Kubernetes
14 篇文章
- 给 ArgoCD 换 TLS 入口：Cilium Gateway、TLSRoute 与一个绕不过的 ALPN 坑一个「让 argocd CLI 用上原生 gRPC」的小目标，最后拆成了三代问题：Pangolin 的 Resource Auth 把 CLI 302 掉、h2c 上游让 Traefik 返回 500、--insecure 写死在 args 里导致新 Pod CrashLoop、Passthrough 与 Terminate 抢 443、以及最要命的一条——ArgoCD 不广播 ALPN h2，任何 L7 代理都不可能给它原生 gRPC。把两版脚本、Pangolin 侧步骤、证书与回滚都写清楚。
- 把静态站发到三个地方：Cloudflare、EdgeOne 与 Kubernetes 的 GitOps 流水线同一份静态站，发到 Cloudflare Pages、EdgeOne Pages 和 Kubernetes 集群里的自有域名。用 GitHub Actions 构建镜像与回写 tag，用 GitLab 镜像绕过 ArgoCD 拉不动 GitHub 的网络问题，用 Helm + HTTPRoute + CiliumNetworkPolicy 把站点收进集群。附七个真实卡点与 Cloudflare Token 的最小权限申请方法。
- 给桌面软件官网接入支付宝：从沙箱到生产，踩过的七个坑Scorpius 官网 6 元买断卖激活码，接入支付宝电脑网站支付。Go 没有官方 SDK 就按规范自己签名；沙箱能做什么不能做什么；私钥抄错一个字符、私钥进 Helm values、买家没填邮箱导致码丢失、表单编码错导致验签失败——这些坑都真实发生过，把实现、数据模型与上线清单一起写下来。
- 基础设施篇：Reloader 让 Secret 变更自动滚动 Pod凭据后端改了值、ESO 把新值写进了 Kubernetes Secret，Pod 却还在用旧密码。用 stakater/Reloader 补上这一环，同时说清它管不到的那一段：微服务的凭据在配置中心里，不在 Secret 里。
- 基础设施篇：Spegel 镜像 P2P 分发在 Kubernetes 集群中用 Spegel 让节点共享容器镜像层：理解它与镜像仓库、Docker Buildx、crane 的边界，判断适用场景，并设计不绕过签名和准入校验的 PoC。
- 一台跑着 Docker 和 Pigsty 的机器，怎么加进现有 Kubernetes 集群把一台不干净的节点（Docker 29 + 10 个业务容器 + Pigsty 单机 PostgreSQL）以 worker 身份加入 kubeadm 1.36 + Cilium 1.20 集群的完整过程：共用 containerd 的前提、网段与端口冲突排查、ufw 转发、pause 镜像架构坑、OpenEBS 在没有空闲磁盘时的选择，以及为什么共存只能是过渡态。
- 安全篇：用 Santa 保护 Mac 密钥文件在没有 MDM 的个人 macOS 上，用 Santa File Access Authorization 限制 SSH 私钥、Docker、Kubernetes、腾讯云 CLI、Claude、Codex 和 GitHub CLI 凭证的读写，并按审计、验证、阻断三阶段安全上线。
- 网络策略就是鉴权：用 Cilium CNP 守住「只有网关能连后端」这条线后端相信网关注入的身份头，那「谁能连到后端」就不是防火墙问题而是鉴权问题。从一次伪造身份的 curl 讲起：为什么需要 CiliumNetworkPolicy、怎么装、怎么分别应用在前端 / 网关 / 后端、以及开发阶段怎么开一个只属于 dev 的口子而不让它漏进生产——含 Hubble 抓到的丢包证据与一条 canary。
- Ubuntu 系统安装 Kubernetes v1.29在 Ubuntu 上用 kubeadm + containerd 从零部署 Kubernetes v1.29.0:节点前置检查、apt 源、CRI 配置、控制面初始化、网络插件与常见故障排查,附 2024-01-02 更新说明。
- Kubernetes 部署 OpenTelemetry Collector 到后端示例在 Kubernetes 上部署 OpenTelemetry Collector,把 Go 应用的链路与指标经 Collector 导出到 Jaeger 与 Prometheus:前置条件、架构图、服务端搭建、客户端接入与验证截图。
- Kubernetes 安装 Jaeger Operator在 Kubernetes 上通过 cert-manager 与 Jaeger Operator 部署 Jaeger:名词解释、前置依赖、安装步骤与访问验证截图。
- 部署 Kubernetes 最新版 v1.27.1基于 RockyLinux 8/9(RPM 系)用 kubeadm 部署 Kubernetes v1.27.1 的完整过程:配置清单、系统准备、容器运行时、集群初始化与节点加入,并记录踩过的坑。
- RedHat 系列安装 Kubernetes在 RedHat 系发行版上安装 Kubernetes:主机名与 hosts、关闭 swap/SELinux/防火墙、内核参数、containerd、kubeadm 初始化与节点加入,附部署截图。
- 运维工程化一套面向微服务的运维工程化方案:GitLab/ArgoCD/Jenkins 的 CI/CD、服务治理、Jaeger + OTel + ELK 可观测性、Kubernetes 编排、Casdoor/Casbin + Istio 的认证与流量控制,含配置与截图。