Kubernetes初露锋芒（Pod详解）

2021-09-23 02:24:45

1、Pod的介绍

1.1、Pod的结构

每个Pod中都包含一个或多个容器，这些容器可以分为两类：

  • 用户程序所在的容器，数量可多可少。
  • Pause容器，这是每个Pod都会有一个根容器，它的作用有两个：
    • 可以以它为依据，评估整个Pod的健康状况。
    • 可以在根容器上设置IP地址，其他容器共享次IP(Pod的IP),以实现Pod内部的网络通信（这里是Pod内部的通讯，Pod之间的通讯采用虚拟二层网络技术来实现，我们当前环境使用的是Flannel）。

1.2、Pod定义

Pod的资源清单：

apiVersion: v1     #必选，版本号，例如v1
kind: Pod       　 #必选，资源类型，例如 Pod
metadata:       　 #必选，元数据
  name: string     #必选，Pod名称
  namespace: string  #Pod所属的命名空间,默认为"default"
  labels:       　　  #自定义标签列表
    - name: string      　          
spec:  #必选，Pod中容器的详细定义
  containers:  #必选，Pod中容器列表
  - name: string   #必选，容器名称
    image: string  #必选，容器的镜像名称
    imagePullPolicy: [ Always|Never|IfNotPresent ]  #获取镜像的策略 
    command: [string]   #容器的启动命令列表，如不指定，使用打包时使用的启动命令
    args: [string]      #容器的启动命令参数列表
    workingDir: string  #容器的工作目录
    volumeMounts:       #挂载到容器内部的存储卷配置
    - name: string      #引用pod定义的共享存储卷的名称，需用volumes[]部分定义的的卷名
      mountPath: string #存储卷在容器内mount的绝对路径，应少于512字符
      readOnly: boolean #是否为只读模式
    ports: #需要暴露的端口库号列表
    - name: string        #端口的名称
      containerPort: int  #容器需要监听的端口号
      hostPort: int       #容器所在主机需要监听的端口号，默认与Container相同
      protocol: string    #端口协议，支持TCP和UDP，默认TCP
    env:   #容器运行前需设置的环境变量列表
    - name: string  #环境变量名称
      value: string #环境变量的值
    resources: #资源限制和请求的设置
      limits:  #资源限制的设置
        cpu: string     #Cpu的限制，单位为core数，将用于docker run --cpu-shares参数
        memory: string  #内存限制，单位可以为Mib/Gib，将用于docker run --memory参数
      requests: #资源请求的设置
        cpu: string    #Cpu请求，容器启动的初始可用数量
        memory: string #内存请求,容器启动的初始可用数量
    lifecycle: #生命周期钩子
		postStart: #容器启动后立即执行此钩子,如果执行失败,会根据重启策略进行重启
		preStop: #容器终止前执行此钩子,无论结果如何,容器都会终止
    livenessProbe:  #对Pod内各容器健康检查的设置，当探测无响应几次后将自动重启该容器
      exec:       　 #对Pod容器内检查方式设置为exec方式
        command: [string]  #exec方式需要制定的命令或脚本
      httpGet:       #对Pod内个容器健康检查方法设置为HttpGet，需要制定Path、port
        path: string
        port: number
        host: string
        scheme: string
        HttpHeaders:
        - name: string
          value: string
      tcpSocket:     #对Pod内个容器健康检查方式设置为tcpSocket方式
         port: number
       initialDelaySeconds: 0       #容器启动完成后首次探测的时间，单位为秒
       timeoutSeconds: 0    　　    #对容器健康检查探测等待响应的超时时间，单位秒，默认1秒
       periodSeconds: 0     　　    #对容器监控检查的定期探测时间设置，单位秒，默认10秒一次
       successThreshold: 0
       failureThreshold: 0
       securityContext:
         privileged: false
  restartPolicy: [Always | Never | OnFailure]  #Pod的重启策略
  nodeName: <string> #设置NodeName表示将该Pod调度到指定到名称的node节点上
  nodeSelector: obeject #设置NodeSelector表示将该Pod调度到包含这个label的node上
  imagePullSecrets: #Pull镜像时使用的secret名称，以key：secretkey格式指定
  - name: string
  hostNetwork: false   #是否使用主机网络模式，默认为false，如果设置为true，表示使用宿主机网络
  volumes:   #在该pod上定义共享存储卷列表
  - name: string    #共享存储卷名称 （volumes类型有很多种）
    emptyDir: {}       #类型为emtyDir的存储卷，与Pod同生命周期的一个临时目录。为空值
    hostPath: string   #类型为hostPath的存储卷，表示挂载Pod所在宿主机的目录
      path: string      　　        #Pod所在宿主机的目录，将被用于同期中mount的目录
    secret:       　　　#类型为secret的存储卷，挂载集群与定义的secret对象到容器内部
      scretname: string  
      items:     
      - key: string
        path: string
    configMap:         #类型为configMap的存储卷，挂载预定义的configMap对象到容器内部
      name: string
      items:
      - key: string
        path: string

  • 查看每种资源的可配置项

    # 查看某种资源可以配置的一级配置
kubectl explain 资源类型

# 查看pod的一级配置
kubectl explain pod

KIND:     Pod
VERSION:  v1

DESCRIPTION:
     Pod is a collection of containers that can run on a host. This resource is
     created by clients and scheduled onto hosts.

FIELDS:
   apiVersion	<string>
     APIVersion defines the versioned schema of this representation of an
     object. Servers should convert recognized schemas to the latest internal
     value, and may reject unrecognized values. More info:
     https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources

   kind	<string>
     Kind is a string value representing the REST resource this object
     represents. Servers may infer this from the endpoint the client submits
     requests to. Cannot be updated. In CamelCase. More info:
     https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds

   metadata	<Object>
     Standard object‘s metadata. More info:
     https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#metadata

   spec	<Object>
     Specification of the desired behavior of the pod. More info:
     https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#spec-and-status

   status	<Object>
     Most recently observed status of the pod. This data may not be up to date.
     Populated by the system. Read-only. More info:
     https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#spec-and-status

  • 查看资源配置项的子配置项

    kubectl explain 资源类型.属性

# 查看pod的metadata
kubectl explain pod.metadata

说明

在Kubernetes中基本所有资源的一级属性都是一样的 ，主要包含五个部分：

  • apiVersion : 版本，由Kubernetes内部定义，版本号必须用kubectl api-versions查询。
  • kind : 类型，由Kubernetes内部定义，类型必须用kubectl api-resources查询。
  • metadata : 元数据，主要是资源标示和说明，常用的有name,namespace,labels等。
  • spec :描述，这是配置中最重要的一部分，里面是对各种资源配置的详细描述。
  • status ：状态信息，里面的内容不需要定义，由Kubernetes自动生成。

在上面的属性中，spec是接下来研究的重点，继续看下它的常见子属性:

  • containers <[]Object>：容器列表，用于定义容器的详细信息。

  • nodeName ：根据nodeName的值将Pod调度到指定的Node节点上。

  • nodeSelector <map[]> ：根据NodeSelector中定义的信息选择该Pod调度到包含这些Label的Node上。

  • hostNetwork ：是否使用主机网络模式，默认为false，如果设置为true，表示使用宿主机网络。

  • volumes <[]Object> ：存储卷，用于定义Pod上面挂载的存储信息。

    restartPolicy ：重启策略，表示Pod在遇到故障的时候的处理策略。

2、Pod的配置

本小节主要来研究pod.spec.containers属性，这也是Pod配置中最为关键的一项配置。

# 查看pod.spec.containers的可选配置项
kubectl explain pod.spec.containers

# 返回的重要属性
KIND:     Pod
VERSION:  v1
RESOURCE: containers <[]Object>   # 数组，代表可以有多个容器FIELDS:
  name  <string>     # 容器名称
  image <string>     # 容器需要的镜像地址
  imagePullPolicy  <string> # 镜像拉取策略 
  command  <[]string> # 容器的启动命令列表，如不指定，使用打包时使用的启动命令
  args   <[]string> # 容器的启动命令需要的参数列表 
  env    <[]Object> # 容器环境变量的配置
  ports  <[]Object>  # 容器需要暴露的端口号列表
  resources <Object> # 资源限制和资源请求的设置

