更多请点击 https://kaifayun.com第一章轻量K8s时代为什么k3sVMware是中小团队的最优解在资源有限、运维人力紧缺的中小团队场景中传统 Kubernetes 集群的复杂性常成为落地障碍。k3s 以 50MB 二进制体积、单进程架构、无 etcd 依赖默认使用 SQLite等特性大幅降低部署与维护门槛而 VMware Workstation 或 vSphere 提供稳定、隔离、可复现的虚拟化环境天然契合开发测试与边缘部署需求。快速启动 k3s 虚拟机集群在 VMware 中创建一台 Ubuntu 22.04 虚拟机后执行以下命令一键安装 k3s 并启用本地存储与 Traefik# 安装 k3s 并禁用 traefik便于后续自定义 ingress curl -sfL https://get.k3s.io | sh -s - --disable traefik # 启用 kubectl 并配置权限 sudo cp /etc/rancher/k3s/k3s.yaml ~/.kube/config sudo chown $(id -u):$(id -g) ~/.kube/config该脚本自动拉取轻量版 k3s server启动后可通过kubectl get nodes验证状态。相比 kubeadm无需手动初始化证书、配置 CNI 插件或管理 etcd 集群。核心优势对比能力维度k3s VMware标准 k8s bare metal内存占用512MB单节点2GB最小推荐部署耗时90 秒含 VM 启动15 分钟含组件编排网络模型Flannelhost-gw 模式默认启用需手动选型与调试Calico/Cilium典型工作流支持CI/CD 流水线中嵌入k3s server --write-kubeconfig-mode 644实现测试集群秒级启停利用 VMware 快照功能保存集群快照实现环境版本回滚与故障复现通过kubectl apply -f直接部署 Helm Chart 或原生 YAML无需额外工具链第二章环境准备与VMware基础配置2.1 VMware Workstation/ESXi资源规划与最小化系统选型资源分配黄金比例虚拟化平台性能高度依赖CPU、内存与存储的协同。Workstation推荐按物理核心数的70%分配vCPU内存预留至少2GB宿主机缓冲。轻量级OS选型对比系统内存占用适用场景Alpine Linux 3.20~65MB容器化测试节点Ubuntu Server 22.04 LTS~380MB通用开发环境ESXi最小化部署配置# 禁用非必要服务以降低内存占用 esxcli system module set --modulevmw_ahci --enabledfalse esxcli system module set --moduleusbcore --enabledfalse该配置关闭AHCI控制器与USB子系统驱动适用于无外设直通需求的纯计算节点可释放约120MB内存。参数--enabledfalse确保模块在启动时不加载vmw_ahci仅在SATA直通时必需。2.2 Ubuntu Server 22.04 LTS虚拟机标准化部署含网络桥接与静态IP实践网络桥接配置要点在 VMware Workstation 或 VirtualBox 中启用桥接模式使虚拟机直接接入物理局域网。需确保宿主机网卡处于活动状态并在虚拟机设置中选择“桥接到自动”或指定物理网卡。静态IP配置Netplan# /etc/netplan/00-installer-config.yaml network: version: 2 renderer: networkd ethernets: ens33: dhcp4: false addresses: [192.168.1.100/24] gateway4: 192.168.1.1 nameservers: addresses: [8.8.8.8, 114.114.114.114]该配置禁用 DHCP为网卡ens33分配固定 IPv4 地址与子网掩码指定默认网关和 DNS 服务器执行sudo netplan apply生效。关键参数对照表参数作用示例值addresses静态IPv4地址及CIDR前缀192.168.1.100/24gateway4IPv4默认路由出口192.168.1.12.3 主机名、SSH密钥、防火墙与SELinux策略预调优主机名与SSH密钥初始化统一主机名并禁用密码登录是安全基线的起点。以下脚本批量配置主机名并部署免密SSH# 设置静态主机名并重启sshd hostnamectl set-hostname node-01 --static systemctl restart sshd # 生成并分发密钥仅首次执行 ssh-keygen -t ed25519 -f /root/.ssh/id_ed25519 -N -C auto-deploy ssh-copy-id -i /root/.ssh/id_ed25519.pub rootnode-02该流程确保节点间身份可信ed25519 算法提供更高安全性-N 表示无密码保护私钥适用于受控自动化环境。