K8s 核心知识速记手册 – 𝓟𝓲𝓷𝓴 𝓬𝓸𝓻𝓷𝓮𝓻

本文最后更新于151 天前，其中的信息可能已经过时，如有错误请发送邮件到big_fw@foxmail.com

一、架构篇

1.1 K8s 三层架构

Master (控制平面)              Worker (工作节点)
├── etcd                      ├── kubelet
├── api-server                ├── kube-proxy
├── scheduler                 └── CNI (Flannel/Calico)
└── controller manager

1.2 Master 四大组件

组件	职责	记忆口诀
etcd	存储集群所有数据	数据大脑
api-server	集群控制入口，组件通信中枢	总指挥
scheduler	Pod 调度到节点	分配任务
controller manager	维护集群状态	状态监控

1.3 Worker 三大组件

组件	职责
kubelet	管理 Pod 生命周期，上报节点状态
kube-proxy	代理请求，负载均衡，服务发现
CNI	Pod 网络通信（Flannel/Calico/Cilium）

1.4 三种网络

网络类型	示例网段	用途
物理机网络	10.0.0.0/24	节点间通信
Pod 网络	10.100.0.0/16	Pod 间通信
Service 网络	10.200.0.0/16	Service 虚拟 IP

1.5 Pod 三种容器

Pod 内容器：
1. 基础架构容器（pause）→ 提供共享网络/IPC/UTS，kubelet 自动创建
2. 初始化容器（init container）→ Pod 启动前执行，顺序运行，全部成功后才启动业务容器
3. 业务容器 → 用户实际应用

1.6 API Server 访问控制流程

请求进来 → 认证(Authentication) → 鉴权(Authorization) → 准入控制(Admission Control)

二、资源与清单篇

2.1 核心资源（必背优先级）

资源	简称	作用	优先级
Pod	po	最小调度单元	⭐⭐⭐⭐⭐
Deployment	deploy	无状态应用部署	⭐⭐⭐⭐⭐
Service	svc	四层负载均衡	⭐⭐⭐⭐⭐
ConfigMap	cm	配置管理	⭐⭐⭐⭐⭐
Namespace	ns	资源隔离	⭐⭐⭐⭐
Ingress	ing	七层反向代理	⭐⭐⭐⭐
Secret	–	敏感数据存储	⭐⭐⭐
PV/PVC/SC	–	持久化存储	⭐⭐⭐
DaemonSet	ds	每节点一个 Pod	⭐⭐⭐
Job/CronJob	–	批处理任务	⭐⭐⭐
StatefulSet	sts	有状态应用	⭐⭐
Endpoints	ep	端点地址存储	⭐⭐⭐

2.2 资源清单五要素

apiVersion: v1           # 1. API 版本
kind: Pod                # 2. 资源类型
metadata:               # 3. 元数据
  name: nginx
  labels:
    app: nginx
spec:                   # 4. 期望状态
  containers:
  - name: c1
    image: nginx
status:                 # 5. 实际状态（系统维护）

2.3 响应式 vs 声明式

对比	响应式	声明式
方式	命令行	YAML + apply
场景	快速测试、调试	生产环境
特点	立即生效	幂等、可追溯

三、控制器篇

3.1 控制器演进与对比

RC (已废弃) → RS (可用) → Deployment (生产首选)

对比	RC	RS	Deployment
标签匹配	matchLabels	matchLabels + matchExpressions	同 RS
声明式更新	❌	❌	✅
滚动更新	❌	❌	✅
回滚	❌	❌	✅
状态	已废弃	可用	生产首选

3.2 RS 标签表达式

selector:
  matchExpressions:
  - key: version
    operator: In        # In / NotIn / Exists / DoesNotExist
    values:
    - v1
    - v2

3.3 Deployment 核心字段

spec:
  replicas: 3
  strategy:
    type: RollingUpdate   # Recreate / RollingUpdate
    rollingUpdate:
      maxSurge: 2         # 最多超出副本数（个或%）
      maxUnavailable: 1   # 最多不可用（个或%）
  selector:
    matchLabels:
      apps: nginx

