当前位置：首页 > news >正文

面试题整理9----谈谈对k8s的理解2

news 来源：原创 2025/5/25 14:19:34

面试题整理9----谈谈对k8s的理解2

1. Service 资源
- 1.1 Service
- - ClusterIP
  - NodePort
  - LoadBalancer
  - Ingress
  - ExternalName
- 1.2 Endpoints
- 1.3 Ingress
- 1.4 EndpointSlice
- 1.5 IngressClass
2. 配置和存储资源
- 2.1 ConfigMap
- 2.2 Secret
- 2.3 PersistentVolume
- 2.4 PersistentVolumeClaim
- 2.5 StorageClass
- - 2.5.1 PV,PVC,StorageClass之间的关系
- 2.6 Volume
- 2.7 CSIDriver
- 2.8 CSINode
- 2.9 CSIStorageCapacity
- 2.10 StorageVersionMigration v1alpha1
3. RBAC 鉴权资源
- 3.1 Role和RoleBinding
- - 3.1.1 Role
  - 3.1.2 RoleBinding
  - 3.1.3 常见用例
- 3.2 ClusterRole和ClusterRoleBinding
- - 3.2.1 ClusterRole
  - 3.2.2 ClusterRoleBinding
  - 3.2.3 常见用例
- 3.3 LocalSubjectAccessReview
- 3.4 SelfSubjectAccessReview
- 3.5 SelfSubjectRulesReview
- 3.6 SubjectAccessReview

1. Service 资源

1.1 Service

Service 是软件服务（例如 mysql）的命名抽象，包含代理要侦听的本地端口（例如 3306）和一个选择算符，选择算符用来确定哪些 Pod 将响应通过代理发送的请求。

Service几种模式:

ClusterIP

适用于集群内部的服务间通信。

apiVersion: v1
kind: Service
metadata:name: my-service
spec:selector:app: my-appports:- protocol: TCPport: 80targetPort: 8080

NodePort

适用于需要从集群外部通过node节点的映射访问服务的场景。

api版version: v1
kind: Service
metadata:name: my-service
spec:selector:app: my-apptype: NodePortports:- protocol: TCPport: 80targetPort: 8080nodePort: 30007

LoadBalancer

适用于需要从互联网访问服务的场景。

apiVersion: v1
kind: Service
metadata:name: my-service
spec:selector:app: my-apptype: LoadBalancerports:- protocol: TCPport: 80targetPort: 8080

Ingress

适用于需要基于路径或主机名路由流量的场景。

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:name: my-ingress
spec:rules:- host: my-app.comhttp:paths:- path: /pathType: Prefixbackend:service:name: my-serviceport:number: 80

ExternalName

将 Service 映射到一个外部名称，通常是一个 DNS 名称。适用于需要将 Kubernetes 服务与外部服务集成的场景。

apiVersion: v1
kind: Service
metadata:name: my-service
spec:type: ExternalNameexternalName: my-external-service.com

1.2 Endpoints

Endpoints 是实现实际服务的端点的集合。即是通过service发现的后端pods的集合.

1.3 Ingress

Ingress 是允许入站连接到达后端定义的端点的规则集合。

1.4 EndpointSlice

EndpointSlice 是实现某 Service 的端点的子集.

1.5 IngressClass

IngressClass 代表 Ingress 的类，被 Ingress 的规约引用

2. 配置和存储资源

2.1 ConfigMap

ConfigMap 包含供 Pod 使用的配置数据。存储非敏感的配置数据。如配置文件、环境变量等。

有2种方法可以加载configmap中的环境变量:

apiVersion: v1
kind: Pod
metadata:name: my-pod
spec:containers:- name: my-containerimage: my-imageenvFrom:- configMapRef:name: my-configmap

或者

apiVersion: v1
kind: Pod
metadata:name: my-pod
spec:containers:- name: my-containerimage: my-imageenv:- name: MY_ENV_VARIABLEvalueFrom:configMapKeyRef:name: my-configmapkey: my-config-key

2.2 Secret

Secret 包含某些类别的秘密数据。存储敏感数据，并确保数据的安全性和访问控制。如密码、密钥、证书等。

用户名密码的引用方式:

apiVersion: v1
kind: Pod
metadata:name: my-pod
spec:containers:- name: my-containerimage: my-imageenv:- name: DB_USERNAMEvalueFrom:secretKeyRef:name: my-secretkey: username- name: DB_PASSWORDvalueFrom:secretKeyRef:name: my-secretkey: password

证书文件的引用:

secret的导入

kubectl create secret tls my-tls-secret \--cert=path/to/tls.crt \--key=path/to/tls.key

pod中的引用

apiVersion: v1
kind: Pod
metadata:name: my-pod
spec:containers:- name: my-containerimage: my-imagevolumeMounts:- name: tls-certsmountPath: /app/tlsreadOnly: truevolumes:- name: tls-certssecret:secretName: my-tls-secret

2.3 PersistentVolume

PersistentVolume (PV) 是管理员制备的一个存储资源。全局资源

2.4 PersistentVolumeClaim

PersistentVolumeClaim 是用户针对一个持久卷的请求和申领。名称空间资源

2.5 StorageClass

StorageClass 为可以动态制备 PersistentVolume 的存储类描述参数。全局资源

2.5.1 PV,PVC,StorageClass之间的关系

Storage Class：定义了一种存储类型，包括存储的类型、回收策略等。它允许动态创建 PV。
Persistent Volume (PV)：是集群中的一块存储资源，类似于一个物理磁盘。PV 可以是静态创建的，也可以是通过 Storage Class 动态创建的。
Persistent Volume Claim (PVC)：是用户对存储资源的请求，类似于对 PV 的申请。PVC 可以绑定到一个 PV，从而使用该 PV 提供的存储资源。

2.6 Volume

Volume 表示 Pod 中一个有名字的卷，可以由 Pod 中的任意容器进行访问。

2.7 CSIDriver

CSIDriver 抓取集群上部署的容器存储接口（CSI）卷驱动有关的信息。

2.8 CSINode

CSINode 包含节点上安装的所有 CSI 驱动有关的信息。

2.9 CSIStorageCapacity

CSIStorageCapacity 存储一个 CSI GetCapacity 调用的结果。

2.10 StorageVersionMigration v1alpha1

StorageVersionMigration 表示存储的数据向最新存储版本的一次迁移。

3. RBAC 鉴权资源

3.1 Role和RoleBinding

Role 和 RoleBinding 是 Kubernetes 中用于管理命名空间级别权限的两个核心资源。它们与 ClusterRole 和 ClusterRoleBinding 类似，但作用范围仅限于特定的命名空间。

3.1.1 Role

Role 定义了一组在特定命名空间内的权限。你可以把它看作是一种命名空间级别的“角色”，它描述了哪些 API 组、资源类型以及操作可以被允许。

Role 示例：

查看特定命名空间中的 pods

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:namespace: defaultname: pod-reader
rules:
- apiGroups: [""]resources: ["pods"]verbs: ["get", "watch", "list"]

管理特定命名空间中的 ConfigMaps

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:namespace: defaultname: configmap-admin
rules:
- apiGroups: [""]resources: ["configmaps"]verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]

3.1.2 RoleBinding

RoleBinding 将 Role 绑定到一个或多个用户、组或服务账户上，从而授予这些实体在特定命名空间内的相应权限。你可以把它看作是一种命名空间级别的“角色绑定”。

RoleBinding 示例：

将 pod-reader Role 绑定到特定用户

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:name: read-podsnamespace: default
subjects:
- kind: Username: janeapiGroup: rbac.authorization.k8s.io
roleRef:kind: Rolename: pod-readerapiGroup: rbac.authorization.k8s.io

将 configmap-admin Role 绑定到一个服务账户

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:name: configmap-admin-bindingnamespace: default
subjects:
- kind: ServiceAccountname: configmap-admin-sa
roleRef:kind: Rolename: configmap-adminapiGroup: rbac.authorization.k8s.io

3.1.3 常见用例

命名空间管理员：创建一个具有特定命名空间内所有权限的 Role，并将其绑定到命名空间管理员用户或组。
应用程序访问控制：为应用程序创建一个 Role，允许它访问和修改特定命名空间内的资源（如 pods、services、configmaps 等），并将其绑定到应用程序使用的服务账户。
CI/CD 管道：为 CI/CD 管道创建一个 Role，允许它在特定命名空间内创建、更新和删除部署、服务等资源，并将其绑定到 CI/CD 工具使用的服务账户。
多租户环境：在多租户环境中，为每个租户创建一个独立的命名空间，并为每个租户分配一个 Role 和 RoleBinding，以限制他们对资源的访问权限。

通过合理地使用 Role 和 RoleBinding，你可以实现细粒度的访问控制，确保集群中各个命名空间的安全性和稳定性。

3.2 ClusterRole和ClusterRoleBinding

ClusterRole 和 ClusterRoleBinding 是 Kubernetes 中用于管理集群级别权限的两个核心资源。它们与 Role 和 RoleBinding 类似，但作用范围是整个集群，而不仅仅是某个命名空间。

3.2.1 ClusterRole

ClusterRole 定义了一组跨集群范围的权限。你可以把它看作是一种集群级别的“角色”，它描述了哪些 API 组、资源类型以及操作可以被允许。

ClusterRole 示例：

查看所有命名空间中的 pods

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:name: pod-reader
rules:
- apiGroups: [""]resources: ["pods"]verbs: ["get", "watch", "list"]

管理集群中的所有 ConfigMaps

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:name: configmap-admin
rules:
- apiGroups: [""]resources: ["configmaps"]verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]

3.2.2 ClusterRoleBinding

ClusterRoleBinding 将 ClusterRole 绑定到一个或多个用户、组或服务账户上，从而授予这些实体相应的权限。你可以把它看作是一种集群级别的“角色绑定”。

ClusterRoleBinding 示例：

将 pod-reader ClusterRole 绑定到特定用户

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:name: read-pods
subjects:
- kind: Username: janeapiGroup: rbac.authorization.k8s.io
roleRef:kind: ClusterRolename: pod-readerapiGroup: rbac.authorization.k8s.io

将 configmap-admin ClusterRole 绑定到一个服务账户

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:name: configmap-admin-binding
subjects:
- kind: ServiceAccountname: configmap-admin-sanamespace: kube-system
roleRef:kind: ClusterRolename: configmap-adminapiGroup: rbac.authorization.k8s.io

3.2.3 常见用例

集群管理员：创建一个具有所有权限的 ClusterRole，并将其绑定到集群管理员用户或组。
监控和日志收集：为监控和日志收集工具创建一个 ClusterRole，允许它们读取集群中的各种资源（如 pods、nodes、services 等），并将其绑定到相应的服务账户。
CI/CD 管道：为 CI/CD 管道创建一个 ClusterRole，允许它创建、更新和删除部署、服务等资源，并将其绑定到 CI/CD 工具使用的服务账户。
备份和恢复：为备份和恢复工具创建一个 ClusterRole，允许它读取和修改持久卷、配置映射等资源，并将其绑定到备份和恢复工具使用的服务账户。

3.3 LocalSubjectAccessReview

LocalSubjectAccessReview 检查用户或组是否可以在给定的命名空间内执行某操作。

3.4 SelfSubjectAccessReview

SelfSubjectAccessReview 检查当前用户是否可以执行某操作。

3.5 SelfSubjectRulesReview

SelfSubjectRulesReview 枚举当前用户可以在某命名空间内执行的操作集合。

3.6 SubjectAccessReview

SubjectAccessReview 检查用户或组是否可以执行某操作。

至此对k8s的理解应该就差不多了.当然面试中不过不拦着可以继续对K8s的监控,告警,日志,流量治理,CICD等各个面继续深入阐述自己的理解.

面试题整理9----谈谈对k8s的理解2

面试题整理9----谈谈对k8s的理解2 1. Service 资源1.1 ServiceClusterIPNodePortLoadBalancerIngressExternalName 1.2 Endpoints1.3 Ingress1.4 EndpointSlice1.5 IngressClass 2. 配置和存储资源2.1 ConfigMap2.2 Secret2.3 PersistentVolume2.4 PersistentVolumeClaim2.5 St…...

编程日记 2025/5/25 14:19:34

fpga系列 HDL：Quartus II PLL (Phase-Locked Loop) IP核 (Quartus II 18.0)

在 Quartus II 中使用 PLL (Phase-Locked Loop) 模块来将输入时钟分频或倍频，并生成多个相位偏移或频率不同的时钟信号： 1. 生成 PLL 模块在 Quartus II 中： 打开 IP Components。 file:///C:/intelFPGA_lite/18.0/quartus/common/help/w…...

编程日记 2025/5/25 7:50:00

中国量子计算机领域的发展现状与展望

中国量子计算机领域的发展现状与展望摘要随着全球科技竞争的加剧，量子计算作为前沿技术领域备受瞩目。中国在量子计算机的研发方面取得了显著进展，本文将深入探讨中国量子计算机领域的现状、取得的成果、面临的挑战以及未来的发展方向，并…...