2.1、基本配置

  • 创建pod_base.yaml文件

    apiVersion: v1
kind: Pod
metadata:
  name: pod-base  # 此处不能使用_
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
    - name: busybox # 容器名称
      image: busybox:1.30  # 容器需要的镜像地址

    上面定义了一个比较简单的Pod的配置，里面有两个容器：

    • nginx：用的是1.17.1版本的nginx镜像创建（nginx是一个轻量级的web容器）。

    • busybox：用的是1.30版本的busybox镜像创建（busybox是一个小巧的linux命令集合）。

  • 创建Pod以及查看pod状态：

    # 创建pod
kubectl apply -f pod_base.yaml

# 查看Pod
kubectl get pods pod-base -n dev
NAME       READY   STATUS             RESTARTS   AGE
pod-base   1/2     ImagePullBackOff   1          2m2s

# 我们发现，当前Pod中有两个容器，但是准备就绪只有一个。
# 再次查看，发现重试了3次
kubectl get pods pod-base -n dev
NAME       READY   STATUS             RESTARTS   AGE
pod-base   1/2     CrashLoopBackOff   3          3m2s

# 查看内部详情
kubectl describe pods pod-base -n dev

# 我们只关心Events部分，
Events:
  Type     Reason     Age                From               Message
  ----     ------     ----               ----               -------
  Normal   Scheduled  <unknown>          default-scheduler  Successfully assigned dev/pod-base to node2
  Normal   Pulled     75s                kubelet, node2     Container image "nginx:1.17.1" already present on machine
  Normal   Created    73s                kubelet, node2     Created container nginx
  Normal   Started    73s                kubelet, node2     Started container nginx
  Normal   Pulling    73s                kubelet, node2     Pulling image "busybox:1.30"
  Normal   Pulled     49s                kubelet, node2     Successfully pulled image "busybox:1.30"
  Normal   Pulled     25s (x2 over 47s)  kubelet, node2     Container image "busybox:1.30" already present on machine
  Normal   Created    24s (x3 over 49s)  kubelet, node2     Created container busybox
  Normal   Started    24s (x3 over 48s)  kubelet, node2     Started container busybox
  Warning  BackOff    11s (x4 over 41s)  kubelet, node2     Back-off restarting failed container
# 发现启动busybox失败了。

2.2、镜像拉取策略

imagePullPolicy用于设置镜像拉取的策略，Kubernetes支持配置三种拉取策略：

? 1、Always: 总是从远程仓库拉取镜像（一直远程下载）

2、IfNotPresent: 本地有则使用本地镜像，本地没有则从远程仓库拉取镜像（本地有就用本地，本地没有就使用远程下载）。

3、Never：只使用本地镜像，从不去远程仓库拉取，本地没有就报错（一直使用本地，没有就报错）

默认值说明：

如果镜像tag为具体版本号，默认策略是IfNotPresent;

如果镜像tag为latest,默认策略是Always。

  • 创建pod_imagepullpolicy.yaml文件

    apiVersion: v1
kind: Pod
metadata:
  name: pod-imagepullpolicy
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: Always  # 设置镜像的拉取策略
    - name: busybox # 容器名称
      image: busybox:1.30  # 容器需要的镜像地址

2.3、启动命令

在前面的案例中，一直有一个问题没有解决，就是busybox容器一直没有运行成功，那么到底是什么原因导致这个容器的故障呢？

原来busybox并不是一个程序，而是类似于一个工具类的集合，Kubernetes集群启动管理后，它会自动关闭，解决方法就是让其一直在运行，这就用到了command的配置。

  • 创建pod_command.yaml文件

    apiVersion: v1
kind: Pod
metadata:
  name: pod-command
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: Always  # 设置镜像的拉取策略
    - name: busybox # 容器名称
      image: busybox:1.30  # 容器需要的镜像地址
      command: ["/bin/sh","-c","touch /tmp/hello.txt;while true; do /bin/echo $(date +%T) >> /tmp/hello.txt;sleep 3;done;]
      
      
# 补充说明：
# command:用于在Pod中的容器初始化完毕之后执行一个命令
# "/bin/sh","-c":使用sh执行命令
# touch /tmp/hello.txt：创建一个/tmp/hello.txt的文件
# while ture;do /bin/echo $(date +%T) >> /tmp/hello.txt:sleep 3;done:每隔三秒，向文件写入当前时间

  • 进入Pod中的容器

    kubectl exec -it pod名称 -n 命名空间 -c 容器名称 /bin/sh

kubectl exec -it pod-command -n dev -c busybox /bin/sh

kubectl exec [POD] [COMMAND] is DEPRECATED and will be removed in a future version. Use kubectl kubectl exec [POD] -- [COMMAND] instead.
/ # tail -f tmp/hello.txt
10:02:15
10:02:18
10:02:21
10:02:24
10:02:27
10:02:30
10:02:33
10:02:36
...

特别说明

? 通过上面发现command已经可以完成启动命令和传递参数的功能，为什么还要提供一个args选项，用于传递参数？其实和Docker有点关系，Kubernetes中的command和args两个参数其实是为了实现覆盖Dockerfile中的ENTRYPOINT的功能：

1 、如果command和args均没有写，那么用Dockerfile的配置。

2 、如果command写了，但是args没有写，那么Dockerfile默认的配置会被忽略，执行注入的command。

? 3、如果command没有写，但是args写了，那么Dockerfile中配置的ENTRYPOINT命令会被执行，使用当前args的参数。

? 4、如果command和args都写了，那么Dockerfile中的配置会被忽略，执行command并追加上args参数。

2.4、环境变量（不推荐）

env：环境变量，用于在Pod中的容器设置环境变量。

  • 创建pod_env.yaml文件

    apiVersion: v1
kind: Pod
metadata:
  name: pod-command
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: Always  # 设置镜像的拉取策略
    - name: busybox # 容器名称
      image: busybox:1.30  # 容器需要的镜像地址
      command: ["/bin/sh","-c","touch /tmp/hello.txt;while true; do /bin/echo $(date +%T) >> /tmp/hello.txt;sleep 3;done;"]
      env:
        - name: "username"
          value: "admin"
        - name: "password"
          value: "123456"

  • 进入容器，输出环境变量

    kubectl exec -it pod-env -n dev -c busybox -it /bin/sh

kubectl exec [POD] [COMMAND] is DEPRECATED and will be removed in a future version. Use kubectl kubectl exec [POD] -- [COMMAND] instead.
/ # echo $username
admin
/ # echo $password
123456

2.5、端口设置

  • 查看posts支持的子选项

    kubectl explain pod.spec.containers.ports

KIND:     Pod
VERSION:  v1
RESOURCE: ports <[]Object>
FIELDS:
  name <string> # 端口名称，如果指定，必须保证name在pod中是唯一的
  containerPort <integer> # 容器要监听的端口(0<x<65536)
  hostPort <integer> # 容器要在主机上公开的端口，如果设置，主机上只能运行容器的一个副本(一般省略）
  hostIP <string>  # 要将外部端口绑定到的主机IP(一般省略)
  protocol <string>  # 端口协议。必须是UDP、TCP或SCTP。默认为“TCP”

#----------------------------------------------------------------
KIND:     Pod
VERSION:  v1

RESOURCE: ports <[]Object>

DESCRIPTION:
     List of ports to expose from the container. Exposing a port here gives the
     system additional information about the network connections a container
     uses, but is primarily informational. Not specifying a port here DOES NOT
     prevent that port from being exposed. Any port which is listening on the
     default "0.0.0.0" address inside a container will be accessible from the
     network. Cannot be updated.