3.4 滚动更新原理

更新前: RS-v1 [5 Pod]
更新中: RS-v1 [3 Pod] + RS-v2 [5 Pod]  # 先扩后缩
更新后: RS-v2 [5 Pod], RS-v1 [0 Pod]

3.5 Deployment 常用命令

kubectl apply -f deploy.yaml              # 创建/更新
kubectl rollout status deploy/xxx         # 查看状态
kubectl rollout history deploy/xxx        # 查看历史
kubectl rollout undo deploy/xxx           # 回滚到上一版本
kubectl rollout undo deploy/xxx --to-revision=3  # 回滚到指定版本
kubectl scale deploy xxx --replicas=5     # 扩缩容
kubectl set image deploy/xxx c1=nginx:1.26  # 更新镜像

四、存储篇

4.1 存储卷类型对比

类型	数据持久	跨节点共享	场景
emptyDir	❌ Pod删除丢失	❌	临时缓存、同Pod多容器共享
hostPath	✅ 宿主机持久	❌	时区同步、系统级组件
nfs	✅ 持久化	✅	生产推荐，跨节点共享
configMap	–	–	配置文件挂载
downwardAPI	–	–	Pod 元数据注入

4.2 PV/PVC/SC 核心概念

资源	全称	作用
PV	PersistentVolume	对接后端存储，声明容量与访问模式
PVC	PersistentVolumeClaim	向 PV 或 SC 请求存储空间
SC	StorageClass	动态创建 PV，关联后端存储

4.3 访问模式

模式	简称	说明
ReadWriteOnce	RWO	单节点读写
ReadOnlyMany	ROX	多节点只读
ReadWriteMany	RWX	多节点读写
ReadWriteOncePod	RWOP	单Pod读写（K8s 1.22+/CSI）

4.4 CSI/CRI/CNI 区别

接口	全称	作用
CSI	Container Storage Interface	容器存储接口
CRI	Container Runtime Interface	容器运行时接口
CNI	Container Network Interface	容器网络接口

五、网络篇

5.1 Service 五种类型

类型	访问范围	用途	默认端口
ClusterIP	集群内部	内部应用互访	–
NodePort	集群外部	临时外部访问	30000-32767
LoadBalancer	云环境	生产外部访问	–
ExternalName	集群外部	CNAME 映射	无 ClusterIP
Headless	–	直接访问 Pod	无 ClusterIP

5.2 kube-proxy 代理模式演进

模式	说明	状态
iptables	规则链式匹配，性能一般	K8s 1.27 前默认
ipvs	哈希表查找，支持多算法	K8s 1.35 弃用
nftables	最新推荐，性能最优	K8s 1.33+ 默认

5.3 CoreDNS 服务发现

DNS 格式：<Service>.<Namespace>.svc.<集群域名>
示例：svc-nginx.default.svc.cluster.local

六、故障排查篇

6.1 排查三板斧（按顺序）

顺序	命令	看什么
1	`kubectl describe pod <name>`	Events 事件
2	`kubectl logs <name>`	容器日志
3	`kubectl exec -it <name> -- sh`	进入容器

6.2 Pod 五个阶段

阶段	含义	说明
Pending	等待中	已接收，等待调度/拉取镜像
Running	运行中	已调度，容器正在运行
Succeeded	成功	所有容器正常结束（exit 0）
Failed	失败	容器异常终止，不会重启
Unknown	未知	节点通信失败

6.3 常见 Events 关键字

Event	问题	解决
`ImagePullBackOff`	镜像拉取失败	检查镜像名/tag、认证配置
`CrashLoopBackOff`	容器不断重启	查日志排查应用错误
`Pending`	等待调度	检查资源/节点/污点/PVC
`OOMKilled`	内存超限	调整 resources.limits

6.4 Pod 重启策略

策略	正常退出(Exit 0)	异常退出(非0)	适用场景
Always	重启	重启	默认，长驻服务
OnFailure	不重启	重启	批处理任务
Never	不重启	不重启	一次性任务、Job