防火墙与SELinux协同策略需同步调整 firewalld 与 SELinux 上下文避免端口放行但访问被拒绝服务firewalld zoneSELinux typeSSHpublicssh_port_tHTTPpublichttp_port_t启用 firewalld 并开放关键端口firewall-cmd --permanent --add-port22/tcp firewall-cmd --reload验证 SELinux 端口上下文semanage port -l | grep ssh2.4 VMware Tools深度集成与性能增强配置含CPU/Memory Hot Add启用VMware Tools核心服务启用安装后需启用关键服务以激活图形加速、时间同步与剪贴板共享# 启用并启动VMware Tools守护进程 sudo systemctl enable vmtoolsd sudo systemctl start vmtoolsd # 验证状态 sudo vmware-toolbox-cmd -v该命令输出版本号并确认服务运行状态vmtoolsd是核心守护进程负责guest OS与hypervisor间指令中继。CPU与内存热添加配置需在vSphere客户端中预先启用硬件支持并在Guest OS中激活关闭虚拟机 → 编辑设置 → CPU/内存 → 勾选“Enable hot add”Linux中启用内核参数echo 1 /sys/devices/system/memory/auto_online_blocks性能对比参考配置项默认值启用Hot Add后CPU在线扩容延迟≥30s2s需udev规则优化内存动态识别需重启秒级自动online2.5 多节点克隆与快照管理构建可复现的k3s测试拓扑基于快照的集群克隆流程通过 k3s 的 etcd 快照机制可实现多节点一致状态克隆。首先在控制平面节点生成快照sudo k3s etcd snapshot save /var/lib/rancher/k3s/server/db/snapshots/test-topo-$(date %s).db该命令触发 etcd 原生快照保存至指定路径--name参数可显式命名/var/lib/rancher/k3s/server/db/是默认数据目录。快照恢复与节点同步策略将快照文件分发至目标节点使用k3s server --cluster-init --etcd-snapshot-file启动新节点所有克隆节点共享同一快照基线确保拓扑一致性快照生命周期管理操作命令示例适用场景列表快照k3s etcd snapshot list验证快照完整性清理过期快照k3s etcd snapshot prune --keep 3防止磁盘溢出第三章k3s集群核心部署与高可用演进3.1 单节点k3s快速启动与systemd服务固化含kubectl自动配置一键安装与轻量启动curl -sfL https://get.k3s.io | K3S_URLhttps://localhost:6443 K3S_TOKENmytoken sh -s - server --disable traefik --write-kubeconfig-mode 644该命令拉取并执行k3s安装脚本--disable traefik跳过内置Ingress控制器以减少资源占用--write-kubeconfig-mode 644确保生成的kubeconfig可被普通用户读取。systemd服务固化安装后k3s自动注册为systemd服务k3s.service通过sudo systemctl enable k3s实现开机自启kubeconfig路径固定为/etc/rancher/k3s/k3s.yamlkubectl无缝集成配置项说明KUBECONFIG指向/etc/rancher/k3s/k3s.yamlcontext默认使用default上下文无需额外切换3.2 多节点Server-Agent模式部署证书信任链与etcd替代方案解析证书信任链构建要点在多节点部署中Server 与各 Agent 必须共享根 CA 并签发双向 TLS 证书。核心在于确保 CN 和 SAN 字段覆盖所有节点 IP 及 DNS 名称。轻量级 etcd 替代方案对比方案一致性模型嵌入式支持适用场景Boltdb仅单节点无✅开发/测试Raft KV如 HashiCorp Raft强一致✅中小规模生产SQLite WAL FUSE 同步最终一致✅边缘集群Agent 端证书校验逻辑示例func verifyServerCert(cert *x509.Certificate, caPool *x509.CertPool) error { opts : x509.VerifyOptions{ Roots: caPool, CurrentTime: time.Now(), DNSName: server.cluster.local, // 必须匹配 SAN KeyUsages: []x509.ExtKeyUsage{x509.ExtKeyUsageServerAuth}, } _, err : cert.Verify(opts) return err }该函数强制校验服务器证书是否由可信 CA 签发、是否在有效期内、是否包含指定 DNS 主机名及服务用途防止中间人劫持。