Kubernetes权威指南：从Docker到Kubernetes实践全接触（第6版）（下）

1、第6版基于Kubernetes 1.29版本进行全面的内容升级，内容几乎全部更新

2、第6版因太厚（近1500页）拆分为上下两册，此为下册。

3、上册偏重K8s入门、Pod、Service、原理与架构

4、下册偏重K8s网络、存储、安全、开发与运维

5、目录细致，便于检索，用作K8s容器工具书也很趁手。

6、提供源码下载和读者交流群，可与万千本书读者交流学习、工作心得

7、CNCF、神州数码、用友、德勤、VMware、腾讯、华为等众咖力荐！

8、从云原生到多模态大模型架构转型上佳参考读物。

本书是《Kubernetes权威指南：从Docker到Kubernetes实践全接触》（第6版）的下册，总计9章，涵盖了Kubernetes v1.29及之前版本的主要特性。第1、2章围绕Kubernetes认证机制和安全机制进行深入讲解，既有实例介绍，又有深入分析，可以让读者更容易理解Kubernetes中的认证机制、授权模式、准入控制机制，以及Pod的安全管理机制。第3章讲解容器网络基础，对局域网、互联网和常见网络设备等知识进行介绍。第4章讲解Kubernetes网络的原理，对Kubernetes网络模型、CNI网络模型、开源容器网络方案都做了详细介绍，对Kubernetes防火墙相关的网络策略也做了相关分析。第5、6章围绕Kubernetes存储进行深入讲解，涉及持久卷相关的PV、PVC、StorageClass、静态和动态存储管理，以及CSI存储机制的原理和发展状况。第7、8章围绕Kubernetes API和开发实战进行讲解，涉及Kubernetes资源对象、Kubernetes API、CRD和Operator扩展机制，以及如何通过swagger-editor快速调用和测试Kubernetes API，并针对Operator开发给出完整的示例说明。第9章对Kubernetes开发中的新功能做了一些补充说明，包括Kubernetes对Windows容器的支持、如何在Windows Server上部署Kubernetes、Kubernetes对GPU的支持和发展趋势、Kubernetes的自动扩缩容机制等，对Kubernetes的生态系统与演进路线也进行了深入讲解。附录A深入讲解了Kubernetes的核心服务配置。

本书适合资深IT从业者、研发部门主管、架构师（开发语言不限）、研发工程师、运维工程师、软件QA和测试工程师（两年以上经验），以及以技术为主的售前工作人员（两年以上经验）阅读和参考。

龚 正

HPE高级顾问，拥有二十多年IT从业经验，在云计算、大数据、大型企业级应用等领域拥有丰富的咨询、规划、架构设计和实施经验，负责过多个大型云平台的规划和建设，是电信、金融、互联网等领域的资深行业专家，也是《Kubernetes权威指南：企业级容器云实战》等书作者。

吴治辉

领航磐云资深架构师，拥有二十多年软件研发经验，专注于云原生、容器化、企业数字化转型、AI赋能企业应用领域的技术研究和产品研发。拥有丰富的大型项目架构设计经验，是业界少有的具备很强编码能力的资深架构师，也是《ZeroC Ice权威指南》《架构解密：从分布式到微服务》《Kubernetes权威指南：企业级容器云实战》《区块链轻松上手》等书作者。

闫健勇

HPE高级项目经理、总架构师，拥有二十多年电信行业系统建设经验，主导了多项电信大型系统的架构设计和管理，对于云计算和大数据在电信行业中的应用拥有丰富的经验，也是《Kubernetes权威指南：企业级容器云实战》等书作者。

Kubernetes在2024年迎来十周年，它的更新节奏依然很快，四个月一个版本。很高兴看到《Kubernetes权威指南》持续出版新版本，这对Kubernetes使用者来说是个好消息。

