作者: Rodrigo Campos（Microsoft）、Giuseppe Scrivano（Red Hat） Kubernetes v1.25 引入了对用户名字空间的支持。 这是在 Kubernetes 中运行安全工作负载的一项重大改进。 每个 Pod 只能访问系统上可用 UID 和 GID 的有限子集， 因此添加了一个新的安全层来保护 Pod 免受运行在同一系统上的其他 Pod 的影响。 它

作者： Fabio Bertinatto (Red Hat), Hemant Kumar (Red Hat) 译者： Xin Li (DaoCloud) 将 fsGroup 委托给 CSI 驱动程序管理首先在 Kubernetes 1.22 中作为 Alpha 特性引入， 并在 Kubernetes 1.25 中进阶至 Beta 状态。 对于 Kubernetes 1.26，我们很高兴地宣布此特性

作者： Wei Huang (Apple), Abdullah Gharaibeh (Google) 译者： XiaoYang Zhang (HuaWei) Kubernetes 1.26 引入了一个新的 Pod 特性：调度门控。 在 Kubernetes 中，调度门控是通知调度器何时可以考虑 Pod 调度的关键。 它解决了什么问题？ 当 Pod 被创建时，调度器会不断尝试寻找适合它的节点。这个无

作者： Filip Křepinský (Red Hat), Morten Torkildsen (Google), Ravi Gudimetla (Apple) 译者： Michael Yao (DaoCloud) 确保对应用的干扰不影响其可用性不是一个简单的任务。 上个月发布的 Kubernetes v1.26 允许针对 PodDisruptionBudget (PDB) 指定不健康 Pod

作者: Alex Wang (Shopee), Kante Yin (DaoCloud), Kensei Nakada (Mercari) 译者: Michael Yao (DaoCloud) 在 Kubernetes v1.19 中， Pod 拓扑分布约束进阶至正式发布 (GA)。 随着时间的流逝，SIG Scheduling 收到了许多用户的反馈， 随后通过 3 个 KEP 积极改进了 Top

作者：Chris Henzie (Google) 译者：顾欣 (ICBC) 随着 Kubernetes v1.27 的发布，ReadWriteOncePod 功能已经升级为 Beta 版。 在这篇博客文章中，我们将更详细地介绍这个功能，作用以及在 Beta 版本中的发展。 什么是 ReadWriteOncePod ReadWriteOncePod 是 Kubernetes 在 v1.22 中引入的

作者： Peter Schuurman (Google) 译者： Xin Li (DaoCloud) Kubernetes v1.26 为 StatefulSet 引入了一个新的 Alpha 级别特性，可以控制 Pod 副本的序号。 从 Kubernetes v1.27 开始，此特性进级到 Beta 阶段。序数可以从任意非负数开始， 这篇博文将讨论如何使用此功能。 背景 StatefulSet 序

作者: Vinay Kulkarni (Kubescaler Labs) 译者：Paco Xu (Daocloud) 如果你部署的 Pod 设置了 CPU 或内存资源，你就可能已经注意到更改资源值会导致 Pod 重新启动。 以前，这对于运行的负载来说是一个破坏性的操作。 在 Kubernetes v1.27 中，我们添加了一个新的 alpha 特性，允许用户调整分配给 Pod 的 CPU 和内存资

作者：Paco Xu (DaoCloud), Sergey Kanzhelev (Google), Ruiwen Zhao (Google) 译者：Michael Yao (DaoCloud) 如何在大型集群中加快节点上的 Pod 启动？这是集群管理员可能面临的常见问题。 本篇博文重点介绍了从 kubelet 一侧加快 Pod 启动的方法。它不涉及通过 kube-apiserver 由 contr

Kubernetes 目前看来已经成为了docker的应用最多的编排工具，所以学习使用docker容器的话，就免不了使用 Kubernetes，但是其网络原理还是比较晦涩难懂，所以还是有必要专门解析关于 Kubernetes 的网络原理。 Kubernetes 的网络模型组成 Pod 内部 docke r容器之间网络通信[基础 docker 网络理论] Pod 所在的网络之间通信[基础 docke

