一、Kubernetes 是什么？——名字都念不对，怎么学？

1.1 先把名字念对

Kubernetes（读作 /kuːbərˈnɛtɪs/），源自希腊语，意为"舵手"或"领航员"。

简称 K8s——因为 K 和 s 之间有 8 个字母。程序员的偷懒精神，连名字都不放过。

也有人叫它 Kube，但请不要叫它 "Ku-ber-NET-eez"，会被鄙视的。

1.2 K8s 的前世今生

1.3 为什么需要 K8s？——Docker Compose 不够吗？

用人话说：Docker Compose 是单机版"开心消消乐"，K8s 是分布式"星际争霸"。

二、K8s 架构——看完就想放弃的那种

2.1 整体架构

🧠 记忆法：Control Plane 是公司总部（CEO、财务、HR），Worker Node 是各地分公司（干活的）。API Server 是前台，所有命令都要通过它。etcd 是公司保险柜，存着所有重要数据。

2.2 组件职责一张图

2.3 K8s 的"声明式"哲学

🔑 核心理念：你不是告诉 K8s "怎么做"，而是告诉它 "我要什么样的结果"。它会自己想办法达到那个状态，并且持续维护。

就像你对一个靠谱的管家说"家里永远要有 3 盒牛奶"，而不是"去超市买 3 盒牛奶"。牛奶喝完了？管家自己去买。过期了？管家自己换。

三、K8s 核心概念——名词轰炸开始

3.1 概念关系全景图

3.2 用一家餐厅来理解 K8s

客人（请求）从大门（Ingress）进来，看菜单（Service）点菜，服务员（Kube-proxy）把订单送到后厨，店长（Kubelet）安排厨师用菜谱（Deployment）做菜（Pod）。如果某道菜做砸了，品控（Controller）会让重新做一道。

四、安装 K8s——第一个 Boss 关

4.1 安装方式选择

4.2 Minikube 快速开始（学习推荐）

# ===== macOS =====
brew install minikube
minikube start --driver=docker --memory=4096 --cpus=2

# ===== Linux =====
curl -LO https://storage.googleapis.com/minikube/releases/latest/minikube-linux-amd64
sudo install minikube-linux-amd64 /usr/local/bin/minikube
minikube start --driver=docker --memory=4096 --cpus=2

# 验证安装
kubectl get nodes
# 输出:
# NAME       STATUS   ROLES           AGE   VERSION
# minikube   Ready    control-plane   30s   v1.28.3

# 打开 Dashboard（可视化界面）
minikube dashboard
# 🎉 浏览器自动打开，看到界面那一刻你会觉得 K8s 也没那么难
# 别高兴太早

4.3 kubeadm 安装（生产级，给勇者）

# ===== 所有节点执行 =====

# 1. 关闭 swap（K8s 的强制要求，别问为什么）
sudo swapoff -a
sudo sed -i '/ swap / s/^/#/' /etc/fstab

# 2. 加载内核模块
cat <<EOF | sudo tee /etc/modules-load.d/k8s.conf
overlay
br_netfilter
EOF
sudo modprobe overlay
sudo modprobe br_netfilter

# 3. 内核参数
cat <<EOF | sudo tee /etc/sysctl.d/k8s.conf
net.bridge.bridge-nf-call-iptables  = 1
net.bridge.bridge-nf-call-ip6tables = 1
net.ipv4.ip_forward                 = 1
EOF
sudo sysctl --system

# 4. 安装 containerd
sudo apt-get update && sudo apt-get install -y containerd.io
sudo mkdir -p /etc/containerd
containerd config default | sudo tee /etc/containerd/config.toml
# 修改 SystemdCgroup = true
sudo systemctl restart containerd

# 5. 安装 kubeadm, kubelet, kubectl
sudo apt-get install -y apt-transport-https ca-certificates curl
curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.29/deb/Release.key | \
  sudo gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg
echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] \
  https://pkgs.k8s.io/core:/stable:/v1.29/deb/ /' | \
  sudo tee /etc/apt/sources.list.d/kubernetes.list
sudo apt-get update
sudo apt-get install -y kubelet kubeadm kubectl
sudo apt-mark hold kubelet kubeadm kubectl