——CNCF（云原生计算基金会）开发者布道者 Donald Liu

伴随着Kubernetes的成长，《Kubenetes权威指南》帮助了一代又一代工程师掌握Kubernetes技术，

搭上云原生这一飞奔的列车。通过本书，我们既能领略计算机发展史的厚重底蕴，也能找到通往未来的可行路径。

——腾讯专有云与智算平台首席架构师、《大模型时代的基础架构》作者 方天戟

《Kubernetes权威指南》是深入了解和掌握Kubernetes技术的权威指南。本书作者自2016年出版《Kubernetes权威指南》的第1版以来，一直紧跟Kubernetes的发展趋势，持续更新《Kubernetes权威指南》的内容。这份坚持和信念，令人钦佩！有众多读者高度评价《Kubernetes权威指南》的实用性和专业性，认为其是学习和应用Kubernetes至关重要的资料。希望本书能继续为更多的技术爱好者和从业人员带来帮助和启示。

——用友网络前助理总裁、德勤管理咨询前咨询总监 刘剑锋

Kubernetes是云原生系统中十分重要的控制平面软件，提供了云原生应用必需的各项基础能力。本书详尽地介绍了Kubernetes的基本原理、特性、运维、管理、开发和扩展等内容，是云原生应用软件架构师、开发人员和运维工程师等不可多得的参考书和学习指南。

——Harbor开源云原生制品仓库创始人、《Harbor权威指南》作者 张海宁

作为云原生领域公认的底座和基石，Kubernetes在2024年已经走到了第29个大版本，覆盖了越来越多的应用场景，并作为一个高扩展性、高弹性的平台，高效地运行着大规模AI训练和推理任务。作为了解和学习Kubernetes知识的权威图书，《Kubernetes权威指南》也推出了第6版，我相信本书将一如既往地帮助读者探索和发现云原生的新技术、新价值。

——华为云分布式云原生架构师、《Istio权威指南》作者 张超盟

这是一本非常实用的技术读物，为读者提供了Kubernetes技术的系统学习路径。本书从基础概念到高级应用，逐步引导读者深入理解Kubernetes各个方面的内容，包括安装、配置、核心组件、网络与存储等。本书内容丰富、结构清晰，适合不同层次的IT专业人士学习和参考，是探索云原生世界的有益资料。

——《亿级流量系统架构设计与实战》作者、高级技术专家 李琛轩

第1章 深入理解Kubernetes的安全机制
1．1 Kubernetes的常规认证机制
1．1．1 数字证书认证
1．1．2 Service Account认证
1．1．3 静态Token文件认证
1．2 Kubernetes的扩展认证机制
1．2．1 OIDC Token认证
1．2．2 Webhook Token认证
1．2．3 Authenticating Proxy认证
1．3 API Server的授权模式和鉴权机制
1．3．1 ABAC授权模式
1．3．2 RBAC授权模式
1．3．3 Validating Admission Policy模式
1．3．4 Webhook授权模式
1．3．5 Node授权模式
1．3．6 API Server的鉴权机制

第2章 深入理解Pod的安全机制
2．1 准入控制机制
2．1．1 准入控制机制概述
2．1．2 系统内置的Admission Controller
2．1．3 Admission Webhook准入控制器
2．2 Node资源与Pod的安全
2．2．1 Node身份安全机制
2．2．2 Node资源量安全机制
2．3 PodSecurity
2．3．1 SecurityContext
2．3．2 Pod Security Standards
2．4 Pod数据存储安全
2．4．1 Secret私密凭据
2．4．2 Volume存储安全
2．5 Pod网络安全
2．5．1 Pod基础网络安全
2．5．2 Namespace网络隔离
2．5．3 NetworkPolicy网络隔离

第3章 容器网络基础
3．1 网络基础
3．1．1 局域网的构成
3．1．2 局域网互联与路由器
3．1．3 接入互联网
3．2 Linux网络基础
3．2．1 网桥
3．2．2 Netfilter和iptables
3．2．3 路由
3．3 网络命名空间和Veth设备对
3．3．1 网络命名空间
3．3．2 Veth设备对
3．4 Docker的容器网络模式简介
3．4．1 查看Docker启动后的系统情况
3．4．2 查看容器启动后的网络配置（容器无端口映射）
3．4．3 查看容器启动后的网络配置（容器有端口映射）
3．4．4 Docker的网络局限性

