当前位置：首页 > news >正文

Kubernetes控制平面组件：Kubelet详解（六）：pod sandbox(pause)容器

news 来源：原创 2025/7/30 4:33:54

云原生学习路线导航页（持续更新中）

kubernetes学习系列快捷链接
- Kubernetes架构原则和对象设计（一）
- Kubernetes架构原则和对象设计（二）
- Kubernetes架构原则和对象设计（三）
- Kubernetes控制平面组件：etcd（一）
- Kubernetes控制平面组件：etcd（二）
- Kubernetes控制平面组件：API Server详解（一）
- Kubernetes控制平面组件：API Server详解（二）
- Kubernetes控制平面组件：调度器Scheduler（一）
- Kubernetes控制平面组件：调度器Scheduler（二）
- Kubernetes控制平面组件：Controller Manager 之内置Controller详解
- Kubernetes控制平面组件：Controller Manager 之 NamespaceController 全方位讲解
- Kubernetes控制平面组件：Kubelet详解（一）：架构及 API接口层介绍
- Kubernetes控制平面组件：Kubelet详解（二）：核心功能层
- Kubernetes控制平面组件：Kubelet详解（三）：CRI 容器运行时接口层
- Kubernetes控制平面组件：Kubelet详解（四）：gRPC 与 CRI gRPC实现
- Kubernetes控制平面组件：Kubelet详解（五）：切换docker运行时为containerd
- Kubernetes控制平面组件：Kubelet 之 Static 静态 Pod

本文是 kubernetes 的控制面组件 kubelet 系列文章第六篇，主要讲解了 pod 的沙箱sandbox容器，也称为pause容器，介绍了pause容器的核心作用、技术细节、工作原理、常用运维命令等，最后还对pause容器的源码进行了分析

希望大家多多点赞关注评论收藏，作者会更有动力继续编写技术文章

1.pod 的容器组成：sandbox+业务containers

在kubernetes中，pod容器由 sandbox + 业务containers 组成，除了业务自己的功能容器，每一个pod还包含一个sandbox容器，镜像一般为 pause，所以也称为 pause 容器

在 Kubernetes控制平面组件：Kubelet详解（三）：CRI 容器运行时接口层中我们介绍了crictl的基本使用。使用crictl可以查看pod的sandbox容器

crictl ps：查看pod 的业务容器
crictl pods：查看pod 的sandbox pause容器
下面例子可以看出，虽然都是nginx-sts-0这一个pod，但是找到两个不同的容器

# 查看pod的sandbox容器
[root@VM-226-235-tencentos ~]# crictl pods | grep nginx-sts-0
da081a3c7ba60       10 hours ago        Ready               nginx-sts-0                                    default             0                   (default)
# 查看pod的业务容器
[root@VM-226-235-tencentos ~]# crictl ps | grep nginx-sts-0
d99ea5d921d87       a830707172e80       10 hours ago        Running             nginx                     0                   da081a3c7ba60       nginx-sts-0

2.pod 的 sandbox 容器

2.1.`pause` 容器的核心作用

在 Kubernetes 中，Pod 的沙箱容器（Sandbox Container），通常被称为 pause 容器，是 Pod 实现多容器共享命名空间的核心组件。它的存在对 Pod 的正常运作至关重要，但往往被开发者忽视。
pause 容器是 Kubernetes 为每个 Pod 创建的第一个容器，它的核心作用是为 Pod 提供共享的 Linux 命名空间（如网络、IPC、PID 等），并作为 Pod 生命周期的锚点

功能	说明
维持命名空间	确保 Pod 内的所有容器共享相同的网络、IPC 等命名空间。
防止 Pod 崩溃	若所有应用容器退出，`pause` 容器仍存活，避免 Pod 被误判为终止。
处理僵尸进程	作为 PID 1 进程，负责回收孤儿进程（僵尸进程），避免资源泄漏。
Pod 生命周期管理	Kubelet 通过监控 `pause` 容器的状态来判断 Pod 是否存活。

2.2.`pause` 容器的技术细节

2.2.1.镜像来源

默认镜像：registry.k8s.io/pause:<version>（例如 registry.k8s.io/pause:3.9）
镜像体积极小（约 700KB），仅包含一个极简的静态编译的 pause 进程。

