K8s 运维系列 | 第 30 天：精通之路——总结与进阶规划

Kubernetes 已经陪伴我们从零开始走过了完整的三十天。从最初认识「容器编排」这个概念，到搭建 minikube 与 kubeadm 集群，再到 Deployment、Service、Ingress、HPA、HPA 弹性伸缩、Prometheus 监控、Helm 打包、Service Mesh、GitOps、灰度发布……每一个知识点背后都是一次思维的跃迁。当我们回望这三十天，你会发现：K8s 不是一门孤立的工具，而是一整套云原生操作系统的方法论。

本系列到此收官，但「精通之路」才刚刚展开。今天是系列总结篇：我们一起回顾知识点、梳理能力模型、规划进阶路线，并给出一个可落地的「从合格到精通」学习路线。

一、回顾：三十天的知识地图

把三十天内容归入四层，你会看到一条清晰的能力主线：

第一层「基础对象」：Pod、Label、Selector、Namespace、Deployment、ReplicaSet、Service、Ingress、ConfigMap、Secret、PV/PVC。
第二层「运行机制」：调度（污点/容忍度/节点选择）、资源（Request/Limit/HPA/Cluster Autoscaler）、网络（CNI/Calico/NetworkPolicy）。
第三层「生产配套」：RBAC、日志（Loki/EFK）、监控（Prometheus/Grafana）、存储（CSI/动态供给/备份恢复）、CRD/Operator。
第四层「平台工程」：Helm、Argo CD、Istio、Gateway API、CI/CD（Jenkins/GitLab）、灰度发布、生产数据库/中间件。

四层不是简单的清单叠加，而是「对象 → 机制 → 配套 → 工程化」的递进。理解了这条主线，你就掌握了 K8s 的「操作系统」思维。

二、核心概念：精通与合格的分水岭

合格运维能「让 Pod 跑起来」，精通运维能「让集群稳定、可观测、可演进」。两者的差距体现在五个维度：

1. 控制面理解

合格运维用 kubectl 命令完成 CRUD；精通运维能看懂 etcd、apiserver、scheduler、controller-manager、kubelet、kube-proxy 之间的事件流转，并能画出控制面数据流图。

2. 声明式思维

合格运维习惯命令式操作；精通运维坚持「写 YAML、走 GitOps」，把基础设施当代码，把集群状态当「期望态」管理。

3. 资源治理

精通运维能精确设定 Request/Limit、理解 QoS 等级、掌握 LimitRange、ResourceQuota、Pod Priority、Eviction 策略，避免 OOM 与资源争抢。

4. 故障定位

精通运维面对 ImagePullBackOff、CrashLoopBackOff、Pending、NotReady 能秒级定位；面对集群抖动能从 kube-apiserver 日志、etcd 健康、CNI 插件、Node condition 逐层排查。

5. 平台化交付

精通运维会写 Helm Chart、Operator、Admission Controller、Webhook、Kustomize Overlay，把「集群能力」沉淀为「平台能力」。

三、实战步骤：搭建你的能力验证清单

精通不是凭感觉，而是通过可验证的能力清单。下面给出「K8s 精通自测」清单与对应命令。

步骤 1：控制面健康巡检

# 查看控制面组件状态
kubectl get pods -n kube-system
kubectl -n kube-system get deploy etcd-<node> 
    -o jsonpath='{.status.conditions}'

# 查看 etcd 集群成员与健康
etcdctl --endpoints=https://127.0.0.1:2379 
    --cacert=/etc/kubernetes/pki/etcd/ca.crt 
    --cert=/etc/kubernetes/pki/etcd/peer.crt 
    --key=/etc/kubernetes/pki/etcd/peer.key 
    endpoint health

步骤 2：资源治理审计

# 审计命名空间下未设置 requests/limits 的 Pod
apiVersion: v1
kind: Namespace
metadata:
  name: prod
  labels:
    pod-security.kubernetes.io/enforce: restricted
  # 配合 LimitRange 强制 defaults
---
apiVersion: v1
kind: LimitRange
metadata:
  name: prod-limits
  namespace: prod
spec:
  limits:
  - default:
      cpu: 500m
      memory: 512Mi
    defaultRequest:
      cpu: 100m
      memory: 128Mi

步骤 3：可观测性基线

精通运维的集群必须具备「三大支柱 + 事件体系」：

# Prometheus Operator + Thanos 长期存储
apiVersion: monitoring.coreos.com/v1
kind: Prometheus
metadata:
  name: main
  namespace: monitoring
spec:
  retention: 15d
  storage:
    volumeClaimTemplate:
      spec:
        storageClassName: fast-ssd
        resources:
          requests:
            storage: 100Gi

步骤 4：GitOps 闭环

# 用 Argo CD 验证应用同步状态
argocd app get myapp --show-operation
argocd app sync myapp --strategy apply
argocd app wait myapp --health
# 强制回滚到上一版本
argocd app rollback myapp <DEPLOYMENT_ID>

步骤 5：故障演练

精通运维会主动做故障演练。下面是一个「Pod 被驱逐」的演练脚本：

# 注入磁盘压力，观察 kubelet 驱逐行为
debug-node-pressure.sh() {
  local node=$1
  kubectl debug node/$node -it --image=busybox -- chroot /host
  # 在宿主机 rootfs 上撑大磁盘，观察 Pending -> Evicted 流转
}
# 配合 Prometheus 查询：
# kube_pod_status_phase{phase="Failed"}

四、进阶规划：从合格到精通的六个月路线

以下是可直接套用的六个月进阶路线：

第 1 个月（合格 → 熟练）：吃透对象模型，每天一个 YAML，能独立部署 10 个常见应用；掌握 Helm 模板语法与 Kustomize。
第 2 个月（熟练 → 生产）：上线生产级集群，落地 Prometheus + Grafana + Loki；学会用 NetworkPolicy 隔离网络。
第 3 个月（生产 → 平台）：写 Operator，抽象团队常用工作流；引入 Argo CD + 灰度发布流水线。
第 4 个月（平台 → 安全）：深入 RBAC、Pod Security、Admission Webhook、Secret 管理（Vault/Sealed Secrets）。
第 5 个月（安全 → 高可用）：多集群、etcd HA、Disaster Recovery、跨地域容灾演练。
第 6 个月（高可用 → 精通）：参与社区、写 Operator 提案、做 K8s 内部分享、参与开源。

进阶规划的核心不是学完更多命令，而是把「会做」变成「懂原理」，再把「懂原理」变成「能讲出来、能教别人」。