3.3 基于Nginx Ingress Controller的L7流量调度实战含TLS终止配置TLS终止工作流客户端 → HTTPS请求 → Nginx Ingress解密→ HTTP后端服务关键Ingress资源配置apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: tls-ingress annotations: nginx.ingress.kubernetes.io/ssl-redirect: true spec: tls: - hosts: - app.example.com secretName: app-tls-secret # 引用k8s Secret中的证书 rules: - host: app.example.com http: paths: - path: / pathType: Prefix backend: service: name: web-svc port: number: 80该配置启用SNI识别与证书卸载secretName 必须指向包含 tls.crt 和 tls.key 的Secretssl-redirect: true 强制HTTP→HTTPS跳转。证书注入验证方式检查Secret内容kubectl get secret app-tls-secret -o yaml确认Ingress状态kubectl describe ingress tls-ingress第四章生产就绪增强与运维自动化4.1 Helm 3集成与Traefik v2.9应用网关一键部署Helm 3无Tiller架构优势Helm 3移除了服务端组件Tiller采用客户端直连Kubernetes API显著提升安全性和权限隔离能力。RBAC策略可精确控制Chart部署范围。Traefik v2.9关键特性原生支持HTTPRoute、TLSRoute等Gateway API标准动态配置热重载无需重启Pod内置Dashboard与Prometheus指标暴露一键部署命令# 添加官方Helm仓库并部署Traefik helm repo add traefik https://helm.traefik.io/traefik helm repo update helm install traefik traefik/traefik \ --version 24.2.0 \ --namespace kube-system \ --create-namespace \ -f values.yaml该命令指定v24.2.0对应Traefik v2.9.16启用命名空间自动创建并通过values.yaml注入自定义IngressRoute及TLS策略。核心配置参数对照表参数默认值说明providers.kubernetesCRDtrue启用Kubernetes CRD动态发现ports.websecure.tlsfalse是否为443端口启用TLS终止4.2 Longhorn本地存储类配置与PV/PVC动态供给验证定义StorageClass触发动态供给apiVersion: storage.k8s.io/v1 kind: StorageClass metadata: name: longhorn provisioner: driver.longhorn.io allowVolumeExpansion: true parameters: numberOfReplicas: 3 # 副本数保障高可用 staleReplicaTimeout: 28800 # 闲置副本超时秒该配置启用Longhorn驱动的动态卷供给能力numberOfReplicas决定数据冗余级别staleReplicaTimeout防止异常节点残留副本影响调度。验证PVC绑定状态创建PVC并观察其Pending → Bound状态跃迁检查对应PV是否自动创建且storageClassName匹配确认Pod挂载后ls /mnt/data可见持久化路径关键字段对照表字段含义典型值reclaimPolicy回收策略DeletevolumeBindingMode绑定时机Immediate4.3 Prometheus Operator监控栈部署含k3s自定义指标采集Operator核心组件安装kubectl apply -f https://raw.githubusercontent.com/prometheus-operator/kube-prometheus/main/manifests/setup/ kubectl apply -f https://raw.githubusercontent.com/prometheus-operator/kube-prometheus/main/manifests/该命令依次部署CRD、ServiceAccount、RBAC及Prometheus Operator本身注意需先确保k3s集群已启用--disabletraefik以避免端口冲突。k3s自定义指标适配启用k3s内置metrics-server通过--kube-apiserver-argenable-aggregationtrue启动参数开启聚合层部署PrometheusRule资源关联k3s_custom_metrics命名空间下的ServiceMonitor关键配置对比组件k3s默认指标路径Operator采集路径node-exporter/metrics/metrics?collect[]cpucollect[]meminfok3s-agent/v1/metrics/metrics需ServiceMonitor重写path4.4 基于AnsibleShell的一键脚本设计原理与安全加固实践设计分层架构采用“Ansible驱动层 Shell执行层 安全策略层”三级解耦结构确保配置声明性与操作原子性统一。核心加固逻辑#!