跳转至

基本概念

容器管理相关的基本概念如下。

集群 Cluster

集群指容器运行所需要的云资源组合,关联了若干云服务器节点。您可以在集群中运行您的应用程序。基于容器管理平台,可以创建若干集群或者接入若干 Kubernetes 标准集群。

节点 Node

每一个节点对应一台虚拟机/物理服务器,所有的容器应用运行在集群的节点上。容器平台上的系统组件默认运行在控制器节点上,用于管理节点上运行的容器实例。集群中的节点数量可以进行扩缩容,节点类型分为:控制器节点(Controller)及工作节点(Worker)。

容器组 Pod

容器组是 Kubernetes 部署应用或服务的最小的基本单位。一个容器组可以封装一个或多个应用容器、存储资源、一个独立的网络 IP,这些容器是相对紧密的耦合在一起的。

容器 Container

容器是通过容器镜像部署运行的实例,容器将应用程序从底层的主机设施中解耦,因此在不同的云或 OS 环境中应用程序的部署部署更容易。

工作负载 Workload

工作负载是在 Kubernetes 上运行的应用程序。

无论工作负载是单一组件还是由多个组件构成,在 Kubernetes 中都可以在一组 Pod 中运行这些工作负载。

在 Kubernetes 提供若干种内置的工作负载资源:

  • 无状态服务 (Deployment):容器组之间完全独立、功能相同,具有弹性扩缩、滚动升级等特性。常用来部署无状态应用实现快速的扩缩,相较于有状态服务,实例数量可以灵活扩缩。例如 Nginx、WordPress。请参考创建无状态服务

  • 有状态服务 (StatefulSet):容器组之间不完全独立,具有稳定的持久化存储和网络标示,以及有序的部署、扩缩和删除等特性。因为容器可以在不同主机间迁移,所以在主机上并不会保存数据,通过将存储卷挂载在容器上,从而实现有状态(Statefulset)服务的数据持久化,例如 mysql-HA、etcd。请参考创建有状态服务

  • 守护进程服务 (DaemonSet):容器组之间完全独立,保证在分配的节点中持续执行后台任务,而无需用户干预。守护进程 (DaemonSet) 服务在每个节点创建一个 Pod,您可以选择部署的一个特定节点。守护进程示例包括像 Fluentd 之类的日志收集器和监控服务。请参考创建守护进程服务

  • 普通任务(Job):普通任务是一次性运行的短任务,部署完成后即可执行。使用场景为在创建工作负载前,执行普通任务,将镜像上传至镜像仓库。请参考创建普通任务

  • 定时任务(CronJob):定时任务是按照指定时间周期运行的短任务。使用场景为在某个固定时间点,为所有运行中的节点做时间同步。请参考创建定时任务

服务与容器间的关系

一个服务由一个或多个容器组(Pod)组成。一个容器组由一个或多个容器组成,每个容器都对应一个容器镜像。对于无状态工作负载,容器组都是完全相同的。

应用模板

标准模板的统一资源管理和调度,并进行相关功能扩展。您可以基于应用模板管理和部署社区标准应用模板,以及自定义业务应用模板。

镜像 Image

容器镜像是一个容器应用打包的标准格式的模板,用于创建容器。 Docker 镜像是一个特殊的文件系统,除了提供容器运行时所需的程序、库、资源、配置等文件外,还包含了一些为运行时准备的配置参数(如匿名卷、环境变量、用户等)。 镜像不包含任何动态数据,其内容在构建之后也不会被改变。

例如:一个镜像可以包含一个完整的 Ubuntu 操作系统环境,里面仅安装了 Apache 或用户需要的其它应用程序。

命名空间 Namespace

命名空间是对一组资源和对象的抽象整合。在同一个集群内可创建不同的命名空间,不同命名空间中的数据彼此隔离。使得它们既可以共享同一个集群的服务,也能够互不干扰。例如:

  • 可以将开发环境、测试环境的业务分别放在不同的命名空间。

  • 常见的 Pod、Service、Replication Controller 和 Deployment 等都属于某一个命名空间(默认是 Default),而 Node、PersistentVolume 等则不属于任何命名空间。

服务 Service

Service 是将运行在一组 Pod 上的应用程序公开为网络服务的抽象方法。

使用 Kubernetes,您无需修改应用程序即可使用不熟悉的服务发现机制。Kubernetes 为 Pod 提供自己的 IP 地址和一组 Pod 的单个 DNS 名称,并且可以在它们之间进行负载平衡。

Kubernetes 允许指定一个所需类型的 Service,该类型的取值以及行为如下:

  • ClusterIP:集群内访问。通过集群的内部 IP 暴露服务,选择该值,服务只能够在集群内部访问,这也是默认的 ServiceType。

  • NodePort:节点访问。通过每个 Node 上的 IP 和静态端口(NodePort)暴露服务。NodePort 服务会路由到 ClusterIP 服务,这个 ClusterIP 服务会自动创建。通过请求 <NodeIP>:<NodePort>,可以从集群的外部访问一个 NodePort 服务。

  • LoadBalancer:负载均衡。使用云提供商的负载均衡器,可以向外部暴露服务。外部的负载均衡器可以路由到 NodePort 服务和 ClusterIP 服务。

