Kubernetes 在 CentOS 的最佳实践
一 环境与系统基线
- 保持系统基线稳定：所有节点完成 yum update -y，设置唯一 hostname，配置 静态 IP 与 /etc/hosts 解析，启用 NTP/chrony 做时间同步，避免因时钟漂移导致证书与调度异常。
- 容器运行时优先选择 Containerd（CRI 原生、轻量、社区默认），如必须使用 Docker，确保启用并正确配置其 containerd 组件。
- 必备前置：禁用 Swap（swapoff -a 并注释 /etc/fstab）、加载 br_netfilter、开启桥接流量进入 iptables（net.bridge.bridge-nf-call-iptables=1、net.bridge.bridge-nf-call-ip6tables=1、net.ipv4.ip_forward=1）。
- 安全基线与防火墙：生产环境不建议直接关闭防火墙，应基于业务端口放行；如为 PoC 可临时关闭。对 SELinux，生产优先 enforcing + 精确策略，仅在排障阶段短时使用 permissive。
二 集群安装与网络
- 安装工具链：使用 kubeadm/kubelet/kubectl 官方仓库安装，kubelet 开机自启并设置为 systemd 驱动（与容器运行时保持一致）。
- 初始化控制面：kubeadm init 时显式指定 –pod-network-cidr（如 Flannel 常用 10.244.0.0/16，Calico 常用 192.168.0.0/16），按需设置 –apiserver-advertise-address 与 –image-repository（国内可用镜像加速）。
- 镜像拉取：若遇到 k8s.gcr.io 拉取失败，使用 registry.k8s.io 或国内镜像源，并可先执行 kubeadm config images pull 验证。
- 加入节点：使用 kubeadm 生成的 join 命令（包含 token 与 –discovery-token-ca-cert-hash）将 Worker 加入集群。
- CNI 网络：部署 Calico/Flannel 等插件后，确认节点变为 Ready、CoreDNS 等系统 Pod 运行正常。
- 高可用：生产建议 多 Master + VIP/Keepalived + 外部负载均衡，etcd 与控制面组件均做高可用部署。
三 安全与访问控制
- 组件通信启用 TLS，kubelet 与 API Server、kube-proxy、scheduler、controller-manager 等证书自动轮换与校验。
- 启用 RBAC 最小权限模型，按团队/应用划分 ServiceAccount/Role/ClusterRole/RoleBinding/ClusterRoleBinding。
- 使用 Pod Security Standards（或 PSP 替代方案）与 SecurityContext（runAsNonRoot、readOnlyRootFilesystem、capabilities 最小化）。
- 网络隔离：通过 NetworkPolicy 限制 Pod-to-Pod、Namespace-to-Namespace 通信，默认拒绝、按需放行。
- 镜像与供应链安全：使用可信镜像仓库，启用 imagePullSecrets，定期扫描镜像漏洞。
- 系统加固：SSH 禁用 root 登录与密码登录、启用 fail2ban，内核参数与系统服务按最小暴露面配置。
四 资源、调度与可观测性
- 资源配置：为工作负载设置 requests/limits，为关键命名空间配置 ResourceQuota/LimitRange，避免资源争用。
- 调度优化：为 DaemonSet/系统组件 设置 tolerations 与 nodeAffinity，为数据密集型/延迟敏感型 Pod 设置 污点与容忍 或节点选择器。
- 自动扩缩容：部署 Metrics Server，启用 HPA（基于 CPU/内存/自定义指标），必要时结合 Cluster Autoscaler。
- 存储：按场景选择 本地盘/块存储/分布式存储，为数据库等有状态应用配置 StorageClass/PV/PVC 与备份策略。
- 可观测性：部署 Prometheus + Grafana 做指标监控，使用 EFK/ELK 或 Loki 做日志收集与检索，结合 Alertmanager 配置告警规则。
五 维护、升级与备份恢复
- 变更管理：使用 声明式 YAML 与 GitOps（如 Argo CD/Flux）管理集群与应用，变更前在测试环境验证。
- 版本升级：遵循 Kubernetes 版本支持矩阵，采用 滚动升级（kubeadm upgrade）分阶段进行，先在测试集群演练。
- 备份恢复：定期备份 etcd（快照）、集群配置与关键应用数据；制定 灾难恢复预案 并定期演练。
- 日常巡检：监控 节点 NotReady、Pod CrashLoopBackOff、PVC Pending 等异常，结合 kubectl describe/get events/logs 快速定位。
- 内核与系统调优：根据负载调整 文件句柄、nf_conntrack、ARP 缓存、内核网络参数 等，持续压测与观测以验证调优收益。