     ContainerPort represents a network port in a single container.

FIELDS:
   containerPort	<integer> -required-
     Number of port to expose on the pod‘s IP address. This must be a valid port
     number, 0 < x < 65536.

   hostIP	<string>
     What host IP to bind the external port to.

   hostPort	<integer>
     Number of port to expose on the host. If specified, this must be a valid
     port number, 0 < x < 65536. If HostNetwork is specified, this must match
     ContainerPort. Most containers do not need this.

   name	<string>
     If specified, this must be an IANA_SVC_NAME and unique within the pod. Each
     named port in a pod must have a unique name. Name for the port that can be
     referred to by services.

   protocol	<string>
     Protocol for port. Must be UDP, TCP, or SCTP. Defaults to "TCP".

  • 创建pod_ports.yaml文件

    apiVersion: v1
kind: Pod
metadata:
  name: pod-ports
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: IfNotPresent  # 设置镜像的拉取策略
      ports: 
        - name: nginx-port  # 端口名称，如果执行，必须保证name在Pod中是唯一的
          containerPort: 80 # 容器要监听的端口
          protocol: TCP # 端口协议

    访问Pod中的容器用PodIP:ContainerPort

2.6、资源配额

容器中的程序要运行，肯定会占用一定的资源，比如CPU和内存等，如果不对某个容器的资源做限制，那么它就可能吃掉大量的资源，导致其他的容器无法运行。针对这种情况，Kubernetes提供了对内存和CPU的资源进行配额的机制，这种机制主要通过resources选项实现，它有两个子选项：

? 1 、limits：用于限制运行的容器的最大占用资源，当容器占用资源超过limits时会被终止，并进行重启。

? 2、requests：用于设置容器需要的最小资源，如果环境资源不够，容器将无法启动。

可以通过上面的两个选项设置资源的上下限。

  • 创建pod_resoures.yaml文件

    apiVersion: v1
kind: Pod
metadata:
  name: pod-ports
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: IfNotPresent  # 设置镜像的拉取策略
      ports:
        - name: nginx-port  # 端口名称，如果执行，必须保证name在Pod中是唯一的
          containerPort: 80 # 容器要监听的端口
          protocol: TCP # 端口协议
      resources: # 资源配额
        limits: # 限制资源的上限
          cpu: "2"  # CPU限制，单位是core数
          memory: "10Gi"  # 内存限制
        requests: # 限制资源的下限
          cpu: "1"  
          memory: "10Mi"

    这里对cpu和memory的单位做一个说明：

    • CPU:core数，可以为整数或小数
    • memory:内存大小，可以使用Gi,Mi,G,M等形式

  • 启动并查看状态

    kubectl create -f pod_resoures.yaml 
> pod/pod-resoures created

kubectl get pods pod-resoures -n dev

NAME           READY   STATUS    RESTARTS   AGE
pod-resoures   1/1     Running   0          20s

    发现正常启动，接下来我们修改“requests”中的memory的值为10Gi。

    apiVersion: v1
kind: Pod
metadata:
  name: pod-ports
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: IfNotPresent  # 设置镜像的拉取策略
      ports:
        - name: nginx-port  # 端口名称，如果执行，必须保证name在Pod中是唯一的
          containerPort: 80 # 容器要监听的端口
          protocol: TCP # 端口协议
      resources: # 资源配额
        limits: # 限制资源的上限
          cpu: "2"  # CPU限制，单位是core数
          memory: "10Gi"  # 内存限制
        requests: # 限制资源的下限
          cpu: "1"  
          memory: "10Gi"

    重新启动并查看

    # 删除原来的pod
kubectl delete -f pod_resoures.yaml
# 启动
kubectl apply -f pod_resoures.yaml 

# 查看
kubectl get pods pod-resoures -n dev
NAME           READY   STATUS    RESTARTS   AGE
pod-resoures   0/1     Pending   0          18s

# 查看详情
kubectl describe pods pod-resoures

# 我们发现提示内存不足
Events:
  Type     Reason            Age        From               Message
  ----     ------            ----       ----               -------
  Warning  FailedScheduling  <unknown>  default-scheduler  0/3 nodes are available: 3 Insufficient memory.

3、Pod的生命周期

我们一般将Pod对象从创建到终止的这段时间范围称为Pod的生命周期，它主要包含下面的过程：

? 1）Pod创建过程；

? 2）运行初始化容器（init container）过程；

? 3）运行主容器（main container）:

? ① 容器启动后钩子（post start）、容器终止前钩子（pre stop）

? ②容器存活性探测（liveness probe）、就绪性探测（readiness probe）

? 4) Pod终止过程。

Kubernetes初露锋芒（Pod详解）

在整个生命周期中，Pod会出现5中状态（相位）,分别如下：

  • 挂起（Pending）:API Server已经创建了Pod资源对象，但它尚未被调度完成或仍处于下载镜像的过程中。
  • 运行中（Running）:Pod已经被调度到某节点，并且所有容器已经被Kubectl创建完成。
  • 成功（Succeeded）:Pod中的所有容器都已经成功终止并且不会被重启。
  • 失败（Failed）:所有容器都已经终止，但至少有一个容器终止失败，即容器返回了非0值的退出状态。
  • 未知（Unknown）:API Server无法正常获取到Pod对象的状态信息，通常由于网络通信失败所导致。

3.1、Pod的创建过程

Kubernetes初露锋芒（Pod详解）

? 1、用户通过kubectl或其他的api客户端提交需要创建的Pod信息给API Server

? 2、API Server开始生成Pod对象的信息，并将信息存入ETCD,然后返回确认信息到客户端。

? 3、API Server开始反映ETCD中Pod对象的变化，其他组件使用watch机制来跟踪检查API Server上的变动。

? 4、Scheduler发现有新的Pod对象要创建，开始为Pod分配主机并将结果信息更新至API Server

? 5、Node节点上的kubectl发现有Pod调度过来，尝试调度Docker启动容器，并将结果返回给API Server

? 6、API Server将接收到的Pod状态信息存入到ETCD中。

3.2、Pod的终止过程

1、用户向API Server发送删除Pod对象的命令。

? 2、API Server中的Pod对象信息会随着时间的推移而更新，在宽限期内（30s）,Pod被视为dead。

? 3、将Pod标记为terminating状态。

? 4、kubectl在监控到Pod对象转为terminating状态的同时启动Pod关闭过程。

? 5、端点控制器监控到Pod对象的关闭行为时，将其从所有匹配到此端点的service资源的端点列表中移除。

? 6、如果当前Pod对象定义了Pre Stop钩子处理器，则在其标记为terminating后会以同步的方式启动执行。

? 7、Pod对象中的容器进程收到停止信号。

? 8、宽限期结束后，如果Pod中还存在运行的进程，那么Pod对象会收到立即终止的信号。

? 9、kubectl请求API Server将此Pod资源的宽限期设置为0从而完成删除操作，此时Pod对于用户来说已经不可用了。

3.3、初始化容器

初始化容器是在Pod的主容器启动之前要运行的容器，主要是做一些主容器的前置工作，它具有两大特征：

? 1、初始化容器必须运行完成直至结束，如果某个初始化容器运行失败，那么Kubernetes需要重启它直至成功完成。

? 2、初始化容器必须按照定义的顺序执行，当且仅当前一个成功之后，后面一个才能运行。

初始化容器有很多应用场景，下面列出的是最常见的几种：

? 1、提供主容器镜像中不具备的工具程序或自定义代码。

? 2、初始化容器要咸鱼应用容器串行启动并运行完成；因此可用于延后应用容器的启动直至其依赖的条件得到满足。

案例

假设要以主容器来运行Nginx,但是要求在运行Nginx之前要能够连接上MySQL和Redis所在的服务器。

为了简化测试，实现规定好MySQL和Redis所在的IP地址分别为192.168.209.120,192.168.209.121（注意这两个IP都不能ping通）

