信息
kubectl exec -it <Pod资源名称> -c <容器名称> sh|bash

#在Pod中创建临时工具容器进入目标容器进行调试,主要针对没有调试工具的容器使用
kubectl debug -it <Pod资源名称> --image=<临时工具容器的镜像名> --target=<目标容器>

#在Pod容器宿主机使用nsenter转换网络namespace,直接在宿主机进入目标容器的网络命名空间进行抓包等调试工作
nsenter -n --target <容器ID>

针对网络故障

查看service资源的clusterIP、port、nodePort等信息
kubectl get svc
#查看service资源的标签选择器、endpoints端点等信息
kubectl describe svc <svc资源名称>
#查看Pod的标签
kubectl get pods --show-lables                 

总结

污点的组成格式如下:

key=value:effect

每个污点有一个 key 和 value 作为污点的标签,其中 value 可以为空,effect 描述污点的作用

设置(增加)、查看和去除(删除)污点

#设置(增加)污点
kubectl taint node 节点名 键=值:污点类型
kubectl taint node node01 key1=value1:NoSchedule

#节点说明中,查找 Taints 字段
kubectl describe node 节点名 
kubectl describe node node01
kubectl describe node node01 | grep Taints
kubectl describe node node01 | grep -A2 -i taint

#去除(删除)污点
kubectl taint node 节点名 键名-
kubectl taint node node01 key1-
kubectl taint node 节点名 键名=值:污点类型-
kubectl taint node node01 key1:NoSchedule-

key2-    这将删除所有键名为key2的污点

-A2       表示显示过滤行及其后两行

-i           表示不区分大小写

node节点存在NoExecute污点时,使用硬策略,还是可以创建到node02节点上的;

污点、容忍和驱逐

污点(taint):是一种用于标记node节点的属性,会阻止调度器在该节点上去创建pod;

容忍(Tolerations):用于标记pod 可以在哪些node节点上调度运行,如果一个节点拥有pod容忍度中指定的taint(污点),那么该节点上就可以调度pod

驱逐:是指k8s 集群中删除pod 的过程;这个过程中pod 可能会被驱逐,因为节点已经无法继续运行,或者因为需要将pod 从一个节点转移到另一个节点;节点故障或者需要更新时会用到驱逐

资源不足、硬件升级、 软件升级等情况会用到驱逐

驱逐Node节点出去进行版本升级,升级结束后再加入

排障手段

kubectl get pod/node          查看pod/node的状态提示

kubectl describe                 查看相关资源的详细事件信息

kubectl logs                        查看pod 容器的进程日志

kubectl exec -it                   进入pod 容器,查看容器状态

journalctl -u kubelet            查看kubelet 的进程日志

驱逐

可以在资源不足和版本升级时,用于驱逐业务

drain 驱逐到其他node节点之后,pod名会变吗;是转移了,还是在其他node节点重新创建了

提问:什么时候用驱逐?

漏洞修复

中间件:tomcat、nginx、redis

数据库:增删改查,多表查询

故障排除步骤

查看pod 事件

查看pod 日志

查看有多个副本的pod时,需要添加-c 指定容器

Logo

K8S/Kubernetes社区为您提供最前沿的新闻资讯和知识内容

更多推荐