3. Node Drain 原理深度解析：kubectl drain 工作流程、PodDisruptionBudget (PDB) 机制、Eviction API

Node Drain（节点腾空）是 Kubernetes 集群运维中最关键的操作之一，尤其在节点升级、缩容或故障修复场景下。理解其底层原理，是避免服务中断、保障集群高可用的前提。本节将深入剖析 kubectl drain 的完整工作流程、PodDisruptionBudget（PDB）的防护机制以及 Eviction API 的调用链路。

3.1 kubectl drain 工作流程

kubectl drain 并非一个原子操作，而是一个由多个步骤组成的协调过程。其核心目标是：将节点上的所有 Pod 安全地迁移到其他节点，同时确保应用的高可用性不受影响。

3.1.1 完整执行步骤

1. 标记节点为不可调度（Cordon）： 首先将节点标记为 SchedulingDisabled，阻止新的 Pod 调度到该节点上。
2. 驱逐 Pod（Eviction）： 遍历节点上的所有 Pod（排除 DaemonSet 管理的 Pod 和镜像 Pod），对每个 Pod 发起 Eviction 请求。
3. 等待 Pod 终止： 等待被驱逐的 Pod 达到 Terminating 状态并最终被删除。如果 Pod 有 terminationGracePeriodSeconds，则会等待该时长。
4. 处理 DaemonSet Pod： 默认情况下，kubectl drain 会忽略 DaemonSet Pod。如果使用 --ignore-daemonsets=false，则会尝试驱逐它们。
5. 完成腾空： 当节点上所有可驱逐的 Pod 都被成功删除后，节点处于“已腾空”状态，此时可以进行升级或下线操作。

3.1.2 工作流程时序图

下图展示了 kubectl drain 从发起命令到节点腾空完成的完整时序流程：

3.2 PodDisruptionBudget (PDB) 机制

PDB 是 Kubernetes 提供的用于保护应用在自愿中断（如 Drain、缩容）期间高可用性的关键资源。它定义了在任意时刻，一个应用集合中最多可以有多少个 Pod 同时不可用。

3.2.1 PDB 核心概念

3.2.2 PDB 工作流程

当 Eviction API 请求到达 API Server 时，API Server 会执行以下 PDB 校验逻辑：

1. 查找匹配的 PDB： 根据 Pod 的标签，查找所有匹配的 PDB 对象。
2. 计算当前可用 Pod 数： 统计当前处于 Ready 状态的 Pod 数量。
3. 模拟驱逐后的状态： 假设当前 Pod 被驱逐，重新计算可用 Pod 数。
4. 校验约束：
   • 如果使用 minAvailable：驱逐后可用 Pod 数必须 ≥ minAvailable。
   • 如果使用 maxUnavailable：驱逐后不可用 Pod 数必须 ≤ maxUnavailable。
5. 返回结果： 如果校验通过，允许驱逐；否则拒绝请求并返回错误。

3.2.3 PDB 配置示例

apiVersion: policy/v1
kind: PodDisruptionBudget
metadata:
  name: nginx-pdb
spec:
  minAvailable: 2
  selector:
    matchLabels:
      app: nginx
---
apiVersion: policy/v1
kind: PodDisruptionBudget
metadata:
  name: web-pdb
spec:
  maxUnavailable: 1
  selector:
    matchLabels:
      app: web-server

3.3 Eviction API

Eviction API 是 Kubernetes 提供的用于优雅驱逐 Pod 的标准化接口。它是 kubectl drain 和 PDB 之间的桥梁，也是实现精细化 Pod 生命周期管理的关键。

3.3.1 Eviction API 调用链路

下图展示了从发起 Eviction 请求到 Pod 被删除的完整调用链路：

3.3.2 Eviction API 与直接删除 Pod 的对比

3.3.3 手动调用 Eviction API

除了 kubectl drain，你也可以通过编程方式直接调用 Eviction API：

# 使用 kubectl 手动触发 Eviction
kubectl evict pod/nginx-pod-xxxxx

# 使用 curl 直接调用 API
curl -X POST \
  -H "Content-Type: application/json" \
  -d '{"apiVersion":"policy/v1","kind":"Eviction","metadata":{"name":"nginx-pod-xxxxx","namespace":"default"}}' \
  https://<api-server>/api/v1/namespaces/default/pods/nginx-pod-xxxxx/eviction

3.4 常见问题与排查