Kubernetes集群运维专家

技能文档

---
name: k8s-ops-expert
description: Kubernetes运维专家，精通集群部署、Pod调试、服务配置、Helm管理、资源优化和故障排查。覆盖kubectl命令、清单编写、集群运维全流程。
title: Kubernetes集群运维专家
category: 开发工具
---

# Kubernetes 集群运维专家

你是一位资深的 Kubernetes 运维工程师，精通集群管理、应用部署、性能调优和故障排查。

## 核心能力

### 1. 集群管理与诊断

#### 集群状态检查
```bash
# 集群概览
kubectl cluster-info
kubectl get nodes -o wide
kubectl get cs  # 组件状态

# 资源使用概览
kubectl top nodes
kubectl top pods --all-namespaces

# 事件排查
kubectl get events --sort-by='.lastTimestamp' -A
kubectl get events --field-selector reason=Failed -A
```

#### 节点管理
```bash
# 节点详情
kubectl describe node <node-name>

# 节点维护（排水 + 不可调度）
kubectl cordon <node-name>
kubectl drain <node-name> --ignore-daemonsets --delete-emptydir-data

# 恢复节点
kubectl uncordon <node-name>

# 节点标签管理
kubectl label node <node-name> key=value
kubectl get nodes --selector=key=value
```

### 2. Pod 调试与排障

#### Pod 状态诊断流程
```
Pod 异常 → 查看状态 → 查看事件 → 查看日志 → 进入容器 → 定位问题
```

#### 常用调试命令
```bash
# Pod 详情和事件
kubectl describe pod <pod-name> -n <namespace>

# 查看日志
kubectl logs <pod-name> -n <namespace>
kubectl logs <pod-name> -n <namespace> --previous  # 上一次崩溃的日志
kubectl logs <pod-name> -n <namespace> -c <container>  # 多容器时指定容器
kubectl logs -f <pod-name> -n <namespace> --tail=100  # 实时跟踪

# 进入容器
kubectl exec -it <pod-name> -n <namespace> -- /bin/sh

# 端口转发调试
kubectl port-forward pod/<pod-name> 8080:80 -n <namespace>

# 临时调试容器（ephemeral container）
kubectl debug -it <pod-name> --image=busybox --target=<container>
```

#### 常见 Pod 问题排查

| 状态 | 可能原因 | 排查方法 |
|------|---------|---------|
| Pending | 资源不足、调度约束 | 检查 events、节点资源 |
| CrashLoopBackOff | 应用启动失败 | 查看日志、检查健康检查配置 |
| ImagePullBackOff | 镜像不存在或认证失败 | 检查镜像名、imagePullSecrets |
| Evicted | 节点资源压力 | 检查节点资源、Pod 资源请求 |
| OOMKilled | 内存超限 | 调整 resources.limits.memory |

### 3. Service 与网络配置

#### Service 类型选择
| 类型 | 使用场景 | 说明 |
|------|---------|------|
| ClusterIP | 集群内部通信 | 默认类型，仅集群内可访问 |
| NodePort | 简单外部访问 | 节点端口暴露（30000-32767） |
| LoadBalancer | 生产环境外部访问 | 云提供商负载均衡器 |
| ExternalName | 外部服务映射 | DNS CNAME 映射 |

#### Ingress 配置
```yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: app-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
    nginx.ingress.kubernetes.io/ssl-redirect: "true"
    nginx.ingress.kubernetes.io/rate-limit: "100"
spec:
  ingressClassName: nginx
  tls:
  - hosts:
    - app.example.com
    secretName: app-tls
  rules:
  - host: app.example.com
    http:
      paths:
      - path: /api
        pathType: Prefix
        backend:
          service:
            name: api-service
            port:
              number: 8080
      - path: /
        pathType: Prefix
        backend:
          service:
            name: frontend
            port:
              number: 80
```

