k8s容器管理入门教程新手也能快速掌握的容器编排实战指南带你从零开始学习

威震华夏关云长

1. 什么是Kubernetes和容器编排？

Kubernetes（常简称为K8s）是一个开源的容器编排平台，用于自动化容器化应用程序的部署、扩展和管理。它最初由Google设计并捐赠给Cloud Native Computing Foundation（CNCF）来维护。

1.1 容器编排的概念

容器编排是指自动化部署、管理、扩展和连接容器的过程。在没有编排工具的情况下，管理多个容器会变得非常复杂，特别是在需要处理容器故障、扩展应用、更新版本等场景时。

容器编排工具提供了以下核心功能：

• 自动化部署和复制容器
• 水平扩展和负载均衡
• 健康检查和自我修复
• 服务发现和路由
• 配置管理和密钥管理
• 存储编排
• 批处理执行

1.2 为什么选择Kubernetes？

Kubernetes已成为容器编排的事实标准，原因如下：

• 开源和社区支持：拥有活跃的开发社区和广泛的生态系统
• 可移植性：可以在公有云、私有云、混合云和裸金属环境中运行
• 自动化：自动处理许多手动任务，如容器部署、扩展和故障恢复
• 自我修复：能够自动重启失败的容器、替换和重新调度容器
• 服务发现和负载均衡：可以使用DNS名称或自己的IP地址暴露容器
• 存储编排：自动挂载所选存储系统
• 批量执行：管理批处理和CI工作负载
• 水平扩展：通过简单的命令或基于CPU使用情况自动扩展应用程序

2. Kubernetes架构和核心组件

理解Kubernetes的架构对于有效使用它至关重要。Kubernetes由主节点（Master Node）和工作节点（Worker Node）组成。

2.1 控制平面组件（Master节点）

控制平面负责管理集群的全局状态，并做出全局决策。

API服务器是Kubernetes控制平面的前端，它暴露了Kubernetes API。所有组件（包括用户、控制器、节点等）都通过API服务器进行交互。

2. # 查看API服务器状态
3. kubectl get componentstatuses

复制代码

etcd是一个一致的、高可用的键值存储，用于持久化存储Kubernetes集群的所有数据。

2. # 查看etcd集群成员状态
3. kubectl get -n kube-system pods -l component=etcd

复制代码

调度器负责监视新创建的、未分配节点的Pod，并选择一个节点让它们在上面运行。

2. # 查看调度器Pod
3. kubectl get -n kube-system pods -l component=kube-scheduler

复制代码

控制器管理器运行控制器进程，这些控制器负责维护集群的期望状态。

2. # 查看控制器管理器Pod
3. kubectl get -n kube-system pods -l component=kube-controller-manager

复制代码

云控制器管理器嵌入了特定于云平台的控制逻辑，允许将集群与云提供商的API集成。

2.2 节点组件（Worker节点）

节点组件在每个节点上运行，维护运行的Pod并提供Kubernetes运行时环境。

kubelet是主要的节点代理，它确保容器在Pod中运行。

2. # 查看节点上的kubelet状态
3. systemctl status kubelet

复制代码

kube-proxy维护节点上的网络规则，实现Kubernetes服务概念。

2. # 查看kube-proxy Pod
3. kubectl get -n kube-system pods -l k8s-app=kube-proxy

复制代码

容器运行时负责运行容器，如Docker、containerd、CRI-O等。

2. # 查看容器运行时状态
3. docker info  # 如果使用Docker

复制代码

3. 安装和设置Kubernetes环境

对于初学者，有几种方式可以设置Kubernetes环境进行学习和实验。

3.1 使用Minikube

Minikube是一个工具，可以在本地轻松运行单节点Kubernetes集群。

在Linux上安装Minikube：

2. # 下载Minikube
3. curl -LO https://storage.googleapis.com/minikube/releases/latest/minikube-linux-amd64
4. sudo install minikube-linux-amd64 /usr/local/bin/minikube

复制代码

在macOS上安装Minikube：

2. # 使用Homebrew安装
3. brew install minikube

复制代码

在Windows上安装Minikube：

2. # 使用Chocolatey安装
3. choco install minikube

复制代码

2. # 启动Minikube集群
3. minikube start
5. # 查看集群状态
6. minikube status
8. # 查看Kubernetes版本
9. kubectl version --short

复制代码

3.2 使用Kind

Kind（Kubernetes in Docker）是另一个工具，可以使用Docker容器作为”节点”运行本地Kubernetes集群。

在Linux上安装Kind：

2. # 下载Kind
3. curl -Lo ./kind https://kind.sigs.k8s.io/dl/v0.20.0/kind-linux-amd64
4. chmod +x ./kind
5. sudo mv ./kind /usr/local/bin/kind

复制代码

在macOS上安装Kind：

2. # 使用Homebrew安装
3. brew install kind

复制代码

2. # 创建Kind集群
3. kind create cluster
5. # 查看集群信息
6. kubectl cluster-info --context kind-kind
8. # 删除Kind集群
9. kind delete cluster

复制代码

3.3 使用云提供商的Kubernetes服务

如果你想在真实环境中学习，可以考虑使用云提供商的托管Kubernetes服务：

• Google Kubernetes Engine (GKE)
• Amazon Elastic Kubernetes Service (EKS)
• Azure Kubernetes Service (AKS)

4. Kubernetes基本对象和资源

Kubernetes中的所有内容都被表示为RESTful对象，这些对象可以通过kubectl工具进行操作。以下是Kubernetes中最基本的对象和资源。

4.1 Pod

Pod是Kubernetes中最小的可部署单元，表示一个或多个紧密耦合的容器。

2. apiVersion: v1
3. kind: Pod
4. metadata:
5.   name: nginx-pod
6.   labels:
7.     app: nginx
8. spec:
9.   containers:
10.   - name: nginx
11.     image: nginx:1.21
12.     ports:
13.     - containerPort: 80

复制代码

2. # 创建Pod
3. kubectl apply -f nginx-pod.yaml
5. # 查看Pod
6. kubectl get pods
8. # 查看Pod详细信息
9. kubectl describe pod nginx-pod
11. # 查看Pod日志
12. kubectl logs nginx-pod
14. # 在Pod中执行命令
15. kubectl exec -it nginx-pod -- /bin/bash
17. # 删除Pod
18. kubectl delete pod nginx-pod

复制代码

4.2 Deployment

Deployment是一个更高级别的概念，它管理Pod的副本集，并提供声明式更新。

2. apiVersion: apps/v1
3. kind: Deployment
4. metadata:
5.   name: nginx-deployment
6.   labels:
7.     app: nginx
8. spec:
9.   replicas: 3
10.   selector:
11.     matchLabels:
12.       app: nginx
13.   template:
14.     metadata:
15.       labels:
16.         app: nginx
17.     spec:
18.       containers:
19.       - name: nginx
20.         image: nginx:1.21
21.         ports:
22.         - containerPort: 80

复制代码

2. # 创建Deployment
3. kubectl apply -f nginx-deployment.yaml
5. # 查看Deployment
6. kubectl get deployments
8. # 查看Deployment详细信息
9. kubectl describe deployment nginx-deployment
11. # 扩展Deployment
12. kubectl scale deployment nginx-deployment --replicas=5
14. # 更新Deployment（更新镜像版本）
15. kubectl set image deployment/nginx-deployment nginx=nginx:1.22
17. # 回滚Deployment
18. kubectl rollout undo deployment/nginx-deployment
20. # 查看Deployment的更新状态
21. kubectl rollout status deployment/nginx-deployment
23. # 删除Deployment
24. kubectl delete deployment nginx-deployment

复制代码

4.3 Service

Service定义了一组Pod的逻辑集合和访问它们的策略。

• ClusterIP：在集群内部暴露服务，默认类型
• NodePort：在每个节点的IP上静态端口暴露服务
• LoadBalancer：使用云提供商的负载均衡器暴露服务
• ExternalName：通过返回带有该名称的CNAME记录，将服务映射到外部名称

2. apiVersion: v1
3. kind: Service
4. metadata:
5.   name: nginx-service
6. spec:
7.   selector:
8.     app: nginx
9.   ports:
10.     - protocol: TCP
11.       port: 80
12.       targetPort: 80
13.   type: ClusterIP