  • 创建pod_initcontainer.yaml文件

    apiVersion: v1
kind: Pod
metadata:
  name: pod-initcontainers
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: IfNotPresent  # 设置镜像的拉取策略
      ports:
        - name: nginx-port  # 端口名称，如果执行，必须保证name在Pod中是唯一的
          containerPort: 80 # 容器要监听的端口
          protocol: TCP # 端口协议
      resources: # 资源配额
        limits: # 限制资源的上限
          cpu: "2"  # CPU限制，单位是core数
          memory: "10Gi"  # 内存限制
        requests: # 限制资源的下限
          cpu: "1"
          memory: "10Mi"
  initContainers: # 初始化容器配置
    - name: test-mysql
      image: busybox:1.30
      command: ["sh","-c","until ping 192.168.209.120 -c 1;do echo waiting for mysql ...;sleep 2;done;"]
      securityContext:
        privileged: true # 使用特权模式运行
    - name: test-redis
      image: busybox:1.30
      command: ["sh","-c","until ping 192.168.209.121 -c 1;do echo waiting for redis ...;sleep 2; done;"]

  • 启动并查看状态

    # 启动
kubectl create -f pod_initcontainers.yaml

# 查看状态，发现没有准备就绪
kubectl get pods pod-initcontainers -n dev
NAME                 READY   STATUS     RESTARTS   AGE
pod-initcontainers   0/1     Init:0/2   0          74s

  • 开启动态查看状态并为网卡添加IP

    # 动态查看pod
kubectl get pod pod-initcontainers -n dev -w

NAME                 READY   STATUS     RESTARTS   AGE
pod-initcontainers   0/1     Init:0/2   0          4m30s

# 新开一个shell窗口，执行给master主机添加ip
ifconfig ens32:1 192.168.209.120 netmask 255.255.255.0 up
ifconfig ens32:2 192.168.209.121 netmask 255.255.255.0 up

# 切回原来的窗口，发现pod已经准备就绪
NAME                 READY   STATUS     RESTARTS   AGE
pod-initcontainers   0/1     Init:0/2   0          4m30s
pod-initcontainers   0/1     Init:1/2   0          6m40s
pod-initcontainers   0/1     Init:1/2   0          6m41s
pod-initcontainers   0/1     PodInitializing   0          6m53s
pod-initcontainers   1/1     Running           0          6m54s

3.4、钩子函数

钩子函数能够感知自身生命周期中的事件，并在相应的时刻到来时运行用户指定的程序代码。

Kubernetes在主容器启动之后和停止之前提供了两个钩子函数：

? 1、post start：容器创建之后执行，如果失败会重启容器。

? 2、pre stop：容器终止之前执行，执行完成之后容器将成功终止，在其完成之前会阻塞删除容器的操作。

钩子处理器支持使用下面的三种方式定义动作：

  • exec:在容器内执行一次命令

    ......
    lifecycle:
        postStart:
            exec:
                command:
                    - cat
                    - /tmp/healthy
......

  • tcpSocket:在当前容器尝试访问指定的socket

    ......
    lifecycle:
        postStart:
            tcpSocket:
                port:8080
......

  • httpGet:在当前容器中向某url发起HTTP请求

    ......
    lifecycle:
        postStart:
            httpGet:
                path:/ # url地址
                port:80  # 端口号
                host:192.168.209.128  # 主机地址
                scheme: HTTP  # 支持的协议，http或https
......

示例

接下来，以exec方式为例，演示下钩子函数的使用，创建pod_hook_exec.yaml文件

apiVersion: v1
kind: Pod
metadata:
  name: pod-hook-exec
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: IfNotPresent  # 设置镜像的拉取策略
      ports:
        - name: nginx-port  # 端口名称，如果执行，必须保证name在Pod中是唯一的
          containerPort: 80 # 容器要监听的端口
          protocol: TCP # 端口协议
      resources: # 资源配额
        limits: # 限制资源的上限
          cpu: "2"  # CPU限制，单位是core数
          memory: "10Gi"  # 内存限制
        requests: # 限制资源的下限
          cpu: "1"
          memory: "10Mi"
      lifecycle: # 声明周期配置
        postStart: # 容器创建之后执行，如果失败就会重启容器
          exec: # 在容器启动之后，执行一条命令，修改Nginx的首页内容
            command: ["/bin/sh","-c","echo postStart ... > /usr/share/nginx/html/index.html"]
        preStop: # 容器终止之前执行，执行完毕之后，容器将终止，在其完成之前会阻塞删除容器操作
          exec: # 在容器终止前，停止Nginx
            command: ["/usr/sbin/nginx", "-s", "quit"]

创建Pod,查看pod,以及访问Pod

# 创建
kubectl create -f pod_hook_exec.yaml 
> pod/pod-hook-exec created

# 查看
kubectl get pods pod-hook-exec -n dev -o wide
NAME            READY   STATUS    RESTARTS   AGE   IP            NODE    NOMINATED NODE   READINESS GATES
pod-hook-exec   1/1     Running   0          38s   10.244.1.14   node1   <none>           <none>

# 访问
curl 10.244.1.14
postStart ...

3.5、容器探测

容器探测用于检测容器中的应用实例是否正常工作，是保障业务可用性的一种传统机制。如果经过探测，实例的状态不符合预期，那么Kubernetes就会把该问题实例“摘除”，不承担业务流量。Kubernetes提供了两种探针来实现容器探测，分别是：

? 1) 、liveness probes：存活性探测，用于检测应用实例当前是否处于正常运行状态，如果不是，k8s会重启容器。

? 2）、readiness probes：就绪性探测，用于检测应用实例是否可以接受请求，如果不能，k8s不会转发流量。

说明：

livenessProbe：存活性探测，决定是否重启容器。

readinessProbe：就绪性探测，决定是否将请求转发给容器。

k8s在1.16版本之后新增了startupProbe探针，用于判断容器内应用程序是否已经启动。如果配置了startupProbe探针，就会先禁止其他的探针，直到startupProbe探针成功为止，一旦成功将不再进行探测。

上面的两种探针目前均支持三种探测方式：

  • exec:在容器内执行一次命令，如果命令执行的退出码为0，则认为程序正常，否则不正常。

    ......
    livenessProbe:
        postStart:
            exec:
                command:
                    - cat
                    - /tmp/healthy
......

