目录
10. kube-apiserver, etcd, kube-controller-manager, kube-scheduler 的作用。
9. Calico 网络插件在 K8s 集群的作用。
Calico是一个开源的网络和网络安全解决方案，在k8s集群中是非常重要的角色，主要用于提高网络连接、网络策略和网络安全功能。以下是主要作用：
1. 提供容器网络连接
Calico 为 Kubernetes 集群中的 Pod 提供网络连接，确保 Pod 之间可以相互通信。它通过以下方式实现：
IP 地址管理（IPAM）：Calico 为每个 Pod 分配唯一的 IP 地址，并管理 IP 地址的分配和回收。
路由分发：Calico 使用 BGP（Border Gateway Protocol） 协议在集群节点之间分发路由信息，确保 Pod 之间的流量能够正确路由。
支持多种网络模式：
Overlay 模式：使用 IP-in-IP 或 VXLAN 封装技术，适用于跨子网的集群。
非 Overlay 模式：直接路由模式，适用于同一子网内的集群，性能更高。
2. 实现网络策略（Network Policy）
Calico 提供了强大的网络策略功能，允许用户定义精细化的网络访问规则，控制 Pod 之间的通信。这些策略可以用于：
限制 Pod 的入口和出口流量：例如，只允许特定的 Pod 或命名空间之间的通信。
实现微服务的安全隔离：通过策略限制服务之间的访问，提高安全性。
支持 Kubernetes 原生的 NetworkPolicy API：Calico 完全兼容 Kubernetes 的 NetworkPolicy 资源，用户可以通过 YAML 文件定义策略。
示例 NetworkPolicy：
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: allow-frontend-to-backend
namespace: default
spec:
podSelector:
matchLabels:
role: backend
policyTypes:
- Ingress
ingress:
- from:
- podSelector:
matchLabels:
role: frontend
ports:
- protocol: TCP
port: 803. 提供网络安全功能
Calico 通过以下方式增强 Kubernetes 集群的安全性：
基于身份的微隔离：通过标签（Labels）和选择器（Selectors）定义策略，实现基于身份的访问控制。
加密通信：支持 WireGuard 加密技术，确保 Pod 之间的通信安全。
防止 IP 欺骗：Calico 会验证 Pod 的 IP 地址，防止 IP 欺骗攻击。
4. 高性能和可扩展性
高性能：Calico 的非 Overlay 模式（直接路由）避免了额外的封装和解封装开销，提供了接近原生网络的性能。
可扩展性：Calico 支持大规模的 Kubernetes 集群，能够处理数千个节点和数万个 Pod。
5. 多平台支持
Calico 不仅支持 Kubernetes，还支持其他容器编排平台，如 OpenShift、Rancher 等。此外，Calico 还可以与云服务商（如 AWS、GCP、Azure）的网络集成。
6. 灵活的部署选项
Calico 支持多种部署方式，包括：
Kubernetes 集成：通过 Kubernetes 的 CNI（Container Network Interface）插件部署。
独立部署：可以作为独立的网络解决方案部署在非 Kubernetes 环境中。
托管服务：通过 Tigera 提供的托管服务（如 Calico Cloud）获得企业级支持。
7. 可视化和监控
Calico 提供了丰富的可视化和监控工具，帮助用户更好地理解和管理集群中的网络流量和策略：
Calico UI：提供网络拓扑、策略状态和流量监控的可视化界面。
Prometheus 集成：支持将网络指标导出到 Prometheus，方便用户进行监控和告警。
总结
Calico 在 Kubernetes 集群中的作用可以概括为：
提供高效的容器网络连接。
实现精细化的网络策略，增强安全性。
支持高性能和可扩展性，适用于大规模集群。
提供丰富的网络安全功能，如加密通信和微隔离。
支持多平台和灵活的部署选项。
10. kube-apiserver, etcd, kube-controller-manager, kube-scheduler 的作用。
首先先来看官网的一张图：
1. kube-apiserver
作用：Kubernetes API 服务器，是 Kubernetes 集群的前端接口，所有与集群的交互都通过它进行。
功能：
提供 RESTful API，供用户、命令行工具（如
kubectl）和其他组件访问。验证和授权请求（通过认证、授权和准入控制机制）。
处理资源的创建、更新、删除和查询操作（如 Pod、Service、Deployment 等）。
将集群的期望状态（Desired State）写入
etcd。
特点：
是无状态的，所有状态都存储在
etcd中。支持水平扩展，可以通过部署多个实例来提高可用性和性能。
2. etcd
作用：分布式键值存储，是 Kubernetes 集群的持久化存储，用于保存集群的所有配置数据和状态信息。
功能：
存储 Kubernetes 集群的元数据，如节点信息、Pod 信息、服务信息、配置信息等。
提供高可用性和一致性，确保集群状态的一致性和可靠性。
