1. 控制面通信概述
Kubernetes 控制面由 API Server、etcd、Scheduler 和 Controller Manager 四个核心组件构成。它们之间的通信模式决定了集群的可用性、一致性与扩展性。理解这些通信链路是深入掌握 Controller Runtime 实现控制面通信机制的前提。
1.1 控制面组件角色与通信拓扑
控制面组件采用 中心辐射型（Hub-and-Spoke） 通信拓扑，API Server 作为唯一的中心枢纽，所有组件之间的交互都必须经过 API Server，禁止组件之间直接通信。这种设计保证了状态的一致性与访问的可审计性。
1.2 组件间通信模式详解
控制面组件之间的通信可归纳为三种核心模式：RESTful API 调用、Watch 长连接 和 etcd 事务读写。下表总结了各组件之间的通信链路与协议细节：
| 通信链路 | 通信模式 | 协议/接口 | 数据方向 |
|---|---|---|---|
| API Server → etcd | 同步读写 + Watch | gRPC (etcd v3 API) | 双向 |
| Scheduler → API Server | Watch + 状态更新 | HTTP/1.1 (REST + WebSocket) | 双向 |
| Controller Manager → API Server | Watch + 状态更新 | HTTP/1.1 (REST + WebSocket) | 双向 |
| kubelet → API Server | Watch + 状态上报 | HTTP/1.1 (REST + WebSocket) | 双向 |
1.3 核心挑战
控制面通信面临以下关键挑战，这些挑战直接影响了 Controller Runtime 的设计决策：
- 一致性保障：多个组件并发读写同一资源时，必须保证最终一致性。API Server 通过乐观锁（resourceVersion）和 etcd 的事务机制解决冲突。
- 事件丢失与重连：Watch 连接可能因网络抖动或 API Server 重启而中断。客户端必须实现可靠的重新同步（Relist）机制，避免遗漏状态变更。
- 性能与扩展性：大规模集群中，数千个控制器同时 Watch 同一资源，API Server 必须高效分发事件。Watch 连接复用、分页查询、缓存优化是核心手段。
- 认证与授权：每个组件必须通过 TLS 证书或 ServiceAccount 进行身份认证，并受 RBAC 策略约束。通信链路必须加密。
- 限流与背压：控制器可能因 Bug 产生大量请求，导致 API Server 过载。客户端需要实现指数退避、限流和请求优先级管理。
1.4 Watch 机制：控制面通信的基石
Watch 是 Kubernetes 控制面通信中最核心的机制。它允许客户端通过 HTTP 长连接监听资源的变化事件（ADDED、MODIFIED、DELETED），而无需轮询 API Server。Watch 的实现基于 HTTP Chunked Transfer Encoding 和 WebSocket 两种方式。
Watch 的完整生命周期包含以下步骤：
- 初始列表（List）：客户端先发起一次全量 List 请求，获取资源的当前快照，并记录返回的
resourceVersion。 - 建立 Watch：客户端以 List 返回的
resourceVersion为起点，发起 Watch 请求。API Server 从该版本开始推送增量事件。 - 事件处理：客户端持续读取 HTTP 响应流，解析 JSON 事件对象，更新本地缓存或触发业务逻辑。
- 断线重连：当连接中断时，客户端重新执行 List + Watch 流程，确保不丢失事件。
1.5 通信安全与认证
控制面组件之间的所有通信必须经过 TLS 加密，并使用客户端证书或 ServiceAccount 进行身份认证。下表总结了各组件的认证方式：
| 组件 | 认证方式 | 授权模型 | 加密协议 |
|---|---|---|---|
| API Server → etcd | 客户端证书 (mTLS) | etcd RBAC | TLS 1.2+ |
| Scheduler → API Server | ServiceAccount | RBAC (ClusterRole) | TLS 1.2+ |
| Controller Manager → API Server | ServiceAccount | RBAC (ClusterRole) | TLS 1.2+ |
| kubelet → API Server | 客户端证书 (Node) | Node RBAC + CSR | TLS 1.2+ |
--anonymous-auth=false 和 --enable-admission-plugins=NodeRestriction，并定期轮换 etcd 和 kubelet 的客户端证书。
1.6 从控制面通信到 Controller Runtime
Controller Runtime 是 Kubernetes 社区官方推荐的控制器开发框架，它封装了上述所有通信模式的复杂性。开发者通过 Manager 和 Reconciler 接口，即可实现与 API Server 的高效 Watch 通信、本地缓存管理、事件去重和断线重连，而无需直接处理 HTTP 连接、resourceVersion 追踪或限流逻辑。