ontainerd.sock �meout: 10 debug: false EOF ★crictl常用操作 crictl只支持pull拉取镜像及rmi删除镜像操作，不支持push及tag打标签 # crictl images #查看镜像，默认查询k8s.io命名空间，且不可指定命名 空间 # crictl ps pod-nginx-web1-v1.19.5 #pod名，这个名称可带小数点 labels: #给pod打标签，便于其他资源对它的选择 lbname: lbvalue-nginx-web1 spec: containers: periodSeconds: 3 restartPolicy: Always #重启策略，默认Always #selector: #根据标签选择目标资源 # matchLabels: # lbnamexx: lbvaluexx #nodeSelector: #选择特定node结点去运行此容器

客户端可取得此元数据。 将元数据附加到对象 您可以使⽤标签或Annotation将元数据附加到Kubernetes对象。标签可⽤于选择对象并查找满⾜某些条件的对象集合。 相⽐之下，Annotation不⽤于标识和选择对象。Annotation中的元数据可⼤可⼩，结构化或⾮结构化，并且可包括标签 所不允许的字符。 Annotation类似于标签，是键值对映射： "annotations": { RC的POD标签选择器，即：监控和管理拥有这些标签的POD实例，确保当前集群中有且只有repli cas个POD实例在运⾏ template: metadata: labels: # 指定该POD的标签 app: mysql # POD副本拥有的标签，需要与RC的selector⼀致 MYSQL_ROOT_PASSWORD value: "123456" 如上所示，⼀个RC的定义⼀般包含了如下三部分： 11-K8s架构及基本概念 32 Pod所期待的副本数 筛选Pod的标签选择器：RC通过Label来关联对应的Pod Pod模板：当集群中Pod的副本数量⼩于（⼤于）期望值时，K8s就会使⽤该模板去创建（删除）新的Pod。 Service Service可以简单理

存储卷名称：配置该存储类的名称，当创建pvc时，需要引⽤该名称 容量：所要创建存储卷的⼤⼩，单位GB 访问模式：ReadWirteMany：可以多个节点同时读写，ReadWriteOnce：仅单个节点读写 标签：可以添加⾃定义的标签 查看存储卷详情 点击单个存储卷的详情，即可查看该存储卷的详细信息 可以在基本信息和yaml⽂件中切换不同的显示⽅式 20 删除存储卷 21 ⾸云⽀持创建⽆状态（Deploy 在容器服务菜单下，单击左侧导航栏中的应⽤>⽆状态，选择所需的命名空间（默认为deafult）， 然后单击⻚⾯右上⻆的创建。 b) 设置应⽤名称、集群 、命名空间、副本数量（即应⽤包含的 Pod 数量）、标签和注解。然后单击 下⼀步进⼊容器配置⻚⾯ 应⽤管理 1. 简介 2. 前提条件 3. 操作说明 22 c) 设置容器配置 i. 基本配置 镜像名称：填写所⽤镜像名称，本例中为hel 望副本 数的百分⽐上限 27 可选：Pod标签和注解。设置容器组的标签和注解。可⽤于Pod的调度设置。 可选：调度设置（亲和性调度依赖节点和 Pod 标签，您可使⽤内置的标签进⾏调度；也可预先 为节点、Pod 配置相关的标签） 节点亲和性。通过已有节点 Node 的标签（键）、操作符和标签值（值）进⾏设置。 必须满⾜，即硬约束，⼀定要满⾜，对应

做出反应，根据它所代表的异常情况开始跟踪和定位，而不是去手忙脚乱地查阅文档。 16 www.h3c.com Confidential 秘密 16 16 K8s基本概念和术语介绍（Label） Label（标签）： Lable是一个key-value键值对，由用户自己制定。可以附加在各种资源上，比如node 、pod、svc、rc等，一个对象 资源可以定义任意数量的Lable，同时一个lable也可以被 Lable就是给资源对象打一个标签，然后通过Label Secletor（标签选择器）查询和筛选拥有某些Label的资源对象， k8s通过这种方式实现了类似SQL的简单和通用的对象查询机制。 标签选择器可以类比SQL语句中的where查询条件，例如name=redis-salve 表示只查询名字为redis-salve的资源对 象。 env != production: 匹配所以不具有标签 env = production production 的资源对象 name in（redis-master，redis-salve）：匹配所有带有标签name=master或者name=salve的资源 name not in （php）：匹配所有不具有标签name=php的资源对象 也可以多个条件一起使用。 标签和标签选择器共同构成了k8s系统中最核心的应用模型，使得被管理对象能够被精细的分组管理，同时实现了整 个集群的高可用性。

高可用 • 服务鉴权 • 漏洞防护 服务治理的区分 服务治理中心 提供者 消费者 Agent Agent 用户 配置中心 治理规则 Dev-Sec-Ops 无损下线 离群实例摘除 标签路由 服务鉴权 链路跟踪 金丝雀发布 API管理 服务测试 限流降级 故障注入 • 业务无侵入、无感知 • 0升级成本 • 全面兼容开源 注册中心 元数据中心 微服务引擎 基于 Java 购物车服务 服务鉴权: 保护你的敏感业务 AZ 标 Region 标 压测标 版本标 场景标 自定义标 标签路由 金丝雀发布 全链路流控 场景链路 同 AZ 优先路由 容灾路由 全链路压测 自定义标 tag1 tag2 Provider Consumer 标签路由 可灰度 可监控 可回滚 变更管控 安全变更三板斧 故障应急 发布封网 故障复盘 紧急发布 1 消费者 提供者 2 version=gray 2. 注册环境标签 user-id=121 提供者 3 Deployment1 1. version=normal 1. version=gray 治理中心 Agent Agent Agent Agent Deployment2 注册中心 标签是云原生环境下的一等公民 user-id=120 version=normal

Reserved. 21 问控制（ABAC） 允许我们将标签关联到数据源；如果用户与相同的标签关联，就会获得访问权限。通过利用 Immuta 和 Snowflake 的集成，我们已经能够以自助方式自动授权对数据产品或数据集的访问。当“用户”请 求访问数据产品或数据集时，一旦获得批准，数据产品标签将被关联到“用户”作为属性。由于“用户”的属 性与数据源上的标签匹配，因此根据 Immuta 的全局订阅策略，访问权限将自动授予。值得一提的是 Google 开发的一个工具，用于测试容器镜像的结构。CST 可以用于检查镜像文件系 统中某个文件的存在或缺失，验证文件的内容，检查容器中发出的特定命令的输出或错误，并检查容器镜像的 元数据（例如标签、入口点和命令），以确保符合 CIS Docker Benchmark 的规范。我们在使用 CST 方面有很 好的经验，建议您可以试用一下。除了预防漏洞，检查容器是否暴露不必要的端口之外，我们还使用它来验证 Webkit，Playwright 团队不得不向这些浏览 器提交补丁，这有时可能会限制框架。 Playwright 的功能包括：内置自动等待，这使得测试更可靠、更易于理解； 浏览器上下文，可让您测试跨标签 页的持久会话是否正常工作；以及模拟通知、地理位置和黑暗模式设置的能力。 Playwright 为测试套件带来的 稳定性给我们的团队留下了深刻印象，并且喜欢它可以并行运行测试以更快地获得反馈。 Playwright

——Kubernetes的优势 vs. Mesos and Swarm Ø 来自Google的简单一致的设计理念 Ø 原生为容器集群打造 Ø 原生服务发现 Ø 统一的资源模型 Ø 支持丰富的标签Label发现机制 Ø 原生负载均衡，高可用方案 Ø 原生的Rolling Update设计 Ø 为生产环境专门打造的容器集群 Ø 多镜像Pod Ø 多种业务类型：Service+RC/Job/DaemonSet emptyDir, hostPath, gcePersistentDisk, … Ø persistentVolumn, persistentVolumnClaim Kubernetes的统一资源模型和 丰富的标签选择器 Kubernetes的架构 Ø Pod： 最小部署单元，可支持多容器镜像 Ø RC：控制Pod的个数和Pod的生命周期 Ø Service：服务入口，由Kube-proxy支持负载均衡 Ø

Etcd ② 核心数据库 • 云盘机制保护应用数据 • 举例：1.4升级1.9版本 • Pod Hash发生变化 • Container名称发生变化，点分隔改为了下划线分隔 • 容器标签发生变化 pause容器的标签io.kubernetes.container.name=POD改为 io.kubernetes.docker.type=podsandbox io.kubernetes.container

Containers 可以 共享网络和存储 Kubernetes 基本概念 - Service • Service 是一组 Pod 协同工作。 • 有时也被称为微服务。 • 可以给 Service 添加标签 （label 来标识其业务属性。 • 通过 kube-proxy 可以得到固定 的 virtual IP 和端口。 Kubernetes 基本概念 - Controller • 一个