Kubernetes

Pod 生命周期、容器运行时、Service Mesh、Gateway API 等 K8s 生态。

本页列出 65 篇内容:3 篇精选,62 篇待整理。

本列表根据页面 frontmatter 自动生成。“待整理”资料尚未纳入精选,可能包含 Issue 复述,使用前请核对来源和适用版本。

精选

页面与说明
Pod 生命周期
全面了解 Kubernetes Pod 的生命周期阶段、容器状态转换与生命周期钩子,掌握 Pod 调度与终止的完整流程。
Service Mesh
理解 Service Mesh 架构原理、Sidecar Proxy 模式、Istio 与 Linkerd 对比,以及 mTLS、流量管理和可观测性在 SRE 实践中的应用。
容器运行时
深入理解 Kubernetes 容器运行时架构,包括 CRI、OCI 标准、containerd 与 CRI-O 的选型对比,以及安全运行时(sandboxed runtime)的实践。

待整理

页面与说明
AI编码代理灾难案例:rm -rf ~/事件
分析一起AI编码代理错误执行rm -rf ~/命令导致用户Mac系统数据全盘丢失的严重事故,并探讨如何通过Docker沙箱隔离来防止此类执行层故障。
cgroup 命名空间的版本兼容性
解决因 cgroups v1/v2 差异导致的容器测试失败问题,通过环境感知测试确保跨发行版可靠性。
Cluster API v1.12: 原地更新与链式升级
介绍 Cluster API v1.12 如何通过引入原地更新和链式升级来简化 Kubernetes 集群的生命周期管理,减少运维摩擦。
Containerd 2.2.0 创建容器失败:绝对符号链接路径安全检查
Containerd 2.2.0 因 Go 1.24 引入的路径安全检查,无法从包含绝对符号链接的镜像(如 /etc/passwd)创建容器,导致 “path escapes from parent” 错误。
containerd tar 提取中的 TOCTOU 竞态条件修复
通过加固文件操作来防止在容器镜像层解压过程中出现 TOCTOU 竞态漏洞,提升了容器运行时安全性。
containerd 在快照已存在时跳过层内容下载的问题
分析 containerd 在使用 WithPullUnpack 选项拉取镜像时,若快照已存在则跳过层下载导致内容不完整的缺陷及其影响。
containerd-shim-runc-v2 运行时配置传递缺陷问题
分析 containerd v2.2.1 中,CRI 插件运行时配置的 BinaryName 参数未正确传递给 shim 导致容器启动失败的已知问题与解决方案。
Containerd快照层残留问题
当Docker使用containerd快照器时,中断的镜像拉取会留下无法通过常规命令清理的磁盘数据。
Docker Gordon:容器工作流的 AI 代理
Docker的AI代理,用于整个容器工作流,能理解环境、提供建议并采取行动。
etcd MemberUpdate 操作导致 learner 成员状态丢失
etcd 的 MemberUpdate API 在更新 learner 成员的 peer URL 时,会错误地清除其 learner 状态标志,影响集群配置和可靠性。
Etcd v3.7 客户端连接阻塞行为变更
分析 etcd v3.7 中 `clientv3.dial` 在设置非零 DialTimeout 时阻塞的行为变更,及其对客户端高可用的影响与应对策略。
etcd 健壮性测试中的线性化验证内存溢出问题
etcd 健壮性测试作业在验证线性化(Linearization)时,因内存消耗峰值过高(约40GB)而导致进程被 OOM Killer 终止的问题。
etcd 认证模式下的成员提升请求转发失败
分析在启用认证的 etcd 集群中,向追随者提交成员提升操作导致请求失败并超时的问题、原理与最佳实践。
Gateway API v1.5:将实验性功能升级为稳定版
Kubernetes Gateway API v1.5 发布,标志着六个广受欢迎的实验性功能升级至标准(Stable)通道,为多租户环境和流量管理提供了标准化、可靠的解决方案。
gVisor gofer 根文件系统绑定挂载在符号链接路径下的失败
在containerd升级后,gVisor gofer因无法正确处理/var/run到/run的符号链接,导致Kubernetes沙箱创建失败。
Ingress NGINX 即将退役:迁移指南与安全影响
Kubernetes 官方宣布将于2026年3月退役 Ingress NGINX,约半数云原生环境受影响,需立即迁移至 Gateway API 或其他替代方案以确保安全。
Ingress-NGINX 迁移至 Gateway API:五个关键意外行为
揭示 Ingress-NGINX 的五个默认行为与副作用,帮助在迁移至 Gateway API 时避免服务中断。
ingress2gateway-1-0-migration-guide
帮助从Ingress控制器(如Ingress-NGINX)安全迁移到Kubernetes Gateway API的官方迁移助手工具1.0版本发布与使用指南。