# ===== 仅 Master 节点执行 =====

# 6. 初始化集群
sudo kubeadm init \
  --pod-network-cidr=10.244.0.0/16 \
  --apiserver-advertise-address=<MASTER_IP>

# 7. 配置 kubectl
mkdir -p $HOME/.kube
sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
sudo chown $(id -u):$(id -g) $HOME/.kube/config

# 8. 安装网络插件（Calico）
kubectl apply -f https://raw.githubusercontent.com/projectcalico/calico/v3.27.0/manifests/calico.yaml


# ===== 仅 Worker 节点执行 =====

# 9. 加入集群（使用 kubeadm init 输出的命令）
sudo kubeadm join <MASTER_IP>:6443 \
  --token <TOKEN> \
  --discovery-token-ca-cert-hash sha256:<HASH>

😅 如果你顺利走完了以上步骤没出错，请立刻去买彩票。

五、kubectl——你的新命令行伙伴

5.1 kubectl 命令结构

5.2 必背 kubectl 命令速查表

# ============ 查看类 ============

# 查看所有 Pod
kubectl get pods                          # 当前 namespace
kubectl get pods -A                       # 所有 namespace
kubectl get pods -o wide                  # 显示更多信息（IP、节点等）
kubectl get pods --watch                  # 实时监控变化
kubectl get pods -l app=nginx             # 按标签筛选

# 查看所有资源
kubectl get all                           # Pod, Service, Deployment...
kubectl get nodes                         # 节点状态
kubectl get svc                           # Service 列表
kubectl get deploy                        # Deployment 列表
kubectl get ns                            # Namespace 列表

# 详细信息（排错必用）
kubectl describe pod <pod-name>
kubectl describe node <node-name>
kubectl describe svc <svc-name>

# 查看日志
kubectl logs <pod-name>                   # 当前日志
kubectl logs -f <pod-name>                # 实时跟踪
kubectl logs <pod-name> -c <container>    # 多容器 Pod 指定容器
kubectl logs --previous <pod-name>        # 上一次崩溃的日志（救命）


# ============ 操作类 ============

# 应用 YAML（声明式，推荐）
kubectl apply -f deployment.yaml
kubectl apply -f ./k8s/                   # 应用整个目录
kubectl apply -f https://xxx/xxx.yaml     # 直接从 URL 应用

# 删除资源
kubectl delete -f deployment.yaml
kubectl delete pod <pod-name>
kubectl delete pod <pod-name> --force --grace-period=0  # 强制删除（卡住时用）

# 进入容器（debug 用）
kubectl exec -it <pod-name> -- /bin/sh
kubectl exec -it <pod-name> -c <container> -- /bin/bash

# 端口转发（本地调试用）
kubectl port-forward pod/<pod-name> 8080:80
kubectl port-forward svc/<svc-name> 8080:80

# 扩缩容
kubectl scale deployment <name> --replicas=5

# 查看资源使用
kubectl top nodes
kubectl top pods


# ============ 高级操作 ============

# 滚动更新镜像
kubectl set image deployment/<name> <container>=<image>:<tag>

# 查看滚动更新状态
kubectl rollout status deployment/<name>

# 回滚到上一个版本
kubectl rollout undo deployment/<name>

# 回滚到指定版本
kubectl rollout history deployment/<name>
kubectl rollout undo deployment/<name> --to-revision=2

# 临时运行一个 Pod（debug 神器）
kubectl run debug --rm -it --image=busybox -- /bin/sh
kubectl run debug --rm -it --image=nicolaka/netshoot -- /bin/bash  # 网络调试

5.3 kubectl 效率提升

# 配置别名（加到 ~/.bashrc 或 ~/.zshrc）
alias k='kubectl'
alias kgp='kubectl get pods'
alias kgs='kubectl get svc'
alias kgd='kubectl get deploy'
alias kgn='kubectl get nodes'
alias kdp='kubectl describe pod'
alias kaf='kubectl apply -f'
alias kdf='kubectl delete -f'
alias kl='kubectl logs -f'
alias kei='kubectl exec -it'