2.2.2.进程行为

pause 进程启动后会无限休眠（通过调用 pause() 系统调用），不执行任何业务逻辑。
代码开源地址：https://github.com/kubernetes/kubernetes/tree/master/build/pause

2.2.3.资源占用

CPU 和内存消耗极低，通常可忽略不计。

示例 crictl pods 输出：

[root@VM-226-235-tencentos ~]# crictl pods | grep nginx-sts-0da081a3c7ba60       10 hours ago        Ready               nginx-sts-0                                    default             0                   (default)

2.3.`pause` 容器的工作原理

2.3.1.步骤 1：Pod 创建

Kubelet 收到创建 Pod 的指令。
先创建 pause 容器，该容器初始化 Pod 的共享命名空间（如网络命名空间）。
其他应用容器（如 Nginx、Redis）加入 pause 容器的命名空间。

2.3.2.步骤 2：命名空间共享

网络命名空间：所有容器共享同一个 IP 和端口空间，因此可以通过 localhost 互相通信。
IPC 命名空间：允许容器通过 System V IPC 或 POSIX 消息队列通信。
PID 命名空间：容器可以看到彼此的进程（通过 ps -ef）。

2.3.3.步骤 3：Pod 终止

当 Pod 被删除时，Kubelet 先终止 pause 容器，触发共享命名空间的释放。
所有关联的应用容器会被自动终止。

2.4.查看 `pause` 容器

命令

# 列出所有 Pod 沙箱容器（包括 pause 容器）
crictl pods# 查看 pause 容器的详细信息，会包含：pause在主机上的进程号、pause镜像等
crictl inspectp <pause_container_id>

我们知道每一个容器，在主机上都是一个进程，pause容器也不例外。从进程输出看，我的主机上跑了很多个pause进程，每个pod都会有一个

[root@VM-226-235-tencentos ~]# ps  -ef | grep /pause
root      4754     1  3 00:13 ?        00:23:43 /usr/bin/kubelet --bootstrap-kubeconfig=/etc/kubernetes/bootstrap-kubelet.conf --kubeconfig=/etc/kubernetes/kubelet.conf --config=/var/lib/kubelet/config.yaml --cgroup-driver=systemd --network-plugin=cni --pod-infra-container-image=registry.aliyuncs.com/google_containers/pause:3.1 --container-runtime=remote --container-runtime-endpoint=unix:///run/containerd/containerd.sock
65535     5598  5497  0 00:13 ?        00:00:00 /pause
65535     5600  5520  0 00:13 ?        00:00:00 /pause
65535     5614  5546  0 00:13 ?        00:00:00 /pause
65535     5625  5537  0 00:13 ?        00:00:00 /pause
65535     7203  7146  0 00:14 ?        00:00:00 /pause
65535     7220  7182  0 00:14 ?        00:00:00 /pause
65535     7339  7286  0 00:14 ?        00:00:00 /pause
65535     7346  7298  0 00:14 ?        00:00:00 /pause
65535     8796  8723  0 00:14 ?        00:00:00 /pause
65535     8921  8784  0 00:14 ?        00:00:00 /pause
65535     9013  8866  0 00:14 ?        00:00:00 /pause
65535     9028  8945  0 00:14 ?        00:00:00 /pause
65535     9057  8999  0 00:14 ?        00:00:00 /pause
65535     9063  8980  0 00:14 ?        00:00:00 /pause
root      9160  9137  0 00:14 ?        00:00:00 /pause
65535    14471 14451  0 00:16 ?        00:00:00 /pause

2.5.常见问题与解答

2.5.1.能否不用 `pause` 容器？

不能。Kubernetes 依赖 pause 容器实现命名空间共享和生命周期管理。若直接删除 pause 容器，Pod 内的其他容器将无法正常工作。

2.5.2.为什么 `pause` 容器一直处于运行状态？

这是设计行为。pause 容器需要持续运行以维持命名空间，直到 Pod 被显式删除。

2.5.3.如何自定义 `pause` 镜像？

修改 Kubelet 的启动参数：
```
--pod-infra-container-image=my-registry/pause:custom
```
注意：自定义镜像需兼容 Kubernetes 的 CRI 接口。

2.5.4.`pause` 容器占用资源异常？

正常情况下，pause 容器几乎不消耗资源。若发现异常：
1. 检查是否被攻击者利用（例如恶意进程注入）。
2. 使用 crictl inspectp 查看容器状态。
3. 排查节点上的安全漏洞。

2.6.深入理解：`pause` 容器与僵尸进程

问题：在 Linux 中，孤儿进程会被 PID 1 进程接管。若 PID 1 进程未正确处理 SIGCHLD 信号，僵尸进程会累积。
pause 容器的解决方案：
- pause 进程会主动回收子进程，因此即使应用容器内的进程产生僵尸进程，也会被 pause 容器清理。

3.为什么kubernetes要引入pause容器？

首先，pause容器镜像极小，几乎不占用资源，且处于长期sleep状态，不处理业务，极度稳定，基本不会主动退出
此时就可以把一些 net namespace、pid namespace 等挂载给它，使得pod的网络非常稳定。只要pause容器存活，不论业务容器重启多少次，网络namespace都会存在，即使pod是crash的，也可以ping通，只是业务端口可能断掉了
另外，sandbox容器的启动在所有业务容器之前，可以为业务容器提供一个就绪的网络环境等容器前置依赖

4.pause 容器源码分析

https://github.com/kubernetes/kubernetes/tree/master/build/pause

我们以linux为例：https://github.com/kubernetes/kubernetes/tree/master/build/pause/linux

4.1.pause.c

/*
Copyright 2016 The Kubernetes Authors.Licensed under the Apache License, Version 2.0 (the "License");
you may not use this file except in compliance with the License.
You may obtain a copy of the License athttp://www.apache.org/licenses/LICENSE-2.0Unless required by applicable law or agreed to in writing, software
distributed under the License is distributed on an "AS IS" BASIS,
WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
See the License for the specific language governing permissions and
limitations under the License.
*/#include <signal.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/types.h>
#include <sys/wait.h>
#include <unistd.h>#define STRINGIFY(x) #x
#define VERSION_STRING(x) STRINGIFY(x)#ifndef VERSION
#define VERSION HEAD
#endif// 信号处理函数：当收到 SIGINT/SIGTERM 时优雅终止容器
static void sigdown(int signo) {psignal(signo, "Shutting down, got signal");exit(0);
}// 信号处理函数：回收僵尸进程（SIGCHLD 信号触发）
static void sigreap(int signo) {// 循环调用 waitpid 回收所有已终止的子进程while (waitpid(-1, NULL, WNOHANG) > 0);
}int main(int argc, char **argv) {int i;// 处理命令行参数 "-v"：打印版本信息for (i = 1; i < argc; ++i) {if (!strcasecmp(argv[i], "-v")) {printf("pause.c %s\n", VERSION_STRING(VERSION));return 0;}}// 警告：如果 pause 不是 PID 1（即不是容器第一个进程）if (getpid() != 1)fprintf(stderr, "Warning: pause should be the first process\n");// 注册信号处理器if (sigaction(SIGINT, &(struct sigaction){.sa_handler = sigdown}, NULL) < 0)return 1;  // 处理 Ctrl+C/SIGINTif (sigaction(SIGTERM, &(struct sigaction){.sa_handler = sigdown}, NULL) < 0)return 2;  // 处理 Kubernetes 发送的终止信号（如 Pod 删除）if (sigaction(SIGCHLD, &(struct sigaction){.sa_handler = sigreap,.sa_flags = SA_NOCLDSTOP},NULL) < 0)return 3;  // 处理子进程退出（SA_NOCLDSTOP 表示不处理停止事件）// 主循环：通过 pause() 挂起进程，保持容器运行for (;;)pause();  // pause() 会阻塞直到收到信号// 此处代码理论上不会执行fprintf(stderr, "Error: infinite loop terminated\n");return 42;
}

4.2.orphan.c

/*
Copyright 2016 The Kubernetes Authors.Licensed under the Apache License, Version 2.0 (the "License");
you may not use this file except in compliance with the License.
You may obtain a copy of the License athttp://www.apache.org/licenses/LICENSE-2.0Unless required by applicable law or agreed to in writing, software
distributed under the License is distributed on an "AS IS" BASIS,
WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
See the License for the specific language governing permissions and
limitations under the License.
*//* 测试工具：生成一个孤儿进程，验证 pause 容器的僵尸进程回收能力 */#include <stdio.h>
#include <unistd.h>int main() {pid_t pid;pid = fork();if (pid == 0) {    // 子进程分支// 等待父进程退出（父进程 PID 变为 1）while (getppid() > 1);printf("Child exiting: pid=%d ppid=%d\n", getpid(), getppid());return 0;} else if (pid > 0) {  // 父进程分支// 父进程立即退出，使子进程成为孤儿进程printf("Parent exiting: pid=%d ppid=%d\n", getpid(), getppid());return 0;}// fork 失败处理perror("Could not create child");return 1;
}

Kubernetes控制平面组件：Kubelet详解（六）：pod sandbox(pause)容器

云原生学习路线导航页（持续更新中） kubernetes学习系列快捷链接 Kubernetes架构原则和对象设计（一）Kubernetes架构原则和对象设计（二）Kubernetes架构原则和对象设计（三）Kubernetes控…...

编程日记 2025/7/30 4:33:54

51单片机，两路倒计时，LCD1602 ，Proteus仿真

初始上电默认2路都是0分钟的倒计时 8个按键 4个一组一组控制一路倒计时 4个按键：加减开始或者暂停复位到0分钟相当于停止针对第一路倒计时 4个按键2：加减开始或者暂停复位到0分钟相当于停止针对第2路倒计时哪一路到了0后蜂鸣器响对应LED点亮 main.c 文件实现了…...

编程日记 2025/7/30 4:26:38

MySQL之储存引擎和视图

一、储存引擎基本介绍： 1、MySQL的表类型由储存引擎(Storage Engines)决定，主要包括MyISAM、innoDB、Memory等。 2、MySQL数据表主要支持六种类型，分别是：CSV、Memory、ARCHIVE、MRG_MYISAN、MYISAM、InnoBDB。 3、这六种又分…...

编程日记 2025/7/30 4:18:17

写spark程序数据计算（数据库的计算，求和，汇总之类的）连接mysql数据库，写入计算结果

1. 添加依赖在项目的 pom.xml（Maven）中添加以下依赖： xml  <dependency> <groupId>org.apache.spark</groupId> <artifactId>spark-sql_2.12</artifactId> <version>3.3.0…...

编程日记 2025/7/30 4:20:21

一：操作系统之系统调用

系统调用：用户程序与操作系统交互的桥梁在计算机的世界里，应用程序是我们日常接触最多的部分，比如浏览器、文本编辑器、游戏等等。然而，这些应用程序并不能直接控制硬件资源，比如读写硬盘、创建新进程、发送网络数据…...

编程日记 2025/7/30 4:27:56

【ROS2】核心概念6——通信接口语法（Interfaces）

古月21讲/2.6_通信接口官方文档：Interfaces — ROS 2 Documentation: Humble documentation 官方接口代码实战：https://docs.ros.org/en/humble/Tutorials/Beginner-Client-Libraries/Single-Package-Define-And-Use-Interface.html ROS 2使用简化的描…...

编程日记 2025/7/16 7:51:17

SmartETL函数式组件的设计与应用

SmartETL框架主要采用了面向对象的设计思想，将ETL过程中的处理逻辑抽象为Loader和Processor（对应loader模块和iterator模块），所有流程组件需要继承或实现DataProvider（iter方法）或JsonIterator（…...

编程日记 2025/7/27 23:08:03

Spring Security与SaToken的对比与优缺点分析

Spring Security与SaToken对比分析一、框架定位 Spring Security 企业级安全解决方案，深度集成Spring生态提供完整的安全控制链（认证、授权、会话管理、攻击防护）适合中大型分布式系统 SaToken 轻量级权限认证框架，专注Token会…...

编程日记 2025/7/29 16:18:00

|从零开始的Pyside2界面编程| 环境搭建以及第一个ui界面

🐑 |从零开始的Pyside2界面编程| 环境搭建以及第一个ui界面🐑 文章目录 🐑 |从零开始的Pyside2界面编程| 环境搭建以及第一个ui界面🐑♈前言♈♈Pyside2环境搭建♈♈做个简单的UI界面♈♒代码实现♒♒QTdesigner设计UI界面♒ ♒总…...