/bin/bash # 安全上下文校验仅允许root且禁用交互式TTY [ $(id -u) -ne 0 ] { echo ERROR: Root required; exit 1; } [ -t 0 ] { echo ERROR: Interactive TTY prohibited; exit 1; } # 临时目录隔离 TMP_DIR$(mktemp -d -p /var/tmp ansible_XXXXXX) chmod 700 $TMP_DIR该脚本强制运行权限与环境约束防止提权滥用临时目录使用mktemp生成唯一路径并设置严格权限700避免竞态写入。加固项对照表加固维度Ansible实现Shell补充SSH密钥轮换authorized_key模块自动清理过期~/.ssh/known_hosts条目日志审计增强lineinfile配置auditd校验/etc/audit/rules.d/文件完整性第五章附录完整可执行脚本与故障排查速查表一键部署监控脚本Bash#!/bin/bash # 检查 Prometheus Node Exporter 是否运行 if ! pgrep -x node_exporter /dev/null; then echo ⚠️ node_exporter 未运行尝试启动... nohup /opt/prometheus/node_exporter --web.listen-address:9100 sleep 2 fi # 验证端口监听状态 curl -sf http://localhost:9100/metrics /dev/null || echo ❌ 端口 9100 不可达常见故障现象与定位步骤指标采集中断 → 检查 target 状态页/targets中 scrape 状态是否为DOWN告警未触发 → 核实 Alertmanager 配置中route匹配器与 label 一致性查询超时 → 执行promtool check rules /etc/prometheus/alert.rules验证规则语法关键组件健康检查对照表组件检查命令预期输出异常响应Prometheuscurl -s http://localhost:9090/-/readyzokunavailable或 HTTP 503Grafanasystemctl is-active grafana-serveractiveinactive或failed网络连通性验证流程图目标主机 → Node Exporter (9100) → Prometheus (9090) → Grafana (3000)每跳执行telnet $HOST $PORT或nc -zv $HOST $PORT若失败检查 iptables/firewalld 规则及 SELinux 上下文ls -Z /usr/bin/node_exporter
【VMware+K3s极速部署指南】：20分钟完成轻量K8s集群搭建，告别臃肿EKS/AKS（附一键脚本）
更多请点击 https://kaifayun.com第一章轻量K8s时代为什么k3sVMware是中小团队的最优解在资源有限、运维人力紧缺的中小团队场景中传统 Kubernetes 集群的复杂性常成为落地障碍。k3s 以 50MB 二进制体积、单进程架构、无 etcd 依赖默认使用 SQLite等特性大幅降低部署与维护门槛而 VMware Workstation 或 vSphere 提供稳定、隔离、可复现的虚拟化环境天然契合开发测试与边缘部署需求。快速启动 k3s 虚拟机集群在 VMware 中创建一台 Ubuntu 22.04 虚拟机后执行以下命令一键安装 k3s 并启用本地存储与 Traefik# 安装 k3s 并禁用 traefik便于后续自定义 ingress curl -sfL https://get.k3s.io | sh -s - --disable traefik # 启用 kubectl 并配置权限 sudo cp /etc/rancher/k3s/k3s.yaml ~/.kube/config sudo chown $(id -u):$(id -g) ~/.kube/config该脚本自动拉取轻量版 k3s server启动后可通过kubectl get nodes验证状态。相比 kubeadm无需手动初始化证书、配置 CNI 插件或管理 etcd 集群。核心优势对比能力维度k3s VMware标准 k8s bare metal内存占用512MB单节点2GB最小推荐部署耗时90 秒含 VM 启动15 分钟含组件编排网络模型Flannelhost-gw 模式默认启用需手动选型与调试Calico/Cilium典型工作流支持CI/CD 流水线中嵌入k3s server --write-kubeconfig-mode 644实现测试集群秒级启停利用 VMware 快照功能保存集群快照实现环境版本回滚与故障复现通过kubectl apply -f直接部署 Helm Chart 或原生 YAML无需额外工具链第二章环境准备与VMware基础配置2.1 VMware Workstation/ESXi资源规划与最小化系统选型资源分配黄金比例虚拟化平台性能高度依赖CPU、内存与存储的协同。Workstation推荐按物理核心数的70%分配vCPU内存预留至少2GB宿主机缓冲。轻量级OS选型对比系统内存占用适用场景Alpine Linux 3.20~65MB容器化测试节点Ubuntu Server 22.04 LTS~380MB通用开发环境ESXi最小化部署配置# 禁用非必要服务以降低内存占用 esxcli system module set --modulevmw_ahci --enabledfalse esxcli system module set --moduleusbcore --enabledfalse该配置关闭AHCI控制器与USB子系统驱动适用于无外设直通需求的纯计算节点可释放约120MB内存。