如何通过优化策略让CentOS上K8s部署更高效？

老实说，

Kubernetes 已成为容器编排的事实标准。在 CentOS 上部署 K8s 时许多运维工程师会遇到以下痛点：

• 节点 CPU 或内存不足导致 Pod 调度失败或频繁 OOM。
• 镜像拉取慢，集群启动时间过长。
• 网络插件配置不当导致跨节点通信不稳定。
• 安全策略缺失，容易被恶意访问或注入攻击。

下面通过一系列调整策略，让您的 CentOS K8s 部署更加高效、稳定与安全。

一、节点资源配置与规划

为保证 Kubernetes 集群正常运行，需要为每个节点预留足够的 CPU 与内存资源。下面给出最小与推荐配置建议，并针对常见痛点提出方法。怎么说呢，

规格	最小配置	推荐配置
CPU	2 核	4 核以上
内存	4GB	8GB 以上
存储	100GB	200GB+
EBS / 本地 SSD 等 I/O 密集型业务请选用更高性能磁盘。

1.1 使用 cgroups 限制容器资源使用情况

通过 Kubernetes 的 ResourceQuota 与 LimitRange 对 Pod 做硬限制。可避免单个容器抢占宿主机过多资源，从而保障集群整体健康。

1.2 节点标签化管理

根据业务类型给节点打标签。例如： role=web server=true ,结合 Affinity/Anti-Affinity 策略实现更细粒度的调度，提高资源利用率。

二、程序内核与基础环境升级

2.1 升级至支持最新功能的 Kernel

Kubernetes 对 cgroup v1/v2、iptables、brctl 等有明确要求。若使用旧版 CentOS 内核，可能出现“无法创建 cgroup”或“网桥不可用”的错误。再看请执行，

$ sudo yum update -y kernel
$ sudo grub2-set-default 0 # 根据实际版本确认
$ reboot
$ uname -r # 验证新 Kernel 是否已生效

2.2 开启必要的内核参数

# sysctl -w net.bridge.bridge-nf-call-iptables=1
# sysctl -w net.bridge.bridge-nf-call-ip6tables=1
# sysctl -w vm.swappiness=10
# 永久化到 /etc/sysctl.d/k8s.conf
net.bridge.bridge-nf-call-iptables = 1
net.bridge.bridge-nf-call-ip6tables = 1
vm.swappiness = 10
# 重载：
$ sudo sysctl --system

三、K8s 集群安装与基本配置

3.1 添加官方镜像源并安装组件

AWS/阿里云镜像源可加速下载。 并确保版本兼容，话说回来，示例使用阿里云镜像：

$ cat> /etc/yum.repos.d/kubernetes.repo 

3.2 初始化集群 

# kubeadm init --pod-network-cidr=10.244.0.0/16 \
--apiserver-advertise-address=$


$ mkdir -p $HOME/.kube && cp -i /etc/kubernetes/admin.conf $HOME/.kube/config && chown $:$ $HOME/.kube/config

$ kubectl get nodes # 应该显示 Ready 状态。


worker 节点加入命令示例：

bash
sudo kubeadm join ${master_ip}:6443 \
--token ${token} \
--discovery-token-ca-cert-hash sha256:${hash}



网络插件部署 
Calico 是最常见且功能完整的选择。怎么说呢，


$ kubectl apply -f https://docs.projectcalico.org/manifests/calico.yaml


$ kubectl get pods --all-namespaces | grep calico


健康检查 & 排错技巧 kubectl describe node  可查看 CPU/memory 使用率及事件日志。



*四、性能调整策略*


4.1 调整 Pod 调度策略 




topologySpreadConstraints均匀分布同类工作负载，防止单台机器过载。


affinity+antiAffinity根据标签或拓扑层级进行亲和性/反亲和性调度，提高缓存命中率。



taints/tolerations对特定任务设置专属节点，提高可靠性。

``



说到示例，让数据库副本均匀分布在不同 AZ 上：
yaml
apiVersion: apps/v1
说到kind，Deployment
metadata:
至于name，mysql-replicas
说到spec，replicas: 6
selector:
matchLabels:
再看app，mysql
template:
metadata:
说到labels，app: mysql
tier的观点是，db
从spec来看，affinity:
podAntiAffinity:
requiredDuringSchedulingIgnoredDuringExecution:
- labelSelector:
matchExpressions:
- key: app
operator: In
再看values。- mysql
topologyKey: failure-domain.娱乐a.kubernetes.io/zone





4.2 镜像缓存与加速 




Create a local registry mirror and configure Docker/Docker‑Compose to use it.


kubelet --image-pull-progress-deadline=30m加长拉取超时以应对网络波动。



kubectl set image deployment/ = 用 digest 固定镜像版本，避免意外更新导致回滚。
``





4.3 节点监控与自动伸缩 


"

Kubectl 命令行工具结合 Promeus + Grafana 实时监控 CPU/Memory/MemUsage 等指标。
"

"Cluster Autoscaler 在 EKS/GKE 中已成熟，可在裸机上自行搭建。"
"Deployment 的replicas:` 数量可根据监控数据。"
""




五、安全强化措施



5.1 启用 RBAC 与最小权限原则 
`

"

"创建 RoleBinding 或 ClusterRoleBinding 时只授予必需权限，例如仅允许某个团队修改自家 namespace。"
"/api/v1/namespaces/{namespace}/pods?labelSelector=myapp=true&limit=50&continue={continueToken}"
"

"



5.二 网络策略控制流量 
"

"

"Calico 支持 NetworkPolicy，可定义 ingress/egress 規則。不过，例如只允许 HTTP 从 LoadBalancer 注入。而拒绝所有其他协议，"
"# Example Policy"
""
"

"


5三 容器镜像安全扫描 "

"

"使用 Clair 或 Trivy 对私有仓库中的镜像进行扫描，并设置 webhook 自动触发。"
"$ trivy image myrepo/app:v1 | tee trivyreport.txt && if grep 'VULNERABLE' trivyreport.txt;n echo '风险'，fi"
""
"

"

。