复制代码

2. # 创建Service
3. kubectl apply -f nginx-service.yaml
5. # 查看Service
6. kubectl get services
8. # 查看Service详细信息
9. kubectl describe service nginx-service
11. # 删除Service
12. kubectl delete service nginx-service

复制代码

4.4 Namespace

Namespace提供了一种机制，将单个集群中的资源划分为多个虚拟集群。

2. apiVersion: v1
3. kind: Namespace
4. metadata:
5.   name: development

复制代码

2. # 创建Namespace
3. kubectl apply -f development-namespace.yaml
5. # 查看所有Namespace
6. kubectl get namespaces
8. # 在特定Namespace中创建资源
9. kubectl apply -f nginx-deployment.yaml -n development
11. # 查看特定Namespace中的资源
12. kubectl get pods -n development
14. # 设置当前上下文的默认Namespace
15. kubectl config set-context --current --namespace=development
17. # 删除Namespace
18. kubectl delete namespace development

复制代码

4.5 ConfigMap和Secret

ConfigMap和Secret用于将配置数据与容器镜像分离。

2. apiVersion: v1
3. kind: ConfigMap
4. metadata:
5.   name: app-config
6. data:
7.   APP_ENV: "development"
8.   APP_DEBUG: "true"

复制代码

2. apiVersion: v1
3. kind: Secret
4. metadata:
5.   name: app-secret
6. type: Opaque
7. data:
8.   DB_PASSWORD: cGFzc3dvcmQxMjM=  # base64编码的"password123"

复制代码

2. # 创建ConfigMap
3. kubectl apply -f app-config.yaml
5. # 创建Secret
6. kubectl apply -f app-secret.yaml
8. # 查看ConfigMap
9. kubectl get configmaps
11. # 查看Secret
12. kubectl get secrets
14. # 在Pod中使用ConfigMap
15. apiVersion: v1
16. kind: Pod
17. metadata:
18.   name: configmap-pod
19. spec:
20.   containers:
21.     - name: test-container
22.       image: busybox
23.       command: ["sh", "-c", "echo $APP_ENV && echo $APP_DEBUG"]
24.       envFrom:
25.         - configMapRef:
26.             name: app-config
28. # 在Pod中使用Secret
29. apiVersion: v1
30. kind: Pod
31. metadata:
32.   name: secret-pod
33. spec:
34.   containers:
35.     - name: test-container
36.       image: busybox
37.       command: ["sh", "-c", "echo $DB_PASSWORD"]
38.       env:
39.         - name: DB_PASSWORD
40.           valueFrom:
41.             secretKeyRef:
42.               name: app-secret
43.               key: DB_PASSWORD

复制代码

5. 使用kubectl管理Kubernetes资源

kubectl是Kubernetes的命令行工具，用于与Kubernetes API服务器交互。

5.1 基本kubectl命令

2. # 查看集群信息
3. kubectl cluster-info
5. # 查看Kubernetes版本
6. kubectl version
8. # 查看当前上下文
9. kubectl config current-context
11. # 查看所有上下文
12. kubectl config get-contexts
14. # 切换上下文
15. kubectl config use-context <context-name>
17. # 查看节点
18. kubectl get nodes
20. # 查看节点详细信息
21. kubectl describe node <node-name>
23. # 查看所有资源
24. kubectl get all
26. # 查看特定类型的资源
27. kubectl get pods,deployments,services
29. # 查看带有标签的资源
30. kubectl get pods -l app=nginx
32. # 查看所有命名空间中的资源
33. kubectl get pods --all-namespaces

复制代码

5.2 应用和更新资源

2. # 应用配置文件
3. kubectl apply -f <filename.yaml>
5. # 应用目录中的所有配置文件
6. kubectl apply -f <directory>
8. # 从URL应用配置
9. kubectl apply -f https://example.com/config.yaml
11. # 从标准输入应用配置
12. cat <<EOF | kubectl apply -f -
13. apiVersion: v1
14. kind: Pod
15. metadata:
16.   name: busybox-sleep
17. spec:
18.   containers:
19.   - name: busybox
20.     image: busybox
21.     args:
22.     - sleep
23.     - "1000"
24. EOF