参数--enabledfalse确保模块在启动时不加载vmw_ahci仅在SATA直通时必需。2.2 Ubuntu Server 22.04 LTS虚拟机标准化部署含网络桥接与静态IP实践网络桥接配置要点在 VMware Workstation 或 VirtualBox 中启用桥接模式使虚拟机直接接入物理局域网。需确保宿主机网卡处于活动状态并在虚拟机设置中选择“桥接到自动”或指定物理网卡。静态IP配置Netplan# /etc/netplan/00-installer-config.yaml network: version: 2 renderer: networkd ethernets: ens33: dhcp4: false addresses: [192.168.1.100/24] gateway4: 192.168.1.1 nameservers: addresses: [8.8.8.8, 114.114.114.114]该配置禁用 DHCP为网卡ens33分配固定 IPv4 地址与子网掩码指定默认网关和 DNS 服务器执行sudo netplan apply生效。关键参数对照表参数作用示例值addresses静态IPv4地址及CIDR前缀192.168.1.100/24gateway4IPv4默认路由出口192.168.1.12.3 主机名、SSH密钥、防火墙与SELinux策略预调优主机名与SSH密钥初始化统一主机名并禁用密码登录是安全基线的起点。以下脚本批量配置主机名并部署免密SSH# 设置静态主机名并重启sshd hostnamectl set-hostname node-01 --static systemctl restart sshd # 生成并分发密钥仅首次执行 ssh-keygen -t ed25519 -f /root/.ssh/id_ed25519 -N -C auto-deploy ssh-copy-id -i /root/.ssh/id_ed25519.pub rootnode-02该流程确保节点间身份可信ed25519 算法提供更高安全性-N 表示无密码保护私钥适用于受控自动化环境。防火墙与SELinux协同策略需同步调整 firewalld 与 SELinux 上下文避免端口放行但访问被拒绝服务firewalld zoneSELinux typeSSHpublicssh_port_tHTTPpublichttp_port_t启用 firewalld 并开放关键端口firewall-cmd --permanent --add-port22/tcp firewall-cmd --reload验证 SELinux 端口上下文semanage port -l | grep ssh2.4 VMware Tools深度集成与性能增强配置含CPU/Memory Hot Add启用VMware Tools核心服务启用安装后需启用关键服务以激活图形加速、时间同步与剪贴板共享# 启用并启动VMware Tools守护进程 sudo systemctl enable vmtoolsd sudo systemctl start vmtoolsd # 验证状态 sudo vmware-toolbox-cmd -v该命令输出版本号并确认服务运行状态vmtoolsd是核心守护进程负责guest OS与hypervisor间指令中继。CPU与内存热添加配置需在vSphere客户端中预先启用硬件支持并在Guest OS中激活关闭虚拟机 → 编辑设置 → CPU/内存 → 勾选“Enable hot add”Linux中启用内核参数echo 1 /sys/devices/system/memory/auto_online_blocks性能对比参考配置项默认值启用Hot Add后CPU在线扩容延迟≥30s2s需udev规则优化内存动态识别需重启秒级自动online2.5 多节点克隆与快照管理构建可复现的k3s测试拓扑基于快照的集群克隆流程通过 k3s 的 etcd 快照机制可实现多节点一致状态克隆。首先在控制平面节点生成快照sudo k3s etcd snapshot save /var/lib/rancher/k3s/server/db/snapshots/test-topo-$(date %s).db该命令触发 etcd 原生快照保存至指定路径--name参数可显式命名/var/lib/rancher/k3s/server/db/是默认数据目录。快照恢复与节点同步策略将快照文件分发至目标节点使用k3s server --cluster-init --etcd-snapshot-file启动新节点所有克隆节点共享同一快照基线确保拓扑一致性快照生命周期管理操作命令示例适用场景列表快照k3s etcd snapshot list验证快照完整性清理过期快照k3s etcd snapshot prune --keep 3防止磁盘溢出第三章k3s集群核心部署与高可用演进3.1 单节点k3s快速启动与systemd服务固化含kubectl自动配置一键安装与轻量启动curl -sfL https://get.k3s.io | K3S_URLhttps://localhost:6443 K3S_TOKENmytoken sh -s - server --disable traefik --write-kubeconfig-mode 644该命令拉取并执行k3s安装脚本--disable traefik跳过内置Ingress控制器以减少资源占用--write-kubeconfig-mode 644确保生成的kubeconfig可被普通用户读取。