编程日记 2025/5/25 3:36:54

html（超文本标记语言）

声明！ 学习视频来自B站up主 **泷羽sec** 有兴趣的师傅可以关注一下，如涉及侵权马上删除文章，笔记只是方便各位师傅的学习和探讨，文章所提到的网站以及内容，只做学习交流，其他均与本人以及泷羽sec团队无关&…...

编程日记 2025/5/25 14:11:27

如何在Windows系统上安装和配置Maven

Maven是一个强大的构建和项目管理工具，广泛应用于Java项目的自动化构建、依赖管理、项目构建生命周期控制等方面。在Windows系统上安装Maven并配置环境变量，是开发者开始使用Maven的第一步。本文将详细介绍如何在Windows系统上安装和配置Maven&#xff0…...

编程日记 2025/5/24 9:11:52

基于Python Scrapy的豆瓣Top250电影爬虫程序

Scrapy安装 Python实现一个简单的爬虫程序（爬取图片）_python简单扒图脚本-CSDN博客创建爬虫项目创建爬虫项目： scrapy startproject test_spider 创建爬虫程序文件： >cd test_spider\test_spider\spiders >scrapy g…...

编程日记 2025/5/25 14:15:01

mysql,数据库数据备份

mysql 一.数据库备份概念1.备份分类2.备份策略3.备份三要素二.完全备份操作1.物理备份(还原),冷备份2.逻辑备份,温备份三.percona软件的xtrabackup工具备份(2备份,3还原),增量,差异1.percona软件安装2.增量备份(还原)3.差异备份四.binlog日志1.binlog日志概念2.查看binlog日志信…...

编程日记 2025/5/19 13:56:43

模仿elementui的Table，实现思路

vue2子组件使用render，给子子组件插槽传值和elementui的Table一样使用render 在 Vue 2 中，子组件使用render函数向子子组件插槽传值可以通过以下步骤实现： 1、创建子组件首先创建一个子组件，在子组件中使用render函数来渲染内容…...

编程日记 2025/5/20 6:46:16

Android Studio AI助手---Gemini

从金丝雀频道下载最新版 Android Studio，以利用所有这些新功能，并继续阅读以了解新增内容。 Gemini 现在可以编写、重构和记录 Android 代码 Gemini 不仅仅是提供指导。它可以编辑您的代码，帮助您快速从原型转向实现，实现常见的…...

编程日记 2025/5/25 2:33:56

大模型+安全实践之春天何时到来？

引子：距《在大模型实践旅途中摸了下上帝的脚指头》一文发布近一年，2024年笔者继续全情投入在大模型＋安全上，深度参与了一些应用实践，包括安全大模型首次大规模应用在国家级攻防演习、部分项目的POC直到项目落地，也推动了一些场景安全大模型应用从0到3的孵化上市。这一年也…...

编程日记 2025/5/22 6:20:03

ACL技术---访问控制列表

是一种策略。对于网络中的流量而言，通常有两种处理方式允许拒绝 ACL 的原理配置了 ACL 的网络设备会根据事先设定好的报文匹配规则对经过该设备的报文进行匹配，然后对报文执行预先设定好的处理动作。 ACL 的功能访问控制：在设备…...

编程日记 2025/5/19 11:57:26

第25周：文献阅读

目录摘要 Abstract 文献阅读现有问题提出方法创新点方法论实验研究数据集数据预处理仿真实验评价指标实验结果分析总结摘要本篇论文提出了一种基于深度学习框架的风速预测方法——SSA-BiLSTM网络，旨在提高风速预测的精确性。研究使…...

编程日记 2025/5/22 0:21:58

BiTCN-BiGRU基于双向时间卷积网络结合双向门控循环单元的数据多特征分类预测（多输入单输出）

Matlab实现BiTCN-BiGRU基于双向时间卷积网络结合双向门控循环单元的数据多特征分类预测（多输入单输出） 目录 Matlab实现BiTCN-BiGRU基于双向时间卷积网络结合双向门控循环单元的数据多特征分类预测（多输入单输出）分类效果基本描述…...

编程日记 2025/5/19 17:38:07

docker数据卷

什么是数据卷？ 在容器中是无法通过vi命令对一个容器中的资源做修改的，这个时候就需要通过数据卷将文件中的内容映射到宿主机，在宿主机修改的文件会更新到容器中，并且容器被删除后不会把数据卷删除，数据卷中的数据会被持…...

