- admission-webhook - 动态准入控制,Mutating与Validating Webhook
- affinity - Kubernetes中控制Pod调度到哪些节点的亲和性与反亲和性规则
- aggregated-apiserver - 通过APIService把自建API服务器接入kube-apiserver的聚合层
- akri - 把边缘设备(udev/ONVIF/OPC UA)发现并暴露成Kubernetes原生资源的框架
- alertmanager - Prometheus告警的去重、分组与路由分发组件
- api-priority-fairness - Kubernetes API 优先级与公平性,防止单个客户端打垮 apiserver
- apisix - Apache APISIX 云原生API网关,以插件体系提供认证、限流与协议转换能力
- apparmor - 基于路径的强制访问控制,Kubernetes 中通过 securityContext.appArmorProfile 配置
- argo-events - Kubernetes事件驱动自动化框架
- argo-rollouts - Kubernetes渐进式交付控制器
- argo-workflows - Kubernetes原生工作流与批处理引擎
- argocd - Kubernetes声明式GitOps持续交付工具
- audit-log - API Server审计日志,记录谁在何时对集群做了什么
- backup-strategy - 备份策略设计:频率、保留、3-2-1、不可变备份与恢复演练
- bgp - Kubernetes集群通过BGP向物理网络宣告Service与Pod网段的路由协议应用
- buildah - 无需守护进程即可构建 OCI / Docker 镜像的命令行工具
- calico - Kubernetes主流的CNI网络插件与网络策略引擎,支持BGP路由与多种封装模式
- capacity-planning - 集群容量规划:节点选型、装箱率、资源预留与超卖
- capsule - 命名空间级的多租户框架,用 Tenant 把一组命名空间与配额、权限、策略绑定在一起
- ceph - 统一的分布式存储系统,同时提供块、文件与对象三种存储接口
- cert-manager - Kubernetes证书管理控制器,自动完成TLS证书的签发、续期与轮换
- cert-rotation - Kubernetes集群证书轮换,涵盖kubeadm证书续期、kubelet证书自动轮换与CA替换
- cgroup - Kubernetes的资源隔离基石,cgroup v1与v2的差异及cgroup driver选型
- chaos-mesh - Kubernetes混沌工程平台:以CRD方式注入Pod、网络、IO与时间故障
- checkov - 对Terraform、Kubernetes、Helm等基础设施即代码做策略扫描的工具
- cilium - Kubernetes基于eBPF的高性能CNI网络、安全策略与可观测性方案
- cilium-clustermesh - Cilium 原生的多集群网络,让集群间 Pod 直通并提供跨集群的 Global Service
- clickhouse-operator - 在Kubernetes上以Operator方式运行管理ClickHouse集群
- cloud-provider - Kubernetes的云厂商集成模型,从内置驱动到外置Cloud Controller Manager
- cluster-api - 用Kubernetes资源声明式管理集群生命周期的官方子项目
- cluster-autoscaler - Kubernetes中根据待调度Pod自动调整节点数量的集群自动伸缩组件
- cluster-backup - Kubernetes集群要备份哪些东西:etcd、证书、CRD与自定义资源、PV数据与集群配置
- cni - Kubernetes容器网络接口规范与CNI插件的配置调用方式
- confidential-containers - 在 Kubernetes 上运行机密容器,用硬件 TEE 保护内存中的敏感数据
- configmap - Kubernetes中存放非敏感配置数据并注入Pod的资源对象
- conftest - 用rego策略对Kubernetes清单等结构化配置做合规校验
- conntrack - 连接跟踪表:为何表满之后新连接被丢、老连接却正常,以及怎么查与怎么调
- containerd - Kubernetes 集群最主流的容器运行时,负责镜像拉取、容器创建与生命周期管理
- contour - 基于Envoy的Kubernetes Ingress Controller,提供HTTPProxy与Gateway API能力