Istio 为网格中的微服务提供了较为完善的安全加固功能，在不影响代码的前提下，可以从多个角度提供安全支撑，官方文档做了较为详细的介绍，但是也比较破碎，这里尝试做个简介兼索引，实现过程还是要根据官方文档进行。 Istio 的安全功能主要分为三个部分的实现： 双向 TLS 支持。 基于黑白名单的访问控制。 基于角色的访问控制。 JWT 认证支持。 首先回顾一下 Istio 网格中的服务通信过程： 利

本文为翻译文章，点击查看原文。 随着 Istio 1.0 版本的发布，Istio 正在为开发云原生应用并希望采用服务网格解决方案的公司准备黄金时间。但是，有一个潜在的问题可能会降低这些公司的采用率：服务网格内的 Pod 需要提升权限才能正常运行。 为了从一定程度上缓解这个问题，本文将介绍一个新的工具：istio-pod-network-controller。 问题 作为服务网格正常操作的一部分，I

本文为翻译文章，点击查看原文。 编者按 许多Kubernetes用户，特别是那些企业级用户，很快就遇到了对环境自动缩放的需求。幸运的是，Kubernetes Horizontal Pod Autoscaler（HPA）允许您将部署配置为以多种方式水平扩展。使用Kubernetes Autoscaling的最大优势之一是您的集群可以跟踪现有Pod的负载能力，并计算是否需要更多的Pod。 Kubern

本文通过spotguides——一个示例spring-boot应用，讲了Banzai Cloud是如何通过Istio operator来实现pod水平扩展。 基于自定义Istio指标的Pod水平自动缩放 Pipeline的核心功能之一，Banzai Cloud的应用程序和devops容器管理平台，是多维的并可以基于默认和自定义指标进行自动调节。 在我们引入自定义指标后，我们选择了通过Prometh

本文为翻译文章，点击查看原文。 编者按 目前 Kubernetes 的 Pod 水平自动伸缩（HPA，Horizontal Pod Autoscaler）已在业界广泛应用。但对一些特殊的 Pod（如一些有状态的 Pod），HPA 并不能很好地解决资源不足的问题。 这就引出 Pod 垂直自动伸缩（VPA，Vertical Pod Autoscaler），本文主要介绍 Kubernetes 社区对 P

前言 这篇内容篇幅比较长，如果不想深入探讨或时间有限，这是全文简述： 在默认设置下，扩展 Kubernetes 集群中的 pod 和节点可能需要几分钟时间。 了解如何调整集群节点的大小、配置水平和集群自动缩放器以及过度配置集群以加快扩展速度。 目录 当自动伸缩的 Pod 报错 Kubernetes 的 Cluster Autoscaler 是如何工作的 探索 Pod 自动伸缩提前期 为 Kuber

本文译自 Istio 官方博客。 这是 Istio 在 2021 年发布的第三个版本，我们要感谢整个 Istio 社区，特别是来自红帽的发布经理 John Wendell、来自 Solo.io 的 Ryan King 和来自英特尔的 Steve Zhang，感谢他们帮助 Istio 1.11.0 发布。该版本正式支持 Kubernetes 1.18.0 到 1.22.x。下面是该版本的一些亮点。

模型和动机 Kubernetes从Docker默认的网络模型中独立出来形成一套自己的网络模型。该网络模型的目标是：每一个pod都拥有一个扁平化共享网络命名空间的IP，通过该IP，pod就能够跨网络与其它物理机和容器进行通信。一个pod一个IP模型创建了一个干净、反向兼容的模型，在该模型中，从端口分配、网络、域名解析、服务发现、负载均衡、应用配置和迁移等角度，pod都能够被看成虚拟机或物理机。 另一

背景介绍 在Kubernetes中卷的作用在于提供给POD持久化存储，这些持久化存储可以挂载到POD中的容器上，进而给容器提供持久化存储。 从图中可以看到结构体PodSpec有个属性是Volumes，通过这个Volumes属性可以关联到结构体Volume和结构体VolumeSource，而且这个Volumes属性是一个数组类型，就是说POD可以关联到多个不同类型的卷上面。 结构体Container

大纲： Kubernetes中如何发现服务 如何发现Pod提供的服务 如何使用Service发现服务 如何使用kube-dns发现服务 kube-dns原理 组成 域名格式 配置 注：本次分享内容基于Kubernetes 1.2版本！ 下面从一个简单的例子开始讲解。 1、Kubernetes中如何发现服务 ◆   发现Pod提供的服务 首先使用nginx-deployment.yaml文件创建一个