## Pod 容忍节点异常时间调整 ### 1. 原理说明 Kubernetes 集群节点处于异常状态之后需要有一个等待时间，才会对节点上的 Pod 进行驱逐。那么针对部分关键业务，是否可以调整这个时间，便于在节点发生异常时及时将 Pod 驱逐并在别的健康节点上重建？ 要解决这个问题，我们首先要了解 Kubernetes 在节点异常时驱逐 Pod 的机制。 在 Kubernetes 1.13 这两个 feature gate，节点及其上 Pod 的生命周期管理将通过节点的 Condition 和 Taint 来进行，Kubernetes 会不断地检查所有节点状态，设置对应的 Condition，根据 Condition 为节点设置对应的 Taint，再根据 Taint 来驱逐节点上的 Pod。 同时在创建 Pod 时会默认为 Pod 添加相应的 tolerationSeconds 参数，指定当节点出现异常（如 参数，指定当节点出现异常（如 NotReady）时 Pod 还将在这个节点上运行多长的时间。 那么，节点发生异常到 Pod 被驱逐的时间，就取决于两个参数：1. 节点实际异常到被判断为不健康的时间；2. Pod 对节点不健康的容忍时间。 Kubernetes 集群中默认节点实际异常到被判断为不健康的时间为 40s, Pod 对节点 NotReady 的容忍时间为 5min, 也就是说, 节点实际异常

to locate failure 1 Which component is going wrong 2 Which component that leads delivery of the pod to failure ## SLIs on Large k8s Cluster ### 1. Cluster health state A combination value indicates Success rate A rate value indicates the rate of success about creating/upgrading pod. ### 3. Number of Terminating Pod A number value indicates the count of pods that can not be deleted in a certain standard: |Pod|Feature|Time limit|Success condition| |---|---|---|---| |Pod|RestartPolicy=Always|1min (example value)|the status of {.Status.Conditions. "type==Ready"} is "True"| |Job Pod|Res

Configuration Files 38 4.2 Kubelet 42 5 Kubernetes Policies 49 5.1 RBAC and Service Accounts 49 5.2 Pod Security Policies 50 5.3 Network Policies and CNI 52 ### 5.6 General Policies # CIS Kubernetes Benchmark Security Configuration ### 1.1 Master Node Configuration Files #### 1.1.1 Ensure that the API server pod specification file permissions are set to 644 or more restrictive (Scored) Result: Not Applicable configuration is passed in as arguments at container run time. #### 1.1.2 Ensure that the API server pod specification file ownership is set to root:root (Scored) Result: Not Applicable Remediation: RKE

本文提供有关在集群中配置和管理节点、Pod和容器的说明。它还提供有关配置Pod调度和放置、使用作业（job）和 DaemonSet来自动执行操作，以及确保集群保持高效性的其他任务信息。 ## 目录 第1章 节点概述 ..... 9 1.1. 关于节点 ..... 9 读取操作 ..... 9 管理操作 ..... 9 功能增强操作 ..... 9 1.2. 关于 POD ..... 10 11 第2章 使用 POD ..... 12 2.1. 使用 POD ..... 12 2.1.1. 了解 pod ..... 12 2.1.2. pod 配置示例 ..... 12 2.1.3. 其他资源 ..... 15 2.2. 查看 POD ..... 15 2.2.1. 关于 pod ..... 15 2.2.2. 查看项目中的 pod ..... 15 2.3. 查看 pod 用量统计 ..... 16 2.2.4. 查看资源日志 ..... 16 2.3. 为 POD 配置 OPENSHIFT CONTAINER PLATFORM 集群 ..... 17 2.3.1. 配置 pod 重启后的行为 ..... 18 2.3.2. 限制可供 pod 使用的带宽 ..... 19 2.3.3. 了解如何使用 pod 中断预算来指定必须在线的

13-Node 1.14 14-Pod 1.15 15-Replica Set 1.16 16-Deployment 1.17 17-StatefulSet 1.18 18-Demon Set 1.19 19-配置最佳实践 1.20 20-管理容器的计算资源 1.21 21-Kubernetes资源分配 1.22 22-将Pod分配到Node 1.23 23-容忍与污点 23-容忍与污点 1.24 24-Secret 1.25 25-Pod优先级和抢占 1.26 26-Service 1.27 27-Ingress Resources 1.28 28-动态水平扩容 1.29 29-实战：使用K8s编排WordPress博客 1.30 ## 简介 Kubernetes开源书。不啰嗦了，JUST READ IT. • GitHub地址：https://github Distributing secrets • Checking application health • Replicating application instances • Using Horizontal Pod Autoscaling • Naming and discovering • Balancing loads • Rolling updates • Monitoring resources

