初始化容器InitContainer&临时容器EphemeralContainer（1.16+）

一.初始化容器InitContainer

官方文档：https://kubernetes.io/zh/docs/concepts/workloads/pods/init-containers/
在主应用启动之前，做一些初始化的操作，比如创建文件、修改内核参数、等待依赖程序启动或其他需要在主程序启动之前需要做的工作

Init 容器可以包含一些安装过程中应用容器中不存在的实用工具或个性化代码；
Init 容器可以安全地运行这些工具，避免这些工具导致应用镜像的安全性降低；
Init容器可以以root身份运行，执行一些高权限命令；
Init容器相关操作执行完成以后即退出，不会给业务容器带来安全隐患。初始化容器和PostStart区别

PostStart和InitContainer的区别

PostStart：依赖主应用的环境，而且并不一定先于Command运行

InitContainer：不依赖主应用的环境，可以有更高的权限和更多的工具，一定会在主应用启动之前完成

Init 容器与普通的容器非常像，除了如下几点：

它们总是运行到完成；
上一个运行完成才会运行下一个；
如果 Pod 的 Init 容器失败，Kubernetes 会不断地重启该 Pod，直到 Init 容器成功为止，但是Pod 对应的 restartPolicy 值为 Never，Kubernetes 不会重新启动 Pod。
Init 容器不支持 lifecycle、livenessProbe、readinessProbe 和 startupProbe

1.InitContainer的使用

[root@k8s-master01 init]# vim init.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  labels:
    app: test-init
  name: test-init
  namespace: kube-public
spec:
  replicas: 3    //副本数3
  selector:
    matchLabels:
      app: test-init
  template:
    metadata:
      labels:
        app: test-init
    spec:
      volumes:
      - name: data
        emptyDir: {}
      initContainers:       //初始化容器，和volumes、containers平级。
      - command:
        - sh
        - -c
        - touch /mnt/test-init.txt     //执行的操作
        image: nginx
        imagePullPolicy: IfNotPresent
        name: init-touch      //容器名init-touch
        volumeMounts:
        - name: data     
          mountPath: /mnt
      - command:
        - sh
        - -c
        - for i in `seq 1 100`; do echo $i; sleep 1; done     //执行的操作
        image: nginx
        imagePullPolicy: IfNotPresent
        name: echo      //容器名echo
      containers:
      - image: nginx
        imagePullPolicy: IfNotPresent
        name: test-init
        volumeMounts:
        - name: data
          mountPath: /mnt

创建验证：

[root@k8s-master01 init]# kubectl create -f init.yaml 
deployment.apps/test-init created

[root@k8s-master01 init]# kubectl get pod -n kube-public    //查看pod
NAME                         READY   STATUS     RESTARTS   AGE
test-init-7c58ff4db4-4gjws   0/1     Init:1/2   0          116s
test-init-7c58ff4db4-m8t2l   0/1     Init:1/2   0          116s
test-init-7c58ff4db4-n68q4   0/1     Init:1/2   0          116s

[root@k8s-master01 init]# kubectl describe pod test-init-7c58ff4db4-4gjws -n kube-public
Name:         test-init-7c58ff4db4-4gjws
Namespace:    kube-public
Priority:     0
Node:         k8s-master03/192.168.1.102
Start Time:   Tue, 17 Aug 2021 20:52:57 +0800
Labels:       app=test-init
              pod-template-hash=7c58ff4db4
....
  Normal  Pulled     2m19s  kubelet            Successfully pulled image "nginx" in 29.496733351s
  Normal  Created    2m18s  kubelet            Created container init-touch
  Normal  Started    2m18s  kubelet            Started container init-touch
  Normal  Pulled     2m18s  kubelet            Container image "nginx" already present on machine
  Normal  Created    2m18s  kubelet            Created container echo
  Normal  Started    2m18s  kubelet            Started container echo
  Normal  Pulled     37s    kubelet            Container image "nginx" already present on machine
  Normal  Created    37s    kubelet            Created container test-init
  Normal  Started    37s    kubelet            Started container test-init     //显示初始化容器中