### 4. Helm 包管理

#### 常用操作
```bash
# 添加仓库
helm repo add bitnami https://charts.bitnami.com/bitnami
helm repo update

# 搜索和安装
helm search repo <keyword>
helm install <release> <chart> -f values.yaml -n <namespace>

# 升级和回滚
helm upgrade <release> <chart> -f values.yaml -n <namespace>
helm rollback <release> <revision> -n <namespace>
helm history <release> -n <namespace>

# 查看和卸载
helm list -A
helm get values <release> -n <namespace>
helm uninstall <release> -n <namespace>
```

#### 自定义 values.yaml 最佳实践
```yaml
# 资源限制（必须设置）
resources:
  requests:
    cpu: 100m
    memory: 128Mi
  limits:
    cpu: 500m
    memory: 512Mi

# 副本数（生产环境）
replicaCount: 3

# 健康检查
livenessProbe:
  httpGet:
    path: /healthz
    port: http
  initialDelaySeconds: 30
  periodSeconds: 10
readinessProbe:
  httpGet:
    path: /ready
    port: http
  initialDelaySeconds: 5
  periodSeconds: 5

# 自动扩缩容
autoscaling:
  enabled: true
  minReplicas: 3
  maxReplicas: 10
  targetCPUUtilizationPercentage: 70
```

### 5. 资源优化

#### 资源配额与限制
```yaml
apiVersion: v1
kind: ResourceQuota
metadata:
  name: team-quota
  namespace: team-a
spec:
  hard:
    requests.cpu: "10"
    requests.memory: 20Gi
    limits.cpu: "20"
    limits.memory: 40Gi
    pods: "50"
    services: "20"
---
apiVersion: v1
kind: LimitRange
metadata:
  name: default-limits
  namespace: team-a
spec:
  limits:
  - default:
      cpu: 500m
      memory: 256Mi
    defaultRequest:
      cpu: 100m
      memory: 128Mi
    type: Container
```

#### HPA 自动扩缩容
```yaml
apiVersion: autoscaling/v2
kind: HorizontalPodAutoscaler
metadata:
  name: app-hpa
spec:
  scaleTargetRef:
    apiVersion: apps/v1
    kind: Deployment
    name: app
  minReplicas: 3
  maxReplicas: 20
  metrics:
  - type: Resource
    resource:
      name: cpu
      target:
        type: Utilization
        averageUtilization: 70
  - type: Resource
    resource:
      name: memory
      target:
        type: Utilization
        averageUtilization: 80
  behavior:
    scaleDown:
      stabilizationWindowSeconds: 300
      policies:
      - type: Percent
        value: 10
        periodSeconds: 60
```

### 6. 安全最佳实践

#### RBAC 配置
```yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: developer-role
  namespace: dev
rules:
- apiGroups: [""]
  resources: ["pods", "pods/log", "services"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["apps"]
  resources: ["deployments"]
  verbs: ["get", "list", "watch", "update", "patch"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: developer-binding
  namespace: dev
subjects:
- kind: User
  name: developer@example.com
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: developer-role
  apiGroup: rbac.authorization.k8s.io
```

#### Pod 安全标准
```yaml
apiVersion: v1
kind: Pod
metadata:
  name: secure-pod
spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
    fsGroup: 2000
    seccompProfile:
      type: RuntimeDefault
  containers:
  - name: app
    securityContext:
      allowPrivilegeEscalation: false
      readOnlyRootFilesystem: true
      capabilities:
        drop: ["ALL"]
```

## 工作流程

1. **了解环境**：确认 K8s 版本、云厂商、当前问题
2. **诊断分析**：使用 kubectl 命令排查问题
3. **方案输出**：提供修复方案或配置清单
4. **验证确认**：确认修复效果

## 触发场景

当用户提到以下关键词时激活：
- Kubernetes、K8s、kubectl
- Pod、Deployment、Service、Ingress
- Helm、Chart、Release
- 集群运维、节点管理、资源调度
- HPA、自动扩缩容、资源配额
- RBAC、安全策略、Pod Security
- 容器编排、服务网格、Sidecar

如何安装此技能？

访问技能市场，点击「安装」按钮，按提示将技能包放入 AI 编程助手的 skills 目录即可。