- controller-runtime - 构建Kubernetes控制器的Go语言核心库,Manager与Reconcile的实现基础
- coredns - Kubernetes集群内提供服务发现与域名解析的DNS服务器
- coroot - 基于 eBPF 的 Kubernetes 可观测性与 APM 平台,自带根因分析与 SLO 告警
- cosign - Sigstore容器镜像签名与验签工具
- crd - Kubernetes自定义资源定义,扩展API而不改动控制平面代码
- crictl - CRI容器运行时调试命令行工具
- cronjob - Kubernetes定时任务调度控制器
- csi - Kubernetes容器存储接口:让任意存储系统以标准插件方式接入集群
- ctr - containerd原生命令行客户端
- daemonset - Kubernetes每节点守护进程控制器
- datree - 已停运的Kubernetes清单策略校验CLI,仅离线模式可用
- dcgm-exporter - 把NVIDIA GPU的利用率、显存、温度等指标导出给Prometheus的采集器
- deployment - Kubernetes无状态应用工作负载控制器
- descheduler - Kubernetes中周期性重新平衡集群、驱逐不满足策略Pod的组件
- devspace - 用单个YAML定义构建、部署与热更新工作流的Kubernetes客户端开发工具
- disaster-recovery - Kubernetes集群灾难恢复方法论:RTO/RPO、备份分层、演练与跨区域切换
- dns-troubleshooting - CoreDNS与集群DNS的专项排查:ndots、解析超时、resolv.conf与NodeLocal DNSCache
- docker - 容器化技术，可以将应用程序及其依赖项打包到一个可移植的容器中，使其可以在不同的环境中运行
- dragonfly - 基于P2P技术的镜像与文件分发加速系统,CNCF毕业项目
- ebpf-observability - 基于 eBPF 的内核态免埋点可观测性,理解它的原理、边界与选型取舍
- ecosystem-status - Kubernetes生态中已退役、已归档与发生重大变更的项目汇总
- elastic-operator - 在Kubernetes上以Operator方式运行管理Elasticsearch集群
- emissary - 基于Envoy的Kubernetes API网关与Ingress Controller
- envoy - 高性能L4/L7代理,是众多网关与服务网格共用的数据平面
- ephemeral-containers - Kubernetes临时容器:向运行中的Pod注入调试容器
- etcd - Kubernetes集群的数据存储组件,保存集群全部状态
- etcd-tuning - etcd 的性能调优:磁盘、压缩、配额与告警处理
- event - Kubernetes事件查询:集群故障排查的第一手线索
- falco - 云原生运行时安全检测工具,基于系统调用实时发现容器内的异常行为
- feature-gates - 特性门控:按版本开关 Kubernetes 的 Alpha / Beta 功能
- flannel - Kubernetes最简单常用的Overlay网络插件,专注Pod连通性
- fluent-bit - 轻量级日志与指标采集器,以DaemonSet形态采集容器日志
- fluentd - 基于Ruby的日志采集与转发守护进程,插件生态丰富
- flux - Kubernetes GitOps持续交付工具
- gatekeeper - 基于OPA的Kubernetes准入控制器,用ConstraintTemplate与Constraint两层CRD落地策略
- gateway-api - Kubernetes新一代七层路由API标准,Ingress的官方继任者
- gitlab-runner - GitLab CI的作业执行器
- goldilocks - Kubernetes资源建议工具:基于VPA为工作负载推荐requests与limits
- gpu-mig - 把一张NVIDIA GPU硬件切分成多个独立实例供多个Pod使用
- gpu-operator - NVIDIA官方的GPU节点全套组件管理与生命周期编排Operator
- gpu-time-slicing - 让多个Pod共享同一张GPU的软件层分时方案
- grafana - 指标可视化与监控大盘平台,常与Prometheus搭配使用
- gvisor - 用户态内核沙箱容器运行时,为不可信工作负载提供第二层隔离