编程日记 2025/5/22 21:42:33

Linux下基于最新稳定版ESP-IDF5.3.2开发esp32s3入门任务间的通讯-信号量【入门三】

继续上一篇任务创建【Linux下基于最新稳定版ESP-IDF5.3.2开发esp32s3入门任务创建【入门二】-CSDN博客】今天要实现再创建一个任务。【二值和互斥都进行测试】 ①、通过任务A发送一个信号量，另一个任务得到信号量后再发送helloworld。 ②、两个任务通过互斥信…...

编程日记 2025/5/23 23:12:07

使用C#绘制具有平滑阴影颜色的曼德布洛特集分形

示例使用复数类在 C# 中轻松绘制曼德布洛特集分形解释了如何通过迭代方程绘制曼德布洛特集：...

编程日记 2025/5/23 23:12:04

Unittest01|TestCase

一、入门 1、新建测试文件打开pycharm→左上角新建项目→选择项目路径→选择python解释器→创建→点击新建好的项目，右键新建python文件→测试文件（py文件）命名必须以test开头 2、创建测试用例定义测试类：导入unittest模块→…...

编程日记 2025/5/20 18:50:29

Django实现异步视图asyncio请求

随着现代Web应用程序对性能和响应速度的需求不断增加，开发者们越来越倾向于采用异步编程来提升应用的效率和用户体验。在传统的Web开发框架中，通常采用同步请求方式，这意味着每一个请求都需要等待前一个请求完成后才能继续处理。对于高并发的请求，可能会出现性能瓶颈。而Dj…...

编程日记 2025/5/21 14:37:15

Apache Samza开源的分布式流处理框架

Apache Samza 是一个开源的分布式流处理框架，用于处理实时数据流和分布式任务。它最初由 LinkedIn 开发，并在 2014 年捐赠给 Apache 软件基金会。Samza 的设计目标是为开发人员提供一个易用、可靠、高效的流处理工具。以下是其关键特点和架构的简介：核心特点简单的编程模…...

编程日记 2025/5/21 22:33:33

Linux实验报告5-shell脚本编程进阶

目录一：实验目的二：实验内容 1 编写脚本，实现将当前目录中所有子目录的名称输出到屏幕上。 2 首先以你的姓氏的拼音为开头在当前用户的主目录下新建3个文件和2个子目录，如zi1，zi2，zi3以及子目录zi.d和…...

编程日记 2025/5/24 10:18:57

YOLO系列正传（四）YOLOv3论文精解(下)——损失函数推导与其他优化项

系列文章 YOLO系列基础 YOLO系列基础合集——小白也看得懂的论文精解-CSDN博客 YOLO系列正传 YOLO系列正传（一）类别损失与MSE损失函数、交叉熵损失函数-CSDN博客 YOLO系列正传（二）YOLOv3论文精解(上)——从FPN到darknet-53-C…...

编程日记 2025/5/20 21:59:19

【漏洞复现】CVE-2023-37461 Arbitrary File Writing

漏洞信息 NVD - cve-2023-37461 Metersphere is an opensource testing framework. Files uploaded to Metersphere may define a belongType value with a relative path like ../../../../ which may cause metersphere to attempt to overwrite an existing file in the d…...

编程日记 2025/5/23 23:12:01

面试题整理9----谈谈对k8s的理解2

1. Service 资源

1.1 Service

ClusterIP

NodePort

LoadBalancer

Ingress

ExternalName

1.2 Endpoints

1.3 Ingress

1.4 EndpointSlice

1.5 IngressClass

2. 配置和存储资源

2.1 ConfigMap

2.2 Secret

2.3 PersistentVolume

2.4 PersistentVolumeClaim

2.5 StorageClass

2.5.1 PV,PVC,StorageClass之间的关系

2.6 Volume

2.7 CSIDriver

2.8 CSINode

2.9 CSIStorageCapacity

2.10 StorageVersionMigration v1alpha1

3. RBAC 鉴权资源

3.1 Role和RoleBinding

3.1.1 Role

3.1.2 RoleBinding

3.1.3 常见用例

3.2 ClusterRole和ClusterRoleBinding

3.2.1 ClusterRole

3.2.2 ClusterRoleBinding

3.2.3 常见用例

3.3 LocalSubjectAccessReview

3.4 SelfSubjectAccessReview

3.5 SelfSubjectRulesReview

3.6 SubjectAccessReview

相关文章：