七、配置管理篇

7.1 ConfigMap 创建方式

kubectl create configmap cm-name --from-literal=key=value
kubectl create configmap cm-name --from-file=config.conf
kubectl apply -f cm.yaml

7.2 Pod 引用 ConfigMap

# 方式A：环境变量
env:
- name: SCHOOL
  valueFrom:
    configMapKeyRef:
      name: cm-conf
      key: school

# 方式B：存储卷挂载
volumes:
- name: data
  configMap:
    name: cm-conf

7.3 subPath 核心区别

不加 subPath → 挂载整个目录，原有文件被覆盖
加 subPath   → 挂载单个文件，目录中其他文件保留

7.4 Secret vs ConfigMap

对比	ConfigMap	Secret
用途	非敏感配置	敏感数据（密码、证书、token）
编码	明文存储	Base64 编码存储

八、Job与DaemonSet篇

8.1 Job 一次性任务

apiVersion: batch/v1
kind: Job
spec:
  backoffLimit: 4              # 失败重试次数
  completions: 1               # 成功完成次数
  parallelism: 1               # 并行 Pod 数
  template:
    spec:
      restartPolicy: Never      # 必须 Never 或 OnFailure

8.2 CronJob 周期性任务

apiVersion: batch/v1
kind: CronJob
spec:
  schedule: "0 2 * * *"        # 分 时 日 月 周
  concurrencyPolicy: Replace   # Allow / Forbid / Replace

8.3 DaemonSet 守护集

对比	DaemonSet	Deployment
Pod 数量	每节点 1 个	可指定 replicas
调度	自动（忽略调度器）	通过 Scheduler
适用场景	日志/监控/网络插件	业务应用

九、外部服务映射篇

9.1 Endpoints vs EndpointSlice

特性	Endpoints	EndpointSlice
存储模式	单个大对象	多小对象分片
更新方式	全量更新	增量更新
地址类型	仅 IPv4	IPv4/IPv6 双栈
状态	1.33+ 弃用	1.21+ 稳定

9.2 ExternalName 类型 Service

spec:
  type: ExternalName
  externalName: baidu.com     # CNAME 转发到该域名

十、探针篇

10.1 三种探针类型

探针	作用	失败后果
livenessProbe	健康状态检查	重启容器
readinessProbe	可用性检查	移出流量
startupProbe	启动检查	杀死容器

10.2 四种检查机制

机制	说明
exec	执行命令，返回 0 成功
httpGet	HTTP 请求，2xx/3xx 成功
tcpSocket	TCP 端口连通性测试
grpc	gRPC 健康检查（K8s 1.19+）

十一、资源限制与优雅终止篇

11.1 容器资源限制

配置	作用	说明
requests	调度期望值	节点资源不满足则无法调度
limits	使用上限	强制控制资源使用量

11.2 Pod 优雅终止

钩子	触发时机	用途
postStart	容器启动后	准备数据、初始化
preStop	容器停止前	处理未完成请求、清理

十二、安全认证篇

12.1 身份认证策略

类型	说明
X.509 客户端证书	双向 TLS，CN 字段=用户名
Bootstrap 令牌	集群扩容时使用
Service Account 令牌	Pod 访问 API Server
OIDC 令牌	第三方认证

12.2 RBAC 角色绑定

# RoleBinding：绑定 Role（同一命名空间）
kubectl create rolebinding rb-name --role=pod-reader --user=jasonyin -n default

# ClusterRoleBinding：绑定 ClusterRole（跨命名空间）
kubectl create clusterrolebinding crb-name --clusterrole=cluster-admin --user=jasonyin

十三、发布策略与CICD篇

13.1 三种常见发布策略对比

策略	特点	适用场景
灰度/金丝雀发布	新旧版本共存，逐渐替换	生产环境平滑升级
蓝绿部署	两套环境，切换流量	要求快速回滚
A/B测试	精确到用户级别	精细化灰度

13.2 StatefulSet partition 分段更新

spec:
  updateStrategy:
    rollingUpdate:
      partition: 3    # 编号>=3的Pod才会被更新

