4、故障域隔离原理：Kubernetes故障域定义与Pod调度约束

故障域隔离是保障云原生应用高可用性的核心手段。在Kubernetes集群中，故障域（Failure Domain）定义了基础设施的故障边界，而Pod拓扑约束与反亲和性规则则决定了工作负载如何在这些边界上分布。理解这三者的关系，是排查Kyverno策略与Helm部署冲突的前提。

4.1 Kubernetes故障域定义：Zone / Region / Node

Kubernetes通过标签（Label）和污点（Taint）来标记节点的故障域归属。标准故障域层级如下：

4.2 Pod拓扑分布约束（Topology Spread Constraints）

拓扑分布约束是Kubernetes 1.19+引入的精细化调度机制，允许用户定义Pod在故障域上的均匀分布策略。其核心字段如下：

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      topologySpreadConstraints:
      - maxSkew: 1
        topologyKey: topology.kubernetes.io/zone
        whenUnsatisfiable: DoNotSchedule
        labelSelector:
          matchLabels:
            app: my-app

4.3 Pod反亲和性（Pod Anti-Affinity）

Pod反亲和性通过强制或偏好方式，阻止同一工作负载的多个副本调度到同一故障域节点上。其语法分为 requiredDuringSchedulingIgnoredDuringExecution（硬约束）和 preferredDuringSchedulingIgnoredDuringExecution（软约束）。

spec:
  affinity:
    podAntiAffinity:
      requiredDuringSchedulingIgnoredDuringExecution:
      - labelSelector:
          matchExpressions:
          - key: app
            operator: In
            values:
            - my-app
        topologyKey: topology.kubernetes.io/zone

4.4 三种机制的对比与协同

4.5 故障域隔离的常见冲突模式

• 模式A：反亲和性 + 拓扑约束双重限制 — 当Helm Chart同时设置 podAntiAffinity.required 和 topologySpreadConstraints.maxSkew=1，且可用Zone数量少于副本数时，部分Pod将永久Pending。
• 模式B：Kyverno注入全局反亲和性 — 运维团队通过Kyverno策略为所有Deployment注入 topologyKey: kubernetes.io/hostname 的反亲和性，与Helm Chart中定义的Zone级拓扑约束冲突。
• 模式C：Region级约束与Zone级约束矛盾 — 一个策略要求Pod分布在3个Region，另一个要求分布在2个Zone内，调度器无法同时满足。