第4章 Kubernetes网络原理
4．1 Kubernetes网络模型
4．2 Kubernetes网络的实现机制
4．2．1 容器和容器之间的通信
4．2．2 Pod和Pod之间的通信
4．3 CNI网络模型
4．3．1 CNM网络模型简介
4．3．2 CNI网络模型详解
4．4 开源容器网络方案
4．4．1 Flannel插件的原理和部署示例
4．4．2 Open vSwitch插件的原理和部署示例
4．4．3 直接路由的原理和部署示例
4．4．4 Calico插件的原理和部署示例
4．5 Kubernetes网络策略
4．5．1 网络策略概述
4．5．2 Selector功能说明
4．5．3 为命名空间配置默认的网络策略
4．5．4 网络策略应用示例
4．5．5 网络策略的一些特殊情况和功能限制

第5章 Kubernetes存储原理和实践
5．1 存储机制概述
5．2 临时卷详解
5．2．1 emptyDir
5．2．2 Generic Ephemeral
5．2．3 CSI Ephemeral
5．2．4 其他类型临时卷
5．3 持久卷详解
5．3．1 PV和PVC的工作原理
5．3．2 PV详解
5．3．3 PVC详解
5．3．4 Pod使用PVC
5．3．5 StorageClass详解
5．3．6 内置持久卷类型
5．4 动态存储管理实战：GlusterFS
5．4．1 准备工作
5．4．2 创建GlusterFS管理服务容器集群
5．4．3 创建Heketi服务
5．4．4 通过Heketi管理GlusterFS集群
5．4．5 定义StorageClass
5．4．6 定义PVC
5．4．7 Pod使用PVC的存储资源

第6章 深入理解CSI存储机制
6．1 CSI存储插件机制详解
6．1．1 CSI的设计背景
6．1．2 CSI的核心组件和部署架构
6．2 CSI存储插件应用实战
6．2．1 部署csi-hostpath存储插件
6．2．2 使用CSI存储插件
6．2．3 扩展存储空间
6．2．4 PVC的快照管理
6．3 CSI存储卷管理
6．3．1 存储卷快照
6．3．2 存储卷克隆
6．3．3 存储容量跟踪
6．4 CSI的演进和发展
6．4．1 CSI驱动插件
6．4．2 CSI存储卷健康检查
6．4．3 in-tree插件迁移
6．4．4 新特性演进

第7章 Kubernetes API详解
7．1 REST概述
7．2 Kubernetes资源对象详解
7．2．1 资源对象的类型
7．2．2 资源对象的元数据
7．2．3 资源对象的版本
7．2．4 资源对象的主体定义
7．2．5 资源对象的状态
7．3 Kubernetes API详解
7．3．1 API分组管理
7．3．2 API标准
7．3．3 OpenAPI规范
7．4 Kubernetes API调用和调试
7．4．1 部署swagger-editor
7．4．2 导入OpenAPI规范文档
7．4．3 调用调试API
7．4．4 API Server响应信息

第8章 Kubernetes开发指南
8．1 API客户端库
8．1．1 Java客户端库
8．1．2 Go客户端库
8．1．3 Python客户端库
8．1．4 JavaScript客户端库
8．2 CRD扩展
8．2．1 CRD的概念和用法
8．2．2 CRD的定义
8．2．3 创建CR资源对象实例
8．2．4 CRD的高级特性
8．3 Operator开发详解
8．3．1 Operator的概念和原理
8．3．2 定义MyPodSet CRD
8．3．3 根据CRD生成代码
8．3．4 Operator代码解读
8．3．5 构建镜像部署
8．4 API聚合机制
8．4．1 启用API聚合功能
8．4．2 注册自定义API Service
8．4．3 部署自定义API Server

第9章 Kubernetes开发中的新功能
9．1 对Windows容器的支持
9．1．1 在Windows Server上安装容器运行时
9．1．2 在Windows Server上部署Kubernetes Node组件
9．1．3 在Windows Server上部署容器应用和服务
9．1．4 Kubernetes支持的Windows容器特性、限制和发展趋势
9．2 对GPU的支持
9．2．1 在容器中使用GPU资源
9．2．2 发展趋势
9．3 Kubernetes集群扩缩容的新功能
9．3．1 Cluster AutoScaler
9．3．2 Kubernetes VPA
9．3．3 Kubernetes Addon Resizer
9．4 Kubernetesr的生态系统与演进路线
9．4．1 Kubernetes与CNCF
9．4．2 Kubernetes的演进路线
9．4．3 Kubernetes的开发模式