编程日记 2025/7/27 13:35:17

【爬虫】DrissionPage-7

官方文档： https://www.drissionpage.cn/browser_control/get_page_info/ 1. 页面信息 📌 html 描述：返回当前页面的 HTML 文本。注意：不包含 <iframe> 元素的内容。返回类型：str 示例： html_co…...

编程日记 2025/7/25 19:37:12

系统架构设计（十二）：统一过程模型（RUP）

简介 RUP 是由 IBM Rational 公司提出的一种面向对象的软件工程过程模型，以 UML 为建模语言，是一种以用例为驱动、以架构为中心、迭代式、增量开发的过程模型。三大特征特征说明以用例为驱动（Use Case Driven）需求分析和测…...

编程日记 2025/7/24 10:43:48

深入解析Java事件监听机制与应用

Java事件监听机制详解一、事件监听模型组成事件源（Event Source） 产生事件的对象（如按钮、文本框等组件） 事件对象（Event Object） 封装事件信息的对象（如ActionEvent包含事件源信息&#xf…...

编程日记 2025/7/28 4:22:31

QT聊天项目DAY11

1. 验证码服务 1.1 用npm安装redis npm install redis 1.2 修改config.json配置文件 1.3 新建redis.js const config_module require(./config) const Redis require("ioredis");// 创建Redis客户端实例 const RedisCli new Redis({host: config_module.redis_…...

编程日记 2025/7/27 23:18:01

Python训练营---Day29

知识点回顾类的装饰器装饰器思想的进一步理解：外部修改、动态类方法的定义：内部定义和外部定义作业：复习类和函数的知识点，写下自己过去29天的学习心得，如对函数和类的理解，对python这门工具的理解等&…...

编程日记 2025/7/22 22:54:20

Flask-SQLAlchemy_数据库配置

1、基本概念（SQLAlchemy与Flask-SQLAlchemy） SQLAlchemy 是 Python 生态中最具影响力的 ORM（对象关系映射）库，其设计理念强调 “框架无关性”，支持在各类 Python 项目中独立使用，包括 Flask、D…...

编程日记 2025/7/24 7:00:07

世界银行数字经济指标（1990-2022年）-社科数据

世界银行数字经济指标（1990-2022年）-社科数据https://download.csdn.net/download/paofuluolijiang/90623839 https://download.csdn.net/download/paofuluolijiang/90623839 此数据集涵盖了1990年至2022年间全球各国的数字经济核心指标，数据…...

编程日记 2025/7/25 16:02:04

Redis进阶知识

Redis 1.事务2. 主从复制2.1 如何启动多个Redis服务器2.2 监控主从节点的状态2.3 断开主从复制关系2.4 额外注意2.5拓扑结构2.6 复制过程2.6.1 数据同步 3.哨兵选举原理注意事项 4.集群4.1 数据分片算法4.2 故障检测 5. 缓存5.1 缓存问题 6. 分布式锁 1.事务 Redis的事务只能保…...

编程日记 2025/7/29 11:23:22

NY337NY340美光固态颗粒NC010NC012

NY337NY340美光固态颗粒NC010NC012 在存储技术的浩瀚星空中，美光的NY337、NY340、NC010、NC012等固态颗粒宛如璀璨星辰，闪耀着独特的光芒。它们承载着先进技术与无限潜力，正深刻影响着存储行业的格局与发展。一、技术架构与核心优势美光…...

编程日记 2025/7/16 13:19:59

DAY26 函数定义与参数

浙大疏锦行-CSDN博客知识点回顾： 1.函数的定义 2.变量作用域：局部变量和全局变量 3.函数的参数类型：位置参数、默认参数、不定参数 4.传递参数的手段：关键词参数 5.传递参数的顺序：同时出现三种参数类型时函数的定义…...

编程日记 2025/7/16 15:31:42

系统安全及应用

目录一、账号安全控制 1.基本安全措施 （1）系统账号清理 (2)密码安全控制 （3）历史命令，自动注销 2.用户提权和切换命令 2.1 su命令用法 2.2 sudo命令提权 2.3通过是sudo执行特权命令二、系统引导和登录控制…...

编程日记 2025/7/17 7:09:01

微信小程序地图使用射线法判断目标点是否在多边形内部（可用于判断当前位置是否在某个区域内部）

目录射线法原理简要逻辑代码小程序代码调试基础库小程序配置地图数据地图多边形点与多边形关系射线法原理使用射线法来判断，目标点是否在多边形内部这里简单说下，具体细节可以看这篇文章平面几何：判断点是否在多边形内（…...

