Den 2 on Eriks training corner

Postup při ladění

Mon, 01 Jan 0001 00:00:00 +0000

Postup při ladění

Jedno pořadí kroků, pokaždé stejné. Je krátké, protože funguje.

graph TB A["kubectl get pod -o wide jaký stav? který uzel?"] --> B["kubectl describe pod přečti Events dole"] B --> C{"nastartoval kontejner?"} C -->|ne| D["oprav podle události: image, plánování, volume, probe"] C -->|ano| E["kubectl logs [--previous] co řekla aplikace?"] E --> F["kubectl exec -it -- sh jen když běží"]

Stavy a kde hledat odpověď

Stav	Kde je odpověď
`Pending`	`describe` → FailedScheduling: kapacita, taint, nenavázaný PVC
`ContainerCreating`	`describe` → stahování image nebo připojení volume (probíhá, nebo visí)
`ImagePullBackOff` / `ErrImagePull`	špatné jméno či tag image, nebo přihlašovací údaje do registru
`CrashLoopBackOff`	`logs --previous` – aplikace nastartovala a skončila
`Running`, ale ne `Ready`	padá readiness probe; Service takový pod obejde
`OOMKilled`	`describe` → Last State; příliš nízký paměťový limit
věčný `Terminating`	finalizer, nebo kontejner ignorující SIGTERM

Širší pohled

kubectl get events --sort-by=.lastTimestamp | tail -20
kubectl get events -A --field-selector type=Warning
kubectl get pods -A -o wide | grep -v Running
kubectl top nodes ; kubectl top pods

Když aplikace neodpovídá

Postupujte směrem ven od podu: je pod ready, má Service endpointy, překládá se DNS, směruje Gateway.

Namespaces

Mon, 01 Jan 0001 00:00:00 +0000

Namespaces

Virtuální cluster uvnitř clusteru: jmenný prostor pro objekty a místo, kam se věší kvóty a politiky.

graph TB subgraph cluster subgraph ns1 [namespace: dev] P1[pod web] --- P2[pod db] end subgraph ns2 [namespace: prod] P3[pod web] --- P4[pod db] end N[uzly, PV – mimo namespace] end

kubectl get ns
kubectl create ns dev
kubectl get pods -n dev
kubectl get pods -A
kubectl config set-context --current --namespace=dev
kubectl api-resources --namespaced=false # co žije mimo namespace

V namespace: pody, Deploymenty, Services, ConfigMapy, Secrety, PVC, HTTPRoute. Mimo namespace: uzly, PersistentVolumes, StorageClasses, ClusterRoles, CRD.

ReplicaSets

Mon, 01 Jan 0001 00:00:00 +0000

ReplicaSets

ReplicaSet udržuje běžet N kopií podu. To je celá jeho práce.

graph LR RS[ReplicaSet replicas=3] --> P1[Pod] RS --> P2[Pod] RS --> P3[Pod] P2 -.uzel spadne.-> X((pryč)) RS -->|reconcile| P4[nový Pod]

Smyčka se nikdy nezastaví: spočítej pody odpovídající selektoru, porovnej se spec.replicas, rozdíl dotvoř nebo smaž. Samoléčení a škálování je tentýž mechanismus.

spec:
 replicas: 3
 selector:
 matchLabels:
 app: web
 template:
 metadata:
 labels:
 app: web  # musí odpovídat selektoru

Pody váže selektor, ne jméno: volný pod s odpovídajícím labelem bude adoptován a započítán.

Deployments

Mon, 01 Jan 0001 00:00:00 +0000

Deployments

Deployment vlastní ReplicaSety a každý ReplicaSet vlastní pody. Právě to patro navíc umožňuje aktualizace bez výpadku a návraty zpět.

graph TB D[Deployment nginx] --> RS1[ReplicaSet v1 – replicas 0] D --> RS2[ReplicaSet v2 – replicas 3] RS2 --> P1[Pod] RS2 --> P2[Pod] RS2 --> P3[Pod]

Změna šablony vytvoří nový ReplicaSet a starý po krocích zmenší. Starý zůstane na nule replik – to je váš rollback.

spec:
 replicas: 3
 strategy:
 type: RollingUpdate
 rollingUpdate:
 maxUnavailable: 1 # kolik smí být mimo provoz
 maxSurge: 1 # kolik smí přebývat navíc

Protože maxUnavailable chrání staré pody, rozbitý nový image aplikaci nepoloží: nový ReplicaSet selhává, starý dál obsluhuje a rollout se prostě nikdy nedokončí.