附录A Kubernetes核心服务配置详解
A．1 公共配置参数
A．2 kube-apiserver启动参数
A．3 kube-controller-manager启动参数
A．4 kube-scheduler启动参数
A．5 kubelet启动参数
A．6 kube-proxy启动参数

推荐序

为什么我会向大家推荐这本书？因为好的技术值得学习，好的图书值得分享。

数云融合是传统技术的重大变革，有望开启一个新的时代。

从大型计算机面向商业应用的那个时代开始，计算机技术先后经历了：从汇编语言驱动硬件底层开发，到通过各种高级编程语言进行企业级应用开发；从通过本机文件系统存储数据，到通过关系型数据库远程存储数据，再到通过各种面向对象的专用数据存储系统及数据仓库存储数据；从单机应用开发到大型分布式系统开发。

在这一漫长的演进过程中，计算、数据和网络的分工越来越明确，联系也越来越紧密，并且与IT系统的架构变革息息相关。十年前的虚拟化技术让我们重新发掘了软件的价值：软件定义一切！但是，那时的软件开发难度依然很大，开发和运维一个大型分布式系统的代价也很大，而且门槛很高。直到Kubernetes开启且引领了全新的云原生时代，我们大多数人才第一次站在了同一条起跑线上，有了真正意义上弯道超车的机会。

这些年，一些先行者已经靠着云原生技术带来的创新价值取得了不小的成就，坚定拥抱云原生技术的我们也都将成功！而这一切，都源于Kubernetes的出现。

在不经意间，Kubernetes已经成为整个云原生生态圈的重要引领者之一。

也许最初的开发者也没有想到，正如最早的钻木取火，只是为了烧烤食物，但其实火的使用在一定意义上开启了人类文明的伟大进程，使人类从黑暗走向了光明，从野蛮走向了文明，从接受大自然的约束走向成为世界的主宰。

数据正在成为人类最重要的资产之一，同金钱和土地一样。数据已经从工业文明及以前的信息或信号，变成可以创造价值的生产要素。对数据的管理已经不再是简单的技术手段，它涉及社会治理，是基于时间和客户的价值兑现，是“云”发展的趋势和必然。数云融合，才能让数据的价值真正释放，真正体现人的天然禀赋，让人类走向新的文明。

感谢对Kubernetes进行再创造的工程师，没有他们的探索，Kubernetes也许就只能作为计算管理的工具，而无法发挥巨大价值。感谢本书作者，没有他们对Kubernetes知识的理解、掌握、实践和总结，我们也许还在雾里看花，而无法真正理解数云融合的实践价值所在，无法大力推动中国的数字化进程。

在科技越来越文学化的今天，让我们为社会贡献自己的力量吧！

郭为

神州数码集团股份有限公司董事长

前 言

短短几年，Kubernetes已从一个鲜为人知的新生事物发展成为一个影响全球IT技术的基础设施平台，并成功推动了云原生时代的到来，使微服务架构、Service Mesh、Serverless、边缘计算等热门技术加速普及和落地。Kubernetes不但一跃成为云原生应用的全球级基础平台，还促进了操作系统层面的容器化变革，让Linux容器里的应用和Windows容器里的应用在Kubernetes的统一架构集群中互联互通。

目前，在GitHub上已有超两万名开源志愿者参与Kubernetes项目，使之成为开源领域发展速度超快的项目之一。

《Kubernetes权威指南：从Docker到Kubernetes实践全接触》由慧与中国通信和媒体解决方案领域的资深专家合力撰写而成，对Kubernetes在国内的普及和推广做出了巨大的贡献。本书第6版的出版也离不开领航磐云技术专家的全力支持。

————读者对象————

《Kubernetes权威指南：从Docker到Kubernetes实践全接触》一书的读者对象范围很广，甚至一些高校也将本书作为参考教材。考虑到Kubernetes的技术定位，我们建议以下读者购买和阅读本书：资深IT从业者、研发部门主管、架构师（开发语言不限）、研发工程师、运维工程师、软件QA和测试工程师（两年以上经验），以及以技术为主的售前工作人员（两年以上经验）。

建议读者在计算机上安装合适的虚拟软件，部署Kubernetes环境并动手实践书中的大部分示例。如果读者用的是Windows 10及以上版本，则可以通过WSL2虚拟机技术快速部署Kubernetes实例，也可以在公有云上部署或者使用现有的Kubernetes环境，降低入门难度。