编程日记 2025/7/25 20:24:33

第三十七节：视频处理-视频读取与处理

引言：解码视觉世界的动态密码在数字化浪潮席卷全球的今天，视频已成为信息传递的主要载体。从短视频平台的爆火到自动驾驶的视觉感知，视频处理技术正在重塑人类与数字世界的交互方式。本指南将深入探讨视频处理的核心技术，通过Python与OpenCV的实战演示，为您揭开动态影像…...

编程日记 2025/7/11 15:18:09

什么是 Flink Pattern

在 Apache Flink 中，Pattern 是 Flink CEP（Complex Event Processing）模块的核心概念之一。它用于定义你希望从数据流中检测出的事件序列模式（Event Sequence Pattern）。 🎯 一、什么是 Flink Pattern&am…...

编程日记 2025/7/30 1:20:47

ADB基本操作和命令

1.ADB的含义 adb 命令是 Android 官方提供，调试 Android 系统的工具。 adb 全称为 Android Debug Bridge（Android 调试桥），是 Android SDK 中提供的用于管理 Android 模拟器或真机的工具。 adb 是一种功能强大的命令行工具&#x…...

编程日记 2025/7/17 21:01:09

NSString的三种实现方式

oc里的NSString有三种实现方式，为_ _NSCFConstantString、__NSCFString、NSTaggedPointerString 1._ _NSCFConstantString(字面量字符串) 从字面意思上可以看出，_ _NSCFContantString可以理解为常量字符串，这种类型的字符串在编译期就确定了…...

编程日记 2025/7/23 1:23:02

2025年PMP 学习二十第13章项目相关方管理

第13章项目相关方管理序号过程过程组过程组1识别相关方启动2规划相关方管理规划3管理相关方参与与执行4监控相关方参与与监控相关方管理，针对于团队之外的相关方的，核心目标是让对方为了支持项目，以达到项目目标。文章目录第13章项目相…...

编程日记 2025/7/23 21:28:22

学习黑客Kerberos深入浅出：安全王国的门票系统

Kerberos深入浅出：安全王国的门票系统 🎫 作者: 海尔辛 | 发布时间: 2025-05-18 🔑 理解Kerberos：为什么它如此重要？ Kerberos是现代网络环境中最广泛使用的身份验证协议之一，尤其在Windows Active Dire…...

编程日记 2025/7/28 14:03:18

蓝桥杯19681 01背包

问题描述有 N 件物品和一个体积为 M 的背包。第 i 个物品的体积为 vi，价值为 wi。每件物品只能使用一次。请问可以通过什么样的方式选择物品，使得物品总体积不超过 M 的情况下总价值最大，输出这个最大价值即可。输入格式第一行输…...

编程日记 2025/7/28 21:06:55

使用 Auto-Keras 进行自动化机器学习

使用 Auto-Keras 进行自动化机器学习了解自动化机器学习以及如何使用 auto-keras 完成它。如今，机器学习并不是一个非常罕见的术语，因为像 DataCamp、Coursera、Udacity 等组织一直在努力提高他们的效率和灵活性，以便将机器学习的教育带给普…...

编程日记 2025/7/18 14:51:49

算法刷题Day9 5.18:leetcode定长滑动窗口3道题，结束定长滑动窗口,用时1h

12. 1852.每个子数组的数字种类数 1852. 每个子数组的数字种类数 - 力扣（LeetCode） 思想找到nums 所有长度为 k 的子数组中不同元素的数量。返回一个数组 ans，其中 ans[i] 是对于每个索引 0 < i < n - k，nums[i..(i …...

编程日记 2025/7/24 15:36:49

Protect Your Digital Privacy: Obfuscate, Don’t Hide

Protect Your Digital Privacy: Obfuscate, Don’t Hide In today’s digital world, hiding completely online is nearly impossible. But you can protect yourself by deliberately obfuscating your personal information — making it harder for others to track, pro…...

编程日记 2025/7/28 13:41:39

1.pod 的容器组成：sandbox+业务containers

2.pod 的 sandbox 容器

2.1.pause 容器的核心作用

2.2.pause 容器的技术细节