- harbor - 开源容器镜像仓库,提供镜像签名、扫描与多租户复制能力
- helm - Kubernetes包管理器
- higress - 基于Envoy与Istio的云原生API网关,兼容Ingress、Gateway API与Istio生态
- hostpath - 将宿主机文件或目录直接挂载进容器的原生卷类型,危险但常用
- hpa - Kubernetes水平自动扩缩容控制器
- hubble - Cilium的可观测层:实时观测集群内flow、判定丢包原因、绘制服务依赖图
- ingress - Kubernetes中提供七层HTTP与HTTPS路由入口的API对象
- ipvs - Linux内核的IP虚拟服务器负载均衡,曾被kube-proxy用作Service转发模式
- istio - Kubernetes服务网格,提供流量管理、可观测性与安全能力
- istioctl - Istio服务网格的官方命令行工具
- jaeger - 分布式链路追踪系统,CNCF毕业的端到端调用链观测平台
- jenkins - Kubernetes上运行的CI/CD自动化服务器
- job - Kubernetes一次性批处理任务控制器
- k0s - 单二进制Kubernetes发行版,控制器与工作节点角色可分离部署
- k3d - 用Docker容器运行K3s集群,自带负载均衡器与镜像仓库
- k3s - 轻量级Kubernetes发行版,单二进制适合边缘与资源受限环境
- k9s - 终端下的Kubernetes集群交互式管理工具
- kaniko - Google 已归档的集群内镜像构建工具,可在无守护进程的容器里解释执行 Dockerfile
- karmada - CNCF毕业的多集群编排项目,统一调度与故障迁移
- kata-containers - 基于轻量虚拟机的容器运行时,每个 Pod 一个独立 guest 内核
- keda - Kubernetes事件驱动自动伸缩组件
- kernel-tuning - Kubernetes节点级内核参数调优,以及为什么这些参数不能用Pod设置
- kiali - Istio服务网格的可视化控制台,提供服务拓扑、健康检查与配置校验
- kind - 用Docker容器运行本地Kubernetes集群
- knative - Kubernetes无服务器运行时
- kong - Kong Gateway 与 Kong Ingress Controller,以插件体系提供API网关能力
- krew - kubectl插件的包管理器
- kserve - Kubernetes上的模型推理平台,提供InferenceService等CRD与多框架运行时
- ksniff - kubectl插件:把静态编译的tcpdump注入Pod,抓包直接送进本地Wireshark
- kube-apiserver - KubernetesAPI服务器,集群的唯一入口
- kube-apiserver-tuning - kube-apiserver 的参数调优:并发、超时、缓存与 etcd 交互
- kube-bench - CIS Kubernetes安全基线自动检查工具
- kube-hunter - Kubernetes集群安全弱点自查工具(已停止开发)
- kube-linter - 对Kubernetes清单、Helm与Kustomize做静态检查的lint工具
- kube-monkey - Kubernetes混沌工程工具:按计划随机删除Pod以验证服务韧性
- kube-proxy - Kubernetes集群网络代理,Service的实现者
- kube-router - 一体化Kubernetes网络方案,集CNI、网络策略、IPVS服务代理与BGP路由于一身
- kube-scheduler - Kubernetes默认调度器,负责为新创建的Pod选择运行的节点
- kube-score - 对Kubernetes清单做可靠性与安全性的静态评分
- kube-state-metrics - Kubernetes对象状态指标导出器
- kubeadm - Kubernetes集群安装与生命周期管理工具
- kubeaudit - 按安全控制项审计Kubernetes集群与清单的检查工具
- kubebuilder - Kubernetes官方推荐的Operator与控制器脚手架工具
- kubeconfig - Kubernetes集群访问凭据配置文件
- kubeconform - 快速校验Kubernetes清单的schema正确性
- kubecost - Kubernetes成本管理平台:成本分摊、闲置识别与资源优化建议
- kubectl - Kubernetes集群管理工具