DaemonSets

Mon, 01 Jan 0001 00:00:00 +0000

DaemonSets

Jeden pod na každém uzlu – automaticky, včetně uzlů, které přibudou později.

graph TB DS[DaemonSet log-agent] --> P1[Pod na control01] DS --> P2[Pod na worker01] DS --> P3[Pod na worker02] DS --> P4[Pod na worker03] N[přidá se nový uzel] -.-> P5[pod vznikne automaticky]

Žádné pole replicas neexistuje. Počtem replik je seznam uzlů.

Typičtí uživatelé: CNI agenti, kube-proxy, sběrače logů, node exportery, storage drivery. Váš cluster jich už několik provozuje – kubectl get ds -A.

Plánování: taints, tolerations, affinity

Mon, 01 Jan 0001 00:00:00 +0000

Plánování: taints, tolerations, affinity

Scheduler standardně umístí pod tam, kde se vejde. Tři mechanismy to umí změnit a fungují proti sobě.

Mechanismus	Sedí na	Říká
Taint	uzlu	„drž pody dál, pokud tohle netolerují“
Toleration	podu	„tenhle taint mi nevadí“
nodeSelector / node affinity	podu	„chci běžet na uzlu tohohle typu“

Ta dvojice je záměrně nesymetrická. Tolerance povoluje, ale nepřitahuje: pod, který taint toleruje, může stejně přistát kdekoli jinde. Chcete-li ho na těch uzlech, potřebujete k tomu ještě affinity.

Services

Mon, 01 Jan 0001 00:00:00 +0000

Services

Pody vznikají a zanikají a jejich IP se mění. Service je stabilní adresa před nimi, se zabudovaným rozkládáním zátěže.

graph LR C[Klient] --> S[Service nginx-svc ClusterIP 10.96.x.x] S --> P1[Pod 10.244.1.5] S --> P2[Pod 10.244.2.7] S --> P3[Pod 10.244.3.9]

Service vybírá pody podle labelů. IP odpovídajících připravených podů skončí v EndpointSlice a kube-proxy podle toho naprogramuje každý uzel.

Typy

Typ	Odkud je dostupná	Poznámka
`ClusterIP`	jen zevnitř clusteru	výchozí
`NodePort`	`<ip-libovolného-uzlu>:30000-32767`	otevře port na všech uzlech
`LoadBalancer`	zvenčí	potřebuje cloud nebo MetalLB – v tomto clusteru není
`ExternalName`	–	jen DNS CNAME

spec:
 type: NodePort
 selector:
 app: nginx  # musí odpovídat labelům podů
 ports:
 - port: 8080 # port Service
 targetPort: 80 # port kontejneru
 nodePort: 30080 # port na každém uzlu

DNS

nginx-svc # stejný namespace
nginx-svc.dev # jiný namespace
nginx-svc.dev.svc.cluster.local # plně kvalifikované

Headless Services

clusterIP: None znamená žádnou virtuální IP; DNS vrátí přímo adresy podů. Takhle dává StatefulSet každé replice stabilní jméno – viz StatefulSets.

Gateway API

Mon, 01 Jan 0001 00:00:00 +0000

Gateway API

NodePort na každou aplikaci se nedá udržet: skončíte tím, že si pamatujete, že e-shop je na 30080 a wiki na 30081. Chcete jeden HTTP vstupní bod, který směruje podle jména hosta a cesty.

Kubernetes na to má dvě odpovědi. Ingress je ta stará – stabilní, ale zmrazená: každý controller si ji rozšířil vlastními anotacemi, takže rewrite pravidlo pro nginx neznamená pro Traefik nic. Gateway API je náhrada: tatáž úloha vyjádřená skutečnými typovanými objekty, a veškerý vývoj teď probíhá tam.

Uzly (nodes)

Mon, 01 Jan 0001 00:00:00 +0000

Uzly (nodes)

Uzel je stroj, na kterém běží pody. Je cluster-scoped – nepatří do namespace.

Úkol	Příkaz
Výpis	`kubectl get nodes -o wide`
Detail, podmínky, taints, kapacita	`kubectl describe node worker01`
Zastavit plánování nových podů	`kubectl cordon worker01`
Cordon a vystěhování	`kubectl drain worker01 --ignore-daemonsets --delete-emptydir-data`
Znovu povolit plánování	`kubectl uncordon worker01`
Odebrat z clusteru	`kubectl delete node worker01`

stateDiagram-v2 [*] --> Ready Ready --> SchedulingDisabled: cordon SchedulingDisabled --> Ready: uncordon SchedulingDisabled --> Drained: drain Drained --> Ready: uncordon

Drain je příkaz pro údržbu. Co nepřesune: