Debian环境下Kubernetes部署的最佳实践

一 环境与规划

• 操作系统与版本：优先选用 Debian 12（Bookworm），内核保持最新稳定版以获得更好的容器与网络特性支持。
• 硬件基线：控制平面建议至少 2 核 CPU / 4 GB RAM / 20 GB 磁盘；工作节点按业务负载适当提升。
• 网络与互通：节点间需 稳定互通，规划好 Pod 网段 与 Service 网段，避免与宿主机/现有内网冲突。
• 主机标识：为每个节点设置 唯一主机名，并在 /etc/hosts 中维护 IP-主机名映射，便于内网解析与故障排查。
• 基础软件：准备 kubeadm / kubelet / kubectl 与容器运行时（推荐 containerd，也可使用 Docker）。

二 系统准备与内核参数

• 系统更新与基础工具：执行 apt update && apt upgrade -y，安装必要工具（如 ca-certificates、curl、gnupg）。
• 关闭 Swap：执行 swapoff -a，并在 /etc/fstab 中注释 swap 条目，避免 kubelet 启动失败。
• 内核模块与转发：加载 overlay、br_netfilter 模块，开启桥接与转发，使 Pod 网络与 Service 转发正常。
• sysctl 参数：启用 net.bridge.bridge-nf-call-iptables=1 与 net.ipv4.ip_forward=1，确保容器网络包被正确转发与过滤。
• 主机名与解析：使用 hostnamectl 设置主机名，并在 /etc/hosts 添加节点映射，减少 DNS 依赖。
• 防火墙放行：如使用 UFW，放行 6443、2379、2380、10250、10251、10252、10255 等端口；如使用 nftables/iptables，按等价的规则放行。

三 容器运行时与Kubernetes组件安装

• 容器运行时（推荐 containerd）：
  • 安装并启用 containerd；生成默认配置 /etc/containerd/config.toml；按需启用 SystemdCgroup = true 以与 kubelet 的 cgroup 驱动一致；重启生效。
• 或选择 Docker：
  • 添加 Docker 官方 APT 源并安装 docker-ce、docker-ce-cli、containerd.io；启动并设置开机自启。
• 安装 kubeadm/kubelet/kubectl：
  • 添加 Kubernetes APT 源并安装组件；执行 apt-mark hold kubelet kubeadm kubectl 防止非受控升级导致版本漂移。
• 版本策略：控制平面与工作节点组件版本尽量 保持一致或兼容，减少调度与升级风险。

四 集群初始化与网络插件

• 初始化控制平面：
  • 使用 kubeadm init 初始化，指定 –pod-network-cidr（如 10.244.0.0/16 或 192.168.0.0/16），确保与后续网络插件配置一致；完成后按提示保存 kubeadm join 命令。
• 配置 kubectl：
  • 拷贝 /etc/kubernetes/admin.conf 至 $HOME/.kube/config，并修正权限，确保当前用户可访问集群。
• 安装网络插件（二选一或按场景选择）：
  • Calico：适合大多数生产环境，提供网络策略与大规模集群能力。
  • Flannel：轻量易用，适合快速落地与中小规模集群。
• 加入工作节点：在各工作节点执行 kubeadm join，完成后在主节点验证 kubectl get nodes 状态为 Ready。

五 安全与运维最佳实践

• 访问控制与隔离：启用 RBAC 最小权限；按业务划分 Namespace；为敏感端口设置网络策略与主机防火墙。
• 节点与镜像安全：容器以 非 root 用户运行；使用 最小化基础镜像；定期更新节点与镜像以修复漏洞。
• 审计与合规：开启并集中采集 审计日志，对关键 API 调用进行告警与追溯。
• 升级与变更：遵循 kubeadm 升级流程 进行版本升级；变更前备份 etcd 与关键清单；分阶段灰度。
• 可观测性：部署 监控（如 metrics-server、Prometheus） 与 日志（如 Loki、EFK），建立告警阈值与 SLO。
• 生产建议：控制平面节点 至少 3 台 实现高可用；为 etcd 与 API Server 配置 负载均衡 与 健康检查；定期演练 备份恢复 与 故障切换。