- kubectl-debug - Kubernetes调试插件:借debug-agent在目标节点上启动调试容器
- kubeedge - CNCF毕业的边缘计算框架,把Kubernetes控制面延伸到边缘节点
- kubeflow - Kubernetes上的机器学习平台套件(笔记本/训练/流水线/推理)
- kubeflow-pipelines - Kubeflow的机器学习流水线编排系统(简称KFP)
- kubelet - Kubernetes节点代理,负责维护节点上的Pod生命周期
- kubelet-config - kubelet 配置文件(KubeletConfiguration)与 kubeadm 的 kubelet-config ConfigMap
- kubeone - 用一份清单管理裸金属与云上Kubernetes集群的生命周期
- kubescape - 按NSA/CISA、MITRE等安全框架扫描Kubernetes集群与清单的合规工具
- kubesec - 给Kubernetes清单打安全风险分的静态分析工具
- kubeval - 校验Kubernetes清单是否符合指定版本的schema
- kubevela - 基于OAM模型的应用交付平台,用声明式模板抽象Kubernetes复杂度
- kubevirt - 在Kubernetes中以Pod形式运行和管理虚拟机的虚拟化扩展
- kured - Kubernetes节点重启编排:逐台安全重启以应用内核与系统更新
- kustomize - Kubernetes无模板化的声明式配置定制工具
- kyverno - Kubernetes原生策略引擎,以资源形式校验、变更与生成集群对象
- limitrange - Kubernetes中为命名空间内的Pod设置资源上下限与默认值约束
- linkerd - 超轻量级Kubernetes服务网格,以低资源占用提供mTLS与可观测性
- liqo - 跨集群资源联邦:把远端集群的剩余算力变成一个可调度的虚拟节点
- litmus - LitmusChaos混沌工程框架:基于实验库与工作流的故障演练
- local-path-provisioner - 用节点本地目录动态供给PV的轻量级provisioner,数据不跨节点迁移
- loki - 受Prometheus启发的水平可扩展日志聚合系统
- longhorn - Kubernetes轻量级分布式块存储,为每个卷提供多副本冗余与快照备份
- metal3 - 用Kubernetes原生方式把物理服务器纳管为集群节点的裸金属管理项目
- metallb - 裸金属Kubernetes集群的LoadBalancer类型Service实现,支持L2与BGP两种宣告模式
- metrics-server - Kubernetes集群资源指标采集组件
- microk8s - Canonical出品的snap打包Kubernetes,插件化开箱即用
- minikube - 本地单机Kubernetes快速体验环境
- minio - 兼容S3协议的高性能对象存储,社区版上游已归档停更
- mpi-operator - Kubernetes上运行MPI分布式训练作业的控制器
- mtu - CNI封装导致的MTU问题:怎么算开销、怎么验证路径、怎么改与MSS钳制
- multi-tenancy - 在同一套 Kubernetes 上安全地跑多个租户:隔离维度、软硬租户的取舍与方案选型
- multus - 让KubernetesPod挂载多张网卡的CNI元插件
- mysql-operator - 在Kubernetes上以Operator方式运行管理Percona XtraDB Cluster集群
- namespace - Kubernetes中用于多租户隔离与资源分组的逻辑划分单元
- nerdctl - containerd 的 Docker 兼容命令行客户端,支持 Compose、构建与 Kubernetes 命名空间
- network-troubleshooting - Kubernetes网络不通的逐层排查方法论:DNS→Service→Endpoint→Pod→CNI
- networkpolicy - Kubernetes中控制Pod之间以及Pod与外部网络访问的策略对象
- nfs-provisioner - 在已有NFS服务器上动态创建子目录卷的external-provisioner
- nginx-ingress - Nginx系Ingress Controller的安装与运维,含社区版与NGINX官方版两个项目
- node - Kubernetes节点运维:封锁、驱逐、污点与节点状态管理
- node-exporter - Prometheus官方的主机指标采集器,暴露节点级CPU、内存、磁盘与网络指标
