本書是《Kubernetes權威指南：從Docker到Kubernetes實踐全接觸》（第6版）的下冊，總計9章，涵蓋了Kubernetes v1.29及之前版本的主要特性。第1、2章圍繞Kubernetes認證機制和安全機制進行深入講解，既有實例介紹，又有深入分析，可以讓讀者更容易理解Kubernetes中的認證機制、授權模式、準入控制機制，以及Pod的安全管理機制。第3章講解容器網絡基礎，對局域網、互聯網和常見網絡設備等知識進行介紹。第4章講解Kubernetes網絡的原理，對Kubernetes網絡模型、CNI網絡模型、開源容器網絡方案都做了詳細介紹，對Kubernetes防火墻相關的網絡策略也做了相關分析。第5、6章圍繞Kubernetes存儲進行深入講解，涉及持久卷相關的PV、PVC、StorageClass、靜態和動態存儲管理，以及CSI存儲機制的原理和發展狀況。第7、8章圍繞Kubernetes API和開發實戰進行講解，涉及Kubernetes資源物件、Kubernetes API、CRD和Operator擴展機制，以及如何通過swagger-editor快速調用和測試Kubernetes API，並針對Operator開發給出完整的示例說明。第9章對Kubernetes開發中的新功能做了一些補充說明，包括Kubernetes對Windows容器的支持、如何在Windows Server上部署Kubernetes、Kubernetes對GPU的支持和發展趨勢、Kubernetes的自動擴縮容機制等，對Kubernetes的生態系統與演進路線也進行了深入講解。附錄A深入講解了Kubernetes的核心服務配置。本書適合資深IT從業者、研發部門主管、架構師（開發語言不限）、研發工程師、運維工程師、軟件QA和測試工程師（兩年以上經驗），以及以技術為主的售前工作人員（兩年以上經驗）閱讀和參考。

• 龔 正·

HPE高級顧問，擁有二十多年IT從業經驗，在云計算、大數據、大型企業級應用等領域擁有豐富的咨詢、規劃、架構設計和實施經驗，負責過多個大型云平臺的規劃和建設，是電信、金融、互聯網等領域的資深行業專家，也是《Kubernetes權威指南：企業級容器云實戰》等書作者。

• 吳治輝·

領航磐云資深架構師，擁有二十多年軟件研發經驗，專注於云原生、容器化、企業數字化轉型、AI賦能企業應用領域的技術研究和產品研發。擁有豐富的大型項目架構設計經驗，是業界少有的具備很強編碼能力的資深架構師，也是《ZeroC Ice權威指南》《架構解密：從分布式到微服務》《Kubernetes權威指南：企業級容器云實戰》《區塊鏈輕鬆上手》等書作者。

• 閆健勇·

HPE高級項目經理、總架構師，擁有二十多年電信行業系統建設經驗，主導了多項電信大型系統的架構設計和管理，對於云計算和大數據在電信行業中的應用擁有豐富的經驗，也是《Kubernetes權威指南：企業級容器云實戰》等書作者。

1、第6版基於Kubernetes 1.29版本進行全面的內容升級，內容幾乎全部更新

2、第6版因太厚（近1500頁）拆分為上下兩冊，此為下冊。

3、上冊偏重K8s入門、Pod、Service、原理與架構

4、下冊偏重K8s網絡、存儲、安全、開發與運維

5、目錄細致，便於檢索，用作K8s容器工具書也很趁手。

6、提供源碼下載和讀者交流群，可與萬千本書讀者交流學習、工作心得

7、CNCF、神州數碼、用友、德勤、VMware、騰訊、華為等眾咖力薦！

8、從云原生到多模態大模型架構轉型上佳參考讀物。

短短幾年，Kubernetes已從一個鮮為人知的新生事物發展成為一個影響全球IT技術的基礎設施平臺，並成功推動了云原生時代的到來，使微服務架構、Service Mesh、Serverless、邊緣計算等熱門技術加速普及和落地。Kubernetes不但一躍成為云原生應用的全球級基礎平臺，還促進了操作系統層面的容器化變革，讓Linux容器裡的應用和Windows容器裡的應用在Kubernetes的統一架構集群中互聯互通。