systemd服务固化安装后k3s自动注册为systemd服务k3s.service通过sudo systemctl enable k3s实现开机自启kubeconfig路径固定为/etc/rancher/k3s/k3s.yamlkubectl无缝集成配置项说明KUBECONFIG指向/etc/rancher/k3s/k3s.yamlcontext默认使用default上下文无需额外切换3.2 多节点Server-Agent模式部署证书信任链与etcd替代方案解析证书信任链构建要点在多节点部署中Server 与各 Agent 必须共享根 CA 并签发双向 TLS 证书。核心在于确保 CN 和 SAN 字段覆盖所有节点 IP 及 DNS 名称。轻量级 etcd 替代方案对比方案一致性模型嵌入式支持适用场景Boltdb仅单节点无✅开发/测试Raft KV如 HashiCorp Raft强一致✅中小规模生产SQLite WAL FUSE 同步最终一致✅边缘集群Agent 端证书校验逻辑示例func verifyServerCert(cert *x509.Certificate, caPool *x509.CertPool) error { opts : x509.VerifyOptions{ Roots: caPool, CurrentTime: time.Now(), DNSName: server.cluster.local, // 必须匹配 SAN KeyUsages: []x509.ExtKeyUsage{x509.ExtKeyUsageServerAuth}, } _, err : cert.Verify(opts) return err }该函数强制校验服务器证书是否由可信 CA 签发、是否在有效期内、是否包含指定 DNS 主机名及服务用途防止中间人劫持。3.3 基于Nginx Ingress Controller的L7流量调度实战含TLS终止配置TLS终止工作流客户端 → HTTPS请求 → Nginx Ingress解密→ HTTP后端服务关键Ingress资源配置apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: tls-ingress annotations: nginx.ingress.kubernetes.io/ssl-redirect: true spec: tls: - hosts: - app.example.com secretName: app-tls-secret # 引用k8s Secret中的证书 rules: - host: app.example.com http: paths: - path: / pathType: Prefix backend: service: name: web-svc port: number: 80该配置启用SNI识别与证书卸载secretName 必须指向包含 tls.crt 和 tls.key 的Secretssl-redirect: true 强制HTTP→HTTPS跳转。证书注入验证方式检查Secret内容kubectl get secret app-tls-secret -o yaml确认Ingress状态kubectl describe ingress tls-ingress第四章生产就绪增强与运维自动化4.1 Helm 3集成与Traefik v2.9应用网关一键部署Helm 3无Tiller架构优势Helm 3移除了服务端组件Tiller采用客户端直连Kubernetes API显著提升安全性和权限隔离能力。RBAC策略可精确控制Chart部署范围。Traefik v2.9关键特性原生支持HTTPRoute、TLSRoute等Gateway API标准动态配置热重载无需重启Pod内置Dashboard与Prometheus指标暴露一键部署命令# 添加官方Helm仓库并部署Traefik helm repo add traefik https://helm.traefik.io/traefik helm repo update helm install traefik traefik/traefik \ --version 24.2.0 \ --namespace kube-system \ --create-namespace \ -f values.yaml该命令指定v24.2.0对应Traefik v2.9.16启用命名空间自动创建并通过values.yaml注入自定义IngressRoute及TLS策略。