[root@k8s-master01 init]# kubectl logs -f  test-init-7c58ff4db4-4gjws -c echo  -n kube-public  //查看其中一个副本echo容器的日志，发现在打印中。
1
2
3
4
5
.....
77
78
79
80
81

二.临时容器EphemeralContainer

临时容器：1.16版本以上
官方文档：https://kubernetes.io/zh/docs/concepts/workloads/pods/ephemeral-containers/
一种特殊的容器，容器在现有 Pod 中临时运行，以便完成用户发起的操作，例如故障排查。你会使用临时容器来检查服务，而不是用它来构建应用程序.

了解临时容器

Pod 是 Kubernetes 应用程序的基本构建块。由于 Pod 是一次性且可替换的，因此一旦 Pod 创建，就无法将容器加入到 Pod 中。取而代之的是，通常使用 Deployment 以受控的方式来删除并替换 Pod。
有时有必要检查现有 Pod 的状态。例如，对于难以复现的故障进行排查。在这些场景中，可以在现有 Pod 中运行临时容器来检查其状态并运行任意命令。

什么是临时容器？

临时容器与其他容器的不同之处在于，它们缺少对资源或执行的保证，并且永远不会自动重启，因此不适用于构建应用程序。临时容器使用与常规容器相同的 ContainerSpec 节来描述，但许多字段是不兼容和不允许的。

临时容器没有端口配置，因此像 ports，livenessProbe，readinessProbe 这样的字段是不允许的。
Pod 资源分配是不可变的，因此 resources 配置是不允许的。
有关允许字段的完整列表

临时容器是使用 API 中的一种特殊的 ephemeralcontainers 处理器进行创建的，而不是直接添加到 pod.spec 段，因此无法使用 kubectl edit 来添加一个临时容器。
与常规容器一样，将临时容器添加到 Pod 后，将不能更改或删除临时容器

临时容器的用途

当由于容器崩溃或容器镜像不包含调试工具而导致 kubectl exec 无用时，临时容器对于交互式故障排查很有用。
尤其是，Distroless 镜像允许用户部署最小的容器镜像，从而减少攻击面并减少故障和漏洞的暴露。由于 distroless 镜像不包含 Shell 或任何的调试工具，因此很难单独使用 kubectl exec 命令进行故障排查。
使用临时容器时，启用进程名字空间共享很有帮助，可以查看其他容器中的进程。

临时容器的使用

开启临时容器

二进制方式：
主节点
vi /usr/lib/systemd/system/kube-apiserver.service   //修改配置文件（二进制搭建）
--feature-gates=EphemeralContainers=true

vi /usr/lib/systemd/system/kube-controller-manager.service
--feature-gates=EphemeralContainers=true

vi /usr/lib/systemd/system/kube-scheduler.service
--feature-gates=EphemeralContainers=true

node节点
vi /usr/lib/systemd/system/kube-proxy.service
--feature-gates=EphemeralContainers=true

vi /etc/kubernetes/kubelet-conf.yml
featureGates:
  EphemeralContainers: true
重启all:
[root@k8s-master01 ~]# systemctl daemon-reload
[root@k8s-master01 ~]# systemctl restart kube-apiserver kube-scheduler kube-controller-manager kubelet kube-proxy

使用命令：
K8s 1.16+ https://kubernetes.io/docs/concepts/workloads/pods/ephemeral-containers

K8s 1.18+ kubectl alpha debug redis-new-5b577b46c7-2jv4j -ti –image=registry.cn-beijing.aliyuncs.com/dotbalo/debug-tools

K8s 1.20+ kubectl debug redis-new-5b577b46c7-2jv4j -ti –image=registry.cn-beijing.aliyuncs.com/dotbalo/debug-tools
kubectl debug node/k8s-node01 -it –image=registry.cn-beijing.aliyuncs.com/dotbalo/debug-tools