本文提供有关在集群中配置和管理节点、Pod和容器的说明。它还提供有关配置Pod调度和放置、使用作业（job）和 DaemonSet来自动执行操作，以及确保集群保持高效性的其他任务信息。 ## 目录 第1章 节点概述 ..... 9 1.1. 关于节点 ..... 9 读取操作 ..... 9 管理操作 ..... 10 增强操作 ..... 10 1.2. 关于 POD ..... 10 12 第2章 使用 POD ..... 13 2.1. 使用 POD ..... 13 2.1.1. 了解 pod ..... 13 2.1.2. pod 配置示例 ..... 13 2.1.3. 其他资源 ..... 16 2.2. 查看 POD ..... 16 2.2.1. 关于 pod ..... 16 2.2.2. 查看项目中的 pod ..... 16 2.3. 查看 pod 用量统计 ..... 17 2.2.4. 查看资源日志 ..... 17 2.3. 为 POD 配置 OPENSHIFT CONTAINER PLATFORM 集群 ..... 18 2.3.1. 配置 pod 重启后的行为 ..... 19 2.3.2. 限制可供 pod 使用的带宽 ..... 20 2.3.3. 了解如何使用 pod 中断预算来指定必须在线的

specific service account is assigned to the pod. Where access to the Kubernetes API from a pod is required, a specific service account should be created for that pod, and rights granted to that service account 9-rancher1-1" enable_network_policy: true default_pod_security_policy_template_id: "restricted" services: etcd: uid: 52034 gid: 52034 kube-api: pod_security_policy: true secrets_encryption_config: weave_node: "" weave_cni: "" pod_infra_container: "" ingress: "" ingress_backend: "" metrics_server: "" windows_pod_infra_container: "" ssh_key_path:

requires a private IP to be provided when registering the custom nodes. • When setting the default_pod_security_policy_template_id: to restricted Rancher creates RoleBindings and ClusterRoleBindings on specific service account is assigned to the pod. Where access to the Kubernetes API from a pod is required, a specific service account should be created for that pod, and rights granted to that service account 9-rancher1-1" enable_network_policy: true default_pod_security_policy_template_id: "restricted" services: etcd: uid: 52034 gid: 52034 kube-api: pod_security_policy: true secrets_encryption_config:

their respective owners. ## 摘要 本文档提供有关配置和管理 OpenShift Container Platform 集群网络的说明，其中包括 DNS、Ingress 和 Pod 网络。 ## 目录 第1章 了解网络 ..... 6 1.1. OPENSHIFT CONTAINER PLATFORM DNS ..... 6 1.2. OPENSHIFT CONTAINER .. 19 5.1. DNS OPERATOR ..... 19 5.2. 更改 DNS OPERATOR MANAGEMENT STATE ..... 19 5.3. 控制 DNS POD 放置 ..... 20 5.4. 查看默认 DNS ..... 21 5.5. 使用 DNS 转发 ..... 21 5.6. DNS OPERATOR 状态 ..... 23 5 了解多网络 134 13.2. 配置额外网络 134 13.3. 关于虚拟路由和转发 146 13.4. 配置多网络策略 146 13.5. 将 POD 附加到额外网络 152 13.6. 从额外网络中删除 POD 157 13.7. 编辑额外网络 157 13.8. 删除额外网络 158 13.9. 为 VRF 分配从属网络 159 第 14 章 硬件网络

their respective owners. ## 摘要 本文档提供有关配置和管理 OpenShift Container Platform 集群网络的说明，其中包括 DNS、Ingress 和 Pod 网络。 ## 目录 第1章 了解网络 ..... 10 1.1. OPENSHIFT CONTAINER PLATFORM DNS ..... 10 1.2. OPENSHIFT CONTAINER 2.6. 通过应用 YAML 清单来创建额外网络附加 89 11.3. 将 POD 附加到额外网络 89 11.3.1. 将 pod 添加到额外网络 89 11.3.1.1. 指定特定于 pod 的地址和路由选项 91 11.4. 从额外网络中删除 POD 94 11.4.1. 从额外网络中删除 pod 94 11.5. 编辑额外网络 95 11.5.1. 修改额外网络附加定义 支持的设备 98 12.1.1.3. 自动发现 SR-IOV 网络设备 98 12.1.1.3.1. SriovNetworkNodeState 对象示例 98 12.1.1.4. 在 pod 中使用虚拟功能的示例 100 12.1.2. 后续步骤 101 12.2. 安装 SR-IOV NETWORK OPERATOR 101 12.2.1. 安装 SR-IOV Network