# 自动补全
source <(kubectl completion bash)  # bash
source <(kubectl completion zsh)   # zsh

# 快速切换 namespace
kubectl config set-context --current --namespace=production

# 或者安装 kubectx / kubens（强烈推荐）
# kubens production     ← 切换 namespace
# kubectx staging       ← 切换集群

六、用 YAML 定义一切——K8s 的灵魂

6.1 YAML 恐惧症

6.2 最完整的 Deployment YAML（带注释）

apiVersion: apps/v1              # API 版本
kind: Deployment                 # 资源类型
metadata:
  name: payment-service          # Deployment 名字
  namespace: production          # 命名空间
  labels:
    app: payment                 # 标签（用于选择器匹配）
    team: deposit                # Joey 的 Deposit Team 😎
    version: v2.1.0
  annotations:
    description: "NPSS Aani payment processing service"
spec:
  replicas: 3                    # 副本数
  revisionHistoryLimit: 5        # 保留 5 个历史版本（用于回滚）
  
  strategy:                      # 更新策略
    type: RollingUpdate
    rollingUpdate:
      maxSurge: 1                # 更新时最多多出 1 个 Pod
      maxUnavailable: 0          # 更新时不允许有 Pod 不可用
  
  selector:                      # 选择器：匹配哪些 Pod
    matchLabels:
      app: payment
  
  template:                      # Pod 模板
    metadata:
      labels:
        app: payment
        version: v2.1.0
    spec:
      # ===== 优雅终止 =====
      terminationGracePeriodSeconds: 60
      
      # ===== 安全上下文 =====
      securityContext:
        runAsNonRoot: true
        runAsUser: 1000
        fsGroup: 1000
      
      # ===== 反亲和性（分散到不同节点）=====
      affinity:
        podAntiAffinity:
          preferredDuringSchedulingIgnoredDuringExecution:
            - weight: 100
              podAffinityTerm:
                labelSelector:
                  matchExpressions:
                    - key: app
                      operator: In
                      values:
                        - payment
                topologyKey: kubernetes.io/hostname
      
      # ===== Init 容器 =====
      initContainers:
        - name: wait-for-mysql
          image: busybox:1.36
          command: ['sh', '-c', 'until nc -z mysql-svc 3306; do echo waiting for mysql; sleep 2; done']
      
      # ===== 主容器 =====
      containers:
        - name: payment-app
          image: registry.astratech.ae/payment-service:v2.1.0
          imagePullPolicy: IfNotPresent
          
          ports:
            - name: http
              containerPort: 8080
              protocol: TCP
            - name: actuator
              containerPort: 8081
              protocol: TCP
          
          # ===== 环境变量 =====
          env:
            - name: SPRING_PROFILES_ACTIVE
              value: "production"
            - name: TZ
              value: "Asia/Dubai"
            - name: DB_PASSWORD
              valueFrom:
                secretKeyRef:
                  name: payment-secrets
                  key: db-password
            - name: JAVA_OPTS
              value: "-XX:MaxRAMPercentage=75.0 -XX:+UseG1GC"
          
          envFrom:
            - configMapRef:
                name: payment-config
          
          # ===== 资源限制 =====
          resources:
            requests:
              cpu: "250m"        # 0.25 核
              memory: "512Mi"
            limits:
              cpu: "1000m"       # 1 核
              memory: "1Gi"
          
          # ===== 探针 =====
          startupProbe:          # 启动探针（Java 应用启动慢，先用这个）
            httpGet:
              path: /actuator/health
              port: actuator
            failureThreshold: 30
            periodSeconds: 10
          
          livenessProbe:         # 存活探针（挂了就重启）
            httpGet:
              path: /actuator/health/liveness
              port: actuator
            initialDelaySeconds: 0
            periodSeconds: 15
            timeoutSeconds: 5
            failureThreshold: 3
          
          readinessProbe:        # 就绪探针（没准备好就不接流量）
            httpGet:
              path: /actuator/health/readiness
              port: actuator
            initialDelaySeconds: 0
            periodSeconds: 10
            timeoutSeconds: 5
            failureThreshold: 3
          
          # ===== 挂载 =====
          volumeMounts:
            - name: config-vol
              mountPath: /app/config
              readOnly: true
            - name: logs-vol
              mountPath: /app/logs
      
