玩转 Kubernetes DaemonSet：场景、原理与守护进程的艺术

玩转 Kubernetes DaemonSet：场景、原理与守护进程的艺术

各位 Kubernetes 的老铁们，今天咱们来聊聊 DaemonSet 这个在集群里默默奉献的“守护神”。你有没有遇到过这样的场景：需要在每个节点上都跑一份日志收集器、监控代理，或者是一些其他的系统服务？如果手动去每个节点部署，那简直是噩梦。这时候，DaemonSet 就该闪亮登场了！

DaemonSet 确保在集群的每个节点上都运行一个 Pod 的副本。当有新节点加入集群时，DaemonSet 会自动在新节点上部署相应的 Pod。当节点被移除时，DaemonSet 也会自动回收该节点上的 Pod。简单来说，DaemonSet 就是为了在每个节点上运行守护进程而生的。

1. DaemonSet 的典型使用场景

DaemonSet 的应用场景非常广泛，只要是需要在每个节点上运行的守护进程，都可以考虑使用 DaemonSet 来管理。这里列举几个最常见的场景：

• 日志收集：比如 Fluentd、Filebeat 等，它们负责收集节点上的各种日志，并将日志发送到中心化的日志存储系统。
• 监控代理：比如 Prometheus 的 node-exporter，它负责收集节点上的各种指标数据，供 Prometheus 抓取。
• 网络插件：比如 Calico、Flannel 等，它们负责配置节点的网络，实现 Pod 之间的网络互通。
• 存储插件：比如 Ceph 的 rbd-provisioner，它负责为 Pod 提供块存储服务。
• 安全代理：比如一些安全扫描工具，需要在每个节点上运行，监控节点上的安全风险。

这些守护进程通常需要以 root 权限运行，并且需要访问节点上的各种资源。因此，在设计 DaemonSet 的时候，需要特别注意安全性和资源管理。

2. DaemonSet 的工作原理

DaemonSet 的核心原理其实并不复杂，主要依赖于 Kubernetes 的以下几个组件：

• DaemonSet Controller：负责监控集群中的节点，并根据 DaemonSet 的定义，在每个节点上创建或删除 Pod。
• Node Selector：DaemonSet 可以通过 Node Selector 来指定 Pod 运行的节点。如果没有指定 Node Selector，则默认在所有节点上运行 Pod。
• Tolerations：DaemonSet 可以通过 Tolerations 来容忍节点上的污点（Taints）。这使得 DaemonSet 可以在具有特定污点的节点上运行 Pod。
• Pod Template：DaemonSet 使用 Pod Template 来定义 Pod 的配置，包括镜像、资源限制、环境变量等。

当创建一个 DaemonSet 时，DaemonSet Controller 会根据 DaemonSet 的定义，以及集群中节点的状况，来决定在哪些节点上创建 Pod。DaemonSet Controller 会不断地监控集群中的节点，一旦发现有新节点加入，或者有节点上的 Pod 异常退出，就会自动创建或重启 Pod，以保证每个节点上都有一个 Pod 的副本在运行。

3. 如何创建一个 DaemonSet？

创建 DaemonSet 的方式有很多种，最常见的就是使用 YAML 文件来定义 DaemonSet。下面是一个简单的 DaemonSet YAML 文件的示例：

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: fluentd-daemonset
  namespace: kube-system
spec:
  selector:
    matchLabels:
      name: fluentd
  template:
    metadata:
      labels:
        name: fluentd
    spec:
      tolerations:
      - key: node-role.kubernetes.io/master
        effect: NoSchedule
      containers:
      - name: fluentd
        image: fluent/fluentd:v1.14
        resources:
          limits:
            memory: 200Mi
          requests:
            cpu: 100m
            memory: 200Mi
        volumeMounts:
        - name: varlog
          mountPath: /var/log
        - name: varlibdockercontainers
          mountPath: /var/lib/docker/containers
          readOnly: true
      terminationGracePeriodSeconds: 30
      volumes:
      - name: varlog
        hostPath:
          path: /var/log
      - name: varlibdockercontainers
        hostPath:
          path: /var/lib/docker/containers

这个 YAML 文件定义了一个名为 fluentd-daemonset 的 DaemonSet，它会在每个节点上运行一个 Fluentd Pod。这个 Pod 会收集节点上的 /var/log 和 /var/lib/docker/containers 目录下的日志。

重点解读：

• apiVersion 和 kind：指定了 API 版本和资源类型，这里是 apps/v1 和 DaemonSet。
• metadata：定义了 DaemonSet 的元数据，包括名称和命名空间。
• spec.selector：定义了 Pod 的选择器，用于匹配要管理的 Pod。
• spec.template：定义了 Pod 的模板，用于创建 Pod。Pod 模板中包含了 Pod 的各种配置，比如镜像、资源限制、环境变量等。
• spec.template.spec.tolerations：定义了 Pod 的容忍度，用于容忍节点上的污点。这里容忍了 node-role.kubernetes.io/master 污点，允许 Pod 在 Master 节点上运行。
• spec.template.spec.containers：定义了 Pod 中的容器。这里定义了一个名为 fluentd 的容器，使用了 fluent/fluentd:v1.14 镜像。
• spec.template.spec.containers.resources：定义了容器的资源限制。这里限制了容器的内存使用量为 200Mi，CPU 使用量为 100m。
• spec.template.spec.containers.volumeMounts：定义了容器的卷挂载。这里将节点上的 /var/log 和 /var/lib/docker/containers 目录挂载到容器中。
• spec.template.spec.volumes：定义了 Pod 的卷。这里定义了两个卷，分别对应节点上的 /var/log 和 /var/lib/docker/containers 目录。

定义好 YAML 文件后，就可以使用 kubectl apply -f <yaml 文件> 命令来创建 DaemonSet 了。例如：

kubectl apply -f fluentd-daemonset.yaml

创建完成后，可以使用 kubectl get daemonsets -n kube-system 命令来查看 DaemonSet 的状态。

4. DaemonSet 的更新策略

DaemonSet 支持两种更新策略：

• OnDelete：当 DaemonSet 的 Pod 模板发生变化时，不会自动更新 Pod。只有手动删除 Pod，才会根据新的 Pod 模板重新创建 Pod。
• RollingUpdate：当 DaemonSet 的 Pod 模板发生变化时，会自动滚动更新 Pod。滚动更新的过程是：先删除一部分旧的 Pod，然后创建新的 Pod，直到所有 Pod 都更新完成。

默认的更新策略是 OnDelete。如果需要使用 RollingUpdate 更新策略，需要在 DaemonSet 的 YAML 文件中指定 spec.updateStrategy.type 为 RollingUpdate。

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: fluentd-daemonset
  namespace: kube-system
spec:
  selector:
    matchLabels:
      name: fluentd
  updateStrategy:
    type: RollingUpdate
  template:
    metadata:
      labels:
        name: fluentd
    spec:
      tolerations:
      - key: node-role.kubernetes.io/master
        effect: NoSchedule
      containers:
      - name: fluentd
        image: fluent/fluentd:v1.14
        resources:
          limits:
            memory: 200Mi
          requests:
            cpu: 100m
            memory: 200Mi
        volumeMounts:
        - name: varlog
          mountPath: /var/log
        - name: varlibdockercontainers
          mountPath: /var/lib/docker/containers
          readOnly: true
      terminationGracePeriodSeconds: 30
      volumes:
      - name: varlog
        hostPath:
          path: /var/log
      - name: varlibdockercontainers
        hostPath:
          path: /var/lib/docker/containers

RollingUpdate 的配置参数：

• spec.updateStrategy.rollingUpdate.maxUnavailable：指定在更新过程中，最多允许有多少个 Pod 不可用。可以是百分比（例如 10%），也可以是绝对值（例如 2）。
• spec.updateStrategy.rollingUpdate.maxSurge：指定在更新过程中，最多允许有多少个额外的 Pod。可以是百分比（例如 10%），也可以是绝对值（例如 2）。

选择更新策略的建议：

• 对于无状态的守护进程，可以使用 RollingUpdate 更新策略，以实现平滑升级。
• 对于有状态的守护进程，或者对可用性要求非常高的守护进程，可以使用 OnDelete 更新策略，手动控制更新过程，以避免意外情况。

5. DaemonSet 的高级用法

除了基本用法之外，DaemonSet 还有一些高级用法，可以满足更复杂的需求。

• 使用 Node Affinity 和 Node Selector 精确控制 Pod 的部署位置：可以使用 spec.template.spec.nodeSelector 和 spec.template.spec.affinity 来指定 Pod 运行的节点。例如，可以将 Pod 部署到具有特定标签的节点上，或者部署到具有特定硬件配置的节点上。

• 使用 Taints 和 Tolerations 来控制 Pod 的调度：可以使用 Taints 和 Tolerations 来控制 Pod 的调度。Taints 用于标记节点，表示节点不希望运行某些 Pod。Tolerations 用于允许 Pod 运行在具有特定 Taints 的节点上。例如，可以给 Master 节点添加一个 Taint，表示 Master 节点不希望运行普通的 Pod。然后，给 DaemonSet 的 Pod 添加一个 Toleration，允许 Pod 运行在 Master 节点上。

• 使用 HostNetwork 和 HostPort 来暴露 Pod 的端口：可以使用 spec.template.spec.hostNetwork 和 spec.template.spec.hostPort 来暴露 Pod 的端口。hostNetwork 用于指定 Pod 是否使用主机的网络命名空间。如果设置为 true，则 Pod 将使用主机的 IP 地址和端口。hostPort 用于指定 Pod 暴露在主机上的端口。例如，可以将 DaemonSet 的 Pod 暴露在主机的 80 端口上，以便外部可以访问。

6. DaemonSet 的最佳实践

• 合理设置资源限制：DaemonSet 的 Pod 通常需要在每个节点上运行，因此需要合理设置资源限制，以避免 Pod 占用过多的资源，影响节点的性能。
• 注意安全性：DaemonSet 的 Pod 通常需要以 root 权限运行，并且需要访问节点上的各种资源。因此，需要特别注意安全性，避免 Pod 被恶意利用。
• 使用滚动更新：对于无状态的守护进程，可以使用滚动更新策略，以实现平滑升级。在滚动更新过程中，需要合理设置 maxUnavailable 和 maxSurge 参数，以保证服务的可用性。
• 监控 DaemonSet 的状态：需要定期监控 DaemonSet 的状态，以便及时发现和解决问题。可以使用 Kubernetes 的监控工具，比如 Prometheus 和 Grafana，来监控 DaemonSet 的状态。

7. DaemonSet 的常见问题

• DaemonSet 的 Pod 无法启动：这可能是因为 Pod 的配置不正确，比如镜像不存在，或者资源限制过高。可以查看 Pod 的日志，以及 DaemonSet 的事件，来排查问题。
• DaemonSet 的 Pod 频繁重启：这可能是因为 Pod 的资源不足，或者 Pod 中运行的程序存在 Bug。可以增加 Pod 的资源限制，或者修复程序中的 Bug。
• DaemonSet 的 Pod 无法访问网络：这可能是因为节点的网络配置不正确，或者 Pod 的网络策略阻止了 Pod 访问网络。可以检查节点的网络配置，以及 Pod 的网络策略。

8. 总结

DaemonSet 是 Kubernetes 中一个非常重要的资源对象，它可以帮助我们在每个节点上运行守护进程，实现各种系统功能。熟练掌握 DaemonSet 的使用方法，可以极大地提高 Kubernetes 集群的管理效率和可靠性。希望这篇文章能够帮助你更好地理解和使用 DaemonSet。各位老铁，下次见！