支持 Watch 机制，其他组件可以通过 Watch 监听
etcd中的数据变化。
特点：
是 Kubernetes 集群的唯一数据源，所有组件都依赖
etcd获取集群状态。支持分布式部署，确保高可用性
3. kube-controller-manager
作用：控制器管理器，负责运行 Kubernetes 中的各种控制器，确保集群的当前状态与期望状态一致。
功能：
包含多个控制器，每个控制器负责管理特定类型的资源。常见的控制器包括：
Node Controller：监控节点的状态，处理节点故障。
Replication Controller：确保 Pod 的副本数与期望值一致。
Deployment Controller：管理 Deployment 的创建、更新和回滚。
Service Controller：管理 Service 和 Endpoints 的创建和更新。
Namespace Controller：管理命名空间的生命周期。
通过 Watch 机制监听
etcd中的资源变化，并根据期望状态进行调整。
特点：
控制器是 Kubernetes 实现声明式 API的核心组件。
控制器通过不断调谐（Reconcile）确保集群状态与期望状态一致。
4. kube-scheduler
作用：调度器，负责将新创建的 Pod 分配到合适的节点上运行。
功能：
根据 Pod 的资源需求（如 CPU、内存）和节点的可用资源，选择合适的节点。
考虑调度策略和约束条件，如节点亲和性（Node Affinity）、Pod 亲和性（Pod Affinity）、污点和容忍（Taints and Tolerations）等。
支持扩展和自定义调度策略。
特点：
调度器只负责决策，不负责实际的 Pod 启动和运行。
调度器是无状态的，所有调度决策都基于当前集群状态。
组件之间的协作关系
用户通过
kubectl或其他客户端工具向kube-apiserver发送请求，例如创建 Pod。kube-apiserver验证请求并将资源信息写入etcd。kube-scheduler监听etcd中的未调度 Pod，并根据调度策略为 Pod 选择合适的节点，然后将调度结果写入etcd。kube-controller-manager监听etcd中的资源状态，并根据期望状态进行调整。例如，确保 Pod 的副本数与期望值一致。节点上的
kubelet从kube-apiserver获取调度到本节点的 Pod 信息，并启动 Pod。
总结
组件 |
作用 | 关键功能 |
|---|---|---|
| kube-apiserver | Kubernetes 的前端接口，处理所有请求 | 提供 API、验证请求、写入 etcd |
| etcd | 分布式键值存储，保存集群状态 | 存储集群元数据、提供高可用性和一致性 |
| kube-controller-manager | 运行控制器，确保集群状态与期望状态一致 | 管理节点、Pod、Service 等资源的状态 |
| kube-scheduler | 调度 Pod 到合适的节点 | 根据资源需求和调度策略选择节点 |
11. kubelet, kube-proxy 作用。
kubelete会在集群中的每个节点上运行，它保证容器都运行在Pod中。
1. kubelet
作用：Kubernetes 节点上的主要代理组件，负责管理节点上的 Pod 和容器。
功能：
Pod 生命周期管理：
从
kube-apiserver获取调度到本节点的 Pod 信息。根据 Pod 的配置启动、停止和管理容器。
确保 Pod 中的容器处于运行状态，并在容器失败时重启它们。
资源监控：
监控节点上的资源使用情况（如 CPU、内存、磁盘等），并将这些信息上报给
kube-apiserver。
容器健康检查：
执行
livenessProbe和readinessProbe，确保容器的健康状态。
镜像管理：
拉取 Pod 所需的容器镜像，并管理镜像的缓存。
与容器运行时交互：
通过 CRI（Container Runtime Interface）与容器运行时（如 Docker、containerd）交互，执行容器的创建、启动和停止操作。
Volume 和网络管理：
挂载 Pod 所需的 Volume（如 ConfigMap、Secret、Persistent Volume 等）。
配置 Pod 的网络命名空间和网络接口。
特点：
是 Kubernetes 集群中每个节点上必须运行的组件。
直接与容器运行时和操作系统交互，是 Kubernetes 管理容器的核心组件。
2. kube-proxy
作用：Kubernetes 节点上的网络代理组件，负责实现 Service 的网络转发和负载均衡。
功能：
Service 的实现：
监听
kube-apiserver中的 Service 和 Endpoints 变化。根据 Service 的配置，为每个 Service 创建虚拟 IP（ClusterIP）和端口。
流量转发：
将发送到 Service ClusterIP 的流量转发到后端的 Pod。
支持多种代理模式：
userspace 模式：流量通过用户空间的代理程序转发（性能较低，已逐渐淘汰）。
iptables 模式：使用 Linux 的
iptables规则实现流量转发（性能较高，是默认模式）。IPVS 模式：使用 Linux 的 IPVS（IP Virtual Server）实现流量转发（性能最高，支持更复杂的负载均衡算法）。
负载均衡：
在多个 Pod 之间分配流量，实现负载均衡。