目前，在GitHub上已有超兩萬名開源志願者參與Kubernetes項目，使之成為開源領域發展速度超快的項目之一。

《Kubernetes權威指南：從Docker到Kubernetes實踐全接觸》由慧與中國通信和媒體解決方案領域的資深專家合力撰寫而成，對Kubernetes在國內的普及和推廣做出了巨大的貢獻。本書第6版的出版也離不開領航磐云技術專家的全力支持。

————讀者物件————

《Kubernetes權威指南：從Docker到Kubernetes實踐全接觸》一書的讀者物件範圍很廣，甚至一些高校也將本書作為參考教材。考慮到Kubernetes的技術定位，我們建議以下讀者購買和閱讀本書：資深IT從業者、研發部門主管、架構師（開發語言不限）、研發工程師、運維工程師、軟件QA和測試工程師（兩年以上經驗），以及以技術為主的售前工作人員（兩年以上經驗）。

建議讀者在計算機上安裝合適的虛擬軟件，部署Kubernetes環境並動手實踐書中的大部分示例。如果讀者用的是Windows 10及以上版本，則可以通過WSL2虛擬機技術快速部署Kubernetes實例，也可以在公有云上部署或者使用現有的Kubernetes環境，降低入門難度。

————本書內容架構————

截至本書交稿，Kubernetes已經發布了29個大版本，每個版本都帶來了大量的新特性，使Kubernetes能夠覆蓋的應用場景越來越多。

《Kubernetes權威指南：從Docker到Kubernetes實踐全接觸》始終採用從入門到精通的講解風格，內容涵蓋入門、安裝、實踐、核心原理、網絡與存儲、運維、開發、新特性演進等，幾乎囊括了Kubernetes當前主流版本的方方面面。當然，因為需要涵蓋的內容非常多，所以本書從第6版開始分為上下兩冊。

————上冊的內容架構如下————

第1章首先從一個簡單的示例開始，讓讀者通過動手實踐初步感受Kubernetes的強大；然後講解Kubernetes的概念、術語。考慮到Kubernetes的概念、術語繁多，所以從它們的用途及相互關係入手進行講解，以期初學者能快速、準確、全面、深刻地理解這部分內容。

第2章圍繞Kubernetes的安裝和配置進行講解。如果要在生產級應用中部署Kubernetes，則建議讀者將本章內容全部實踐一遍，否則可以選擇其中部分內容進行實踐。其中比較重要的是Kubernetes的命令行部分，對這部分操作得越熟練，後面進行研發或運維就越輕鬆。

第 3～5 章對於大部分讀者來說，是很重要的章節，也是學會Kubernetes應用建模的關鍵章節。第3章全面、深入地講解了Pod的方方面面，其中非常有挑戰性的是Pod調度部分的內容，這也是生產實踐中相當實用的知識和技能。第4章圍繞Pod工作負載進行講解，這些工作負載分別實現了無狀態服務、有狀態服務和批處理任務的不同需求。第5章圍繞Service進行深入講解，涉及服務發現、DNS、IPv6及Ingress等高級特性。

第6、7章全面且深入地講解Kubernetes的運行機制和原理，涉及API Server、Controller Manager、Scheduler、kubelet、kube-proxy 等核心組件的作用、原理和實現方式，可以讓讀者加深對Kubernetes的整體認知，在遇到問題時能更快地找到解決方案。

第8、9章主要講解Kubernetes運維方面的技能和知識，涉及集群多租戶模式下的資源管理方案、Pod的QoS管理，以及基於NUMA資源親和性的資源分配管理、Pod調度、故障排查等。

————下冊的內容架構如下————

第1、2章圍繞Kubernetes認證機制和安全機制進行深入講解，既有實例介紹，又有深入分析，可以讓讀者更容易理解Kubernetes中的認證機制、授權模式、準入控制機制，以及Pod的安全管理機制。

第3、4章圍繞容器網絡和Kubernetes網絡進行深入講解。第3章講解容器網絡基礎，對局域網、互聯網和常見網絡設備等知識進行介紹；第4章講解Kubernetes網絡的原理，對Kubernetes網絡模型、CNI網絡模型、開源容器網絡方案都做了詳細介紹，對Kubernetes防火墻相關的網絡策略也做了相關分析。

第 5、6 章圍繞Kubernetes存儲進行深入講解，涉及持久卷相關的 PV、PVC、StorageClass、靜態和動態存儲管理，以及CSI存儲機制的原理和發展狀況。

第7、8章圍繞Kubernetes API和開發實戰進行講解，涉及Kubernetes資源物件、Kubernetes API、CRD和Operator擴展機制，以及如何通過swagger-editor快速調用和測試Kubernetes API，並針對Operator開發給出完整的示例說明。

第9章對Kubernetes開發中的新功能做了一些補充說明，包括Kubernetes對Windows容器的支持、如何在Windows Server上部署Kubernetes、Kubernetes對GPU的支持和發展趨勢、Kubernetes的自動擴縮容機制等，對Kubernetes的生態系統與演進路線也進行了深入講解。