      # ===== 卷定义 =====
      volumes:
        - name: config-vol
          configMap:
            name: payment-config-files
        - name: logs-vol
          emptyDir:
            sizeLimit: 500Mi
      
      # ===== 镜像拉取凭证 =====
      imagePullSecrets:
        - name: registry-credentials

😱 一个 Deployment 就写了 130+ 行 YAML。而这只是一个服务。一个完整的微服务体系可能有几十个这样的文件。现在理解为什么有人发明了 Helm 了吧？

6.3 三大探针对比

⚠️ 血泪教训：不要把 livenessProbe 指向会因为外部依赖（如数据库）失败的接口。否则数据库一挂，所有 Pod 连环重启，雪崩式灾难。

七、Service 与 Ingress——流量怎么进来的

7.1 Service 四种类型

# ClusterIP（集群内部通信）
apiVersion: v1
kind: Service
metadata:
  name: payment-svc
spec:
  type: ClusterIP
  selector:
    app: payment
  ports:
    - port: 80            # Service 端口
      targetPort: 8080     # Pod 端口
      protocol: TCP

---

# NodePort（开发/测试用）
apiVersion: v1
kind: Service
metadata:
  name: payment-svc-nodeport
spec:
  type: NodePort
  selector:
    app: payment
  ports:
    - port: 80
      targetPort: 8080
      nodePort: 30080      # 范围：30000-32767

7.2 Ingress 路由规则

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: astratech-ingress
  annotations:
    nginx.ingress.kubernetes.io/ssl-redirect: "true"
    nginx.ingress.kubernetes.io/rate-limit: "100"
    cert-manager.io/cluster-issuer: "letsencrypt-prod"
spec:
  ingressClassName: nginx
  tls:
    - hosts:
        - api.astratech.ae
      secretName: api-tls-cert
  rules:
    - host: api.astratech.ae
      http:
        paths:
          - path: /payment
            pathType: Prefix
            backend:
              service:
                name: payment-svc
                port:
                  number: 80
          - path: /deposit
            pathType: Prefix
            backend:
              service:
                name: deposit-svc
                port:
                  number: 80
          - path: /exchange
            pathType: Prefix
            backend:
              service:
                name: exchange-svc
                port:
                  number: 80

八、ConfigMap 与 Secret——配置管理

8.1 配置和密钥的正确姿势

# ConfigMap
apiVersion: v1
kind: ConfigMap
metadata:
  name: payment-config
data:
  # 键值对形式
  DB_HOST: "mysql-svc"
  DB_PORT: "3306"
  REDIS_HOST: "redis-svc"
  LOG_LEVEL: "INFO"
  
  # 整个文件形式
  application.yml: |
    spring:
      application:
        name: payment-service
      datasource:
        url: jdbc:mysql://${DB_HOST}:${DB_PORT}/payment_db
        hikari:
          maximum-pool-size: 20

---

# Secret（base64 编码，注意：不是加密！）
apiVersion: v1
kind: Secret
metadata:
  name: payment-secrets
type: Opaque
data:
  db-password: cGFzc3dvcmQxMjM=          # echo -n "password123" | base64
  redis-password: cmVkaXNQQHNz             # echo -n "redisP@ss" | base64
  api-key: c2VjcmV0LWFwaS1rZXktMTIz       # echo -n "secret-api-key-123" | base64

# ⚠️ 严肃提醒：K8s Secret 默认只是 base64 编码，不是加密！
# 生产环境请配合：
# - Sealed Secrets
# - HashiCorp Vault
# - AWS Secrets Manager / Azure Key Vault
# - SOPS (Mozilla)

🔥 Secret 的安全真相：K8s 的 Secret 默认存在 etcd 里，而且只是 base64 编码。echo "cGFzc3dvcmQxMjM=" | base64 -d 就能解码。所以生产环境必须启用 etcd 加密或用外部密钥管理服务。