  • tcpSocket：将会尝试访问一个用户容器的端口，如果能够建立这条连接，则认为程序正常，否则不正常。

......
   livenessProbe:
      tcpSocket:
         port: 8080
......
  • httpGet：调用容器内web应用的URL，如果返回的状态码在200和399之前，则认为程序正常，否则不正常。
......
   livenessProbe:
      httpGet:
         path: / #URI地址
         port: 80 #端口号
         host: 127.0.0.1 #主机地址
         scheme: HTTP #支持的协议，http或者https
......
3.5.1、exec方式

  • 创建pod_liveness_exec.yaml文件

    apiVersion: v1
kind: Pod
metadata:
  name: pod-liveness-exec
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: IfNotPresent  # 设置镜像的拉取策略
      ports:
        - name: nginx-port  # 端口名称，如果执行，必须保证name在Pod中是唯一的
          containerPort: 80 # 容器要监听的端口
          protocol: TCP # 端口协议
      livenessProbe: # 声明周期配置
        exec: # 在容器启动之后，执行一条命令，修改Nginx的首页内容
          command: ["/bin/cat","/tmp/hello.txt"] # 执行一个查看文件的命令，必须失败，因为根本没有这个文件

  • 创建Pod并查看Pod详情

    # 创建pod
kubectl create -f pod_liveness_exec.yaml

# 查看pod
kubectl get pods pod-liveness-exec -n dev

# 发现RESTARTS不为0
NAME                READY   STATUS    RESTARTS   AGE
pod-liveness-exec   1/1     Running   2          67s

# 查看pod详情
kubectl describe pods pod-liveness-exec -n dev

Events:
  Type     Reason     Age                  From               Message
  ----     ------     ----                 ----               -------
  Normal   Scheduled  <unknown>            default-scheduler  Successfully assigned dev/pod-liveness-exec to node1
  Normal   Killing    28s (x3 over 88s)    kubelet, node1     Container nginx failed liveness probe, will be restarted
  Normal   Pulled     27s (x4 over 115s)   kubelet, node1     Container image "nginx:1.17.1" already present on machine
  Normal   Created    27s (x4 over 114s)   kubelet, node1     Created container nginx
  Normal   Started    27s (x4 over 114s)   kubelet, node1     Started container nginx
  Warning  Unhealthy  18s (x10 over 108s)  kubelet, node1     Liveness probe failed: /bin/cat: /tmp/hello.txt: No such file or directory

    观察上面的信息就会发现nginx容器启动之后就进行了健康检查。

    检查失败之后，容器被kill掉，然后尝试进行重启，这是重启策略的作用。

    稍等一会之后，再观察Pod的信息，就会看到RESTARTS不再是0，而是一直增长。

  • 删除上面创建的Pod,并修改command执行的命令，使其正常。

    # 删除
kubectl delete -f pod_liveness_exec.yaml

# 修改yaml文件
command: ["/bin/ls","/tmp"] # 查看tmp目录

# 创建
kubectl create -f pod_liveness_exec.yaml 

# 查看
kubectl get pods pod-liveness-exec -n dev
NAME                READY   STATUS    RESTARTS   AGE
pod-liveness-exec   1/1     Running   0          16s
3.5.2、tcpSocket方式

  • 创建pod_liveness_tcpsocket.yaml文件

    apiVersion: v1
kind: Pod
metadata:
  name: pod-liveness-socket
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: IfNotPresent  # 设置镜像的拉取策略
      ports:
        - name: nginx-port  # 端口名称，如果执行，必须保证name在Pod中是唯一的
          containerPort: 80 # 容器要监听的端口
          protocol: TCP # 端口协议
      livenessProbe: # 声明周期配置
        tcpSocket:
          port: 8080 # 尝试访问8080端口，失败，Pod中只有一个Nginx，监听80

  • 创建和查看

    # 创建
kubectl create -f pod_liveness_tcpsocket.yaml 

# 查看
get pods pod-liveness-tcpsocket -n dev
NAME                     READY   STATUS             RESTARTS   AGE
pod-liveness-tcpsocket   0/1     CrashLoopBackOff   4          2m39s
3.5.3、httpGet方式

此处只给出yaml文件，其他操作和上面类似，此处不再赘述。

apiVersion: v1
kind: Pod
metadata:
  name: pod-liveness-httpGet
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: IfNotPresent  # 设置镜像的拉取策略
      ports:
        - name: nginx-port  # 端口名称，如果执行，必须保证name在Pod中是唯一的
          containerPort: 80 # 容器要监听的端口
          protocol: TCP # 端口协议
      livenessProbe: # 声明周期配置
        httpGet: 
          port: 80
          scheme: HTTP
          path: /hello
          host: 127.0.0.1
3.5.4、容器探测的补充

上面已经使用了livenessProbe演示了三种探测方式，但是查看livenessProbe的子属性，会发现除了这三种方式，还有一些其他的配置。

kubectl explain pod.spec.containers.livenessProbe

KIND:     Pod
VERSION:  v1

RESOURCE: livenessProbe <Object>

DESCRIPTION:
     Periodic probe of container liveness. Container will be restarted if the
     probe fails. Cannot be updated. More info:
     https://kubernetes.io/docs/concepts/workloads/pods/pod-lifecycle#container-probes

     Probe describes a health check to be performed against a container to
     determine whether it is alive or ready to receive traffic.

FIELDS:
   exec	<Object>
     One and only one of the following should be specified. Exec specifies the
     action to take.

   failureThreshold	<integer> 
   # 连续探测失败多少次才被认定为失败。默认是3。最小值是1
     Minimum consecutive failures for the probe to be considered failed after
     having succeeded. Defaults to 3. Minimum value is 1.

   httpGet	<Object>
     HTTPGet specifies the http request to perform.

   initialDelaySeconds	<integer>
     Number of seconds after the container has started before liveness probes
     are initiated. More info:
     https://kubernetes.io/docs/concepts/workloads/pods/pod-lifecycle#container-probes

   periodSeconds	<integer>
     How often (in seconds) to perform the probe. Default to 10 seconds. Minimum
     value is 1.

   successThreshold	<integer>
     Minimum consecutive successes for the probe to be considered successful
     after having failed. Defaults to 1. Must be 1 for liveness and startup.
     Minimum value is 1.

   tcpSocket	<Object>
     TCPSocket specifies an action involving a TCP port. TCP hooks not yet
     supported

   timeoutSeconds	<integer>
     Number of seconds after which the probe times out. Defaults to 1 second.
     Minimum value is 1. More info:
     https://kubernetes.io/docs/concepts/workloads/pods/pod-lifecycle#container-probes


initialDelaySeconds    # 容器启动后等待多少秒执行第一次探测
timeoutSeconds      # 探测超时时间。默认1秒，最小1秒
periodSeconds       # 执行探测的频率。默认是10秒，最小1秒
failureThreshold    # 连续探测失败多少次才被认定为失败。默认是3。最小值是1
successThreshold    # 连续探测成功多少次才被认定为成功。默认是1

3.6、重启策略

在容器探测中，一旦容器探测出现了问题，Kubernetes就会对容器所在的Pod进行重启，其实这是由Pod的重启策略决定的，Pod的重启策略有3种，分别如下：

? 1) 、Always：容器失效时，自动重启该容器，默认值。

? 2)、OnFailure：容器终止运行且退出码不为0时重启。

? 3)、Never：不论状态如何，都不重启该容器。

重启策略适用于Pod对象中的所有容器，首次需要重启的容器，将在其需要的时候立即进行重启，随后再次重启的操作将由kubelet延迟一段时间后进行，且反复的重启操作的延迟时长以此为10s、20s、40s、80s、160s和300s，300s是最大的延迟时长。

  • 创建pod_restart_policy.yaml文件

    apiVersion: v1
kind: Pod
metadata:
  name: pod-restart-policy
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: IfNotPresent  # 设置镜像的拉取策略
      ports:
        - name: nginx-port  # 端口名称，如果执行，必须保证name在Pod中是唯一的
          containerPort: 80 # 容器要监听的端口
          protocol: TCP # 端口协议
      livenessProbe: # 声明周期配置
        httpGet:
          port: 80
          scheme: HTTP
          path: /hello
          host: 127.0.0.1
  restartPolicy: Never # 重启策略

  • 创建，查看状态

    kubectl create -f pod_restart_policy.yaml 

kubectl describe pod pod-restart-policy -n dev

Events:
  Type     Reason     Age                From               Message
  ----     ------     ----               ----               -------
  Normal   Scheduled  <unknown>          default-scheduler  Successfully assigned dev/pod-restart-policy to node2
  Normal   Pulled     73s                kubelet, node2     Container image "nginx:1.17.1" already present on machine
  Normal   Created    73s                kubelet, node2     Created container nginx
  Normal   Started    73s                kubelet, node2     Started container nginx
  Warning  Unhealthy  50s (x3 over 70s)  kubelet, node2     Liveness probe failed: Get http://127.0.0.1:80/hello: dial tcp 127.0.0.1:80: connect: connection refused
  Normal   Killing    50s                kubelet, node2     Stopping container nginx 
  # 我们发现容器探测失败后，直接停止容器，并没有选择重启

4、调度

在默认情况下，一个Pod在哪个Node节点上运行，是由Scheduler组件采用相应的算法计算出来的，这个过程是不受人工控制的。但是在实际使用中，这并不满足需求，因为很多情况下，我们想控制某些Pod到达某些节点上，那么应该怎么做？这就要求了解Kubernetes对Pod的调度规则，Kubernetes提供了四大类调度方式。

  • 自动调度：运行在哪个Node节点上完全由Scheduler经过一系列的算法计算得出。

  • 定向调度：NodeName、NodeSelector。

  • 亲和性调度：NodeAffinity、PodAffinity、PodAntiAffinity。

  • 污点（容忍）调度：Taints、Toleration。

4.1、定向调度

定向调度，指的是利用在Pod上声明的nodeName或nodeSelector，以此将Pod调度到期望的Node节点上。注意，这里的调度是强制的，这就意味着即使要调度的目标Node不存在，也会向上面进行调度，只不过Pod运行失败而已。

4.1.1、nodeName

nodeName用于强制约束将Pod调度到指定的name的Node节点上。这种方式，其实是直接跳过Scheduler的调度逻辑，直接将Pod调度到指定名称的节点。

  • 创建一个pod-nodename.yaml文件，内容如下：

    apiVersion: v1
kind: Pod
metadata:
  name: pod-nodename
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: IfNotPresent  # 设置镜像的拉取策略
      ports:
        - name: nginx-port  # 端口名称，如果执行，必须保证name在Pod中是唯一的
          containerPort: 80 # 容器要监听的端口
          protocol: TCP # 端口协议
  nodeName: node1  # 指定调度到node1上

  • 创建和查看

    # 创建pod
kubectl create -f pod_nodename.yaml

# 查看
kubectl get pod pod-nodename -n dev -o wide
NAME           READY   STATUS    RESTARTS   AGE   IP            NODE    NOMINATED NODE   READINESS GATES
pod-nodename   1/1     Running   0          27s   10.244.1.18   node1   <none>           <none>

当然我们也可以将pod调度到不存在node上,pod肯定也是不能正常运行。

# 删除pod
kubectl delete -f pod_nodename.yaml

# 修改pod_nodename.yaml
# 将nodeName：node1 修改为node3 (node3不存在)

# 创建和查看状态
kubectl create -f pod_nodename.yaml

kubectl get pods pod-nodename -n dev -o wide

# 我们发现pod的状态时挂起状态
NAME           READY   STATUS    RESTARTS   AGE   IP       NODE    NOMINATED NODE   READINESS GATES
pod-nodename   0/1     Pending   0          6s    <none>   node3   <none>           <none>
4.1.2、nodeSelector

nodeSelector用于将Pod调度到添加了指定标签的Node节点上，它是通过Kubernetes的label-selector机制实现的，换言之，在Pod创建之前，会由Scheduler使用MatchNodeSelector调度策略进行label匹配，找出目标node，然后将Pod调度到目标节点，该匹配规则是强制约束。

  • 首先给node节点添加标签

    kubectl label node node1 env=pro # 给node1添加标签为env=pro
kubectl label node node2 env=debug # 给node2添加标签为env=debug

# 可以看到我们已经添加上了相应的标签
kubectl get nodes --show-labels
NAME     STATUS   ROLES    AGE   VERSION   LABELS
master   Ready    master   2d    v1.18.0   beta.kubernetes.io/arch=amd64,beta.kubernetes.io/os=linux,kubernetes.io/arch=amd64,kubernetes.io/hostname=master,kubernetes.io/os=linux,node-role.kubernetes.io/master=
node1    Ready    <none>   2d    v1.18.0   beta.kubernetes.io/arch=amd64,beta.kubernetes.io/os=linux,env=pro,kubernetes.io/arch=amd64,kubernetes.io/hostname=node1,kubernetes.io/os=linux
node2    Ready    <none>   2d    v1.18.0   beta.kubernetes.io/arch=amd64,beta.kubernetes.io/os=linux,env=debug,kubernetes.io/arch=amd64,kubernetes.io/hostname=node2,kubernetes.io/os=linux

  • 创建pod_nodeselector.yaml文件

    apiVersion: v1
kind: Pod
metadata:
  name: pod-nodeselector
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: IfNotPresent  # 设置镜像的拉取策略
      ports:
        - name: nginx-port  # 端口名称，如果执行，必须保证name在Pod中是唯一的
          containerPort: 80 # 容器要监听的端口
          protocol: TCP # 端口协议
  nodeSelector:
    env: debug

  • 查看

    kubectl get pod pod-nodeselector -n dev -o wide

# 发现成功调度到node2上
NAME               READY   STATUS    RESTARTS   AGE   IP            NODE    NOMINATED NODE   READINESS GATES
pod-nodeselector   1/1     Running   0          21s   10.244.2.20   node2   <none>           <none>

同样，我们如要调度要不存在的标签上，会发生什么情况：

# 删除pod
kubectl delete -f pod_nodeselector.yaml

# 修改pod_nodeselector.yaml文件
# 将debug改为debug1 

# 创建和查看
kubectl get pod pod-nodeselector -n dev -o wide
# pod的状态为挂起状态
NAME               READY   STATUS    RESTARTS   AGE   IP       NODE     NOMINATED NODE   READINESS GATES
pod-nodeselector   0/1     Pending   0          24s   <none>   <none>   <none>           <none>

4.2、亲和性调度

虽然定向调度的两种方式，使用起来非常方便，但是也有一定的问题，那就是如果没有满足条件的Node，那么Pod将不会被运行，即使在集群中还有可用的Node列表也不行，这就限制了它的使用场景。

基于上面的问题，Kubernetes还提供了一种亲和性调度（Affinity）。它在nodeSelector的基础之上进行了扩展，可以通过配置的形式，实现优先选择满足条件的Node进行调度，如果没有，也可以调度到不满足条件的节点上，使得调度更加灵活。