- node-problem-detector - Kubernetes节点问题检测器:把内核与运行时故障暴露为Node Condition
- nvidia-device-plugin - 把NVIDIA GPU作为可调度资源暴露给Kubernetes的Device Plugin
- nydus - 基于RAFS格式的按需加载镜像服务,把容器冷启动从分钟级压到秒级
- olm - Operator Lifecycle Manager,在集群内安装、升级与治理Operator
- opa - 通用策略引擎,用Rego声明式语言把策略决策从应用代码中解耦出来
- opencost - Kubernetes成本监控:按命名空间、工作负载与Pod拆分集群开支
- openebs - CNCF沙箱的容器原生存储项目,提供本地卷与复制卷两类引擎
- openshift - Red Hat企业级Kubernetes平台,安全默认收紧且自带完整工具链
- opentelemetry - 云原生可观测性标准与OpenTelemetry Collector采集流水线
- openyurt - 把既有Kubernetes集群改造成边缘架构,以YurtHub实现边缘自治
- operator - Kubernetes Operator模式,把运维知识编码成控制器与自定义资源
- operator-sdk - Operator Framework的Operator开发、打包与分发工具
- parca - 持续性能剖析平台,eBPF 无侵入采集 CPU 火焰图并长期留存
- pixie - 基于 eBPF 的 Kubernetes 免埋点可观测性工具,自动采集协议级请求数据
- pluto - 扫描清单与集群中已废弃或已移除的apiVersion
- pod - Kubernetes中最小的可调度计算单元
- pod-security-admission - Kubernetes内置的Pod安全准入控制,按命名空间强制安全基线
- pod-sysctl - 通过securityContext.sysctls为Pod设置内核参数,以及安全与不安全参数的边界
- poddisruptionbudget - Kubernetes中限制自愿中断时同时不可用Pod数量的可用性保障对象
- podman - 无守护进程的容器引擎,可构建与运行容器,并能直接跑 Kubernetes YAML
- polaris - Kubernetes工作负载配置的最佳实践体检工具
- popeye - 只读扫描集群中已部署资源的健康与配置问题
- postgres-operator - 在Kubernetes上以Operator方式运行管理PostgreSQL高可用集群
- priority-class - Kubernetes中定义Pod调度优先级与抢占行为的集群级对象
- prometheus - Kubernetes集群监控与告警系统,云原生监控事实标准
- promtail - Loki官方日志采集代理,以DaemonSet形态采集容器日志
- pv - Kubernetes集群中由管理员供给的持久化存储卷资源
- pvc - Kubernetes中由用户发起的持久化存储申请与绑定声明
- pyroscope - Grafana 的持续性能剖析平台,持续采集火焰图并可长期回溯
- qos - Kubernetes中根据Pod资源声明划分的服务质量等级
- rancher - 企业级多集群Kubernetes管理平台,统一纳管与分发应用
- ray-operator - 在Kubernetes上编排Ray集群与Ray应用的Operator(即KubeRay)
- rbac - Kubernetes基于角色的访问控制授权机制
- rdma - 在Kubernetes中为Pod提供RDMA高速网络(InfiniBand/RoCE)访问
- redis-operator - 在Kubernetes上以Operator方式运行管理Redis集群
- registry - Docker Registry 官方参考实现,自建最简私有镜像仓库的选择
- registry-mirror - 配置containerd与CRI-O的镜像加速与私有仓库,通过mirror规避registry限流
- replicaset - Kubernetes Pod副本数控制器
- resource-quota - Kubernetes中限制命名空间内资源总量与对象数量的配额对象
- rook - 以Operator方式在Kubernetes上编排部署Ceph存储集群
- scalability - Kubernetes 大规模集群的规模上限、SLO 与瓶颈定位
- sealed-secrets - 把Kubernetes Secret加密成可安全提交到Git的SealedSecret
