Kubernetes API驱逐

2023-11-21 43

API 发起的驱逐是一个先调用 Eviction API 创建 Eviction 对象，再由该对象体面地中止 Pod 的过程。具体来说，使用 API 发起驱逐可以通过直接调用 Eviction API 或者编写客户端程序来实现。例如，可以使用 kubectl drain 命令来发起驱逐，该命令会创建一个 Eviction 对象，并通过 API 服务器终止选定的 Pod。

API 发起的驱逐将遵从 PodDisruptionBudgets 和 terminationGracePeriodSeconds 配置。使用 API 创建 Eviction 对象，就像对 Pod 执行策略控制的 DELETE 操作。

一、调用Eviction API

可以使用 Kubernetes 语言客户端来访问 Kubernetes API 并创建 Eviction 对象。要执行此操作，应该用 POST 发出要尝试的请求，类似于下面的示例：

policy/v1：

policy/v1 版本的 Eviction 在 v1.22 以及更高的版本中可用，之前的发行版本使用 policy/v1beta1 版本。

{
"apiVersion": "policy/v1",
"kind": "Eviction",
"metadata": {
"name": "quux",
"namespace": "default"
}
}

或者，可以通过使用 curl 或者 wget 来访问 API 以尝试驱逐操作，类似于以下示例：

curl -v -H 'Content-type: application/json' https://your-cluster-api-endpoint.example/api/v1/namespaces/default/pods/quux/eviction -d @eviction.json

policy/v1beta1：

{
"apiVersion": "policy/v1beta1",
"kind": "Eviction",
"metadata": {
"name": "quux",
"namespace": "default"
}
}

或者，你可以通过使用 curl 或者 wget 来访问 API 以尝试驱逐操作，类似于以下示例：

curl -v -H 'Content-type: application/json' https://your-cluster-api-endpoint.example/api/v1/namespaces/default/pods/quux/eviction -d @eviction.json

在 v1.22 版本废弃以支持 policy/v1。

二、API驱逐工作原理

当使用 API 来请求驱逐时，API 服务器将执行准入检查，并通过以下方式之一做出响应：

200 OK：允许驱逐，子资源 Eviction 被创建，并且 Pod 被删除，类似于发送一个 DELETE 请求到 Pod 地址；
429 Too Many Requests：当前不允许驱逐，因为配置了 PodDisruptionBudget。可以稍后再尝试驱逐。也可能因为 API 速率限制而看到这种响应；
500 Internal Server Error：不允许驱逐，因为存在配置错误，例如存在多个 PodDisruptionBudgets 引用同一个 Pod。

如果想驱逐的 Pod 不属于有 PodDisruptionBudget 的工作负载， API 服务器总是返回 200 OK 并且允许驱逐。如果 API 服务器允许驱逐，Pod 按照如下方式删除：

API 服务器中的 Pod 资源会更新上删除时间戳，之后 API 服务器会认为此 Pod 资源将被终止。此 Pod 资源还会标记上配置的宽限期；
本地运行状态的 Pod 所处的节点上的 kubelet 注意到 Pod 资源被标记为终止，并开始优雅停止本地 Pod；
当 kubelet 停止 Pod 时，控制面从 Endpoint 和 EndpointSlice 对象中移除该 Pod。因此，控制器不再将此 Pod 视为有用对象；
Pod 的宽限期到期后，kubelet 强制终止本地 Pod；
kubelet 告诉 API 服务器删除 Pod 资源；
API 服务器删除 Pod 资源。