Affinity主要分为三类：

  • nodeAffinity（node亲和性）：以Node为目标，解决Pod可以调度到那些Node的问题。

  • podAffinity（pod亲和性）：以Pod为目标，解决Pod可以和那些已存在的Pod部署在同一个拓扑域中的问题。

  • podAntiAffinity（pod反亲和性）：以Pod为目标，解决Pod不能和那些已经存在的Pod部署在同一拓扑域中的问题。

关于亲和性和反亲和性的使用场景说明：

亲和性：如果两个应用频繁交互，那么就有必要利用亲和性让两个应用尽可能的靠近，这样可以较少因网络通信而带来的性能损耗。

反亲和性：当应用采用多副本部署的时候，那么就有必要利用反亲和性让各个应用实例打散分布在各个Node上，这样可以提高服务的高可用性。

4.2.1、nodeAffinity

查看nodeAffinity的可选配置项：

requiredDuringSchedulingIgnoredDuringExecution  #Node节点必须满足指定的所有规则才可以，相当于硬限制
    nodeSelectorTerms  #节点选择列表
      matchFields   # 按节点字段列出的节点选择器要求列表  
      matchExpressions   #按节点标签列出的节点选择器要求列表(推荐)
        key    #键
        values #值
        operator #关系符 支持Exists, DoesNotExist, In, NotIn, Gt, Lt

preferredDuringSchedulingIgnoredDuringExecution #优先调度到满足指定的规则的Node，相当于软限制 (倾向)     
    preference   #一个节点选择器项，与相应的权重相关联
      matchFields #按节点字段列出的节点选择器要求列表
      matchExpressions   #按节点标签列出的节点选择器要求列表(推荐)
        key #键
        values #值
        operator #关系符 支持In, NotIn, Exists, DoesNotExist, Gt, Lt  
    weight # 倾向权重，在范围1-100。

关系符的使用说明：

- matchExpressions:
	- key: env # 匹配存在标签的key为env的节点
	  operator: Exists   
	- key: env # 匹配标签的key为env,且value是"xxx"或"yyy"的节点
	  operator: In    
      values: ["xxx","yyy"]
    - key: env # 匹配标签的key为env,且value大于"xxx"的节点
      operator: Gt   
      values: "xxx"

下面演示requiredDuringSchedulingIgnoredDuringExecution：

  • 创建pod_nodeaffinity_required.yaml文件

    apiVersion: v1
kind: Pod
metadata:
  name: pod-nodeselector
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: IfNotPresent  # 设置镜像的拉取策略
      ports:
        - name: nginx-port  # 端口名称，如果执行，必须保证name在Pod中是唯一的
          containerPort: 80 # 容器要监听的端口
          protocol: TCP # 端口协议
  affinity: # 亲和性设置
    nodeAffinity: # node亲和性
      requiredDuringSchedulingIgnoredDuringExecution: # node节点必须满足所有规则
        nodeSelectorTerms: # 节点选择列表
          - matchExpressions:
              - key: env
                operator: In
                values: ["xxx","yyy"] # 需要满足其中一个

  • 查看状态

    kubectl get pods pod-nodeaffinity-required -n dev -o wide

# 我们发现STATUS为Pending,这也不难解释，我们的标签env对应的值没有xxx和yyy
NAME                        READY   STATUS    RESTARTS   AGE   IP       NODE     NOMINATED NODE   READINESS GATES
pod-nodeaffinity-required   0/1     Pending   0          24s   <none>   <none>   <none>           <none>

  • 使其正常调度

    # 删除pod
kuebctl delete -f pod_nodeaffinity_required.yaml 

# 修改yaml文件，将“pro”添加到values列表中

# 创建
kubectl create -f pod_nodeaffinity_required.yaml 

# 查看
kubectl get pods pod-nodeaffinity-required -n dev -o wide
# 发现成功调度
NAME                        READY   STATUS    RESTARTS   AGE   IP            NODE    NOMINATED NODE   READINESS GATES
pod-nodeaffinity-required   1/1     Running   0          12s   10.244.1.19   node1   <none>           <none>

下面演示preferredDuringSchedulingIgnoredDuringExecution :

  • 创建pod_nodeaffinity_preferred.yaml文件

    apiVersion: v1
kind: Pod
metadata:
  name: pod-nodeaffinity-preferred
  namespace: dev
spec:
  containers: # 容器配置
    - name: nginx
      image: nginx:1.17.1
      imagePullPolicy: IfNotPresent
      ports:
        - name: nginx-port
          containerPort: 80
          protocol: TCP
  affinity: # 亲和性配置
    nodeAffinity: # node亲和性配置
      preferredDuringSchedulingIgnoredDuringExecution: # 优先调度到满足指定的规则的Node，相当于软限制 (倾向)
        - preference: # 一个节点选择器项，与相应的权重相关联
            matchExpressions:
              - key: nodeenv
                operator: In
                values:
                  - "xxx"
                  - "yyy"
          weight: 1

  • 查看

    kubectl get pods pod-nodeaffinity-preferred -n dev -o wide

# 发现即使没有满足条件，pod也被正常调度了。
NAME                         READY   STATUS    RESTARTS   AGE   IP            NODE    NOMINATED NODE   READINESS GATES
pod-nodeaffinity-preferred   1/1     Running   0          57s   10.244.2.21   node2   <none>           <none>

注意

如果同时定义了nodeSelector和nodeAffinity，那么必须两个条件都满足，Pod才能运行在指定的Node上。

如果nodeAffinity指定了多个nodeSelectorTerms，那么只需要其中一个能够匹配成功即可。

如果一个nodeSelectorTerms中有多个matchExpressions，则一个节点必须满足所有的才能匹配成功。

如果一个Pod所在的Node在Pod运行期间其标签发生了改变，不再符合该Pod的nodeAffinity的要求，则系统将忽略此变化。

4.2.2、podAffinity

podAffinity主要实现以运行的Pod为参照，实现让新创建的Pod和参照的Pod在一个区域的功能。

查看PodAffinity的可选配置项

requiredDuringSchedulingIgnoredDuringExecution  # 硬限制
  namespaces # 指定参照pod的namespace
  topologyKey # 指定调度作用域
  labelSelector # 标签选择器
    matchExpressions  # 按节点标签列出的节点选择器要求列表(推荐)
      key    #  键
      values # 值
      operator # 关系符 支持In, NotIn, Exists, DoesNotExist.
    matchLabels    # 指多个matchExpressions映射的内容  
  
preferredDuringSchedulingIgnoredDuringExecution # 软限制    
  podAffinityTerm  # 选项
    namespaces
    topologyKey
    labelSelector
       matchExpressions 
          key   #  键  
          values # 值  
          operator
       matchLabels 
  weight 倾向权重，在范围1-100

topologyKey用于指定调度的作用域，例如:

如果指定为kubernetes.io/hostname，那就是以Node节点为区分范围。

如果指定为beta.kubernetes.io/os，则以Node节点的操作系统类型来区分。

**演示requiredDuringSchedulingIgnoredDuringExecution **

  • 创建参照的pod

    • pod-podaffinity-target.yaml文件

      apiVersion: v1
kind: Pod
metadata:
  name: pod-podaffinity-target
  namespace: dev
  labels:
    user: Negan
spec:
  containers:
    - name: nginx # 容器名称
      image: nginx:1.17.1  # 容器需要的镜像地址
      imagePullPolicy: IfNotPresent  # 设置镜像的拉取策略
      ports:
        - name: nginx-port  # 端口名称，如果执行，必须保证name在Pod中是唯一的
          containerPort: 80 # 容器要监听的端口
          protocol: TCP # 端口协议
  nodeName: node1 # 将pod定向调度到node1节点上

    • 创建pod并查看状态

      kubectl get pods pod-podaffinity-target -n dev -o wide
NAME                     READY   STATUS    RESTARTS   AGE    IP            NODE    NOMINATED NODE   READINESS GATES
pod-podaffinity-target   1/1     Running   0          2m5s   10.244.1.20   node1   <none>           <none>