————本书内容架构————

截至本书交稿，Kubernetes已经发布了29个大版本，每个版本都带来了大量的新特性，使Kubernetes能够覆盖的应用场景越来越多。

《Kubernetes权威指南：从Docker到Kubernetes实践全接触》始终采用从入门到精通的讲解风格，内容涵盖入门、安装、实践、核心原理、网络与存储、运维、开发、新特性演进等，几乎囊括了Kubernetes当前主流版本的方方面面。当然，因为需要涵盖的内容非常多，所以本书从第6版开始分为上下两册。

————上册的内容架构如下————

第1章首先从一个简单的示例开始，让读者通过动手实践初步感受Kubernetes的强大；然后讲解Kubernetes的概念、术语。考虑到Kubernetes的概念、术语繁多，所以从它们的用途及相互关系入手进行讲解，以期初学者能快速、准确、全面、深刻地理解这部分内容。

第2章围绕Kubernetes的安装和配置进行讲解。如果要在生产级应用中部署Kubernetes，则建议读者将本章内容全部实践一遍，否则可以选择其中部分内容进行实践。其中比较重要的是Kubernetes的命令行部分，对这部分操作得越熟练，后面进行研发或运维就越轻松。

第 3～5 章对于大部分读者来说，是很重要的章节，也是学会Kubernetes应用建模的关键章节。第3章全面、深入地讲解了Pod的方方面面，其中非常有挑战性的是Pod调度部分的内容，这也是生产实践中相当实用的知识和技能。第4章围绕Pod工作负载进行讲解，这些工作负载分别实现了无状态服务、有状态服务和批处理任务的不同需求。第5章围绕Service进行深入讲解，涉及服务发现、DNS、IPv6及Ingress等高级特性。

第6、7章全面且深入地讲解Kubernetes的运行机制和原理，涉及API Server、Controller Manager、Scheduler、kubelet、kube-proxy 等核心组件的作用、原理和实现方式，可以让读者加深对Kubernetes的整体认知，在遇到问题时能更快地找到解决方案。

第8、9章主要讲解Kubernetes运维方面的技能和知识，涉及集群多租户模式下的资源管理方案、Pod的QoS管理，以及基于NUMA资源亲和性的资源分配管理、Pod调度、故障排查等。

————下册的内容架构如下————

第1、2章围绕Kubernetes认证机制和安全机制进行深入讲解，既有实例介绍，又有深入分析，可以让读者更容易理解Kubernetes中的认证机制、授权模式、准入控制机制，以及Pod的安全管理机制。

第3、4章围绕容器网络和Kubernetes网络进行深入讲解。第3章讲解容器网络基础，对局域网、互联网和常见网络设备等知识进行介绍；第4章讲解Kubernetes网络的原理，对Kubernetes网络模型、CNI网络模型、开源容器网络方案都做了详细介绍，对Kubernetes防火墙相关的网络策略也做了相关分析。

第 5、6 章围绕Kubernetes存储进行深入讲解，涉及持久卷相关的 PV、PVC、StorageClass、静态和动态存储管理，以及CSI存储机制的原理和发展状况。

第7、8章围绕Kubernetes API和开发实战进行讲解，涉及Kubernetes资源对象、Kubernetes API、CRD和Operator扩展机制，以及如何通过swagger-editor快速调用和测试Kubernetes API，并针对Operator开发给出完整的示例说明。

第9章对Kubernetes开发中的新功能做了一些补充说明，包括Kubernetes对Windows容器的支持、如何在Windows Server上部署Kubernetes、Kubernetes对GPU的支持和发展趋势、Kubernetes的自动扩缩容机制等，对Kubernetes的生态系统与演进路线也进行了深入讲解。

附录A深入讲解了Kubernetes的核心服务配置。

————读者服务————

我们为读者提供了配套源码及读者交流群，读者可参考本书封底的“读者服务”获取配套源码下载链接，以及加入本书读者交流群。

————致谢————

感谢神州数码集团及领航磐云的大力支持。

感谢电子工业出版社工作严谨、高效的张国霞编辑，她在成书过程中对笔者的指导、协助和鞭策，是本书得以完成的重要助力。