十四、可观测性与弹性扩缩容篇

14.1 HPA vs VPA 对比

特性	HPA (水平扩容)	VPA (垂直扩容)
扩容方向	增减 Pod 副本数	调整 CPU/内存 Request/Limit
是否重启 Pod	否	通常需要
适用场景	无状态服务、流量波动大	有状态服务

14.2 HPA 核心前置条件

Pod 必须设置 resources.requests
缩容冷却时间：5 分钟（默认）
HPA 与 VPA 不能同时对同一 Pod 的 CPU/内存指标生效

十五、StatefulSet有状态控制器篇

15.1 核心特性

特性	说明
稳定网络标识	Headless Service + Pod编号（sts-0, sts-1…）
独享存储	VolumeClaimTemplate 为每个Pod创建独立PVC
有序部署/缩放	默认按编号顺序0→N创建，逆序N→0删除

15.2 Headless Service

spec:
  clusterIP: None      # 关键：无头服务

DNS解析规则： <pod名>.<svc名>.<ns>.svc.cluster.local

十六、集群生命周期管理篇（Day34新增）

16.1 缩容流程（五步法）

① 驱逐节点Pod → kubectl drain <node> --ignore-daemonsets --delete-emptydir-data
② 停止kubelet → systemctl stop kubelet
③ 重置节点 → kubeadm reset -f
④ 清理残留 → ipvsadm --clear + rm -f /etc/cni/net.d/*
⑤ 移除节点 → kubectl delete node <node>

16.2 Bootstrap Token 认证流程

① Master创建Token → 存储为Secret（kube-system命名空间）
② Worker节点kubeadm join → 携带Token连接API Server
③ kubelet生成CSR → 请求签名证书
④ Controller Manager自动签名 → 返回证书
⑤ Worker获取证书 → 完成认证，加入集群

16.3 Token 管理命令

kubeadm token create                        # 创建Token（默认24小时有效）
kubeadm token create xxx --ttl 0            # 创建永不过期Token
kubeadm token list                          # 查看Token列表
kubeadm token create --print-join-command --ttl 0  # 生成加入命令

16.4 证书续期

kubeadm certs check-expiration              # 检查证书有效期
kubeadm certs renew all                     # 续期所有证书

Worker证书续期： 修改 controller-manager 的 --cluster-signing-duration=87600h0m0s（10年）

十七、Helm包管理器篇（Day34新增）

17.1 核心术语

术语	说明
Chart	K8S资源清单集合（应用模板）
Release	基于Chart部署的应用实例
Repository	Chart仓库（公有/私有）

17.2 Chart 文件结构

mychart/
├── Chart.yaml          # Chart元数据
├── values.yaml         # 默认配置值
├── templates/          # 资源清单模板
├── charts/             # 依赖的Chart
└── NOTES.txt           # 部署后提示信息

17.3 Helm 常用命令

helm install <name> <chart> -n <ns>           # 安装
helm upgrade <name> -f values.yaml <chart>    # 升级
helm rollback <name> <revision> -n <ns>       # 回滚
helm uninstall <name> -n <ns>                 # 卸载
helm list -n <ns>                             # 列表
helm history <name> -n <ns>                   # 历史
helm repo add <name> <url>                    # 添加仓库
helm search repo <keyword>                    # 搜索Chart

十八、Traefik流量治理篇（Day35新增）

18.1 Traefik核心组件

组件	说明
IngressClass	Ingress实现类
Entrypoint	入口点，监听端口（web=80, websecure=443）
Router	路由，根据Host/Path/Headers等匹配请求
Middleware	中间件，修改请求或判断（认证/限流/Header）
Service	后端服务，负载均衡转发到Pod

18.2 Ingress vs IngressRoute

对比	Ingress	IngressRoute
类型	K8s原生资源	Traefik CRD
功能	基础七层路由	更丰富（多中间件、TCP/UDP）
配置	annotations	声明式YAML

18.3 IngressRoute 基础配置

apiVersion: traefik.io/v1alpha1
kind: IngressRoute
spec:
  entryPoints:
  - web                 # 监听80端口
  routes:
  - match: Host(`whoami.yinzhengjie.com`) && PathPrefix(`/`)
    kind: Rule
    services:
    - name: svc-whoami
      port: 80

