4. Helm 实现故障域隔离：NodeSelector、Affinity、TopologySpreadConstraints、PodAntiAffinity 配置

在 Kubernetes 集群中，故障域（Failure Domain）通常对应物理机架、可用区（Zone）或地域（Region）。当 Pod 被调度到同一故障域时，一旦该域发生网络中断、电源故障或硬件损坏，所有关联 Pod 将同时不可用，导致服务整体降级。Helm 作为应用交付工具，通过模板化调度策略，可以在 Chart 中预置故障域隔离规则，确保每次部署都自动遵循高可用约束。

本章聚焦四种核心调度机制：NodeSelector（节点选择器）、NodeAffinity（节点亲和性）、PodAntiAffinity（Pod 反亲和性）和 TopologySpreadConstraints（拓扑分布约束）。它们分别解决不同粒度的故障域隔离问题，从“固定节点标签匹配”到“跨拓扑键的均匀分布”，形成完整的故障域隔离体系。

4.1 四种调度机制对比

4.2 NodeSelector：最简单的节点固定

NodeSelector 是 Kubernetes 中最直接的节点选择方式。通过在 Pod spec 中指定 nodeSelector 字段，调度器只会将 Pod 分配到包含所有指定标签的节点上。在 Helm 模板中，通常将节点标签作为 values 参数暴露，允许运维人员在不同环境（如生产/预发）切换节点池。

# values.yaml
nodeSelector:
  topology.kubernetes.io/zone: "us-east-1a"
  node-type: "compute"

# deployment.yaml 模板片段
spec:
  template:
    spec:
      nodeSelector:
        {{- toYaml .Values.nodeSelector | nindent 8 }}

4.3 NodeAffinity：灵活的节点亲和性

NodeAffinity 提供了比 NodeSelector 更丰富的匹配能力，支持 requiredDuringSchedulingIgnoredDuringExecution（硬约束）和 preferredDuringSchedulingIgnoredDuringExecution（软约束）两种模式。在故障域隔离场景中，硬约束用于强制 Pod 必须调度到特定可用区，软约束则用于优先选择但允许降级。

# values.yaml
affinity:
  nodeAffinity:
    requiredDuringSchedulingIgnoredDuringExecution:
      nodeSelectorTerms:
      - matchExpressions:
        - key: topology.kubernetes.io/zone
          operator: In
          values:
          - us-east-1a
          - us-east-1b
    preferredDuringSchedulingIgnoredDuringExecution:
    - weight: 50
      preference:
        matchExpressions:
        - key: node-type
          operator: In
          values:
          - high-memory

# deployment.yaml 模板片段
spec:
  template:
    spec:
      affinity:
        {{- toYaml .Values.affinity | nindent 8 }}

4.4 PodAntiAffinity：Pod 级互斥调度

PodAntiAffinity 确保同一 Deployment 或 StatefulSet 的多个副本不会调度到同一故障域。这是实现故障域隔离最直接的手段。同样支持 requiredDuringScheduling（硬互斥）和 preferredDuringScheduling（软互斥）。

# values.yaml
podAntiAffinity:
  requiredDuringSchedulingIgnoredDuringExecution:
  - labelSelector:
      matchExpressions:
      - key: app.kubernetes.io/instance
        operator: In
        values:
        - {{ .Release.Name }}
    topologyKey: topology.kubernetes.io/zone

# deployment.yaml 模板片段
spec:
  template:
    spec:
      affinity:
        podAntiAffinity:
          requiredDuringSchedulingIgnoredDuringExecution:
          - labelSelector:
              matchExpressions:
              - key: app.kubernetes.io/instance
                operator: In
                values:
                - {{ .Release.Name }}
            topologyKey: {{ .Values.topologyKey | default "kubernetes.io/hostname" }}

4.5 TopologySpreadConstraints：全局均衡分布

TopologySpreadConstraints 是 Kubernetes 1.19+ 引入的调度特性，通过控制每个拓扑域中 Pod 数量的最大偏差（maxSkew），实现跨故障域的均匀分布。相比 PodAntiAffinity 的“互斥”逻辑，TopologySpreadConstraints 更侧重于“均衡”，适合大规模集群的故障域隔离。

# values.yaml
topologySpreadConstraints:
- maxSkew: 1
  topologyKey: topology.kubernetes.io/zone
  whenUnsatisfiable: DoNotSchedule
  labelSelector:
    matchLabels:
      app.kubernetes.io/instance: {{ .Release.Name }}

# deployment.yaml 模板片段
spec:
  template:
    spec:
      topologySpreadConstraints:
      - maxSkew: {{ .Values.maxSkew | default 1 }}
        topologyKey: {{ .Values.topologyKey | default "topology.kubernetes.io/zone" }}
        whenUnsatisfiable: {{ .Values.whenUnsatisfiable | default "DoNotSchedule" }}
        labelSelector:
          matchLabels:
            {{- include "mychart.selectorLabels" . | nindent 12 }}

4.6 故障域隔离策略组合

在实际 Helm Chart 中，通常将上述四种机制组合使用，形成分层隔离策略。以下 SVG 图展示了从集群到 Pod 的多层故障域隔离架构：

4.7 Helm Chart 完整配置示例

以下是一个生产级 Helm values 配置，同时启用四种调度机制，实现多层级故障域隔离：

# values.yaml
replicaCount: 6

nodeSelector:
  topology.kubernetes.io/zone: "us-east-1a"

affinity:
  nodeAffinity:
    preferredDuringSchedulingIgnoredDuringExecution:
    - weight: 50
      preference:
        matchExpressions:
        - key: node-type
          operator: In
          values:
          - high-memory

podAntiAffinity:
  requiredDuringSchedulingIgnoredDuringExecution:
  - labelSelector:
      matchExpressions:
      - key: app.kubernetes.io/instance
        operator: In
        values:
        - my-release
    topologyKey: kubernetes.io/hostname

topologySpreadConstraints:
- maxSkew: 1
  topologyKey: topology.kubernetes.io/zone
  whenUnsatisfiable: DoNotSchedule
  labelSelector:
    matchLabels:
      app.kubernetes.io/instance: my-release

4.8 故障域隔离验证方法

部署完成后，通过以下命令验证 Pod 是否均匀分布在不同的故障域：

# 查看 Pod 所在节点和可用区
kubectl get pods -o wide -l app.kubernetes.io/instance=my-release

# 按可用区统计 Pod 分布
kubectl get pods -l app.kubernetes.io/instance=my-release \
  -o jsonpath='{range .items[*]}{.spec.nodeName}{"\n"}{end}' | \
  xargs -I {} kubectl get node {} -o jsonpath='{.metadata.labels.topology\.kubernetes\.io/zone}{"\n"}' | \
  sort | uniq -c

# 验证 PodAntiAffinity 是否生效（同一节点不应有多个副本）
kubectl get pods -l app.kubernetes.io/instance=my-release \
  -o jsonpath='{range .items[*]}{.spec.nodeName}{"\n"}{end}' | \
  sort | uniq -d

4.9 常见问题与避坑指南