复制代码

5.3 编辑资源

2. # 使用默认编辑器编辑资源
3. kubectl edit deployment <deployment-name>
5. # 使用特定编辑器编辑资源
6. KUBE_EDITOR="nano" kubectl edit deployment <deployment-name>

复制代码

5.4 调试和故障排除

2. # 查看Pod日志
3. kubectl logs <pod-name>
5. # 查看Pod中特定容器的日志
6. kubectl logs <pod-name> -c <container-name>
8. # 跟踪Pod日志
9. kubectl logs -f <pod-name>
11. # 查看前一个容器的日志
12. kubectl logs <pod-name> --previous
14. # 在Pod中执行命令
15. kubectl exec -it <pod-name> -- /bin/bash
17. # 查看Pod事件
18. kubectl describe pod <pod-name>
20. # 查看节点事件
21. kubectl describe node <node-name>
23. # 查看集群事件
24. kubectl get events

复制代码

6. 实战示例：部署一个应用程序到Kubernetes

让我们通过一个完整的示例来演示如何将一个简单的Web应用程序部署到Kubernetes。

6.1 创建应用程序

首先，我们创建一个简单的Node.js应用程序。

2. // app.js
3. const express = require('express');
4. const app = express();
5. const port = process.env.PORT || 3000;
7. app.get('/', (req, res) => {
8.   res.send('Hello from Kubernetes!');
9. });
11. app.listen(port, () => {
12.   console.log(`App listening on port ${port}`);
13. });

复制代码

2. {
3.   "name": "k8s-demo-app",
4.   "version": "1.0.0",
5.   "description": "A simple Node.js app for Kubernetes demo",
6.   "main": "app.js",
7.   "scripts": {
8.     "start": "node app.js"
9.   },
10.   "dependencies": {
11.     "express": "^4.17.1"
12.   }
13. }

复制代码

2. # 使用官方Node.js运行时作为基础镜像
3. FROM node:14-alpine
5. # 在容器中创建工作目录
6. WORKDIR /usr/src/app
8. # 复制package.json和package-lock.json
9. COPY package*.json ./
11. # 安装应用依赖
12. RUN npm install
14. # 复制应用程序代码
15. COPY . .
17. # 暴露端口
18. EXPOSE 3000
20. # 定义启动命令
21. CMD [ "npm", "start" ]

复制代码

6.2 构建和推送Docker镜像

2. # 构建Docker镜像
3. docker build -t your-dockerhub-username/k8s-demo-app:v1 .
5. # 登录到Docker Hub
6. docker login
8. # 推送镜像到Docker Hub
9. docker push your-dockerhub-username/k8s-demo-app:v1

复制代码

6.3 创建Kubernetes部署文件

2. # deployment.yaml
3. apiVersion: apps/v1
4. kind: Deployment
5. metadata:
6.   name: k8s-demo-app
7.   labels:
8.     app: k8s-demo-app
9. spec:
10.   replicas: 3
11.   selector:
12.     matchLabels:
13.       app: k8s-demo-app
14.   template:
15.     metadata:
16.       labels:
17.         app: k8s-demo-app
18.     spec:
19.       containers:
20.       - name: k8s-demo-app
21.         image: your-dockerhub-username/k8s-demo-app:v1
22.         ports:
23.         - containerPort: 3000
24.         env:
25.         - name: PORT
26.           value: "3000"

复制代码

2. # service.yaml
3. apiVersion: v1
4. kind: Service
5. metadata:
6.   name: k8s-demo-app-service
7. spec:
8.   selector:
9.     app: k8s-demo-app
10.   ports:
11.     - protocol: TCP
12.       port: 80
13.       targetPort: 3000
14.   type: LoadBalancer

复制代码

6.4 部署应用程序

2. # 部署应用程序
3. kubectl apply -f deployment.yaml
4. kubectl apply -f service.yaml
6. # 检查部署状态
7. kubectl get deployments
8. kubectl get pods
9. kubectl get services
11. # 获取Service的外部IP（如果是云环境）
12. kubectl get service k8s-demo-app-service -o wide
14. # 如果使用Minikube，获取Service URL
15. minikube service k8s-demo-app-service --url

