1. 课程导论：为什么需要Pod资源消耗画像？Cilium与eBPF在可观测性中的角色
1.1 传统Pod监控的盲区
在Kubernetes生产环境中，我们通常依赖 cAdvisor / Metrics Server 或 Prometheus 采集Pod的CPU、内存、网络等聚合指标。然而，这些传统手段存在三个核心盲区：
- 粒度粗：只能看到容器级别的整段聚合，无法区分是业务进程、Sidecar代理还是内核协议栈消耗了资源。
- 无上下文：无法将资源消耗与具体的系统调用、网络连接、文件操作等内核事件关联。
- 静态快照：缺乏对短生命周期Pod（如Job、CronJob）或突发流量下瞬时资源峰值的捕捉能力。
核心痛点：当Pod出现CPU节流或OOM时，传统监控只能告诉你“谁”出了问题，却无法回答“为什么”以及“哪个内核路径”导致了问题。
1.2 什么是Pod资源消耗画像？
Pod资源消耗画像（Resource Consumption Profiling）是指通过细粒度的观测手段，将Pod的资源消耗分解到以下维度：
| 维度 | 描述 | 传统监控能否覆盖 |
|---|---|---|
| 进程级 | Pod内每个进程的CPU、内存、IO消耗 | ❌ 仅容器级 |
| 系统调用级 | 哪些syscall消耗了最多CPU时间 | ❌ |
| 网络流级 | 每个TCP/UDP连接、DNS查询的延迟与吞吐 | ❌ 仅聚合流量 |
| 内核函数级 | 内核协议栈、cgroup、调度器中的热点路径 | ❌ |
| 时间线 | 资源消耗随时间变化的火焰图/热力图 | ⚠️ 仅分钟级采样 |
画像的目标是让运维人员和开发者能够回答：“这个Pod的CPU到底花在了哪里？是用户态业务逻辑，还是内核网络栈，还是Sidecar代理？”
1.3 Cilium与eBPF在可观测性中的角色
eBPF（extended Berkeley Packet Filter）是一种在内核中安全运行沙箱程序的技术，它允许我们在不修改内核源码或加载内核模块的情况下，动态挂载钩子到系统调用、网络事件、跟踪点等位置。这使得eBPF成为构建细粒度可观测性工具的天然基石。
Cilium 是基于eBPF的云原生网络、安全和可观测性项目。在资源消耗画像场景中，Cilium扮演了三个关键角色：
- 数据采集器：通过eBPF程序在内核态直接采集Pod的网络流、系统调用、TCP状态、DNS请求等事件，零侵入且开销极低。
- 上下文关联器：利用Cilium Identity和Kubernetes元数据，将内核事件自动关联到Pod、Service、Endpoint等高层抽象。
- 策略执行点：在采集数据的同时，Cilium可以基于同样的eBPF钩子执行网络策略和安全策略，实现“观测与治理一体化”。
关键优势：Cilium + eBPF 组合可以在毫秒级粒度上捕捉Pod的每一次网络连接、每一次系统调用，并且将CPU开销控制在1%以内，这是传统iptables或用户态代理无法做到的。
1.4 为什么选择Cilium eBPF做资源画像？
与传统的perf、SystemTap、BPF工具相比，Cilium提供了生产级别的可观测性框架：
| 对比维度 | 传统工具（perf/strace） | Cilium eBPF |
|---|---|---|
| 部署复杂度 | 需手动安装、版本依赖高 | DaemonSet一键部署 |
| Pod关联 | 需手动映射PID到Pod | 自动关联Kubernetes元数据 |
| 性能开销 | 高（尤其是strace -f） | 极低（eBPF JIT编译） |
| 数据持久化 | 本地文件，无聚合 | 支持Prometheus/Hubble/OpenTelemetry |
| 安全策略联动 | 无 | 原生支持NetworkPolicy |
1.5 整体架构：从eBPF采集到资源画像
下图展示了本课程将要构建的Pod资源消耗画像系统的核心架构：
1.6 本课程的核心交付
通过本课程，你将掌握以下实战能力：
- 编写Cilium eBPF程序：使用Go + Cilium eBPF库开发自定义的Pod资源采集程序。
- 采集关键指标：包括CPU时间、系统调用频率、网络连接数、TCP重传率、DNS延迟等。
- 构建画像数据管道：将eBPF事件流式传输到Prometheus / Hubble / Grafana。
- 优化eBPF性能：避免eBPF程序成为Pod的性能瓶颈，掌握Map大小调优、采样率控制、CO-RE适配等技巧。
- 生产级部署：在Kubernetes集群中安全、稳定地运行资源画像系统。
前置要求：建议学员具备Kubernetes基础操作能力，了解Linux内核基础概念（进程、系统调用、网络协议栈），并熟悉Go语言基础语法。本课程会从eBPF基础讲起，但不会重复讲解C语言内核编程。