18.4 中间件（Middleware）

中间件	用途
ipAllowList	IP白名单
basicAuth	Basic认证
rateLimit	限流
headers	Header修改

十九、Traefik进阶与Gateway API篇（Day36新增）

19.1 TraefikService 加权轮询

apiVersion: traefik.io/v1alpha1
kind: TraefikService
spec:
  weighted:
    services:
    - name: svc-web01
      weight: 4    # 80%流量
    - name: svc-web02
      weight: 1    # 20%流量

19.2 流量镜像（Mirroring）

spec:
  mirroring:
    name: svc-web01    # 主服务，100%流量
    port: 80
    mirrors:
    - name: svc-web02  # 镜像服务
      percent: 20      # 复制20%流量

19.3 externalTrafficPolicy

策略	源IP保留	负载均衡
Cluster（默认）	不保留	均衡
Local	保留	可能不均

19.4 Gateway API vs Ingress

维度	Ingress	Gateway API
协议	仅HTTP/HTTPS	L4(TCP/UDP) + L7(HTTP/gRPC/TLS)
资源模型	单一Ingress	GatewayClass/Gateway/HTTPRoute
高级能力	依赖Annotation	原生内置灰度/镜像/改写
趋势	仅bug维护	社区主流演进方向

二十、CNI网络深度解析篇（Day36+37新增）

20.1 Flannel 工作模式

模式	原理	跨网段	性能
vxlan	二层封装转发	支持	一般
host-gw	宿主机路由表直写	不支持	高
directrouting	同网段host-gw + 跨网段vxlan	支持	推荐

20.2 Flannel 同节点 Pod 通信

Pod-A (eth0) → veth-X → cni0 网桥 ← veth-Y ← Pod-B (eth0)

20.3 Flannel 跨节点 Pod 通信

Pod-A → cni0 → flannel.1（封装VXLAN）→ eth0 → 对端 eth0 → flannel.1（解封）→ cni0 → Pod-B

20.4 Calico vs Flannel

特性	Flannel	Calico
性能	中(封装开销)	高(三层无封装)
网络策略	不支持	L3/L4
适用规模	<50节点	50-500节点

20.5 Calico VXLANCrossSubnet

同子网走BGP纯路由（高性能），跨子网走VXLAN封装（兼容性）

二十一、可观测性进阶篇（Day36+37新增）

21.1 Prometheus Operator CRD

CRD	作用
Prometheus	定义Prometheus实例部署
Alertmanager	定义告警管理器
ServiceMonitor	声明式指定如何监控Service
PodMonitor	声明式指定如何监控Pod
PrometheusRule	定义告警/记录规则

21.2 ServiceMonitor 工作原理

ServiceMonitor(selector匹配Service) → Service(selector匹配Pod) → Pod暴露/metrics → Prometheus抓取

21.3 ElasticStack 日志采集方案

方案	原理	优点	缺点
Sidecar	每个Pod加filebeat容器	不改原架构	资源消耗大
DaemonSet	每节点1个filebeat Pod	节省资源	需RBAC权限
产品内置	开发在应用中实现	运维省事	推动慢

二十二、网络策略与Pod调度篇（Day38+39新增）

22.1 NetworkPolicy 核心概念

K8s原生L3/L4防火墙，白名单机制
由CNI插件实现规则（支持Calico/Cilium；Flannel不支持）

22.2 三种流量匹配方式

方式	字段	适用场景
ipBlock	`from[].ipBlock.cidr` + `except`	基于IP网段放行/排除
namespaceSelector	`from[].namespaceSelector.matchLabels`	放行特定NS的全部Pod
podSelector	`from[].podSelector.matchExpressions`	放行特定标签的Pod

22.3 GlobalNetworkPolicy（Calico独有）

维度	NetworkPolicy	GlobalNetworkPolicy
生效范围	仅当前NS	全集群所有NS
动作	仅隐式Allow	Allow / Deny / Pass + 优先级

