【云原生之K8s】 Pod基础概念

---

一、资源限制

Pod是Kubernetes中自小的资源管理组件，Pod也是最小化运行容器化应用的资源对象。一个Pod代表着集群中运行的一个进程。Kubernetes中其它大多数组件都是围绕着Pod来进行支撑和扩展Pod功能的，例如用于管理Po的运行的StatefulSet和Deployment等控制器对象，用于暴露Pod应用的Service和Ingress对象，为Pod提供存储的PersistentVolume存储资源对象等。

二、Pod的两种使用方式

• 一个Pod中运行一个容器。每个Pod中一个容器的模式是最常见的用法，在这种使用方式中，你可以把Pod想象成是单个容器的封装，Kubernetes管理的是Pod而不是直接管理容器。
• 在一个Pod中同时运行多个容器。一个Pod中也可以同时封装几个紧密耦合互相协作的容器，它们之间共享资源。这些在同一个Pod中的容器可以相互协作成为一个service单位，比如一个容器共享文件，另一个sidecar容器来更新这些文件。Pod将这些容器的存储资源作为一个实体来管理

三、Pod资源共享

一个Pod下的容器必须运行于同一节点上。现在容器技术建议一个容器只运行一个进程，该进程在容器中PID命令空间中的进程号为1，可以直接接收并处理信号，进程终止时容器生命周期也就结束了。

若想在容器内运行多个进程，需要有一个类似Linux操作系统init进程的管理类进程，以树状结构完成多进程的生命周期管理。运行于各自容器内的进程无法直接完成网络通信，这是由于容器间的隔离机制导致，K8s中的Pod资源抽象正是解决此类问题，Pod对象是一组容器的集合，这些容器共享Network、UTS及IPC命名空间，因此具有相同的域名、主机名和接口，并可通过IPC直接通信

四、底层容器Pause

Pod资源中针对各容器提供网络命名空间等共享机制的是底层基础容器pause，基础容器（也可称为父容器）pause就是为了管理Pod容器间的共享操作，这个父容器需要能够准确地知道如何去创建共享运行环境的容器，还能管理这些容器的生命周期。为了实现这个父容器的构想，Kubernetes中，用pause容器来作为一个Pod中所有容器的父进程。这个pause容器有两个核心的功能，一是它提供整个Pod的Linux命名空间的基础。二来启动PID命名空间，它在每个Pod中都作为PID为1进程（init进程），并回收僵尸进程。

1.Pause共享资源

1.1 网络

每个Pod都被分配一个唯一的IP地址。Pod中的所有容器共享网络空间，包括IP地址和端口。Pod内部的容器可以使用localhost互相通信。Pod中的容器与外界通信时，必须分配共享网络资源（例如使用宿主机的端口映射）。

1.2 存储

可以Pod指定多个共享的Volume。Pod中的所有容器都可以访问共享的Volume。Volume也可以用来持久化Pod中的存储资源，以防容器重启后文件丢失。

1.3 小结

每个Pod都有一个特殊的被称为"基础容器"的Pause容器。Pause容器对应的镜像属于Kubernetes平台的一部分，除了Pause容器，每个Pod还包含一个或者多个紧密相关的用户应用容器。

2.Pause主要功能

Kubernetes中的pause容器主要为每个容器提供以下功能：

• 在pod中担任Linux命名空间（如网络命名空间）共享的基础
• 启用PID命名空间，开启init进程

3.Pod与Pause结构的设计初衷

1. 原因一：在一组容器作为一个单元的情况下，难以对整体的容器简单地进行判断及有效地进行行动。比如，一个容器死亡了，此时是算整体挂了吗？那么引入与业务无关地pause容器作为Pod的基础容器，以它的状态代表着整个容器组的状态，这样就可以解决该问题
2. 原因二：Pod里的多个应用容器共享pause容器的IP，共享pause容器挂载的Volume，这样简化了应用容器之间的通信问题，也解决了容器之间的文件共享问题

五、Pod容器的分类

1.基础容器

• 维护整个Pod网络和存储空间
• Node节点中操作
• 启动一个容器时，K8s会自动启动一个基础容器

2.初始化容器

init容器必须在应用程序容器启动之前运行完成，而应用程序容器是并行运行的，所以init容器能够提供一种简单的阻塞或延迟应用容器的启动的办法。init容器与普通的容器非常像，除了以下两点：