九、持久化存储——有状态服务的噩梦

9.1 存储架构

# StorageClass（动态存储，推荐）
apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
  name: fast-ssd
provisioner: kubernetes.io/aws-ebs   # 或其他存储提供商
parameters:
  type: gp3
  iopsPerGB: "50"
reclaimPolicy: Retain                 # 删除 PVC 后保留数据
allowVolumeExpansion: true            # 允许扩容

---

# PVC
apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: mysql-data
spec:
  accessModes:
    - ReadWriteOnce
  storageClassName: fast-ssd
  resources:
    requests:
      storage: 50Gi

9.2 StatefulSet vs Deployment

🎯 选择指南：无状态服务（Web API, 微服务）→ Deployment。有状态服务（数据库, 消息队列, Zookeeper）→ StatefulSet。

十、Helm——K8s 的包管理器

10.1 为什么需要 Helm

10.2 Helm 常用命令

# 添加仓库
helm repo add bitnami https://charts.bitnami.com/bitnami
helm repo update

# 搜索 Chart
helm search repo nginx
helm search hub prometheus       # 搜索 Artifact Hub

# 安装应用
helm install my-redis bitnami/redis \
  --namespace redis \
  --create-namespace \
  --set auth.password=myRedisP@ss \
  --set replica.replicaCount=3

# 用自定义 values 文件安装
helm install my-app ./my-chart -f values-prod.yaml

# 查看已安装的 Release
helm list -A

# 升级
helm upgrade my-app ./my-chart -f values-prod.yaml

# 回滚
helm rollback my-app 1           # 回滚到版本 1

# 卸载
helm uninstall my-app

# 查看渲染后的 YAML（debug 用）
helm template my-app ./my-chart -f values-prod.yaml

10.3 Chart 目录结构

my-chart/
├── Chart.yaml              # Chart 元信息（名称、版本）
├── values.yaml             # 默认配置值
├── values-dev.yaml         # 开发环境覆盖值
├── values-prod.yaml        # 生产环境覆盖值
├── templates/              # K8s 资源模板
│   ├── _helpers.tpl        # 模板函数
│   ├── deployment.yaml
│   ├── service.yaml
│   ├── configmap.yaml
│   ├── secret.yaml
│   ├── ingress.yaml
│   ├── hpa.yaml
│   └── NOTES.txt           # 安装后提示信息
└── charts/                 # 子 Chart 依赖

十一、监控与可观测性——出了问题才知道重要

11.1 可观测性三大支柱

11.2 Prometheus + Grafana 一键部署

# 使用 kube-prometheus-stack（Helm Chart，一键搞定）
helm repo add prometheus-community https://prometheus-community.github.io/helm-charts
helm repo update

helm install monitoring prometheus-community/kube-prometheus-stack \
  --namespace monitoring \
  --create-namespace \
  --set grafana.adminPassword=admin \
  --set prometheus.prometheusSpec.retention=30d \
  --set alertmanager.config.global.slack_api_url="https://hooks.slack.com/services/xxx"

# 访问 Grafana Dashboard
kubectl port-forward -n monitoring svc/monitoring-grafana 3000:80

# 打开 http://localhost:3000
# 用户名：admin，密码：admin
# 🎉 内置了 N 个 Dashboard，开箱即用

十二、HPA 自动扩缩容——让 K8s 替你加班

12.1 HPA 工作原理

apiVersion: autoscaling/v2
kind: HorizontalPodAutoscaler
metadata:
  name: payment-hpa
spec:
  scaleTargetRef:
    apiVersion: apps/v1
    kind: Deployment
    name: payment-service
  
  minReplicas: 2              # 最少 2 个（高可用）
  maxReplicas: 20             # 最多 20 个（防止失控）
  
  metrics:
    - type: Resource
      resource:
        name: cpu
        target:
          type: Utilization
          averageUtilization: 70      # CPU 超过 70% 就扩
    
    - type: Resource
      resource:
        name: memory
        target:
          type: Utilization
          averageUtilization: 80      # 内存超过 80% 就扩
  
  behavior:
    scaleUp:
      stabilizationWindowSeconds: 60  # 扩容等 60 秒再决定
      policies:
        - type: Percent
          value: 100                   # 每次最多翻倍
          periodSeconds: 60
    scaleDown:
      stabilizationWindowSeconds: 300 # 缩容等 5 分钟再决定（防抖）
      policies:
        - type: Percent
          value: 25                    # 每次最多缩 25%
          periodSeconds: 60