22.4 Taints 污点（三种效果）

效果	新Pod	已有Pod
NoSchedule	❌ 不调度	不受影响
PreferNoSchedule	尽量不调度	不受影响
NoExecute	❌ 不调度	⚠️ 立即驱逐！

22.5 调度方式一览

调度方式	失败原因
nodeName	节点不存在
hostPort	端口冲突→Pending
resources	Insufficient cpu/memory
nodeSelector	无匹配标签节点
Taints + tolerations	未容忍所有污点
nodeAffinity	无匹配节点
podAffinity	所有拓扑域无匹配Pod
podAntiAffinity	拓扑域数量不足→Pending

22.6 drain vs cordon

命令	作用
cordon	标记不可调度，已有Pod不动
drain	cordon + 逐出所有Pod

22.7 LimitRange vs ResourceQuota

对比	LimitRange	ResourceQuota
范围	单个Pod/容器	整个Namespace总量
限制	min/max/default	hard上限

二十三、Istio与多Master高可用篇（Day39新增）

23.1 Istio 核心概念

定位： Service Mesh服务网格，实现微服务的发现、连接、管理、监控、安全。

sidecar vs ambient：

sidecar模式：每个Pod注入envoy代理容器
ambient模式：零侵入，节点级代理

23.2 Istio 安装

# 二进制安装（推荐）
istioctl install --set profile=demo -y

# 验证
istioctl version
kubectl get pods -n istio-system

23.3 VirtualService A/B测试

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
spec:
  hosts:
  - apps-svc-all
  http:
  - match:
    - headers:
        yinzhengjie-username:
          exact: jasonyin
    route:
    - destination:
        host: apps-svc-v1      # 匹配header → v1
  - route:
    - destination:
        host: apps-svc-v2      # 默认 → v2

23.4 单Master升多Master步骤

① upload-certs → 上传证书
② create token → 创建Bootstrap Token
③ reset → 重置worker节点
④ kubeadm join --control-plane → 加入为Master
⑤ keepalived VIP → 高可用
⑥ certSANs重生成 → 证书包含所有IP

23.5 Keepalived VIP 高可用

VRRP协议，多Master共享VIP（如10.0.0.240），主宕机VIP自动漂移

23.6 证书重新生成

症状： x509: certificate is valid for 10.0.0.231, not 10.0.0.240

解决： 修改 kubeadm.yaml 的 certSANs 包含所有节点IP+VIP，重新生成apiserver证书

二十四、命令速查篇

24.1 集群与节点

kubectl get nodes                  # 查看节点
kubectl get pods -A               # 所有 Pod
kubectl cluster-info             # 集群信息
kubectl cordon <node>            # 标记不可调度
kubectl uncordon <node>          # 恢复调度
kubectl drain <node> --ignore-daemonsets --delete-emptydir-data  # 驱逐节点

24.2 Pod 管理

kubectl run nginx --image=nginx              # 创建 Pod
kubectl get pods -o wide                     # 查看详情
kubectl describe pod <name>                  # 详情+Events
kubectl logs <name>                          # 日志
kubectl exec -it <name> -- sh              # 进入容器
kubectl delete pod <name>                    # 删除

24.3 Deployment 管理

kubectl apply -f deploy.yaml               # 创建/更新
kubectl rollout status deploy/xxx          # 更新状态
kubectl rollout history deploy/xxx         # 历史版本
kubectl rollout undo deploy/xxx            # 回滚
kubectl scale deploy xxx --replicas=5      # 扩缩容
kubectl set image deploy/xxx c1=nginx:1.26 # 更新镜像

24.4 Helm 管理

helm install <name> <chart> -n <ns>           # 安装
helm upgrade <name> -f values.yaml <chart>    # 升级
helm rollback <name> <revision> -n <ns>       # 回滚
helm uninstall <name> -n <ns>                 # 卸载
helm list -n <ns>                             # 列表

24.5 证书管理

kubeadm certs check-expiration              # 检查有效期
kubeadm certs renew all                     # 续期所有证书
kubeadm token create --print-join-command --ttl 0  # 生成join命令