网络策略支持：
配合网络插件（如 Calico、Cilium）实现网络策略（Network Policy）的流量控制。
特点：
是 Kubernetes 集群中每个节点上必须运行的组件。
通过维护节点上的网络规则，确保 Service 的流量能够正确转发到后端的 Pod。
组件之间的协作关系
kubelet与kube-apiserver的交互：kubelet从kube-apiserver获取调度到本节点的 Pod 信息。kubelet将节点的状态（如资源使用情况、Pod 状态）上报给kube-apiserver。
kube-proxy与kube-apiserver的交互：kube-proxy监听kube-apiserver中的 Service 和 Endpoints 变化。kube-proxy根据 Service 的配置更新节点上的网络规则。
kubelet与kube-proxy的协作：kubelet负责启动和管理 Pod 中的容器。kube-proxy负责将 Service 的流量转发到这些容器。
总结
| 组件 | 作用 | 关键功能 |
|---|---|---|
| kubelet | 管理节点上的 Pod 和容器 | 启动/停止容器、监控资源、健康检查、镜像管理、Volume 挂载 |
| kube-proxy | 实现 Service 的网络转发和负载均衡 | 流量转发、负载均衡、维护网络规则 |
12. 什么是 K8s 的 namespace？
在k8s中，namespace提供一种机制，将同一集群中的资源划分未相互隔离的组。同一命名空间中的资源名称要唯一，但是跨命名空间没这个要求。
13.namespace和cgroup的关系？
1. Namespace（命名空间）
作用：Namespace 是 Kubernetes 中的一种逻辑分区机制，用于将集群资源划分为多个虚拟集群。
功能：
资源隔离：将资源（如 Pod、Service、Deployment 等）划分到不同的命名空间中。
权限控制：通过 RBAC 限制用户或团队对特定命名空间的访问权限。
资源配额管理：为命名空间设置资源配额，限制其资源使用量。
级别：Namespace 是 Kubernetes 集群级别的概念，主要用于组织和隔离 Kubernetes 资源。
2. 控制组（cgroups）
作用：cgroups 是 Linux 内核的一种机制，用于限制、记录和隔离进程组的资源使用（如 CPU、内存、磁盘 I/O 等）。
功能：
资源限制：限制进程组可以使用的资源量（如 CPU、内存）。
资源统计：记录进程组的资源使用情况。
优先级控制：为进程组分配不同的资源使用优先级。
级别：cgroups 是操作系统级别的概念，主要用于管理单个节点上的进程资源。
3. Namespace 和 cgroups 的关系
虽然 Namespace 和 cgroups 都涉及资源隔离和管理，但它们的作用范围和层次不同：
（1）作用范围
Namespace：作用于 Kubernetes 集群级别，用于隔离 Kubernetes 资源（如 Pod、Service 等）。
cgroups：作用于操作系统级别，用于隔离和管理单个节点上的进程资源。
（2）资源管理
Namespace：通过资源配额（Resource Quota）和限制范围（Limit Range）管理 Kubernetes 资源的使用。
cgroups：通过 Linux 内核机制管理进程的资源使用（如 CPU、内存）。
（3）协作关系
在 Kubernetes 中，cgroups 是实现资源限制的基础。例如，当你在 Kubernetes 中为 Pod 设置资源请求（requests）和限制（limits）时，Kubernetes 会通过 cgroups 在节点上实施这些限制。
Namespace 的资源配额（如 CPU、内存）最终会通过 cgroups 在节点上生效。例如，如果你为某个命名空间设置了 CPU 配额，Kubernetes 会通过 cgroups 限制该命名空间中所有 Pod 的 CPU 使用。
4. 示例：Namespace 和 cgroups 的协作
假设你在 Kubernetes 中创建了一个命名空间 my-namespace，并为其设置了资源配额：
apiVersion: v1
kind: ResourceQuota
metadata:
name: my-quota
namespace: my-namespace
spec:
hard:
requests.cpu: "2"
requests.memory: "4Gi"
limits.cpu: "4"
limits.memory: "8Gi"当你在 my-namespace 中创建 Pod 时，Kubernetes 会通过以下步骤实施资源管理：
Kubernetes 调度器：根据 Pod 的资源请求（requests）和节点的可用资源，将 Pod 调度到合适的节点。
kubelet：在节点上启动 Pod 的容器，并通过 cgroups 设置容器的资源限制（如 CPU、内存）。
cgroups：在操作系统级别限制容器的资源使用，确保其不超过命名空间的资源配额。
5. 总结
Namespace 是 Kubernetes 中的逻辑分区机制，用于隔离和管理 Kubernetes 资源。
cgroups 是 Linux 内核的机制，用于隔离和管理进程资源。
协作关系：
Namespace 的资源配额和限制通过 cgroups 在节点上实施。
cgroups 是实现 Kubernetes 资源管理的基础。