Kubernetes Checkpoint/Restore 集成:原理与用例
Kubernetes 通过 Checkpoint/Restore 工作组整合 CRIU 技术,实现容器运行状态的保存与恢复,提升资源利用率与应用可靠性。
Kubernetes Mixed Version Proxy (MVP) Beta: 增强集群升级可靠性
在Kubernetes 1.36中,Mixed Version Proxy升级至Beta并默认启用,通过代理无法处理的请求到对等API服务器来提升集群滚动升级的安全性和可靠性。
Kubernetes SELinux 卷标签变更与升级指南
分析 Kubernetes v1.37 预期启用 SELinuxMount 特性所带来的破坏性变更、影响及平滑升级路径,以保障使用 SELinux 的集群可靠性。
Kubernetes Service ExternalIPs 的弃用与移除
Kubernetes v1.36正式弃用Service API的`.spec.externalIPs`字段,因其存在严重安全问题,并规划在后续版本中移除。
Kubernetes v1.35 工作负载感知调度
Kubernetes v1.35引入Workload API和原生Gang调度,为AI/ML等大型工作负载提供全有或全无的调度保障。
Kubernetes v1.36 DRA更新详解
本文详解 Kubernetes v1.36 中动态资源分配 (DRA) 的关键特性毕业、新增功能及其对平台可靠性与资源管理的影响。
Kubernetes v1.36 Pod-Level Resource Managers (Alpha)
介绍Kubernetes v1.36引入的Pod级别资源管理器Alpha特性,允许以Pod为中心分配计算和内存资源,优化性能敏感型工作负载的资源隔离与利用率。
Kubernetes v1.36: 工作负载感知调度(Workload-Aware Scheduling)进阶
Kubernetes v1.36通过分离Workload与PodGroup API、引入PodGroup调度周期、拓扑感知调度和工作负载感知抢占,显著提升了AI/ML和批处理工作负载的调度能力。
Kubernetes v1.36: 控制器过时性缓解与可观测性增强
介绍Kubernetes v1.36引入的控制器缓存过时性检测机制及其提供的可观测性能力,用于提升控制器可靠性。
Kubernetes v1.36:基于 QoS 类别的分层内存保护
介绍 Kubernetes v1.36 中内存 QoS 功能的更新,特别是通过 cgroup v2 实现基于 QoS 类别的分层内存保护机制。
Kubernetes 卷组快照功能达到 GA 状态
Kubernetes v1.36 将卷组快照功能提升至通用可用性(GA),允许用户为一组持久卷声明(PVC)创建崩溃一致的快照,极大地增强了多卷应用的数据保护与灾难恢复能力。
Kubernetes 声明式验证 (GA)
Kubernetes v1.36 中声明式验证达到 GA,通过标记标签定义 API 验证规则,提升可靠性、可维护性与工具链集成。
Kubernetes 扩展容忍操作符(数字比较)
Kubernetes v1.35 引入 Gt/Lt 操作符,允许基于阈值的 Pod 调度,以实现 SLA 感知、成本优化和性能保障。
Kubernetes 服务端分片列表与监视(Server-Side Sharded List and Watch)
介绍 Kubernetes v1.36 引入的服务端分片机制,用于解决大规模集群中控制器因监听全量资源事件而产生的性能瓶颈问题。
Kubernetes 用户命名空间 (User Namespaces) GA
Kubernetes v1.36 将用户命名空间功能提升至正式发布 (GA),允许容器内进程在隔离的用户ID空间中运行,显著提升工作负载的安全隔离性。
Kubernetes 结构化 z-pages 调试接口增强
Kubernetes 1.35 为控制面组件的调试端点引入结构化、版本化的 JSON 响应,以提升自动化运维与故障排查效率。
Kubernetes细粒度supplementalGroups控制(GA)
介绍Kubernetes v1.35中毕业到GA的`supplementalGroupsPolicy`字段,用于精确控制Linux容器中的补充组,增强安全性和透明度。
NRI 插件在 RunPodSandbox 钩子失败时导致的资源泄漏
当NRI插件在RunPodSandbox钩子执行失败时,由于缺少必要的清理逻辑,containerd会泄漏Shim进程和文件系统挂载等资源。
OCI容器进程数限制(PID Limit)行为变更
解释在容器运行时中,OCI标准对进程数限制(PID Limit)配置值的行为变更及其对SRE的影响。
OverlayFS 更新与 SRE 应用
概述 OverlayFS 近期的特性演进,特别是嵌套支持与 composefs 用例对 SRE 实践的意义。
Podsandbox TaskExit 事件的空值检查
解决在容器频繁OOM场景下,podsandbox处理TaskExit事件时可能触发的空指针panic问题。