24.6 Istio 管理

istioctl install --set profile=demo -y      # 安装
istioctl version                            # 查看版本
istioctl kube-inject -f deploy.yaml | kubectl apply -f -  # 手动注入sidecar

二十五、面试高频速记（100问）

#	问题	答案
1	K8s Master 四大组件？	etcd、api-server、scheduler、controller manager
2	Worker 三大组件？	kubelet、kube-proxy、CNI
3	三种网络？	物理机网络、Pod 网络、Service 网络
4	Pod 三种容器？	基础架构(pause)、初始化(init)、业务容器
5	Deployment vs RS vs RC？	Deploy 支持滚动更新/回滚，RS 支持标签表达式，RC 已废弃
6	Service 五种类型？	ClusterIP、NodePort、LoadBalancer、ExternalName、Headless
7	Pod 五阶段？	Pending、Running、Succeeded、Failed、Unknown
8	Pod 重启策略？	Always(默认)/OnFailure/Never
9	DaemonSet 特点？	每节点一个 Pod，自动扩散
10	存储卷类型？	emptyDir、hostPath、nfs、configMap、downwardAPI
11	PV/PVC/SC 关系？	PVC 向 SC 或 PV 请求存储，SC 动态创建 PV
12	访问模式 RWO/RWX/ROX？	单节点读写/多节点读写/多节点只读
13	CSI/CRI/CNI 区别？	存储接口/运行时接口/网络接口
14	故障排查三板斧？	describe → logs → exec
15	ImagePullBackOff 原因？	镜像不存在/tag错误/无权限
16	CrashLoopBackOff 原因？	应用启动失败/健康检查失败
17	静态 Pod 路径？	/etc/kubernetes/manifests/
18	kube-proxy 三种模式？	iptables → ipvs → nftables
19	Job 适用场景？	一次性任务（备份/迁移/批处理）
20	livenessProbe 失败？	重启容器
21	readinessProbe 失败？	移出 ep，无流量
22	requests vs limits？	requests=调度期望值，limits=使用上限
23	Secret vs ConfigMap？	Secret 用于敏感数据，Base64 编码
24	HPA vs VPA？	HPA 扩缩 Pod 数量，VPA 调整 CPU/内存
25	HPA 前置条件？	必须设 resources.requests
26	STS 三大特性？	稳定DNS、独享存储、有序部署/缩放
27	Headless Service？	clusterIP: None，直接解析 Pod DNS
28	partition 分段更新？	仅更新编号>=partition 的 Pod
29	缩容五步法？	驱逐→停kubelet→重置→清理→移除
30	Bootstrap Token作用？	Worker节点首次加入集群时的临时认证凭证
31	Token有效期？	默认24小时，可设–ttl 0永不过期
32	证书续期命令？	kubeadm certs renew all
33	Helm Chart vs Release？	Chart=模板，Release=部署后的实例
34	Helm升级两种方式？	-f values.yaml 或 –set key=value
35	Ingress和Service区别？	Service四层（IP:PORT），Ingress七层（域名/路径）
36	IngressRoute vs Ingress？	IngressRoute是Traefik CRD，功能更丰富
37	Traefik核心组件？	Entrypoint、Router、Middleware、Service
38	Middleware作用？	请求到达服务前修改请求（认证/限流/Header）
39	TraefikService作用？	支持加权轮询(wrr)和流量镜像(mirroring)
40	externalTrafficPolicy Cluster vs Local？	Cluster丢源IP但均衡，Local保留源IP
41	Gateway API优势？	模块化解耦、多角色权限、原生L4+L7
42	Flannel 三种工作模式？	vxlan/host-gw/directrouting
43	Flannel 同节点Pod通信？	veth pair + cni0网桥桥接
44	Flannel 跨节点Pod通信？	flannel.1 VXLAN封装
45	Flannel 每节点Pod上限？	/24子网 = 254个Pod
46	Calico vs Flannel？	Calico支持网络策略+BGP无封装
47	Calico VXLANCrossSubnet？	同子网BGP，跨子网VXLAN