• init容器总是运行到成功完成为止
• 每个init容器都必须在下一个init容器启动之前成功完成启动和退出

如果Pod的init容器启动失败，K8s会不断地重启该Pod，知道init容器成功为止。然而，如果Pod对应的重启策略（restartPolicy）为Never，它不会重新启动

init容器的作用
因为init容器具有与应用容器分离的单独镜像，其启动相关代码具有如下优势：

• init容器可以包含一些安装过程中应用容器中不存在的实用工具或个性化代码。例如，没有必要仅为了在安装过程中使用类似sed、awk、python或dig这样的工具而去FROM一个镜像来生成一个新的镜像
• init容器可以安全地运行这些工具，避免这些工具导致应用镜像的安全性降低
• 应用镜像的创建者和部署者可以各自独立工作，而没有必要联合构建一个单独的应用镜像
• init镜像能以不同于Pod内应用容器的文件系统视图运行。因此，init容器可具有访问Secrets的权限，而应用容器不能够访问
• 由于init容器必须在应用容器启动之前运行完成，因此init容器提供了一种机制来阻塞或延迟应用容器的启动，知道满足了一组先决条件。一旦前置条件满足，Pod内的所有的应用容器会并行启动

3.应用容器（main container）

应用容器会在init容器完成并退出后并行启动

六、操作示例

1.编写myapp.yaml

apiVersion: v1
kind: Pod
metadata:
  name: myapp-pod
  labels:
    app: myapp
spec:
  containers:
  - name: myapp-container
    image: busybox:1.28
    command: ['sh','-c','echo The app is running! && sleep 3600']
  initContainers:
  - name: init-myservice
    image: busybox:1.28
    command: ['sh','-c','until nslookup myservice;do echo waiting for myservice; sleep2; done;']
  - name: init-mydb
    image: busybox:1.28
    command: ['sh','-c','until nslookup mydb; do echo waiting for mydb; sleep 2; done;']
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

这个例子是定义了一个具有2个init容器的简单Pod。第一个等待myservice启动，第二个等待mydb启动。一旦这两个init容器都启动完成，Pod将启动spec中的应用容器

2.创建myapp.yaml配置资源

kubectl apply -f myapp.yaml
kubectl get pod
1
2

3.查看pod创建过程

kubectl describe pod myapp-pod
1

发现开启init-myservice容器后，创建步骤停滞，查看init-myservice日志进一步查明原因

4.查看pod日志

kubectl logs myapp-pod -c init-myservice
1

5.编写myservice.yaml

apiVersion: v1
kind: Service
metadata:
  name: myservice
spec:
  ports:
  - protocol: TCP
    port: 80
    targetPort: 1111
1
2
3
4
5
6
7
8
9

6.创建myservice.yaml配置资源

kubectl create -f myservice.yaml
1

myservice生成后，发现myapp-pod状态变为Init:1/2且再次停滞，停止原因与上述相同

7.编写mydb.yaml

apiVersion: v1
kind: Service
metadata:
  name: mydb
spec:
  ports:
  - protocol: TCP
    port: 80
    targetPort: 2222
1
2
3
4
5
6
7
8
9

8.创建mydb.yaml配置资源

kubectl create -f mydb.yaml
kubectl get pod,svc
1
2

9.查看myapp-pod创建全过程

kubectl describe pod myapp-pod
1

1、创建过程中第一次停滞，是init-myservice容器启动后，未能发现myservice域名，无法得到解析，因此陷入循环

2、第二次停滞，是init-mydb容器启动后，未能发现mydb域名，无法得到解析，因此再次陷入循环中

3、在上述两个init容器成功并推出后，myapp-pod才开始创建，否则pod无法创建

10.小结

1. 在Pod启动过程中，init容器会按顺序在网络中和数据卷初始化之后启动。每个容器必须在下一个容器启动之前成功退出
2. 如果由于运行时或失败退出，将导致容器启动失败，它会根据Pod的restartPolicy指定的策略进行重试。然而，如果Pod的restartPolicy 设置为Always，init容器失败时会使用RestartPolicy策略
3. 在所有的init容器没有成功之前，Pod将不会变成Ready状态。init容器的端口将不会在Service中进行聚集。正在初始化中的Pod处于Pending状态，但应该会将initializing状态设置为true
4. 如果Pod重启，所有init容器必须重新执行
5. 对init容器spec的修改被限制在容器image字段，修改其它字段都不会生效。更改init容器的image字段，等价于重启该Pod
6. init容器具有应用容器的所有字段。除了readinessProbe，因为init容器无法定义不同于完成（completion）的就绪（readiness）之外的其它状态。这会在验证过程中强制执行
7. 在Pod中的每个app和init容器的名称必须唯一；与任何其它容器共享同一个名称，会在验证时抛出错误