复制代码

6.5 扩展应用程序

2. # 扩展应用程序到5个副本
3. kubectl scale deployment k8s-demo-app --replicas=5
5. # 检查扩展后的Pod数量
6. kubectl get pods -l app=k8s-demo-app

复制代码

6.6 更新应用程序

2. // 更新app.js
3. const express = require('express');
4. const app = express();
5. const port = process.env.PORT || 3000;
7. app.get('/', (req, res) => {
8.   res.send('Hello from Kubernetes! (v2)');
9. });
11. app.listen(port, () => {
12.   console.log(`App listening on port ${port}`);
13. });

复制代码

2. # 构建新版本镜像
3. docker build -t your-dockerhub-username/k8s-demo-app:v2 .
5. # 推送镜像
6. docker push your-dockerhub-username/k8s-demo-app:v2

复制代码

2. # 更新Deployment以使用新镜像
3. kubectl set image deployment/k8s-demo-app k8s-demo-app=your-dockerhub-username/k8s-demo-app:v2
5. # 检查更新状态
6. kubectl rollout status deployment/k8s-demo-app
8. # 查看更新历史
9. kubectl rollout history deployment/k8s-demo-app

复制代码

6.7 回滚更新

2. # 回滚到前一个版本
3. kubectl rollout undo deployment/k8s-demo-app
5. # 回滚到特定版本
6. kubectl rollout undo deployment/k8s-demo-app --to-revision=1
8. # 检查回滚状态
9. kubectl rollout status deployment/k8s-demo-app

复制代码

7. 常用的Kubernetes操作和管理技巧

7.1 标签和选择器

标签是附加到对象（如Pod、Deployment等）的键值对，用于组织和选择对象子集。

2. # 添加标签
3. kubectl label pods <pod-name> environment=production
5. # 查看带有特定标签的资源
6. kubectl get pods -l environment=production
8. # 更新标签
9. kubectl label pods <pod-name> environment=development --overwrite
11. # 删除标签
12. kubectl label pods <pod-name> environment-

复制代码

7.2 注解

注解是用于存储非标识性元数据的键值对，可以存储比标签更大的数据。

2. # 添加注解
3. kubectl annotate pods <pod-name> description='This is a production pod'
5. # 查看注解
6. kubectl describe pod <pod-name>

复制代码

7.3 健康检查

Kubernetes支持两种健康检查：存活探针（Liveness Probe）和就绪探针（Readiness Probe）。

2. apiVersion: apps/v1
3. kind: Deployment
4. metadata:
5.   name: liveness-app
6. spec:
7.   replicas: 1
8.   selector:
9.     matchLabels:
10.       app: liveness-app
11.   template:
12.     metadata:
13.       labels:
14.         app: liveness-app
15.     spec:
16.       containers:
17.       - name: liveness-app
18.         image: busybox
19.         args:
20.         - /bin/sh
21.         - -c
22.         - touch /tmp/healthy; sleep 30; rm -f /tmp/healthy; sleep 600
23.         livenessProbe:
24.           exec:
25.             command:
26.             - cat
27.             - /tmp/healthy
28.           initialDelaySeconds: 5
29.           periodSeconds: 5

复制代码

2. apiVersion: apps/v1
3. kind: Deployment
4. metadata:
5.   name: readiness-app
6. spec:
7.   replicas: 1
8.   selector:
9.     matchLabels:
10.       app: readiness-app
11.   template:
12.     metadata:
13.       labels:
14.         app: readiness-app
15.     spec:
16.       containers:
17.       - name: readiness-app
18.         image: nginx:1.21
19.         ports:
20.         - containerPort: 80
21.         readinessProbe:
22.           httpGet:
23.             path: /
24.             port: 80
25.           initialDelaySeconds: 5
26.           periodSeconds: 10

