3、滚动升级基础：kubectl drain、kubectl uncordon、kubectl cordon 命令详解

在 Kubernetes 节点滚动升级流程中，kubectl cordon、kubectl drain 和 kubectl uncordon 是三个最核心的节点管理命令。它们共同构成了节点调度的“开关-排空-恢复”三阶段模型，是后续实现 Policy as Code 窗口控制的基础操作单元。

3.1 命令功能对比

3.2 kubectl cordon —— 节点“隔离”

cordon 命令在节点上设置 node.kubernetes.io/unschedulable: NoSchedule 污点，阻止新 Pod 调度到该节点。已运行的 Pod 不受影响。

# 标记节点 node-1 为不可调度
kubectl cordon node-1

# 验证节点状态
kubectl get nodes
# 输出中 node-1 的 STATUS 列会显示 "Ready,SchedulingDisabled"

使用要点：

• cordon 是 非破坏性 操作，不会影响节点上正在运行的业务。
• 适用于需要逐步减少节点负载的场景，如灰度升级前的准备阶段。
• 可以配合 kubectl describe node 查看污点详情。

3.3 kubectl drain —— 节点“排空”

drain 是滚动升级中最关键的命令。它自动执行 cordon，然后驱逐节点上所有可迁移的 Pod（DaemonSet 管理的 Pod 除外）。

# 排空节点 node-1，忽略 DaemonSet，设置优雅终止期限为 60 秒
kubectl drain node-1 \
  --ignore-daemonsets \
  --delete-emptydir-data \
  --grace-period=60 \
  --force

参数说明：

3.4 kubectl uncordon —— 节点“恢复”

升级或维护完成后，使用 uncordon 移除节点的 NoSchedule 污点，使其重新加入调度池。

# 恢复节点 node-1 为可调度
kubectl uncordon node-1

# 验证节点状态
kubectl get nodes
# node-1 的 STATUS 恢复为 "Ready"

注意事项：

• uncordon 不会自动将之前被驱逐的 Pod 调度回来，需要依赖 Deployment/StatefulSet 的控制器重新创建 Pod。
• 恢复后，新 Pod 会逐渐调度到该节点，但不会立即填满。
• 在滚动升级脚本中，uncordon 通常是最后一步，标志着该节点升级完成。

3.5 三阶段流程与状态转换

下图展示了单个节点在滚动升级过程中的状态变化与命令对应关系：

3.6 滚动升级中的典型命令序列

以下是一个完整的节点滚动升级命令序列，展示了三个命令的配合使用：

# 步骤 1：标记节点不可调度
kubectl cordon node-1

# 步骤 2：排空节点上的 Pod
kubectl drain node-1 \
  --ignore-daemonsets \
  --delete-emptydir-data \
  --grace-period=120

# 步骤 3：执行节点升级操作（如 kubelet 版本更新、内核升级等）
# 此处为示例，实际升级命令因环境而异
# ssh node-1 "sudo apt update && sudo apt upgrade -y kubelet"

# 步骤 4：恢复节点可调度
kubectl uncordon node-1

# 步骤 5：验证节点状态
kubectl get nodes -o wide | grep node-1

3.7 常见错误与排查