48	Prometheus Operator CRD？	Prometheus/Alertmanager/ServiceMonitor/PodMonitor/PrometheusRule
49	ServiceMonitor作用？	声明式定义如何监控K8s Service
50	Sidecar vs DaemonSet日志采集？	Sidecar每Pod一个agent；DaemonSet每节点一个
51	NetworkPolicy是什么？	K8s原生L3/L4防火墙，白名单机制
52	NetworkPolicy三种匹配？	ipBlock/namespaceSelector/podSelector
53	GlobalNetworkPolicy vs NetworkPolicy？	GNP全集群+支持Deny，NP仅当前NS
54	Taints三种效果？	NoSchedule/PreferNoSchedule/NoExecute
55	nodeSelector vs nodeAffinity？	nodeSelector精确匹配，nodeAffinity支持表达式
56	podAffinity使用场景？	集中部署（跟着同类走）
57	podAntiAffinity使用场景？	分散部署（远离同类，高可用）
58	cordon vs drain？	cordon只阻止新Pod，drain=cordon+逐出
59	LimitRange vs ResourceQuota？	LR限制单个Pod，RQ限制NS总量
60	Istio sidecar vs ambient？	sidecar每Pod注入envoy，ambient节点级零侵入
61	VirtualService A/B测试？	match header → route 不同destination
62	单Master升多Master步骤？	upload-certs→token→reset→join–control-plane
63	证书x509错误原因？	证书SAN不含VIP新IP
64	keepalived作用？	VRRP协议实现VIP高可用
65	生产高可用Master数？	推荐3个Master + 3个etcd
66	MetalLB作用？	私有集群实现LoadBalancer
67	ExternalName特点？	无ClusterIP，CNAME转发
68	ep vs EndpointSlice？	ep单对象全量，EndpointSlice分片增量
69	探针四种检查机制？	exec/httpGet/tcpSocket/grpc
70	postStart vs preStop？	postStart启动后，preStop停止前
71	RBAC两种绑定？	RoleBinding(同NS)/ClusterRoleBinding(跨NS)
72	kubeconfig加载优先级？	–kubeconfig > KUBECONFIG > ~/.kube/config
73	X.509证书CN字段？	CN=用户名，O=组名
74	金丝雀发布核心？	Service selector只选apps不选version
75	蓝绿部署核心？	修改SVC selector切换流量
76	灰度vs蓝绿vs A/B？	灰度渐进替换、蓝绿两套环境、A/B用户级
77	传统业务上K8s三步？	Linux部署→Docker化→K8s部署
78	Dashboard版本对应？	K8s 1.23用Dashboard 2.5.1
79	metrics-server作用？	为kubectl top和HPA提供数据
80	VPA重启Pod？	Auto模式通常需要重启
81	STS vs Operator？	Operator=STS+CRD，生产推荐
82	VolumeClaimTemplate？	为每个STS Pod创建独立PVC
83	STS有序部署？	默认0→N创建，N→0删除
84	Parallel管理策略？	同时创建/删除所有Pod
85	RBD vs CephFS？	RBD单节点独占(RWO)，CephFS多节点共享(RWX)
86	默认SC限制？	集群只能有一个默认SC
87	PVC绑定规则？	选择满足accessModes且capacity>=requests的最小PV
88	回收策略Retain？	删除PVC后PV保留，需手动回收
89	回收策略Delete？	删除PVC时自动删除PV及数据
90	initContainer特点？	顺序执行，全部成功后才启动业务容器
91	subPath作用？	挂载单个文件，不覆盖整个目录
92	hostNetwork必配？	dnsPolicy:ClusterFirstWithHostNet
93	hostPort本质？	iptables DNAT规则
94	port-forward场景？	临时调试测试
95	IngressRouteTCP匹配？	HostSNI(`*`)
96	Traefik部署方式？	Helm安装（推荐）
97	流量镜像场景？	压测、问题复现、新版本验证
98	Gateway API灰度？	HTTPRoute backendRefs设置weight
99	Flannel故障排查？	describe看Events，检查CNI插件
100	生产CNI选择？	小规模Flannel，中规模Calico，大规模Cilium