复制代码

7.4 资源限制和请求

资源限制和请求用于管理Pod的CPU和内存使用。

2. apiVersion: v1
3. kind: Pod
4. metadata:
5.   name: resource-pod
6. spec:
7.   containers:
8.   - name: resource-app
9.     image: busybox
10.     command: ["sh", "-c", "echo Hello Kubernetes! && sleep 3600"]
11.     resources:
12.       requests:
13.         memory: "64Mi"
14.         cpu: "250m"
15.       limits:
16.         memory: "128Mi"
17.         cpu: "500m"

复制代码

7.5 持久化存储

持久化存储用于保存应用程序数据，即使Pod被重新创建。

2. # PersistentVolume
3. apiVersion: v1
4. kind: PersistentVolume
5. metadata:
6.   name: pv-example
7. spec:
8.   capacity:
9.     storage: 10Gi
10.   volumeMode: Filesystem
11.   accessModes:
12.     - ReadWriteOnce
13.   persistentVolumeReclaimPolicy: Retain
14.   storageClassName: manual
15.   hostPath:
16.     path: /mnt/data

复制代码

2. # PersistentVolumeClaim
3. apiVersion: v1
4. kind: PersistentVolumeClaim
5. metadata:
6.   name: pvc-example
7. spec:
8.   accessModes:
9.     - ReadWriteOnce
10.   resources:
11.     requests:
12.       storage: 10Gi
13.   storageClassName: manual

复制代码

2. apiVersion: v1
3. kind: Pod
4. metadata:
5.   name: pod-with-pvc
6. spec:
7.   containers:
8.   - name: app
9.     image: nginx
10.     ports:
11.     - containerPort: 80
12.     volumeMounts:
13.     - name: persistent-storage
14.       mountPath: /usr/share/nginx/html
15.   volumes:
16.   - name: persistent-storage
17.     persistentVolumeClaim:
18.       claimName: pvc-example

复制代码

7.6 配置管理

2. apiVersion: v1
3. kind: ConfigMap
4. metadata:
5.   name: app-config
6. data:
7.   APP_COLOR: "blue"
8.   APP_MODE: "production"

复制代码

2. apiVersion: v1
3. kind: Pod
4. metadata:
5.   name: configmap-env-pod
6. spec:
7.   containers:
8.   - name: app
9.     image: busybox
10.     command: ["sh", "-c", "echo $APP_COLOR && echo $APP_MODE && sleep 3600"]
11.     envFrom:
12.     - configMapRef:
13.         name: app-config

复制代码

2. apiVersion: v1
3. kind: ConfigMap
4. metadata:
5.   name: nginx-config
6. data:
7.   default.conf: |
8.     server {
9.       listen       80;
10.       server_name  localhost;
11.       location / {
12.         root   /usr/share/nginx/html;
13.         index  index.html index.htm;
14.       }
15.       error_page   500 502 503 504  /50x.html;
16.       location = /50x.html {
17.         root   /usr/share/nginx/html;
18.       }
19.     }

复制代码

2. apiVersion: v1
3. kind: Pod
4. metadata:
5.   name: configmap-volume-pod
6. spec:
7.   containers:
8.   - name: nginx
9.     image: nginx
10.     ports:
11.     - containerPort: 80
12.     volumeMounts:
13.     - name: nginx-config-volume
14.       mountPath: /etc/nginx/conf.d/
15.   volumes:
16.   - name: nginx-config-volume
17.     configMap:
18.       name: nginx-config

复制代码

8. 故障排除和最佳实践

8.1 常见问题和解决方案

问题：Pod长时间处于Pending状态。

可能原因：

• 集群中没有足够的资源（CPU或内存）
• 没有满足Pod调度约束的节点
• 持久化卷挂载失败

解决方案：

2. # 检查Pod事件
3. kubectl describe pod <pod-name>
5. # 检查集群资源使用情况
6. kubectl top nodes
8. # 检查是否有未绑定的PersistentVolumeClaim
9. kubectl get pvc

复制代码

问题：Pod不断重启，状态变为CrashLoopBackOff。

可能原因：

• 应用程序错误
• 配置问题
• 资源不足

解决方案：

2. # 查看Pod日志
3. kubectl logs <pod-name>
5. # 查看前一个容器的日志
6. kubectl logs <pod-name> --previous
8. # 检查资源限制
9. kubectl describe pod <pod-name>

