Kubernetes 节点从 Docker 迁移到 containerd

适用场景

Kubernetes 1.24+ 移除了 dockershim，节点需要从 Docker Engine 切换到 containerd（或其他 CRI 运行时）。适用于 kubeadm 自建集群和部分托管节点。

前置条件

• 确认 Kubernetes 版本、kubelet 配置和 CNI 插件。
• 准备 containerd 包和镜像仓库/加速配置。
• 逐节点维护窗口，业务有多副本或可容忍滚动重启。
• 备份 kubelet 配置和当前节点状态。

步骤

1. 记录当前运行时和节点状态：

kubectl get nodes -o wide
systemctl status docker kubelet
cat /var/lib/kubelet/kubeadm-flags.env

2. 驱逐节点：

kubectl drain <node> --ignore-daemonsets --delete-emptydir-data

3. 安装并配置 containerd：

apt install containerd.io
containerd config default > /etc/containerd/config.toml

确保启用 systemd cgroup：

[plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc.options]
  SystemdCgroup = true

配置镜像仓库/加速和 sandbox 镜像后重启：

systemctl enable --now containerd
systemctl restart containerd
crictl info

4. 修改 kubelet 使用 CRI socket：

# /var/lib/kubelet/kubeadm-flags.env
--container-runtime-endpoint=unix:///run/containerd/containerd.sock

systemctl daemon-reload
systemctl restart kubelet

5. 验证并恢复调度：

kubectl get nodes -o wide
kubectl uncordon <node>
kubectl get pods -A -o wide | grep <node>

验证

• crictl info 显示 containerd 正常。
• 节点 Ready，Pod 能正常创建和拉取镜像。
• Service、Ingress、跨节点网络正常。
• 检查 kubelet 日志无 CRI 错误。

回滚

• 保留 Docker 包和旧 kubelet 配置。
• 重新 drain 节点，恢复 kubelet 的 docker socket 配置。
• 启动 Docker，重启 kubelet，uncordon 节点。
• 注意镜像存储不共享，回滚后可能需要重新拉取镜像。

常见坑

• cgroup 驱动不一致（systemd vs cgroupfs）会导致 kubelet 启动失败。
• sandbox/pause 镜像拉不到会让 Pod 卡在 ContainerCreating。
• 镜像仓库认证和加速配置在 containerd 下是独立配置。
• crictl 与 docker 命令不同，排障脚本要改。
• 切换前确认 CNI 和运行时版本兼容。

相关命令

• crictl — 节点容器诊断
• containerd — 运行时
• kubectl — 节点与 Pod
• systemctl — 服务管理

读完自测

合上页面，先回答，再展开对照。

1. 迁移开始前必须确认哪些前置条件？
2. 切换运行时后，如何验证节点可用并恢复调度？
3. 回滚到 Docker 的关键步骤和注意事项是什么？