证书管理与自动轮换：cert-manager 与 kubelet 证书轮换
系统梳理 Kubernetes 的证书体系与自动轮换：控制面证书清单与 kubeadm certs 命令、kubelet TLS Bootstrap 与证书自动轮换、ServiceAccount Token 从 Secret 到 TokenRequest 投影卷的演进、cert-manager 的 Issuer/Certificate/Ingress 集成，以及证书过期告警实践。
category
云原生
共 42 篇文章。
Sidecar 模式与原生边车容器：init 容器、生命周期与重启策略
系统梳理 Kubernetes 的 Sidecar 模式：代理、日志采集、配置同步等经典用法，init 容器与边车的语义差异，v1.29 原生边车容器（restartPolicy: Always 的 init 容器）如何解决 Job 卡死与启停顺序问题，容器生命周期钩子与优雅终止顺序，以及资源共享、调度与反模式规避。
CoreDNS 与服务发现：插件链、NDOTS 与 Headless Service
讲透 Kubernetes 集群 DNS：CoreDNS 的 Corefile 与插件链执行顺序、Service/Pod/Headless 三类 DNS 记录的命名规则、resolv.conf 中 search 域与 ndots:5 导致的解析放大问题、NodeLocal DNSCache 的部署与收益、CoreDNS 高可用与性能调优，以及 DNS 超时与 SERVFAIL 的排障方法。
etcd 运维与性能调优：备份恢复、碎片整理与配额
系统讲解 Kubernetes 背后 etcd 的运维要点：key 布局与 MVCC revision、Raft 选主与奇数节点拓扑、snapshot save/restore 的完整备份恢复流程、compaction 与 defrag 的区别及自动化、quota-backend-bytes 与 NOSPACE 告警处理、磁盘 fsync 与网络参数调优，以及核心监控指标与故障定位。
API Server 内部与准入链：watch 缓存、APF 与聚合层
拆解 kube-apiserver 的内部结构：从认证、鉴权、准入、校验到持久化 etcd 的完整请求链路，Mutating/Validating 准入插件与动态 Webhook 的执行顺序，watch cache 与 resourceVersion 的一致性语义，API 优先级与公平性（APF）的 FlowSchema 调优，以及聚合层与高可用部署要点。
kubelet 内部机制与节点组件：PLEG、CRI、探针与驱逐
深入剖析 kubelet 的内部工作机制：从 list-watch 同步 Pod、PLEG 生成生命周期事件、CRI 对接 containerd/CRI-O 运行时，到 liveness/readiness/startup 探针的执行细节、节点压力驱逐的软硬阈值与驱逐顺序、cgroup v2 资源落地，以及 crictl、journalctl 的节点级排障方法。
调度均衡：Descheduler 与资源碎片整理
系统讲解 Kubernetes 的调度再平衡：为什么调度是一次性决策、Descheduler 的架构与策略清单、资源碎片与装箱问题、低利用率节点与重复副本策略、亲和性与拓扑再平衡、与 Cluster Autoscaler 的协同，以及驱逐预算、安全阈值与效果度量的生产实践。
Cluster API 与声明式集群生命周期管理
系统讲解 Cluster API 的声明式集群管理：Management/Workload 集群架构、Cluster 与 Machine 资源模型、基础设施与引导提供者、集群创建与升级流程、MachineDeployment 滚动更新、托管拓扑、多集群 GitOps 规模化，以及故障恢复与集群删除的生产实践。
运行时安全：Falco/Tetragon 与 eBPF 检测实战
从运行时威胁模型讲起，深入 eBPF 的内核钩子与检测原理、Falco 规则语法与告警管道、Tetragon 的策略执行与进程谱系、系统调用行为基线、容器逃逸与提权检测、告警降噪与响应编排，以及性能开销与内核兼容性的生产实践。
拓扑感知路由：topologySpread、本地流量与流量亲和