- seccomp - 限制容器可用系统调用的内核安全机制,Kubernetes 中通过 securityContext 配置
- secret - Kubernetes中存放密码、令牌与证书等敏感信息的资源对象
- securitycontext - Pod与容器级安全上下文,控制运行用户、能力与权限
- selinux-k8s - 在 Kubernetes 中配置 SELinux 标签,以及卷标签带来的性能与兼容问题
- service - Kubernetes中为一组Pod提供稳定访问入口与负载均衡的抽象资源
- service-topology - Service拓扑感知路由,让流量优先落到同可用区或同节点的后端
- serviceaccount - Kubernetes服务账户与Pod身份认证
- skaffold - 面向Kubernetes的构建与部署流水线工具
- skopeo - 在不落地的情况下直接操作远端镜像仓库,用于镜像检查、复制与离线同步
- skupper - 应用层(L7)的多集群互联,用代理把服务暴露到其它集群,不需要打通网络
- spegel - 无状态的集群内P2P OCI镜像缓存,让节点互相拉取已缓存的镜像层
- spiffe - 工作负载身份的标准规范,用SPIFFE ID与SVID取代静态密钥
- spinnaker - Kubernetes上的多云持续交付平台
- spire - SPIFFE运行时环境,为工作负载签发与轮换短期身份凭证的参考实现
- statefulset - Kubernetes有状态应用工作负载控制器
- storageclass - Kubernetes中定义存储分级与动态供给策略的集群级资源
- strimzi - 在Kubernetes上以Operator方式运行管理Apache Kafka集群
- submariner - 跨集群 L3 网络互联,让不同集群的 Pod 与 Service 直接互通
- superedge - 已实质停止维护的边缘容器管理框架,原腾讯云牵头,选型请改用其他方案
- taints-tolerations - Kubernetes中让节点排斥Pod的污点机制与Pod侧的容忍声明
- talos - 不可变Kubernetes专用操作系统,全部通过API声明式管理
- tekton - Kubernetes原生CI/CD流水线框架
- telepresence - 把本地进程接入远程Kubernetes集群的开发代理工具
- thanos - 为Prometheus提供长期存储与全局查询能力的高可用方案
- tidb-operator - 在Kubernetes上以Operator方式运行管理TiDB集群
- tilt - 把Kubernetes微服务的本地开发环境写成代码的开发内循环工具
- topology-spread - Kubernetes中控制Pod在可用区、节点等拓扑域之间均匀分布的约束
- traefik - Go编写的云原生Ingress Controller与API网关,以CRD表达路由与中间件
- training-operator - Kubeflow的分布式训练作业控制器(TFJob/PyTorchJob等)
- trivy - 容器镜像与Kubernetes集群的漏洞、配置与密钥扫描工具
- trivy-operator - 在集群内持续扫描工作负载并把结果写成CRD的Kubernetes Operator
- ulimit-k8s - 容器内的进程资源限制,为什么Kubernetes没有ulimit字段以及该怎么调
- vault - HashiCorp密钥管理平台,在Kubernetes中安全下发与轮换敏感数据
- vcluster - 在宿主集群的命名空间里跑一套完整的 Kubernetes 控制面,给租户一个「自己的集群」
- velero - Kubernetes集群资源与持久卷的备份恢复工具
- victoriametrics - 高性能时间序列数据库,兼容Prometheus生态的监控存储方案
- virtual-kubelet - 用一个伪装成节点的进程把Pod调度到Kubernetes之外的后端
- volcano - 面向批处理与AI训练的Kubernetes批调度器(gang scheduling/队列管理)
- volume-snapshot - Kubernetes标准化的卷快照API,用CRD实现PVC的时点快照与恢复
- vpa - Kubernetes中自动调整Pod资源请求与上限的垂直扩缩容组件
- watch-cache - kube-apiserver 的 watch 缓存机制、容量策略与一致性权衡
- workload-identity - 云厂商工作负载身份,用OIDC联邦替代长期AccessKey为Pod换取云资源凭据