4. kubelet 与 CRI shim 交互原理：kubelet 内部架构、CRI 请求路由、Streaming API 机制

kubelet 是 Kubernetes 节点上最核心的代理组件，负责管理 Pod 生命周期、容器健康检查、资源监控与上报。在容器运行时治理控制面中，kubelet 通过 CRI（Container Runtime Interface）与各类运行时 shim 交互，实现容器创建、启动、停止、删除等操作。本章深入剖析 kubelet 内部架构、CRI 请求在 kubelet 中的路由路径，以及 Streaming API 的建立与数据流转机制。

4.1 kubelet 内部架构概览

kubelet 内部采用模块化设计，核心模块包括 Pod 管理、容器运行时管理、卷管理、网络管理、状态上报等。与 CRI shim 交互的关键模块是 Container Runtime Manager 和 CRI Client。

4.2 CRI 请求路由路径

当 kubelet 需要创建或管理容器时，请求经过以下路由路径：

1. Pod Manager 从 API Server 接收到 Pod 更新事件，触发 SyncPod 流程。
2. Container Runtime Manager 调用 RuntimeServiceClient 的对应方法（如 RunPodSandbox、CreateContainer、StartContainer）。
3. CRI Client 将请求序列化为 Protocol Buffers 格式，通过 gRPC 发送到 CRI shim 的 Unix Socket。
4. CRI shim 的 gRPC Server 接收请求，反序列化后调用底层运行时接口执行实际操作。
5. 响应沿原路径返回，最终更新 kubelet 内部状态。

4.3 Streaming API 机制

CRI 定义了 Streaming API 用于处理需要流式数据传输的场景，包括 Exec、Attach、PortForward。这些操作不适合通过标准的 gRPC 单向调用实现，因为需要双向实时数据流。

4.3.1 Streaming API 架构

Streaming API 采用 分离式架构：kubelet 通过 CRI 获取流式会话的 URL，然后 kubelet 或 kube-apiserver 直接与该 URL 建立 WebSocket 连接，数据不经过 CRI shim 的 gRPC 通道。

4.3.2 Streaming API 交互流程

以 kubectl exec 为例，Streaming API 的完整交互流程如下：

1. kubectl 发起请求： 用户执行 kubectl exec -it <pod> -- /bin/bash，kubectl 向 kube-apiserver 发送子资源请求 /api/v1/namespaces/<ns>/pods/<pod>/exec。
2. kube-apiserver 转发： API Server 将请求转发到 kubelet 的 /exec 端点（通过 Node 代理或直接连接）。
3. kubelet 调用 CRI： kubelet 调用 RuntimeService.Exec 方法，传入容器 ID、命令、终端设置等参数。
4. CRI shim 返回 URL： CRI shim 的 Streaming Server 创建一个会话，返回一个唯一的 WebSocket URL（如 http://<node-ip>:<port>/exec/<session-id>）。
5. kubelet 升级连接： kubelet 将 HTTP 连接升级为 WebSocket，并将数据流代理到 CRI shim 返回的 URL。
6. 数据双向传输： 用户输入通过 WebSocket → kubelet → CRI shim → 容器进程 stdin；容器 stdout/stderr 沿反向路径返回。

4.3.3 Streaming API 关键参数

4.4 CRI 请求超时与重试机制

kubelet 对 CRI 请求实现了完善的超时控制和重试策略：

• 全局超时： --runtime-request-timeout 控制所有 CRI 请求的超时时间，默认 2 分钟。
• 操作级超时： 特定操作（如 PullImage）可以设置更长的超时，通过 CRI 请求的 timeout 字段传递。
• 重试策略： 对于可重试的错误（如网络抖动、临时资源不足），kubelet 使用指数退避算法重试，最大重试次数为 3 次。
• 背压机制： 当 CRI shim 返回 Unavailable 状态码时，kubelet 会降低请求速率，避免雪崩效应。

// kubelet CRI 客户端重试逻辑示例（简化）
func (c *remoteRuntimeService) exec(ctx context.Context, req *runtimeapi.ExecRequest) (*runtimeapi.ExecResponse, error) {
    var resp *runtimeapi.ExecResponse
    err := retry.OnError(retry.DefaultBackoff, func(err error) bool {
        return grpcStatus.Code(err) == codes.Unavailable
    }, func() error {
        var err error
        resp, err = c.runtimeClient.Exec(ctx, req)
        return err
    })
    return resp, err
}

4.5 性能与调优建议

通过理解 kubelet 内部架构、CRI 请求路由路径和 Streaming API 机制，运维人员可以更有效地诊断容器运行时相关问题，优化集群性能，并确保生产环境的稳定性。