附錄A深入講解了Kubernetes的核心服務配置。

————讀者服務————

我們為讀者提供了配套源碼及讀者交流群，讀者可參考本書封底的“讀者服務”獲取配套源碼下載鏈接，以及加入本書讀者交流群。

————致謝————

感謝神州數碼集團及領航磐云的大力支持。

感謝電子工業出版社工作嚴謹、高效的張國霞編輯，她在成書過程中對筆者的指導、協助和鞭策，是本書得以完成的重要助力。

第1章 深入理解Kubernetes的安全機制

1.1 Kubernetes的常規認證機制

1.1.1 數字證書認證

1.1.2 Service Account認證

1.1.3 靜態Token文件認證

1.2 Kubernetes的擴展認證機制

1.2.1 OIDC Token認證

1.2.2 Webhook Token認證

1.2.3 Authenticating Proxy認證

1.3 API Server的授權模式和鑒權機制

1.3.1 ABAC授權模式

1.3.2 RBAC授權模式

1.3.3 Validating Admission Policy模式

1.3.4 Webhook授權模式

1.3.5 Node授權模式

1.3.6 API Server的鑒權機制

第2章 深入理解Pod的安全機制

2.1 準入控制機制

2.1.1 準入控制機制概述

2.1.2 系統內置的Admission Controller

2.1.3 Admission Webhook準入控制器

2.2 Node資源與Pod的安全

2.2.1 Node身份安全機制

2.2.2 Node資源量安全機制

2.3 PodSecurity

2.3.1 SecurityContext

2.3.2 Pod Security Standards

2.4 Pod數據存儲安全

2.4.1 Secret私密憑據

2.4.2 Volume存儲安全

2.5 Pod網絡安全

2.5.1 Pod基礎網絡安全

2.5.2 Namespace網絡隔離

2.5.3 NetworkPolicy網絡隔離

第3章 容器網絡基礎

3.1 網絡基礎

3.1.1 局域網的構成

3.1.2 局域網互聯與路由器

3.1.3 接入互聯網

3.2 Linux網絡基礎

3.2.1 網橋

3.2.2 Netfilter和iptables

3.2.3 路由

3.3 網絡命名空間和Veth設備對

3.3.1 網絡命名空間

3.3.2 Veth設備對

3.4 Docker的容器網絡模式簡介

3.4.1 查看Docker啟動後的系統情況

3.4.2 查看容器啟動後的網絡配置（容器無端口映射）

3.4.3 查看容器啟動後的網絡配置（容器有端口映射）

3.4.4 Docker的網絡局限性

第4章 Kubernetes網絡原理

4.1 Kubernetes網絡模型

4.2 Kubernetes網絡的實現機制

4.2.1 容器和容器之間的通信

4.2.2 Pod和Pod之間的通信

4.3 CNI網絡模型

4.3.1 CNM網絡模型簡介

4.3.2 CNI網絡模型詳解

4.4 開源容器網絡方案

4.4.1 Flannel插件的原理和部署示例

4.4.2 Open vSwitch插件的原理和部署示例

4.4.3 直接路由的原理和部署示例

4.4.4 Calico插件的原理和部署示例

4.5 Kubernetes網絡策略

4.5.1 網絡策略概述

4.5.2 Selector功能說明

4.5.3 為命名空間配置默認的網絡策略

4.5.4 網絡策略應用示例

4.5.5 網絡策略的一些特殊情況和功能限制

第5章 Kubernetes存儲原理和實踐

5.1 存儲機制概述

5.2 臨時卷詳解

5.2.1 emptyDir

5.2.2 Generic Ephemeral

5.2.3 CSI Ephemeral

5.2.4 其他類型臨時卷

5.3 持久卷詳解

5.3.1 PV和PVC的工作原理

5.3.2 PV詳解

5.3.3 PVC詳解

5.3.4 Pod使用PVC

5.3.5 StorageClass詳解

5.3.6 內置持久卷類型

5.4 動態存儲管理實戰：GlusterFS

5.4.1 準備工作

5.4.2 創建GlusterFS管理服務容器集群

5.4.3 創建Heketi服務

5.4.4 通過Heketi管理GlusterFS集群

5.4.5 定義StorageClass

5.4.6 定義PVC

5.4.7 Pod使用PVC的存儲資源

第6章 深入理解CSI存儲機制

6.1 CSI存儲插件機制詳解

6.1.1 CSI的設計背景

6.1.2 CSI的核心組件和部署架構

6.2 CSI存儲插件應用實戰

6.2.1 部署csi-hostpath存儲插件

6.2.2 使用CSI存儲插件

6.2.3 擴展存儲空間

6.2.4 PVC的快照管理

6.3 CSI存儲卷管理

6.3.1 存儲卷快照

6.3.2 存儲卷克隆

6.3.3 存儲容量跟蹤

6.4 CSI的演進和發展

6.4.1 CSI驅動插件

6.4.2 CSI存儲卷健康檢查

6.4.3 in-tree插件遷移