Sandbox 服务字段转发修复与事件主题规范
修复 containerd 中 gRPC Sandbox 控制器服务创建时字段丢失及事件主题前缀错误的问题,保障沙箱配置完整性和事件系统可靠性。
Sandbox控制器服务的字段转发与事件主题修复
修复containerd gRPC Sandbox控制器服务中两个关键bug,确保Sandbox创建配置完整和事件主题格式正确。
不可删除的准入策略:Kubernetes v1.36 静态清单准入控制
Kubernetes v1.36 引入的基于磁盘文件的静态清单准入控制,确保关键安全策略在 API 服务器启动时即生效且无法通过 API 删除。
从 Kubernetes Dashboard 到 Headlamp:理解与迁移指南
介绍 Kubernetes 官方 Dashboard 归档后,其替代方案 Headlamp 的核心功能、优势及迁移准备要点。
使用 clientcmd 统一 Kubernetes API 访问
介绍如何在 Go 程序中使用 clientcmd 库来加载 kubeconfig 配置并构建 API 客户端,使自定义工具的认证和配置行为与 kubectl 保持一致。
使用 kind 本地实验 Gateway API 指南
详解如何在本地使用 kind 集群与 cloud-provider-kind 快速搭建并实验 Kubernetes Gateway API,用于学习和测试。
使用Amazon FSx for NetApp ONTAP构建高可用Oracle数据库
一种利用Amazon FSx for NetApp ONTAP共享存储、AWS自动化服务和自愈机制,为企业级Oracle数据库实现高可用性的现代云架构方案。
修复 Containerd 传输插件中可选的 EROFS 差异设置
解决当 EROFS 快照器可用但 mkfs.erofs 工具缺失时,containerd 传输服务完全失败的问题。
修复 Containerd 使用 GHCR 作为镜像仓库镜像时的认证 Scope 错误
修复 containerd 在使用 ghcr.io 作为镜像仓库镜像时,因错误添加原始仓库 scope 参数导致认证失败的问题。
修复 containerd 固定镜像标签未应用的问题
修复当配置中指定固定镜像但未指定标签时,containerd 未能正确应用固定标签的 bug,该问题在 SandboxImage 到 PinnedImages 的重构中引入。
修复 CRIU 检查点操作因 io_uring 使用而失败
在容器检查点操作前预检测 io_uring 的使用,以避免 CRIU 因无法处理其映射而失败,并提供清晰的错误信息。
修复沙盒任务API在非Runc运行时下的端点问题
分析并修正containerd中因错误放置API字段而导致的沙盒任务在非Runc运行时下失败的问题,阐述API设计中的关注点分离原则。
功能标志(Feature Flags)
通过 `--enable-feature` 标志管理 Prometheus 的实验性功能,以在保持稳定性的同时支持更快速的创新和安全的实验。
可变挂起Job的Pod资源 (v1.36 Beta)
允许在Job挂起状态下修改其Pod模板的资源请求与限制,提升批处理和机器学习工作负载的调度灵活性。
在 Kubernetes 上运行 AI Agent:Agent Sandbox
Agent Sandbox 为 Kubernetes 提供声明式 API,以安全、高效地运行长期、有状态的 AI Agent 工作负载。
容器沙盒镜像引用格式错误导致 Pod 无法启动
在containerd 2.3.x版本中,使用tag+digest格式配置沙盒镜像会导致所有Pod无法启动,影响节点可用性。
容器运行时任务状态查询的健壮性修复
修复在容器运行时任务进程状态查询中,当任务已删除时未正确返回Deleted状态的bug。
容器运行时依赖升级与 Go 版本兼容性:以 containerd 为例
分析因上游核心组件(如 containerd)提升最低 Go 版本,而破坏下游模块 `N, N-1` 支持策略所带来的风险与 SRE 应对措施。
容器运行时性能退化:containerd-shim CPU时间加速增长问题
分析长期运行节点中containerd-shim进程CPU时间持续加速增长的现象、影响及应对策略。
自治AI代理的隔离需求:从容器到微虚拟机
探讨AI代码代理如何挑战传统容器隔离模型,以及Docker Sandboxes如何通过微虚拟机提供安全边界。
诊断与解决 containerd erofs 快照器 'no such device' 错误
容器使用 erofs 快照器时因内核支持不足导致 overlay 挂载失败,引发容器启动错误。
通过 Docker Hardened Images 和 Aikido 集成优化漏洞扫描
Aikido 与 Docker Hardened Images 集成,利用内置 VEX 声明自动过滤已验证不可利用的漏洞,显著减少开发与安全团队的漏洞分类噪音。
避免在升级至 etcd v3.6 时产生僵尸集群成员
阐述在升级 etcd 到 v3.6 时可能产生的“僵尸成员”问题及其解决方案,确保集群可靠性。