Kubernetes 生产上线检查清单

使用方式

这份清单用于把 Kubernetes 集群从“能跑”推进到“可运营”。按集群、网络、存储、工作负载、安全、可观测性、交付和容灾八个维度逐项确认；不是每个集群都要全选，但跳过某项时要明确接受相应风险。

建议在集群交付前、重大升级前和季度巡检时各跑一遍，把不适用项标记为 N/A，把未完成项转成工单。

检查清单

1. 集群与节点

• 控制面至少 3 个节点，etcd 独立磁盘并做定期快照。
• 节点时间同步，kubelet 和容器运行时版本在支持矩阵内。
• 节点资源预留（system-reserved、kube-reserved）已配置。
• 节点自动修复或替换流程可用，故障节点有告警。
• 集群证书、kubeconfig 和 ServiceAccount 密钥有轮换计划。
• 已评估单集群容量上限和扩容路径。

2. 网络

• Pod CIDR、Service CIDR 与现有网络不冲突。
• CNI 选型明确，NetworkPolicy 默认拒绝并逐条放行。
• CoreDNS 多副本，DNS 解析和上游转发有监控。
• Ingress/Gateway 有 TLS、超时、限流和访问日志。
• 跨节点、跨可用区网络延迟和丢包有基线。
• 网络故障排查手册可用，eBPF/抓包工具已准备。

3. 存储

• StorageClass 有默认值和回收策略说明。
• 有状态服务使用 StatefulSet + PVC，不依赖 emptyDir。
• 存储性能（IOPS、延迟、吞吐）满足业务基线。
• PVC 扩容、快照和恢复演练通过。
• 备份覆盖 Kubernetes 对象和持久卷数据。
• 跨可用区/跨集群恢复的 RTO/RPO 已定义。

4. 工作负载

• 所有工作负载设置 requests/limits 和 PDB。
• 滚动更新策略、就绪探针和存活探针合理。
• 关键服务有反亲和/拓扑分布，避免单点。
• Job/CronJob 有并发策略、重试上限和历史清理。
• HPA/VPA/KEDA 的指标和扩缩容边界已验证。
• 资源配额和 LimitRange 已按团队配置。

5. 安全

• RBAC 最小权限，避免通配符和长期 cluster-admin。
• Pod Security Admission 或等效策略已启用。
• 镜像来自可信仓库，固定 digest，开启漏洞扫描。
• Secret 不落明文 Git，使用 Sealed Secrets/External Secrets/Vault。
• 准入策略覆盖特权容器、hostPath、latest 标签。
• 运行时安全告警（Falco/Tetragon）已接入。

6. 可观测性

• 指标、日志、链路追踪和性能剖析的覆盖范围明确。
• 控制面、节点、工作负载和业务指标都有看板。
• 告警有分级、去重、静默和升级路径。
• 日志有保留周期和成本控制，敏感字段已脱敏。
• SLI/SLO 和错误预算已定义。
• 黑盒探测覆盖外部入口和关键依赖。

7. 交付

• 清单使用 Helm/Kustomize 管理，环境差异可追溯。
• GitOps 或 CI/CD 是唯一写入方，避免手工漂移。
• 发布支持灰度、回滚和自动中止。
• 镜像、Chart 和配置版本可关联到一次发布。
• 数据库迁移与应用发布顺序有明确策略。

8. 容灾与运营

• etcd、PVC、镜像仓库和密钥都有备份。
• 至少每季度做一次真实恢复演练。
• 有 on-call 轮值、升级路径和事故复盘机制。
• 集群升级、节点替换和证书轮换有 runbook。
• 成本按命名空间/团队分摊，闲置资源有清理机制。

常见误区

• 只做应用层高可用，忽略 etcd、Ingress、DNS 和镜像仓库的单点。
• 把 requests 设得很小、limits 设得很大，调度失真且容易 OOM。
• 备份只验证“备份成功”，从不验证“能恢复”。
• 告警越多越好，导致关键告警被噪声淹没。
• 安全策略一次性全量 Enforce，误伤系统组件后又全部关闭。
• 认为托管 Kubernetes 不需要管节点、证书和备份。

相关条目

• kubectl、kubeadm、etcd、kube-apiserver
• cilium、calico、networkpolicy、coredns
• pvc、storageclass、velero、volume-snapshot
• hpa、vpa、poddisruptionbudget、resource-quota
• rbac、pod-security-admission、kyverno、falco
• prometheus、loki、opentelemetry、kubecost
• argocd、helm、kustomize、argo-rollouts
• build-k8s-cluster、build-argocd-gitops、build-velero-backup