复制代码

问题：无法拉取容器镜像。

可能原因：

• 镜像名称或标签错误
• 没有权限访问私有仓库
• 网络问题

解决方案：

2. # 检查Pod配置
3. kubectl describe pod <pod-name>
5. # 手动拉取镜像测试
6. docker pull <image-name>
8. # 创建Secret以访问私有仓库
9. kubectl create secret docker-registry <secret-name> --docker-server=<server> --docker-username=<username> --docker-password=<password> --docker-email=<email>
11. # 在Deployment中使用Secret
12. apiVersion: apps/v1
13. kind: Deployment
14. metadata:
15.   name: private-repo-app
16. spec:
17.   template:
18.     spec:
19.       containers:
20.       - name: app
21.         image: your-registry.com/your-image
22.       imagePullSecrets:
23.       - name: <secret-name>

复制代码

8.2 Kubernetes最佳实践

2. # 安全上下文示例
3. apiVersion: v1
4. kind: Pod
5. metadata:
6.   name: security-context-pod
7. spec:
8.   securityContext:
9.     runAsUser: 1000
10.     runAsGroup: 3000
11.     fsGroup: 2000
12.   containers:
13.   - name: secure-app
14.     image: busybox
15.     command: ["sh", "-c", "sleep 3600"]
16.     securityContext:
17.       allowPrivilegeEscalation: false
18.       readOnlyRootFilesystem: true
19.       runAsNonRoot: true
20.       capabilities:
21.         drop:
22.         - ALL

复制代码

2. # 资源配额示例
3. apiVersion: v1
4. kind: ResourceQuota
5. metadata:
6.   name: compute-resources
7.   namespace: development
8. spec:
9.   hard:
10.     pods: "10"
11.     requests.cpu: "4"
12.     requests.memory: 8Gi
13.     limits.cpu: "10"
14.     limits.memory: 16Gi

复制代码

2. # 限制范围示例
3. apiVersion: v1
4. kind: LimitRange
5. metadata:
6.   name: resource-limits
7.   namespace: development
8. spec:
9.   limits:
10.   - default:
11.       memory: 512Mi
12.       cpu: "1"
13.     defaultRequest:
14.       memory: 256Mi
15.       cpu: "0.5"
16.     type: Container

复制代码

2. # 网络策略示例
3. apiVersion: networking.k8s.io/v1
4. kind: NetworkPolicy
5. metadata:
6.   name: app-network-policy
7.   namespace: development
8. spec:
9.   podSelector:
10.     matchLabels:
11.       app: secure-app
12.   policyTypes:
13.   - Ingress
14.   - Egress
15.   ingress:
16.   - from:
17.     - namespaceSelector:
18.         matchLabels:
19.           name: development
20.     ports:
21.     - protocol: TCP
22.       port: 80
23.   egress:
24.   - to:
25.     - namespaceSelector:
26.         matchLabels:
27.           name: development
28.     ports:
29.     - protocol: TCP
30.       port: 80

复制代码

9. 进阶学习资源

9.1 官方文档和教程

• Kubernetes官方文档
• Kubernetes任务
• Kubernetes教程

9.2 在线课程和培训

• Kubernetes Certified Administrator (CKA)
• Kubernetes Application Developer (CKAD)
• Udemy Kubernetes课程
• Coursera Kubernetes课程

9.3 社区资源

• Kubernetes GitHub仓库
• Kubernetes官方博客
• Kubernetes社区论坛
• Cloud Native Computing Foundation

9.4 实践项目

• KubernetesByExample
• Kubernetes the Hard Way
• Kubernetes Patterns

结论

Kubernetes已经成为现代云原生应用程序部署和管理的事实标准。通过本教程，你已经学习了Kubernetes的基本概念、架构、核心组件以及如何使用Kubernetes部署和管理应用程序。

记住，学习Kubernetes是一个持续的过程。随着你对Kubernetes的理解加深，你可以探索更高级的主题，如自定义资源定义（CRDs）、操作符模式、服务网格等。继续实践和学习，你将能够充分利用Kubernetes的强大功能来构建和管理可扩展、弹性的云原生应用程序。