核心配置参数对照表参数默认值说明providers.kubernetesCRDtrue启用Kubernetes CRD动态发现ports.websecure.tlsfalse是否为443端口启用TLS终止4.2 Longhorn本地存储类配置与PV/PVC动态供给验证定义StorageClass触发动态供给apiVersion: storage.k8s.io/v1 kind: StorageClass metadata: name: longhorn provisioner: driver.longhorn.io allowVolumeExpansion: true parameters: numberOfReplicas: 3 # 副本数保障高可用 staleReplicaTimeout: 28800 # 闲置副本超时秒该配置启用Longhorn驱动的动态卷供给能力numberOfReplicas决定数据冗余级别staleReplicaTimeout防止异常节点残留副本影响调度。验证PVC绑定状态创建PVC并观察其Pending → Bound状态跃迁检查对应PV是否自动创建且storageClassName匹配确认Pod挂载后ls /mnt/data可见持久化路径关键字段对照表字段含义典型值reclaimPolicy回收策略DeletevolumeBindingMode绑定时机Immediate4.3 Prometheus Operator监控栈部署含k3s自定义指标采集Operator核心组件安装kubectl apply -f https://raw.githubusercontent.com/prometheus-operator/kube-prometheus/main/manifests/setup/ kubectl apply -f https://raw.githubusercontent.com/prometheus-operator/kube-prometheus/main/manifests/该命令依次部署CRD、ServiceAccount、RBAC及Prometheus Operator本身注意需先确保k3s集群已启用--disabletraefik以避免端口冲突。k3s自定义指标适配启用k3s内置metrics-server通过--kube-apiserver-argenable-aggregationtrue启动参数开启聚合层部署PrometheusRule资源关联k3s_custom_metrics命名空间下的ServiceMonitor关键配置对比组件k3s默认指标路径Operator采集路径node-exporter/metrics/metrics?collect[]cpucollect[]meminfok3s-agent/v1/metrics/metrics需ServiceMonitor重写path4.4 基于AnsibleShell的一键脚本设计原理与安全加固实践设计分层架构采用“Ansible驱动层 Shell执行层 安全策略层”三级解耦结构确保配置声明性与操作原子性统一。核心加固逻辑#!/bin/bash # 安全上下文校验仅允许root且禁用交互式TTY [ $(id -u) -ne 0 ] { echo ERROR: Root required; exit 1; } [ -t 0 ] { echo ERROR: Interactive TTY prohibited; exit 1; } # 临时目录隔离 TMP_DIR$(mktemp -d -p /var/tmp ansible_XXXXXX) chmod 700 $TMP_DIR该脚本强制运行权限与环境约束防止提权滥用临时目录使用mktemp生成唯一路径并设置严格权限700避免竞态写入。加固项对照表加固维度Ansible实现Shell补充SSH密钥轮换authorized_key模块自动清理过期~/.ssh/known_hosts条目日志审计增强lineinfile配置auditd校验/etc/audit/rules.d/文件完整性第五章附录完整可执行脚本与故障排查速查表一键部署监控脚本Bash#!/bin/bash # 检查 Prometheus Node Exporter 是否运行 if ! pgrep -x node_exporter /dev/null; then echo ⚠️ node_exporter 未运行尝试启动... nohup /opt/prometheus/node_exporter --web.listen-address:9100 sleep 2 fi # 验证端口监听状态 curl -sf http://localhost:9100/metrics /dev/null || echo ❌ 端口 9100 不可达常见故障现象与定位步骤指标采集中断 → 检查 target 状态页/targets中 scrape 状态是否为DOWN告警未触发 → 核实 Alertmanager 配置中route匹配器与 label 一致性查询超时 → 执行promtool check rules /etc/prometheus/alert.rules验证规则语法关键组件健康检查对照表组件检查命令预期输出异常响应Prometheuscurl -s http://localhost:9090/-/readyzokunavailable或 HTTP 503Grafanasystemctl is-active grafana-serveractiveinactive或failed网络连通性验证流程图目标主机 → Node Exporter (9100) → Prometheus (9090) → Grafana (3000)每跳执行telnet $HOST $PORT或nc -zv $HOST $PORT若失败检查 iptables/firewalld 规则及 SELinux 上下文ls -Z /usr/bin/node_exporter
