pod资源限定（资源限量是什么意思）
Part4:pod对象的管理
管理POD对象中的容器主要通过spec.CONTAINERs字段进行定义，明确容器的属性和行为。标签及标签选择器用于资源对象的分组和查询，帮助进行精确的资源管理和调度。为了避免shell解释器解析叹号！，标签选择器表达式必须使用单引号。节点选择器nodeSelector用于指定Pod被调度到具有特定标签的节点上，提供更精细的调度控制。
k8s之Pod安全策略
1、开启PodSecurityPolicy准入控制器，集群默认不允许创建任何Pod，需创建PodSecurityPolicy和RBAC授权策略。修改kube-apiServer配置文件以开启此功能。创建PodSecurityPolicy时，可设定不支持特权模式等条件，如需创建特权模式Pod，创建时将提示错误。配置正确后，Pod可成功创建。
2、Pod 的 dns 策略包括以下几种：需要注意的是，这里有一个容易误解的地方：乍看之下，很多人可能会认为 Default 是默认选项。但事实上，Default 并非默认值！默认值实际上是 ClusterFirst。也就是说，如果没有明确指定 DNSPolicy，系统将自动使用 ClusterFirst。
3、因此，在部署kubernetes时，需要关闭防火墙或对防火墙进行特定配置，以确保集群内部通信的畅通。 降低安全配置复杂度：虽然防火墙对系统安全有重要作用，但在Kubernetes集群中，安全策略通常通过网络策略和Pod安全策略等机制来实现。关闭防火墙可以降低安全配置的复杂度，提高运维效率。
4、RBAC：为Kubernetes集群添加额外的安全层，限制用户和应用程序的访问和准入。网络策略：明确声明和决定哪些流量是允许的，哪些是不允许的，保护Kubernetes环境。高可用性和负载均衡：高可用性配置：确保Kubernetes集群具有高可用性，如使用多主机和多etcd集群。
5、Never策略：正常或非正常停止，容器都不会重启。停止Tomcat后，正常情况下容器状态保持，非正常时显示Error状态。OnFailure策略：正常关闭无影响，非正常关闭（退出码非0）时，容器会重启。关闭Tomcat时，正常情况不重启，非正常情况会根据退出码进行重启。
6、在编写K8s工作负载清单时，清单中有一个名为securityContext的部分，允许您指定应该应用于工作负载的安全参数，如runAsUser， runAsGroup， privileged， capabilities等。在pod清单中配置这些参数，确保所有容器以非root用户身份运行，可以降低容器突破攻击的风险。
K8S学习指南(10)-k8s中为pod分配cpu和内存资源
Kubernetes中，资源通过Pod YAML文件配置，spec字段下的containers字段，使用resources字段进行。示例展示 示例展示了为Pod中容器设定CPU和内存请求及限制。资源分配最佳实践 合理配置Pod资源请求与限制，调整以适应应用需求，高效利用集群资源，提升系统稳定性和性能。本文实例与实践指南，助你深入了解Kubernetes资源分配。
在Kubernetes 27版本中，引入了一个新的alpha特性，允许用户在不重启Pod的情况下调整分配给Pod的CPU或内存资源的大小。此功能通过允许在Pod容器的resources字段中对CPU和内存资源进行更改实现，用户可以通过patch修改正在运行的Podspec来实现资源调整。
核2线程的CPU，被系统识别为4个逻辑CPU，k8s中会对逻辑CPU做分片限制。kubernetes中一个Cpu相当于1个Vcpu/core，intel处理器的1个超线程。Cpu：250m，表示0.25个cpu，pod正常启动最少的，必须使用的资源；500m，表示0.5个逻辑CPU，pod运行时，最多可以使用的资源。
不同的Pod可能有不同的资源需求，例如CPU、内存、存储I/O性能等。通过为具有特定资源特性的节点添加标签，并在Pod的部署配置中使用nodeSelector指定相应的标签，可以确保Pod被调度到满足其资源需求的节点上，从而提高资源利用率和应用性能。
核心概念概览集群：由多个节点构成，节点可动态添加，包含CPU和内存资源。容器：k8s的调度平台，作为宿主机上的进程或操作系统子集。Pod：k8s的基本调度单元，一个Pod可运行多个容器，共享资源。副本集（ReplicaSet）：维护应用实例数量，保证应用高可用。
Kubernetes——资源介绍
Namespace是kubernetes系统中的一种非常重要资源，它的主要作用是用来实现 多套环境的资源隔离 或者 多租户的资源隔离 。默认情况下，kubernetes集群中的所有的Pod都是可以相互访问的。但是在实际中，可能不想让两个Pod之间进行互相的访问，那此时就可以将两个Pod划分到不同的namespace下。
在深入研究Kubernetes资源之前，让我们先澄清一下“资源”一词在这里指的是什么。我们在Kubernetes集群中创建的任何东西都被视为一种资源：部署、pod、服务等。在本文中，我们将重点介绍CPU和内存等主要资源，以及暂态存储和扩展资源等其他资源类型。
Secret 支持作为卷中的文件或容器的环境变量使用。总结： ConfigMap 和 Secret 是 Kubernetes 中管理应用配置和敏感信息的两种重要资源。 ConfigMap 主要用于存储非敏感配置信息，而 Secret 则专注于敏感数据的存储和管理。
Kubernetes（K8s）作为容器编排平台，广泛应用于构建、部署及管理容器化应用。Pod作为最小部署单元，资源分配对其正常运行至关重要。本文将深入解析如何在Kubernetes中为Pod分配CPU和内存资源，并提供实例指导。资源分配为何重要？容器化环境中，多个应用共享主机资源。
可与在 Kubernetes 集群中设置一个默认的 StorageClass，这样当创建 PVC 时如果未指定 StorageClass 则会使用默认的 StorageClass。PV 是 Kubernetes 集群的存储资源，而 PVC 则是对存储资源的需求，创建 PVC 需要对 PV 发起使用申请，即和 PV 进行绑定。
Deployment在Kubernetes中的作用是定义和管理多副本应用，提供更丰富功能，使用更便捷，相比Replication Controller。在创建Service时，端口和节点端口的设置允许服务对内外提供服务。实现原理在于kube-proxy在本地节点上创建的iptables规则。