💡 缩容要比扩容保守：扩容要快（用户在等），缩容要慢（防止波动）。就像招人很急，裁人要慎重。

十三、K8s 排错指南——放弃之前的最后一搏

13.1 Pod 状态诊断

13.2 排错命令清单

# ===== 第一步：看状态 =====
kubectl get pods -o wide
kubectl get events --sort-by='.lastTimestamp'     # 按时间排序的事件

# ===== 第二步：看详情 =====
kubectl describe pod <pod-name>                    # 重点看 Events 部分!

# ===== 第三步：看日志 =====
kubectl logs <pod-name>                            # 当前日志
kubectl logs <pod-name> --previous                 # 崩溃前的日志
kubectl logs <pod-name> --all-containers           # 所有容器的日志

# ===== 第四步：进去看 =====
kubectl exec -it <pod-name> -- /bin/sh

# ===== 第五步：网络排查 =====
# 临时启动一个网络调试 Pod
kubectl run netdebug --rm -it --image=nicolaka/netshoot -- /bin/bash

# 在调试 Pod 内：
nslookup payment-svc                               # DNS 解析
curl -v http://payment-svc:80/health               # 服务连通性
traceroute payment-svc                              # 路由跟踪

# ===== 第六步：资源排查 =====
kubectl top nodes                                   # 节点资源
kubectl top pods                                    # Pod 资源
kubectl describe node <node-name> | grep -A 10 "Allocated"  # 已分配资源

# ===== 终极手段 =====
kubectl delete pod <pod-name>                       # 删了重建
kubectl rollout restart deployment <deploy-name>    # 滚动重启

13.3 常见错误速查

十四、生产环境最佳实践——防止半夜被叫醒

14.1 安全清单

14.2 资源管理黄金法则

# 每个容器都必须设置 resources!
resources:
  requests:        # 调度依据（保证能拿到这么多）
    cpu: "250m"    # 1/4 核
    memory: "256Mi"
  limits:          # 上限（超过会被 throttle/OOMKill）
    cpu: "1000m"   # 1 核
    memory: "512Mi"

# 💡 经验值：
# - requests ≈ 实际平均使用量
# - limits = requests × 2~4
# - 不设 limits → 一个 Pod 吃光整个节点
# - requests = limits → 保证 QoS 为 Guaranteed（最不容易被驱逐）

14.3 高可用部署 Checklist

# PodDisruptionBudget - 限制同时中断数
apiVersion: policy/v1
kind: PodDisruptionBudget
metadata:
  name: payment-pdb
spec:
  minAvailable: 2                 # 至少保持 2 个可用
  # 或者 maxUnavailable: 1       # 最多 1 个不可用
  selector:
    matchLabels:
      app: payment

十五、K8s 生态全景图

😵 看到这张图，你可能已经理解了为什么这个系列叫「从入门到放弃」了。

十六、K8s 学习路线图——如果你还没放弃

结语：从入门到放弃，再到不得不捡起来

K8s 的学习曲线长这样：

记住：没有人真正"精通" Kubernetes，我们都只是在不同阶段的放弃与坚持之间反复横跳。

而最终你会发现：放弃 K8s 最大的障碍，是你的简历上已经写了"熟练掌握 Kubernetes"。

📝 关于本文

这是「从入门到放弃」系列的又一力作。如果你从 Docker 篇一路读到这里还没放弃，说明你是一个内心极其强大的人。

更多技术分享请访问 underestimated.cn

系列回顾： Docker 从入门到放弃 → Kubernetes 从入门到放弃（本篇） → Istio 从入门到放弃（敬请期待）

最后的最后，保命命令升级版：

# Docker 版
alias yolo-docker='docker system prune -a --volumes -f'

# K8s 版（请勿在生产环境执行）
alias yolo-k8s='kubectl delete all --all -A && echo "☸️ Cluster is clean. Your career might not be."'

# 终极版
alias yolo='yolo-docker && yolo-k8s && echo "🔥 You are now free. And unemployed."'

用之前请三思。用之后请更新简历。