K8s 高阶配置全解

结合前面学习的 Pod 生命周期、命名空间、资源限制、QoS、Hook、Init/Sidecar，下面系统梳理 K8s 高阶配置，分为 Pod 高阶配置、安全权限、调度增强、网络高级、存储高级、运行时特性、污点与容忍、亲和性 八大模块，附带配置示例、原理、使用场景、踩坑点与面试考点，偏向生产落地+面试。

1. 共享进程命名空间 shareProcessNamespace

1.1. 作用

同一个 Pod 内所有容器共享 PID 命名空间，容器之间可以互相看到进程、互相发送信号、共享进程树。默认 Pod 内容器 PID 隔离，开启后打通。

1.2. 适用场景

主容器与 Sidecar 互相查看、管理进程
调试容器内进程、抓包、故障排查
一个容器帮另一个容器优雅终止进程

1.3. 配置示例


apiVersion: v1

kind: Pod

metadata:

  name: share-pid-demo

spec:

  shareProcessNamespace: true

  containers:

  - name: main

    image: nginx

  - name: sidecar

    image: busybox

    command: ["sleep", "3600"]

1.4. 特性与考点

开启后，Pod 内所有容器 ps 能看到彼此进程
Pod 内 PID=1 是 pause 容器，不再是业务容器
会打破容器进程隔离，生产非调试场景谨慎使用

2. 终止宽限期 terminationGracePeriodSeconds

前面 Hook 提过，属于生产优雅停机标配高阶配置：

默认：30s
有状态应用（MySQL、Redis、MQ）建议设 60~120s
整个终止链路：摘除Endpoint → preStop → SIGTERM → 倒计时 → 超时 SIGKILL


spec:

  terminationGracePeriodSeconds: 60

3. 启动命令高阶组合：command + args

K8s 会覆盖容器镜像原有 Entrypoint / Cmd，是镜像改造常用配置。规则：

镜像原有：ENTRYPOINT ["xxx"] + CMD ["yyy"]
Pod 配置 command → 覆盖原 ENTRYPOINT
Pod 配置 args → 覆盖原 CMD

3.1. 示例


containers:

- name: app

  image: busybox

  command: ["/bin/sh", "-c"]

  args:

  - "echo start; sleep 3600"

4. 容器工作目录与高阶环境变量

4.1. 指定容器工作目录


containers:

- name: app

  image: nginx

  workingDir: /data/app

4.2. 环境变量高阶（4 种来源）

普通键值对
引用 Pod 自身字段 fieldRef（元数据注入）
引用资源配额 resourceFieldRef
引用 ConfigMap / Secret


containers:

- name: app

  image: busybox

  env:

  - name: APP_ENV

    value: "prod"

  - name: POD_NAME

    valueFrom:

      fieldRef:

        fieldPath: metadata.name

  - name: POD_IP

    valueFrom:

      fieldRef:

        fieldPath: status.podIP

  - name: CPU_LIMIT

    valueFrom:

      resourceFieldRef:

        containerName: app

        resource: limits.cpu

5. 安全上下文 securityContext

securityContext 分为 Pod 级别 和 Container 级别，容器级别优先级更高。核心作用：权限管控、用户映射、系统能力、防提权、只读根文件系统，是容器安全加固核心。

5.1. 常用核心配置项

配置项	作用
runAsUser	容器运行 UID（非 root 运行，安全最佳实践）
runAsGroup	容器运行 GID
fsGroup	挂载卷目录属组（解决挂载权限问题）
allowPrivilegeEscalation	禁止提权，默认 true，生产必须设 false
privileged	特权容器，彻底打破隔离，生产严禁开启
readOnlyRootFilesystem	根文件系统只读，防篡改、防木马
capabilities	Linux 内核能力（精细权限控制）

5.2. 完整安全加固示例


apiVersion: v1

kind: Pod

metadata:

  name: secure-pod

spec:

  securityContext:

    runAsUser: 1000

    runAsGroup: 1000

    fsGroup: 1000

  containers:

  - name: app

    image: nginx

    securityContext:

      allowPrivilegeEscalation: false

      readOnlyRootFilesystem: true

      capabilities:

        drop:

        - ALL

5.3. 关键考点与踩坑

readOnlyRootFilesystem: true：根目录只读，应用无法写文件；需要临时目录则挂载 emptyDir
fsGroup：宿主机挂载卷权限与容器运行用户不一致的问题
privileged: true：拿到宿主机所有权限，生产禁止使用
capabilities：最小权限原则：默认 drop: ["ALL"]，按需 add 所需能力

6. 探针高阶配置

三大探针：startupProbe / livenessProbe / readinessProbe，生产必须组合使用。

6.1. 探针核心参数

initialDelaySeconds：首次探测延迟
periodSeconds：探测间隔
timeoutSeconds：探测超时
successThreshold：连续成功次数
failureThreshold：连续失败次数

6.2. 组合最佳实践（慢启动应用）

startupProbe：启动阶段独占探测，启动完成后自动失效
livenessProbe：运行期存活检测，失败重启容器
readinessProbe：就绪检测，失败摘除流量

6.3. 面试考点

三大探针执行顺序：startupProbe 优先执行，成功后才启用另外两个
liveness 失败 → 重启容器；readiness 失败 → 摘除 Service 流量
慢启动应用（Java）必须配 startupProbe，防止误杀

7. 调度高阶

7.1. 节点亲和 nodeAffinity

强制/优先把 Pod 调度到指定标签的节点。分两类：

requiredDuringSchedulingIgnoredDuringExecution：硬约束
preferredDuringSchedulingIgnoredDuringExecution：软约束


spec:

  affinity:

    nodeAffinity:

      requiredDuringSchedulingIgnoredDuringExecution:

        nodeSelectorTerms:

        - matchExpressions:

          - key: node-role

            operator: In

            values: ["app"]

7.2. Pod 亲和与反亲和

Pod 亲和：让 Pod 和已有指定 Pod 部署在同一节点，就近访问。

Pod 反亲和（生产高频）：不让同类 Pod 部署在同一节点，实现高可用。


spec:

  affinity:

    podAntiAffinity:

      requiredDuringSchedulingIgnoredDuringExecution:

      - labelSelector:

          matchLabels:

            app: web

        topologyKey: kubernetes.io/hostname

7.3. 污点与容忍

污点(Taint)：打在节点上，拒绝普通 Pod 调度
容忍(Toleration)：打在 Pod 上，允许调度到污点节点三大策略：NoSchedule / PreferNoSchedule / NoExecute


spec:

  tolerations:

  - key: "node-type"

    operator: "Equal"

    value: "special"

    effect: "NoSchedule"

8. 网络高阶配置

8.1. hostNetwork 主机网络

Pod 直接复用宿主机网络命名空间，Pod IP = 节点 IP，端口与宿主机共享。


spec:

  hostNetwork: true

8.2. hostPort 主机端口映射

将容器端口绑定到宿主机端口（不推荐替代 Service）

8.3. DNS 策略

ClusterFirst（默认）：先走集群 CoreDNS，再外网
Default：复用宿主机 DNS
ClusterFirstWithHostNet：hostNetwork 场景专用

9. 存储 Volume 高阶配置

9.1. emptyDir 内存存储

emptyDir 默认磁盘，可挂载到 tmpfs 内存，高性能临时缓存：


volumes:

- name: tmp-volume

  emptyDir:

    medium: Memory

    sizeLimit: 1Gi

9.2. 子路径 subPath

单个 PVC 挂载多个目录，避免覆盖整个目录：


volumeMounts:

- name: pvc-data

  mountPath: /app/logs

  subPath: logs

9.3. 挂载传播 mountPropagation


volumeMounts:

- name: host-path

  mountPath: /host

  mountPropagation: Bidirectional

10. 运行时高级开关与内核参数

10.1. hostPID / hostIPC

打通宿主机命名空间，安全风险极高，仅节点运维组件使用。

10.2. 容器内核参数 sysctls


spec:

  securityContext:

    sysctls:

    - name: net.core.somaxconn

      value: "4096"

11. 综合高阶 Pod 生产模板

整合：安全上下文、资源、探针、Hook、亲和、容忍、存储


apiVersion: v1

kind: Pod

metadata:

  name: production-pod

  labels:

    app: web

spec:

  terminationGracePeriodSeconds: 60

  affinity:

    podAntiAffinity:

      requiredDuringSchedulingIgnoredDuringExecution:

      - labelSelector:

          matchLabels:

            app: web

        topologyKey: kubernetes.io/hostname

  tolerations:

  - key: node-role

    operator: Equal

    value: app

    effect: NoSchedule

  securityContext:

    runAsUser: 1000

    runAsGroup: 1000

    fsGroup: 1000

  containers:

  - name: web

    image: nginx:alpine

    resources:

      requests:

        cpu: 100m

        memory: 128Mi

      limits:

        cpu: 500m

        memory: 256Mi

    securityContext:

      allowPrivilegeEscalation: false

      readOnlyRootFilesystem: true

      capabilities:

        drop: [ALL]

    lifecycle:

      postStart:

        exec:

          command: ["/bin/sh", "-c", "echo init ok"]

      preStop:

        exec:

          command: ["/bin/sh", "-c", "sleep 5; echo stop"]

    startupProbe:

      httpGet:

        path: /

        port: 80

      failureThreshold: 20

      periodSeconds: 3

    livenessProbe:

      httpGet:

        path: /

        port: 80

      initialDelaySeconds: 20

      periodSeconds: 10

    readinessProbe:

      httpGet:

        path: /

        port: 80

      initialDelaySeconds: 5

      periodSeconds: 5

    volumeMounts:

    - name: log-volume

      mountPath: /var/log/nginx

  volumes:

  - name: log-volume

    emptyDir:

      medium: Memory

12. 高频高阶面试题

节点亲和、Pod 亲和/反亲和使用场景与区别？
污点三种类别（NoSchedule / PreferNoSchedule / NoExecute）区别？
shareProcessNamespace 开启后有什么变化、风险？
securityContext 常用配置项，如何做容器安全加固？
startupProbe 解决什么问题？三大探针协同逻辑？
hostNetwork / hostPID / hostIPC 风险与使用场景？
subPath、emptyDir 内存模式作用？
如何让 Deployment 副本强制打散在不同节点？（Pod 反亲和）

关联文档

Pod 生命周期钩子（Hook）完整详解：Pod 生命周期

K8s 安全上下文（SecurityContext）全解：容器安全

K8s 环境变量全维度详解：配置注入

K8s 高阶调度全解：调度与亲和

YancheBlog

热门标签

K8s 高阶配置全解

1. 共享进程命名空间 shareProcessNamespace

1.1. 作用

1.2. 适用场景

1.3. 配置示例

1.4. 特性与考点

2. 终止宽限期 terminationGracePeriodSeconds

3. 启动命令高阶组合：command + args

3.1. 示例

4. 容器工作目录与高阶环境变量

4.1. 指定容器工作目录

4.2. 环境变量高阶（4 种来源）

5. 安全上下文 securityContext

5.1. 常用核心配置项

5.2. 完整安全加固示例

5.3. 关键考点与踩坑

6. 探针高阶配置

6.1. 探针核心参数

6.2. 组合最佳实践（慢启动应用）

6.3. 面试考点

7. 调度高阶

7.1. 节点亲和 nodeAffinity

7.2. Pod 亲和与反亲和

7.3. 污点与容忍

8. 网络高阶配置

8.1. hostNetwork 主机网络

8.2. hostPort 主机端口映射

8.3. DNS 策略

9. 存储 Volume 高阶配置

9.1. emptyDir 内存存储

9.2. 子路径 subPath

9.3. 挂载传播 mountPropagation

10. 运行时高级开关与内核参数

10.1. hostPID / hostIPC

10.2. 容器内核参数 sysctls

11. 综合高阶 Pod 生产模板

12. 高频高阶面试题

目录