6.4.4 新特性演進

第7章 Kubernetes API詳解

7.1 REST概述

7.2 Kubernetes資源物件詳解

7.2.1 資源物件的類型

7.2.2 資源物件的元數據

7.2.3 資源物件的版本

7.2.4 資源物件的主體定義

7.2.5 資源物件的狀態

7.3 Kubernetes API詳解

7.3.1 API分組管理

7.3.2 API標準

7.3.3 OpenAPI規範

7.4 Kubernetes API調用和調試

7.4.1 部署swagger-editor

7.4.2 導入OpenAPI規範文檔

7.4.3 調用調試API

7.4.4 API Server響應信息

第8章 Kubernetes開發指南

8.1 API客戶端庫

8.1.1 Java客戶端庫

8.1.2 Go客戶端庫

8.1.3 Python客戶端庫

8.1.4 JavaScript客戶端庫

8.2 CRD擴展

8.2.1 CRD的概念和用法

8.2.2 CRD的定義

8.2.3 創建CR資源物件實例

8.2.4 CRD的高級特性

8.3 Operator開發詳解

8.3.1 Operator的概念和原理

8.3.2 定義MyPodSet CRD

8.3.3 根據CRD生成代碼

8.3.4 Operator代碼解讀

8.3.5 構建鏡像部署

8.4 API聚合機制

8.4.1 啟用API聚合功能

8.4.2 注冊自定義API Service

8.4.3 部署自定義API Server

第9章 Kubernetes開發中的新功能

9.1 對Windows容器的支持

9.1.1 在Windows Server上安裝容器運行時

9.1.2 在Windows Server上部署Kubernetes Node組件

9.1.3 在Windows Server上部署容器應用和服務

9.1.4 Kubernetes支持的Windows容器特性、限制和發展趨勢

9.2 對GPU的支持

9.2.1 在容器中使用GPU資源

9.2.2 發展趨勢

9.3 Kubernetes集群擴縮容的新功能

9.3.1 Cluster AutoScaler

9.3.2 Kubernetes VPA

9.3.3 Kubernetes Addon Resizer

9.4 Kubernetesr的生態系統與演進路線

9.4.1 Kubernetes與CNCF

9.4.2 Kubernetes的演進路線

9.4.3 Kubernetes的開發模式

附錄A Kubernetes核心服務配置詳解

A.1 公共配置參數

A.2 kube-apiserver啟動參數

A.3 kube-controller-manager啟動參數

A.4 kube-scheduler啟動參數

A.5 kubelet啟動參數

A.6 kube-proxy啟動參數

推薦序

為什麼我會向大家推薦這本書？因為好的技術值得學習，好的圖書值得分享。

數云融合是傳統技術的重大變革，有望開啟一個新的時代。

從大型計算機面向商業應用的那個時代開始，計算機技術先後經歷了：從匯編語言驅動硬件底層開發，到通過各種高級編程語言進行企業級應用開發；從通過本機文件系統存儲數據，到通過關係型數據庫遠程存儲數據，再到通過各種面向物件的專用數據存儲系統及數據倉庫存儲數據；從單機應用開發到大型分布式系統開發。

在這一漫長的演進過程中，計算、數據和網絡的分工越來越明確，聯繫也越來越緊密，並且與IT系統的架構變革息息相關。十年前的虛擬化技術讓我們重新發掘了軟件的價值：軟件定義一切！但是，那時的軟件開發難度依然很大，開發和運維一個大型分布式系統的代價也很大，而且門檻很高。直到Kubernetes開啟且引領了全新的云原生時代，我們大多數人才第一次站在了同一條起跑在線，有了真正意義上彎道超車的機會。

這些年，一些先行者已經靠著云原生技術帶來的創新價值取得了不小的成就，堅定擁抱云原生技術的我們也都將成功！而這一切，都源於Kubernetes的出現。

在不經意間，Kubernetes已經成為整個云原生生態圈的重要引領者之一。

也許最初的開發者也沒有想到，正如最早的鉆木取火，只是為了燒烤食物，但其實火的使用在一定意義上開啟了人類文明的偉大進程，使人類從黑暗走向了光明，從野蠻走向了文明，從接受大自然的約束走向成為世界的主宰。

數據正在成為人類最重要的資產之一，同金錢和土地一樣。數據已經從工業文明及以前的信息或信號，變成可以創造價值的生產要素。對數據的管理已經不再是簡單的技術手段，它涉及社會治理，是基於時間和客戶的價值兌現，是“云”發展的趨勢和必然。數云融合，才能讓數據的價值真正釋放，真正體現人的天然稟賦，讓人類走向新的文明。

感謝對Kubernetes進行再創造的工程師，沒有他們的探索，Kubernetes也許就只能作為計算管理的工具，而無法發揮巨大價值。感謝本書作者，沒有他們對Kubernetes知識的理解、掌握、實踐和總結，我們也許還在霧裡看花，而無法真正理解數云融合的實踐價值所在，無法大力推動中國的數字化進程。

在科技越來越文學化的今天，讓我們為社會貢獻自己的力量吧！

郭為

神州數碼集團股份有限公司董事長