系统讲解 Kubernetes 的拓扑感知能力：topologySpreadConstraints 的 maxSkew 与 whenUnsatisfiable 语义、Pod 亲和与反亲和、Service 拓扑感知路由与 topologyMode、EndpointSlice 拓扑提示、internalTrafficPolicy 本地流量策略，以及跨可用区流量成本优化与排错清单。
controller-runtime 与 CRD 控制器开发实战
从 CRD 设计与版本演进讲起，系统讲解 controller-runtime 的 Manager 架构、Reconcile 循环与幂等性、事件过滤与 Watches 映射、OwnerReference 级联回收、Finalizer 外部资源清理、Status 条件类型，以及 envtest 测试与生产化落地要点。
准入控制深度：Validating/Mutating Webhook 与策略执行
系统梳理 Kubernetes 准入控制链——ValidatingAdmissionWebhook 与 MutatingAdmissionWebhook 的配置字段、failurePolicy 与超时语义、Webhook 服务端的 TLS 与证书轮换、OPA Gatekeeper 与 Kyverno 策略引擎对比，以及准入链顺序、幂等性、高可用与排错的生产实践。
Kubernetes 成本优化：FinOps、资源画像与降本实践
系统讲解 Kubernetes 成本优化：成本构成与分摊模型、Request 与实际用量画像（VPA/KRR）、节点池与 Spot 实例、Karpenter 自动伸缩、OpenCost/Kubecost 成本工具，以及降本优先级与成本指标看板。
边缘与轻量 Kubernetes：K3s、KubeEdge 与资源受限环境
面向边缘计算与资源受限环境的 Kubernetes：边缘场景约束与选型、K3s 架构与组件裁剪、单节点与嵌入式部署、KubeEdge 云边协同、资源受限调度、离线弱网处理与边缘升级策略。
策略即代码：OPA Gatekeeper、Kyverno 与合规治理
深入 Kubernetes 准入控制与策略即代码：动态准入 Webhook 原理、OPA Gatekeeper 的 ConstraintTemplate/Constraint、Kyverno 策略、Gatekeeper 与 Kyverno 对比、NIST/PCI 合规映射、策略测试与 CI 集成、性能与故障排查。
Kubernetes 批处理：Job、CronJob 与工作队列
系统讲解 Kubernetes 批处理体系：Job 的 completions/parallelism/backoffLimit 语义、指数退避与 TTL 清理、CronJob 调度与时区与并发策略、工作队列消费模式、Kueue/Volcano 批处理平台对比，以及批处理监控与告警。
Kubernetes AI/ML 工作负载：GPU 调度与训练作业
面向 AI/ML 的 Kubernetes 实战：GPU 资源声明与调度、NVIDIA Device Plugin 与 MIG 共享、TFJob/PyTorchJob 训练作业、KServe 与 vLLM 推理服务、GPU 节点池与成本、调度排队与可观测性。
Service Mesh 深度：Istio、Linkerd 与流量治理
深入 Service Mesh 数据面与控制面：Sidecar 注入原理、VirtualService/DestinationRule 灰度路由、指标与链路与 mTLS 可观测性、Istio 与 Linkerd 架构对比、性能开销与容量规划，以及从选型到落地的生产最佳实践。
Kubernetes 备份容灾与数据保护：Velero、etcd 与恢复演练实战
系统讲解 Kubernetes 备份容灾（DR）体系：备份的对象与粒度、Velero 集群与持久卷备份、etcd 快照与恢复、CSI 快照、备份频率与保留策略、跨集群/跨区域容灾、恢复演练（RTO/RPO）设计，以及恢复与验证的自动化。
Kubernetes 渐进式交付：Argo Rollouts、金丝雀/蓝绿与流量治理实战
深入解析 Kubernetes 渐进式交付（Progressive Delivery）：Deployment 默认滚动更新的局限、Argo Rollouts 蓝绿/金丝雀策略、基于指标自动分析的灰度放量、流量分割与 ingress/service mesh 集成、回滚机制，以及渐进式交付与 GitOps、Feature Flags 的协同。