adduser 和 useradd 的差異: adduser 用法 sudo adduser [選項] 用戶名 # 無選項添加新用戶: 會提示您輸入用戶的密碼和其他信息。 sudo adduser 用戶名 # 添加系統用戶: 這將添加一個沒有家目錄

Java 直接打包成 jar 假定我們有個 hello.java # 把檔案編譯成 hello.class javac hello.java # 把 hello.class 轉換成 hello.jar，-c 代表建立 jar 檔案，-f 代表指定檔案名稱。 jar -cf hello.jar hello.class #或者 jar -cf

tar 假定我們有個目錄稱為 ./my 壓縮 # 壓縮 tar -czvf my.tar.gz ./my # 單純歸檔 tar -cvf my.tar ./my c：建立一個新的歸檔檔案。 z：使用 gzip 壓縮。 v：顯示執行過程中的詳細資訊（verb

iptables 是什麼? iptables 是 Linux 內核中的防火牆軟體 netfilter 的管理工具，位於使用者空間，同時也是 netfilter 的一部分。 Netfilter 位於內核空間，不僅有網路地址轉換的功能，也具備資料包內

Jenkins 的參考 YAML 以下 Docker compose 應對到 80 port。 docker-compose.yaml version: '3.3' services: jenkins: image: jenkins/jenkins:lts restart: unless-stopped privileged: true user: root ports: - 80:8080 container_name: jenkins volumes: - ./jenkins/data:/var/jenkins_home - /var/run/docker.sock:/var/run/docker.sock - /usr/local/bin/docker:/usr/local/bin/docker 連入容器的方法 docker exec jenkins bash

Service 啟動與關閉 Service 可以用在希望開機時自動運作一組程式或者 Bash 腳本，可以自動的啟動或者關閉一連串流程，甚至可以在程式崩潰時重啟。 這類操作由指令 service 與 systemctl

查詢 CIDR CIDR 分配儲存在 API Server 上: cat /etc/kubernetes/manifests/kube-apiserver.yaml | grep range CNI Plugin 配置文件位置 CNI Plugin 配置文件位置在以下位置: /etc/cni/net.d/ 例如: /etc/cni/net.d/10-weave.conflist 列出所有資源名稱 如: pod, deployment, configmap。 kubectl api-resources --namespaced

Kubectl 自動補全 # 自動補全腳本 source <(kubectl completion bash) echo "source <(kubectl completion bash)" >> ~/.bashrc # 把 kubectl 簡化成 k alias k=kubectl complete -o default -F __start_kubectl k –all-namespaces 替代 kubectl -A 建立物件 kubectl apply -f ./my-manifest.yaml # 建立資源 kubectl apply -f ./my1.yaml -f ./my2.yaml # 建立資源從多個

操作簡寫 例如: kubectl get pod pod1 可以寫成 kubectl get po pod1 以下是常用簡寫: certificates = cert, certs certificiaterequests = cr, crs certificatesigningrequests = csr componentstatuses = cs configmaps = cm cronjobs = cj customresourcedefinitions = crd, crds daemonsets = ds deployments = deploy endpoints = ep events = ev horizontalpodautoscalers = hpa ingresses = ing limitranges

Ingress 一句話說 Ingress 就是用不同的 Path 導向不同 Service 的功能。 如我們有2個頁面，一個是網站一個是 API ，分別屬於不同 K8S Service 。 Ingress 可以讓兩個 Service 用以下方式存取: # Web Service 存取

K8S 各種服務使用的 Port ETCD: 2379,2380 port Kube-API: 6443 port Kubelete: 10250 port Kube-scheduler: 10259 port Kube-controller-manager: 10257 port 各種 Service 的內部 IP: 30000 - 32767 port K8S Service 中的 DNS 如果有個 Service 如下: Service Name: web-service Namespace: default 這樣就能用以下三個 URL 來存取 Service: # 同 Namespace

Container Network Interface 容器網路介面 K8S 的 CNI 是指容器網路介面（Container Network Interface），它是一個標準的 API，用於讓 K8S 與不同的網路插件溝通，實現

節點列表 假定我們有以下兩節點: controlplane node01 更新 Control Plane 主節點 假定我們要更新的目標版本是 1.27.0 ，如果要更新別的版本請手動修改以下版本 排空 controlplane 節點: kubectl drain controlplane --ignore-daemonsets 然後執

ip 類網路指令 以下指令僅在重新啟動前生效，如果要長期保存，需要根據各 Linux 發行版不同實踐調整設定檔案。 # 列出介面 ip link # 查詢個別網卡的資訊 ip addr show eth0 ip

