K8s常见问题（5）

1，Kubernetes不同更新方式的优缺点和适用场景

2，启动探针的典型使用场景

启动探针主要解决以下问题：

1，启动时间长的应用：对于Java应用，大型单体应用等启动时间可能超过30秒的应用，如果使用存活探针，可能会因为探针检查失败导致容器被反复杀死重启，形成”crashloopbackoff“状态。启动探针可以设置较长的初始延迟和失败阈值，给应用足够的启动时间

2，避免存活探针误杀：在应用启动过程中，存活探针可能会因为应用尚未完全初始化而失败，导致容器被误杀。启动探针可以保护应用在启动阶段不被存活探针干扰

3，冷启动优化：对于需要加载大量数据或进行复杂初始化的应用，启动探针可以确保应用完全就绪后在开始接受流量

3，pod的unknown状态和terminating状态

4，pod内如何实现资源共享和通信？

网络共享：pod内的所有容器共享一个网络命名空间，这意味着它们拥有相同的IP地址和端口空间。因此，容器之间可以直接通过localhost以及对方监听的端口进行通信

存储共享：pod可以定义一个或多个共享存储卷。这些卷可以被挂载到pod内所有容器的文件系统中，从而让它们能够共享和交换数据

简单来说，pod内的容器通信非常直接，无需通过Service或Endpoint，这些机制主要用于pod与pod之间的通信

5，resourcequota和limitrange的差别

resourcequota作用于命名空间级别，其核心目标是防止一个命名空间消耗过多的集群资源，确保不同团队之间的资源公平性。它为整个命名空间设置了资源使用的“天花板“

而limitrange则作用于命名空间内的pod或容器级别，其核心目标是规范单个pod或容器的资源使用行为，防止因个别应用配置不当而影响同一命名空间下的其他应用。它为单个应用设置了资源使用的”交通规则"。

6，secret的不足

base64只是编码转换，任何人都可以轻松解码还原原始内容

使用echo <base64-string> | base64 -d即可解码

secret数据以明文形式存储在etcd中

攻击者获取etcd访问权限即可读取所有secret

如果RBAC配置不当，用户或服务账户可能拥有过高的Secret访问权限

默认情况下，拥有命名空间”get"权限的用户可以读取该命名空间的所有secret

容器内挂载的secret文件可能被应用日志记录

环境变量中的secret可能被进程列表或调试工具暴露

secret更新后，已运行的pod不会自动重新加载，需要重启才能获取新值

8，污点和容忍度的核心功能

9，污点的几种类型

10，init container和应用容器的差别

目的不同：init container是一次性任务，运行到完成及终止；应用容器是长时服务，旨在持续运行

探针支持：init ocntainer不支持readinessprobe和livenessprobe等健康检查探针，因为它们的健康状态简单的尤其退出代码决定。应用容器通常需要配置这些探针来管理其生命周期

镜像分离：init container可以使用包含实用工具的景象，而无需将这些工具打包进通常追求最小化的应用容器镜像，这有助于提升安全性和减小应用镜像体积

init container资源调度策略

Kubernetes调度器再决定将pod放到哪个节点上时，考虑的pod资源请求量是一个“有效值”。这个有效值是以下两者中的较大者：

所有应用容器的资源请求之和

所有init container中单个最大的资源请求。这种机制确保了节点上有足够资源来运行任何一个init container，即使应用容器所需资源更少

幂等性要求

由于pod的重启会导致所有init container重新执行，因此其操作必须是幂等的。这意味着多次执行同一操作应产生与依次执行相同的效果。例如，如果init container是下载文件，需要确保重复下载不会导致问题

11，HPA Controller的作用

HPA Controller作为一个决策中心，并不直接采集指标，而是通过Kubernetes的API聚合层来获取数据。这种设计解耦了指标的收集与消费，使得HPA能够灵活的使用不同类型的指

打赏链接：