200 вопросов по Kubernetes

В РАЗРАБОТКЕЛАБОРАТОРИЯНЕ ОБЯЗАТЕЛЬНО

200 вопросов по Kubernetes

Основы Kubernetes

Вопрос

Вопрос

Как задать readiness probe в манифесте?

Ответ

Пример:

readinessProbe:
  exec:
    command: ["cat", "/tmp/ready"]
  initialDelaySeconds: 5
  periodSeconds: 5

Вопрос

Команда:

kubectl create secret generic db-secret --from-literal=username=admin --from-literal=password=secret123

Вопрос

Как использовать Secret в Pod?

Ответ

Secret можно передать как переменные окружения или смонтировать как том.

Пример:

env:
  - name: DB_PASSWORD
    valueFrom:
      secretKeyRef:
        name: db-secret
        key: password

Вопрос

apiVersion: networking.k8s.io/v1
kind: Ingress
meta
  name: example-ingress
spec:
  rules:
  - host: myapp.local
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: my-service
            port:
              number: 80

Вопрос

Пример NetworkPolicy:

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
meta
  name: allow-from-frontend
spec:
  podSelector:
    matchLabels:
      app: backend
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend

Безопасность

Вопрос

Что такое RBAC в Kubernetes?

Ответ

RBAC (Role-Based Access Control) — это механизм контроля доступа, основанный на ролях. Он определяет, какие действия пользователи или сервисные аккаунты могут выполнять в кластере.

Вопрос

Из каких компонентов состоит RBAC?

Ответ

RBAC состоит из:

Role / ClusterRole — определяют набор разрешений;
ServiceAccount — представляет идентичность в кластере;
RoleBinding / ClusterRoleBinding — связывают роли с субъектами (пользователями или ServiceAccount).

Вопрос

Admission controller — это компонент управляющей плоскости, перехватывающий запросы к API-серверу до сохранения объекта, но после аутентификации и авторизации. Он может модифицировать или отклонить запрос.

Мониторинг и логирование

Вопрос

Приложение должно предоставлять HTTP-эндпоинт /metrics в формате Prometheus. Затем ServiceMonitor (в случае Operator) или конфигурация scrape_configs указывает Prometheus на этот эндпоинт.

Обновления и откаты

Вопрос

Как обновить Deployment?

Ответ

Обновление происходит путём изменения образа контейнера в манифесте и применения его через kubectl apply, либо командой kubectl set image deployment/my-deploy container=new-image.

Вопрос

Какие стратегии развёртывания поддерживает Deployment?

Ответ

Deployment поддерживает две стратегии:

RollingUpdate (по умолчанию) — постепенная замена старых Pods новыми;
Recreate — сначала удаляются все старые Pods, затем создаются новые.

Что такое Custom Resource Definition (CRD)?

Ответ

Custom Resource Definition (CRD) — это механизм расширения API Kubernetes, позволяющий создавать собственные типы ресурсов без изменения кода ядра.

Пример:

apiVersion: apiextensions.k8s.io/v1
kind: CustomResourceDefinition
meta
  name: databases.mycompany.com
spec:
  group: mycompany.com
  versions:
    - name: v1
      served: true
      storage: true
      schema:
        openAPIV3Schema:
          type: object
          properties:
            spec:
              type: object
              properties:
                size:
                  type: integer
  scope: Namespaced
  names:
    plural: databases
    singular: database
    kind: Database

Безопасность продвинутого уровня

Как проверить, почему Pod не запускается?

Ответ

Используют команду:

kubectl describe pod <pod-name>

Вопрос

Как отладить Service, который не маршрутизирует трафик?

Ответ

Проверяют:

наличие Pods с нужными метками;
корректность selector в Service;
правила iptables/ipvs на узле;
состояние Endpoints: kubectl get endpoints <service-name>.

Вопрос

Что делать, если kubelet не регистрирует узел?

Ответ

Проверяют:

сертификаты kubelet;
подключение к API-серверу;
статус systemd-юнита kubelet;
логи: journalctl -u kubelet.

Пример:

kubectl debug -it <pod-name> --image=busybox --target=<main-container>

Используют post-start lifecycle hooks с экспоненциальной задержкой, readiness probes с initialDelay, или контролируют темп развёртывания через maxUnavailable в Deployment.

CI/CD и GitOps

Практические сценарии и лучшие практики

Guaranteed — requests == limits для всех ресурсов;
Burstable — requests < limits или указаны не все ресурсы;
BestEffort — ни requests, ни limits не заданы.

Пример taint на узле:

kubectl taint nodes node1 dedicated=monitoring:NoSchedule

Пример toleration в Pod:

tolerations:
- key: "dedicated"
  operator: "Equal"
  value: "monitoring"
  effect: "NoSchedule"

Вопрос

Как назначить Pod на конкретный узел?

Ответ

Используют nodeSelector или affinity.

Пример nodeSelector:

spec:
  nodeSelector:
    disktype: ssd

Вопрос

Резервное копирование включает:

etcd snapshot;
манифесты всех CRD и пользовательских ресурсов;
данные PersistentVolumes (через Velero или restic).

nginx.ingress.kubernetes.io/rewrite-target
nginx.ingress.kubernetes.io/ssl-redirect
nginx.ingress.kubernetes.io/canary-weight

Вопрос

Как настроить CORS в Ingress?

Ответ

Для NGINX Ingress используют аннотации:

nginx.ingress.kubernetes.io/enable-cors: "true"
nginx.ingress.kubernetes.io/cors-allow-origin: "https://example.com"

Пример:

apiVersion: v1
kind: ResourceQuota
meta
  name: quota
  namespace: dev
spec:
  hard:
    requests.cpu: "2"
    requests.memory: 4Gi
    limits.cpu: "4"
    limits.memory: 8Gi

Вопрос

Как установить значения по умолчанию для requests/limits в Namespace?

Ответ

Создают LimitRange.

Пример:

apiVersion: v1
kind: LimitRange
meta
  name: default-limits
  namespace: dev
spec:
  limits:
  - default:
      cpu: 500m
      memory: 512Mi
    defaultRequest:
      cpu: 200m
      memory: 256Mi
    type: Container