K8S 使用的儲存與網路介面 K8S 提供了三種開放的接口規範，分別是 CRI、CNI 和 CSI，用於對接不同的後端，實現計算、網路和存儲資源的管理。 只要符合

Docker 的 Volume 與 Image 的具體儲存位置 實際上 Volume 與 Image 在 Linux 上儲存在以下目錄: /var/lib/docker/ /var/lib/docker/containers /var/lib/docker/image /var/lib/docker/volumes 雖然不建議，但純手動來複製 Image 也是可能的。 Docker 或者其他容器技術的 Layer 結構 以下是個

Kubectx 和 Kubens 是兩個用於簡化 Kubernetes 集群管理的命令行工具。 Kubectx 允許您快速在不同的 Kubernetes 集群和命名空間之間切換。 Kubens 允許您快速在不同的命名空間之間切換。 這兩個工具都

Network Policy K8S Network Policy 是一種 Kubernetes 的功能，可以讓你控制 Pod 之間或 Pod 與外部網路的通訊規則。你可以使用 Network Policy 來定義哪些 Pod 可以互相連接，或者哪些 Pod 可以存取特定的 IP 或埠

Secure Context 設置容器為 no-root 用戶 我們可以加入以下這段: spec: securityContext: runAsUser: 1010 加完之後狀況如下: --- apiVersion: v1 kind: Pod metadata: name: ubuntu-sleeper namespace: default spec: securityContext: runAsUser: 1010 containers: - command: - sleep - "4800" image: ubuntu name: ubuntu-sleeper 也可以寫在Contai

建立一個 Secret 用於儲存映像檔專用 假定我們映像檔來源如下: Name: private-reg-cred Username: dock_user Password: dock_password Server: myprivateregistry.com:5000 Email: dock_user@myprivateregistry.com 我們以此用以下指令建立一個專用的 secret 儲存映像檔伺服器與登入資訊: kubectl create secret

Service Account 介紹 服務帳戶 (Service Account) 是一種由 Kubernetes 管理的帳戶類型，主要用於為 Pod 中執行的程序提供身分。它可以讓 Pod 訪問 Kubernetes API 和其他資源，而無需使用密碼或其他敏感資訊。

Cluster Role 由於有些資源是綁定某一台主機的，例如: Volume 這種存在硬碟上的資源。 並且這些資源橫跨多個 Namespace 與多個 Node ， 如開發環境跟生產環境都需要 Volume 。 而有時候需要

我們是否能在 K8S 建立使用者 並非直接建立，而是採用 x509 建立使用者鑰匙後建立。 K8S 的權限種類 Node 例如每個 Worker Node 都擁有一個權限身份，設置在 kubelet 用來存取 Kube API

K8S API 如果我們需要為 K8S 設置自訂介面，更加自動化，甚至將 K8S 由大語言模型管理，這時候存取 API 就是個需要的功能了。 常見的 API 我們這邊以不一定真實存在的 URL:

K8S 中各部件通訊時如何保障安全 kube-apiserver, kube-controller-manager, kube-scheduler, etcd, kubelet, kube-proxy 都存在著自己的鑰匙與憑證。 具體來說，每個部件都有著對應的憑證與Key: # 預設管理員 admin.crt admin.key # KUBE-SCHEDULER scheduler.crt scheduler.key # KUBE-CONTROLLER-MANAGER controllermanager.crt

失效情況 當 ETCD server 失效，或者 Kube API server 失效時，這時無法使用 kubectl 指令登入查看。 這種時刻，需要做的就是登入該 Server ，然後使用 K8S 採用的容器 Runtime 工具來檢查錯誤報告。

ETCD 的預設 Port ETCD server 預設使用 2379 port，所以當 Log 發生連線 2379 port 失敗時，可能是與 ETCD server 連線發生問題。

檢查憑證的指令如下 檢查憑證的指令可以用-text與-noout來查看憑證細節: openssl x509 -in my.crt -text -noout 輸出類似: Certificate: Data: Version: 3 (0x2) Serial Number: 3147495682089747350 (0x2bae26a58f090396) Signature Algorithm: sha256WithRSAEncryption Issuer: CN=kubernetes Validity Not Before: Feb 11 05:39:19

Journalctl 檢查近期 Linux 的Log。 -f: 在終端機上持續輸出。 -n 100: 近期 100 條 Log。 journalctl -f -n 100

檢查 ETCD 登入 Log 我們可以用以下指令查看 etcd 的 client 端登入 Log，包含驗證成功與失敗。 -l 代表詳細內容， -u 代表來自使用者的訊息。 journalctl -u etcd.service -l 或者我們可以採用 kubectl