2. Pod 存储基础：emptyDir、hostPath、ConfigMap、Secret 等基本 Volume 类型的使用场景与生命周期

在 Kubernetes 中，Volume 是 Pod 内容器共享存储的核心抽象。与 Docker 默认的临时存储不同，K8s Volume 的生命周期与 Pod 绑定，而非容器。这意味着即使容器重启，Volume 中的数据依然保留。本章将深入剖析四种最基础的 Volume 类型：emptyDir、hostPath、ConfigMap 与 Secret，涵盖其使用场景、生命周期管理及最佳实践。

2.1 Volume 生命周期模型：Pod 级存储的基石

Kubernetes Volume 的核心设计原则是：Volume 的生命周期等于 Pod 的生命周期。当 Pod 被创建时，其声明的 Volume 随之创建；当 Pod 被删除时，Volume 也随之销毁（除非使用持久化存储后端）。这一特性使得 Volume 成为容器间数据共享、Pod 内状态暂存以及配置注入的理想载体。

2.2 emptyDir：轻量级临时存储

emptyDir 是最简单的 Volume 类型。它在 Pod 被调度到 Node 时创建一个空目录，Pod 内的所有容器均可读写该目录。emptyDir 的初始内容为空，数据随 Pod 删除而永久消失。

2.2.1 典型使用场景

• 容器间数据交换： 主容器写入，Sidecar 容器（如日志采集器）读取。
• 临时缓存： 应用运行时产生的中间数据，如排序缓存、缩略图生成。
• 检查点/断点续传： 长任务处理过程中的状态保存。
• 磁盘型性能测试： 利用 emptyDir 的本地磁盘 IO 进行基准测试。

2.2.2 存储介质与限制

emptyDir 默认使用 Node 的本地磁盘（通常是 Docker 使用的文件系统）。可以通过设置 emptyDir.medium 为 "Memory" 来使用 tmpfs（内存文件系统），获得极高性能，但受容器内存限制约束。

2.2.3 配置示例

apiVersion: v1
kind: Pod
metadata:
  name: shared-cache-pod
spec:
  containers:
  - name: writer
    image: busybox
    command: ["/bin/sh", "-c", "while true; do echo $(date) >> /cache/timestamps.log; sleep 2; done"]
    volumeMounts:
    - name: cache-volume
      mountPath: /cache
  - name: reader
    image: busybox
    command: ["/bin/sh", "-c", "tail -f /cache/timestamps.log"]
    volumeMounts:
    - name: cache-volume
      mountPath: /cache
  volumes:
  - name: cache-volume
    emptyDir:
      medium: Memory       # 使用内存加速
      sizeLimit: 100Mi     # 限制最大 100Mi

2.3 hostPath：宿主机文件系统直通

hostPath 将 Node 宿主机上的文件或目录挂载到 Pod 中。它打破了 Pod 的隔离性，使容器可以直接访问宿主机文件系统。这种 Volume 类型具有强节点亲和性——Pod 必须运行在指定 Node 上才能访问对应的 hostPath。

2.3.1 使用场景

• 读取宿主机系统信息： 如 /var/log/syslog、/proc、/sys。
• 使用宿主机 Docker/containerd 套接字： 用于构建 CI/CD 工具或监控代理。
• 本地持久化存储： 数据库等有状态应用需要高性能本地磁盘时（需配合 nodeSelector 固定节点）。
• 配置共享： 多个 Pod 共享同一宿主机目录（不推荐，有竞态风险）。

2.3.2 类型与安全控制

hostPath 支持多种 type，用于控制路径的创建行为：

2.3.3 配置示例

apiVersion: v1
kind: Pod
metadata:
  name: node-exporter
spec:
  containers:
  - name: exporter
    image: prom/node-exporter
    volumeMounts:
    - name: proc
      mountPath: /host/proc
      readOnly: true
    - name: sys
      mountPath: /host/sys
      readOnly: true
  volumes:
  - name: proc
    hostPath:
      path: /proc
      type: Directory
  - name: sys
    hostPath:
      path: /sys
      type: Directory

2.4 ConfigMap：配置注入的标准化方式

ConfigMap 用于将非机密性的配置数据（如配置文件、环境变量、命令行参数）注入到 Pod 中。数据以键值对形式存储，支持从文件、目录或字面量创建。

2.4.1 数据注入方式

2.4.2 生命周期与更新机制

当 ConfigMap 通过 Volume 挂载时，Kubelet 会定期（默认 10 秒）检查 ConfigMap 对象是否更新。如果检测到变化，会自动更新 Pod 内挂载的文件内容。但请注意：更新不会重启容器，应用需要自行监听文件变化或通过 Sidecar 实现热加载。

2.4.3 配置示例

apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  app.properties: |
    server.port=8080
    cache.ttl=300
  log.level: "INFO"
---
apiVersion: v1
kind: Pod
metadata:
  name: config-consumer
spec:
  containers:
  - name: app
    image: myapp:1.0
    volumeMounts:
    - name: config-volume
      mountPath: /etc/config
      readOnly: true
  volumes:
  - name: config-volume
    configMap:
      name: app-config
      items:
      - key: app.properties
        path: application.properties

2.5 Secret：敏感数据的安全容器

Secret 与 ConfigMap 类似，但专门用于存储敏感信息，如密码、OAuth 令牌、SSH 密钥。Secret 数据以 Base64 编码存储，并在节点上以 tmpfs（内存）形式挂载，避免写入磁盘。

2.5.1 Secret 类型

2.5.2 安全注意事项

• 加密存储： 默认 Secret 仅 Base64 编码，未加密。生产环境应启用 EncryptionConfiguration 对 etcd 中的 Secret 进行静态加密。
• 最小权限： 使用 RBAC 限制 Secret 的 get/list/watch 权限。
• 避免环境变量注入： 环境变量可能被进程列表、日志或调试工具泄露。优先使用 Volume 挂载。
• 不可变 Secret： 与 ConfigMap 一样，支持 immutable: true 防止意外修改。

2.5.3 配置示例

apiVersion: v1
kind: Secret
metadata:
  name: db-credentials
type: Opaque
data:
  username: YWRtaW4=          # admin
  password: MWYyZDFlMmU2N2Rm  # 1f2d1e2e67df
---
apiVersion: v1
kind: Pod
metadata:
  name: secret-consumer
spec:
  containers:
  - name: app
    image: myapp:1.0
    volumeMounts:
    - name: secret-volume
      mountPath: /etc/secrets
      readOnly: true
  volumes:
  - name: secret-volume
    secret:
      secretName: db-credentials
      defaultMode: 0400       # 文件权限 400，仅所有者可读

2.6 四种 Volume 类型对比总结

2.7 常见陷阱与避坑指南