  • 创建目标pod,将其调度到参照pod所在的节点

    • 编写pod-podaffinity-requred.yaml文件

      apiVersion: v1
kind: Pod
metadata:
  name: pod-podaffinity-requred
  namespace: dev
spec:
  containers: # 容器配置
    - name: nginx
      image: nginx:1.17.1
      imagePullPolicy: IfNotPresent
      ports:
        - name: nginx-port
          containerPort: 80
          protocol: TCP
  affinity: # 亲和性配置
    podAffinity: # Pod亲和性
      requiredDuringSchedulingIgnoredDuringExecution: # 硬限制
        - labelSelector:
            matchExpressions: # 该Pod必须和拥有标签name=Negan或者name=yyy的Pod在同一个Node上
              - key: user
                operator: In
                values:
                  - "Negan"
                  - "yyy"
          topologyKey: kubernetes.io/hostname

    • 创建并查看状态

      kubectl get pods pod-podaffinity-requred -n dev -o wide
NAME                      READY   STATUS              RESTARTS   AGE   IP       NODE    NOMINATED NODE   READINESS GATES
pod-podaffinity-requred   1/1     ContainerCreating   0          5s    <none>   node1  <none>           <none>
4.2.3、podAntiAffinity

podAntiAffinity主要实现以运行的Pod为参照，让新创建的Pod和参照的Pod不在一个区域的功能。

其配置方式和podAffinity一样，此处不做详细解释。

这里我们继续使用上面的参照pod做演示。

  • 创建pod-podantiaffinity-requred.yaml文件，内容如下：
apiVersion: v1
kind: Pod
metadata:
  name: pod-podantiaffinity-requred
  namespace: dev
spec:
  containers: # 容器配置
    - name: nginx
      image: nginx:1.17.1
      imagePullPolicy: IfNotPresent
      ports:
        - name: nginx-port
          containerPort: 80
          protocol: TCP
  affinity: # 亲和性配置
    podAntiAffinity: # Pod反亲和性
      requiredDuringSchedulingIgnoredDuringExecution: # 硬限制
        - labelSelector:
            matchExpressions: # 该Pod必须和拥有标签name=Negan或者name=yyy的Pod在同一个Node上
              - key: user
                operator: In
                values:
                  - "Negan"
                  - "yyy"
          topologyKey: kubernetes.io/hostname
  • 查看状态
kubectl get pods pod-podantiaffinity-requred -n dev -o wide
NAME                          READY   STATUS    RESTARTS   AGE   IP            NODE    NOMINATED NODE   READINESS GATES
pod-podantiaffinity-requred   1/1     Running   0          26s   10.244.2.23   node2   <none>           <none>

4.3、污点和容忍

4.3.1、污点

前面的调度方式都是站在Pod的角度上，通过在Pod上添加属性，来确定Pod是否要调度到指定的Node上，其实我们也可以站在Node的角度上，通过在Node上添加污点属性，来决定是否运行Pod调度过来。

Node被设置了污点之后就和Pod之间存在了一种相斥的关系，进而拒绝Pod调度进来，甚至可以将已经存在的Pod驱逐出去。

污点的格式为：key=value:effect，key和value是污点的标签，effect描述污点的作用，支持如下三个选项：

? 1、PreferNoSchedule：Kubernetes将尽量避免把Pod调度到具有该污点的Node上，除非没有其他节点可以调度。

? 2、NoSchedule：Kubernetes将不会把Pod调度到具有该污点的Node上，但是不会影响当前Node上已经存在的Pod。

? 3、NoExecute：Kubernetes将不会把Pod调度到具有该污点的Node上，同时也会将Node上已经存在的Pod驱逐。

Kubernetes初露锋芒（Pod详解）

  • 污点相关语法

    • 设置污点

      kubectl taint node xxx key=value:effect

    • 去除污点

      kubectl taint node xxx key:effect-

    • 去除所有污点

      kubectl taint node xxx key-

    • 查看指定节点上的污点

      kubectl describe node 节点名称

  • 演示污点效果

    为了演示方便，暂时停止node2节点。

    • 为node1设置不同的污点

      # 为Node1设置污点
kubectl taint node node1 tag=Negan:PreferNoSchedule

# 创建一个pod1
kubectl run pod1 --image=nginx:1.17.1 -n dev

# 查看pod状态
kubectl get pod pod1 -n dev

NAME   READY   STATUS    RESTARTS   AGE
pod1   1/1     Running   0          21m

# 给node1更换污点NoSchedule
kubectl taint node node1 tag:PreferNoSchedule-
kubectl taint node node1 tag=Negan:NoSchedule

# 创建pod2
kubectl run pod2 --image=nginx:1.17.1 -n dev

# 查看状态，发现不能正常运行
kubectl get pods pod2 -n dev
NAME   READY   STATUS    RESTARTS   AGE
pod2   0/1     Pending   0          29s

# 给node1更换污点NoExecute
kubectl taint node node1 tag:NoSchedule-
kubectl taint node node1 tag=Negan:NoExecute

# 创建node3,发现不能正常运行，同时正常运行的pod1和pod2被驱逐了
kubectl run pod3 --image=nginx:1.17.1 -n dev

说明

使用kubeadm搭建的集群，默认就会给Master节点添加一个污点标记，所以Pod就不会调度到Master节点上

4.3.2、容忍

上面介绍了污点的作用，我们可以在Node上添加污点用来拒绝Pod调度上来，但是如果就是想让一个Pod调度到一个有污点的Node上去，这时候应该怎么做？这就需要使用到容忍。

污点就是拒绝，容忍就是忽略，Node通过污点拒绝Pod调度上去，Pod通过容忍忽略拒绝。

容忍详细配置：

kubectl explain pod.spec.tolerations
......
FIELDS:
  key       # 对应着要容忍的污点的键，空意味着匹配所有的键
  value     # 对应着要容忍的污点的值
  operator  # key-value的运算符，支持Equal和Exists（默认）
  effect    # 对应污点的effect，空意味着匹配所有影响
  tolerationSeconds   # 容忍时间, 当effect为NoExecute时生效，表示pod在Node上的停留时间

当operator为Equal的时候，如果Node节点有多个Taint，那么Pod每个Taint都需要容忍才能部署上去。

当operator为Exists的时候，有如下的三种写法：

  • 容忍指定的污点，污点带有指定的effect：

      tolerations: # 容忍
    - key: "tag" # 要容忍的污点的key
      operator: Exists # 操作符
      effect: NoExecute # 添加容忍的规则，这里必须和标记的污点规则相同

  • 容忍指定的污点，不考虑具体的effect：

      tolerations: # 容忍
    - key: "tag" # 要容忍的污点的key
      operator: Exists # 操作符

  • 容忍一切污点（慎用）：

     tolerations: # 容忍
    - operator: Exists # 操作符

在上面的污点示例中，已经给node1打上了NoExecute的污点，此时任何Pod是调度不上去的，可以通过在Pod中添加容忍，将Pod调度上去。

创建pod-toleration.yaml文件，内容如下：

apiVersion: v1
kind: Pod
metadata:
  name: pod-toleration
  namespace: dev
spec:
  containers: # 容器配置
    - name: nginx
      image: nginx:1.17.1
      imagePullPolicy: IfNotPresent
      ports:
        - name: nginx-port
          containerPort: 80
          protocol: TCP
  tolerations: # 容忍
    - key: "tag" # 要容忍的污点的key
      operator: Equal # 操作符
      value: "Negan" # 要容忍的污点的value
      effect: NoExecute # 添加容忍的规则，这里必须和标记的污点规则相同

创建和查看pod

kubectl get pods pod-toleration -n dev
NAME             READY   STATUS    RESTARTS   AGE
pod-toleration   1/1     Running   0          47s

Kubernetes初露锋芒（Pod详解）

上一篇：python线程池实现多线程


下一篇：C++ API 设计 09 第四章 设计