七层负载均衡 Ingress

Ingress 是为进入集群的请求提供路由规则的集合,可以给 Service 提供集群外部访问的 URL、负载均衡、SSL 终止、HTTP 路由等。

网络策略 NetworkPolicy

NetworkPolicy 提供了基于策略的网络控制,用于隔离应用并减少攻击面。它使用标签选择器模拟传统的分段网络,并通过策略控制它们之间的流量以及来自外部的流量。

配置项 ConfigMap

ConfigMap 用于保存配置非机密性的数据保存到键值对中。使用时, 容器组可以将其用作环境变量、命令行参数或者存储卷中的配置文件。

ConfigMap 将您的环境配置信息和容器镜像解耦,便于应用配置的修改。

密钥 Secret

Secret 类似于 Configmap,但用于保存机密数据(如密码、Token、密钥等)的配置信息,Secret 将敏感信息和容器镜像解耦,不需要在应用程序代码中包含机密数据。

标签 Label

标签其实是一对 key/value,被关联到对象上,比如 Pod。标签的使用倾向于能够标示对象的特点,并且对用户而言是有意义的,但是标签对内核系统是没有直接意义的。标签可以在创建对象时指定,也可以在对象创建后指定。

选择器 LabelSelector

Label Selector 是 Kubernetes 核心的分组机制,通过 Label Selector 客户端/用户能够识别一组有共同特征或属性的资源对象。

注解 Annotation

Annotation 可以将 Kubernetes 资源对象关联到任意的非标识性元数据,可以通过注解检索到这些元数据。

Annotation 与 Label 类似,也使用 Key/Value 键值对的形式进行定义。

存储卷 PersistentVolume

PersistentVolume (PV) 和 PersistentVolumeClaim (PVC) 提供了方便的持久化卷:PV 提供网络存储资源,而 PVC 申领存储资源。

存储声明 PersistentVolumeClaim

PV 是存储资源,而 PersistentVolumeClaim (PVC) 是对 PV 的申领请求。PVC 跟 Pod 类似:Pod 消费 Node 资源,而 PVC 消费 PV 资源;Pod 能够请求 CPU 和内存资源,而 PVC 请求特定大小和访问模式的数据卷。

弹性扩缩 HPA

Horizontal Pod Autoscaling,简称 HPA,是 Kubernetes 中实现 Pod 水平自动扩缩的功能。Kubernetes 集群可以通过 Replication Controller 的扩缩机制完成服务的扩容或缩容,实现具有扩缩性的服务。

亲和性与反亲和性

亲和性和反亲和性扩展了您可以定义的约束类型。使用亲和性与反亲和性的一些好处有:

  • 亲和性、反亲和性的表现能力更强。nodeSelector 只能选择拥有所有指定标签的节点。亲和性、反亲和性为您提供对选择逻辑的更强控制能力。

  • 您可以标明某规则是“软需求”或者“偏好”,这样调度器在无法找到匹配节点时仍然调度该 Pod。

  • 您可以使用节点上(或其他拓扑域中)运行的其他 Pod 的标签来实施调度约束,而不是只能使用节点本身的标签。这个能力让您能够定义规则允许哪些 Pod 可以被放置在一起。

在应用没有容器化之前,原先一个虚机上会装多个组件,进程间会有通信。但在做容器化拆分的时候,往往直接按进程拆分容器,比如业务进程一个容器,监控日志处理或者本地数据放在另一个容器,并且有独立的生命周期。 这时如果它们分布在网络中两个较远的节点,请求经过多次转发,其性能会很差。

  • 亲和性:可以实现就近部署,增强网络能力实现通信上的就近路由,减少网络的损耗。例如应用 A 与应用 B 两个应用频繁交互,所以有必要利用亲和性让两个应用的尽可能的靠近,甚至在一个节点上,以减少因网络通信而带来的性能损耗。

  • 反亲和性:主要是出于高可靠性考虑,尽量分散实例,某个节点故障的时候,对应用的影响只是 N 分之一或者只是一个实例。例如当应用采用多副本部署时,有必要采用反亲和性让各个应用实例打散分布在各个节点上,以提高 HA 能力。

节点亲和性 NodeAffinity

通过选择标签的方式,可以限制容器组被调度到特定的节点上。

节点反亲和性 NodeAntiAffinity

通过选择标签的方式,可以限制容器组不被调度到特定的节点上。

容器组负载亲和性 PodAffinity

指定工作负载部署在相同节点。用户可根据业务需求进行工作负载的就近部署,容器间通信就近路由,减少网络消耗。

容器组反亲和性 PodAntiAffinity

指定工作负载部署在不同节点。同个工作负载的多个实例反亲和部署,减少宕机影响;互相干扰的应用反亲和部署,避免干扰。

资源配额 Resource Quota

资源配额(Resource Quota)是用来限制用户资源用量的一种机制。

资源限制 Limit Range

默认情况下,Kubernetes 中所有容器都没有任何 CPU 和内存限制。LimitRange 用来给命名空间增加一个资源限制,包括最小、最大和默认资源。在容器组创建时,强制执行使用 limits 的参数分配资源。

环境变量

环境变量是指容器运行环境中设定的一个变量,您可以在创建容器模板时设定不超过 30 个的环境变量。环境变量可以在工作负载部署后修改,为工作负载提供了极大的灵活性。

评论