七、镜像拉取策略（image PullPolicy）

Pod的核心是运行容器，必须指定容器引擎，比如docker，启动容器时需要拉取镜像，K8s的镜像拉取策略可以由用户指定：

• IfNotPresent：在镜像已经存在的情况下，kubelet将不再去拉取镜像，仅当本地缺失时才会从仓库中拉取，默认的镜像拉取策略
• Alaways：每次创建Pod都会重新拉取一次镜像
• Never：Pod不会主动拉取这个镜像，仅使用本地镜像

注意：对于标签为latest的镜像文件，其默认的镜像获取策略即为Always；而对于其它标签的镜像，其默认策略则为IfNotPresent

1.官方示例

创建使用私有镜像的Pod来验证

kubectl apply -f - <<EOF
apiVersion: v1
kind: Pod
metadata:
  name: private-image-test-1
spec:
  containers:
    - name: uses-private-image
      image: $PRIVATE_IMAGE_NAME
      imagePullPolicy: Always
      command: [ "echo", "SUCCESS" ]
EOF
1
2
3
4
5
6
7
8
9
10
11
12

输出类似于

pod/private-image-test-1 created
1

如果一切顺利，那么一段时间后你可以执行

kubectl logs private-image-test-1
1

然后可以看到SUCCESS，如果你怀疑命令失败了，可以运行

kubectl describe pods/private-image-test-1 | grep 'Failed'
1

如果命令确实失败了，输出类似于

Fri, 26 Jun 2015 15:36:13 -0700    Fri, 26 Jun 2015 15:39:13 -0700    19    {kubelet node-i2hq}    spec.containers{uses-private-image}    failed        Failed to pull image "user/privaterepo:v1": Error: image user/privaterepo:v1 not found
1

2.不指定版本，查看默认拉取策略

2.1 不指定版本号创建pod

kubectl run nginx-test --image=nginx
1

2.2 查看默认拉取策略

kubectl edit pod nginx-test
1

2.3 查看创建过程

kubectl describe podnginx-test
1

由于拉取策略为Always，因此不管本地有没有对应镜像，kubectl都会前往公有仓库下载最新版本应用

3.测试案例（非循环命令）

3.1 创建测试案例mypod.yaml

apiVersion: v1
kind: Pod
metadata:
  name: mypod
spec:
  containers:
    - name: nginx
      image: nginx
      imagePullPolicy: Always
      command: [ "echo","SUCCESS" ]
1
2
3
4
5
6
7
8
9
10

3.2 生成mypod配置资源

kubectl create -f mypod.yaml
kubectl get pods
1
2

该pod状态为CrashLoopBackOff，说明pod进入异常循环状态。原因是echo执行完进程终止，容器生命周期也就结束了

3.3 查看创建过程

kubectl describe pod mypod
1

可以发现Pod中的容器在生命周期结束后，由于Pod的重启策略为Always，容器再次重启了，并且又重新开始拉取镜像

3.4 修改mypod.yaml

失败的状态的原因是因为命令启动冲突
删除command:[“echo”,“SUCCESS”]
同时更改以下版本
image:nginx:1.14

vim mypod.yaml
1

3.5 删除原有资源

kubectk delete -f mypod.yaml
1

3.6更新资源

kubectl apply -f mypod.yaml

#查看分配节点
kubectl get pods -o wide
1
2
3
4

3.7 在node1节点使用curl查看头部信息

4.测试案例（循环命令）

4.1 修改mypod.yaml

apiVersion: v1
kind: Pod
metadata:
  name: mypod
spec:
  containers:
    - name: nginx
      image: nginx
      imagePullPolicy: IfNotPresent
      command: [ "sh","while true;do echo SUCCESS;done" ]
1
2
3
4
5
6
7
8
9
10

4.2 生成新的mypod.yaml配置资源

#删除原有资源
kubectl delete -f mypod.yaml

#生成新的资源
kubectl apply -f mypod.yaml
1
2
3
4
5

4.3 查看pod状态

kubectl get pod -o wide
1

4.4 查看创建过程

kubectl describe pod mypod
1

4.5 查看pod日志

kubectl logs mypod
1

发现是命令错误

4.6 检查mypod.yaml文件

vim mypod.yaml
1

4.7 再次生成新的mypod.yaml配置资源

#删除原有的资源
kubectl delete -f mypod.yaml

#生成新的资源
kubectl apply -f mypod.yaml
1
2
3
4
5

4.8 查看创建过程

kubectl describe pod mypod
1

由于镜像拉取策略设定的是IfNotPresent，因此kubelet会先检查本地镜像仓库，如果有对应版本镜像就直接使用，没有的话才会前往镜像仓库拉取

4.9 查看pod日志

kubectl logs mypod
1

---