4. Pod 生命周期与滚动更新机制：ReplicaSet、Deployment 滚动更新策略、maxSurge 与 maxUnavailable

在 Kubernetes 中，Pod 是最小的调度单元，但其生命周期是短暂的。为了实现证书轮换等关键操作的零停机部署，必须深入理解 Pod 的生命周期阶段以及 Deployment 如何通过 ReplicaSet 和滚动更新策略来管理 Pod 的替换过程。

4.1 Pod 生命周期阶段

Pod 从创建到终止会经历一系列明确的状态。理解这些状态是诊断部署问题和设计零停机策略的基础。

4.2 ReplicaSet：Pod 副本的守护者

ReplicaSet（RS）是 Kubernetes 中确保指定数量的 Pod 副本始终运行的控制器。它是 Deployment 实现滚动更新的底层机制。

• 核心职责： 维持 Pod 副本数（replicas）的期望状态。当 Pod 因故障、节点宕机或主动删除而减少时，RS 会创建新的 Pod 进行补偿。
• 选择器（Selector）： RS 通过标签选择器（matchLabels）来管理其拥有的 Pod。每个 RS 只管理匹配其标签的 Pod。
• 与 Deployment 的关系： Deployment 管理 ReplicaSet 的版本和数量。每次更新（如修改镜像版本或挂载新证书 Secret），Deployment 会创建一个新的 RS，并逐步增加新 RS 的副本数，同时缩减旧 RS 的副本数。

4.3 Deployment 滚动更新策略

Deployment 的 strategy 字段定义了如何更新 Pod。对于零停机部署，必须使用 RollingUpdate 策略（默认策略）。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: cert-renewal-app
spec:
  replicas: 3
  strategy:
    type: RollingUpdate
    rollingUpdate:
      maxSurge: 1
      maxUnavailable: 0
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
      - name: app
        image: my-app:latest
        volumeMounts:
        - name: cert-volume
          mountPath: /etc/certs
      volumes:
      - name: cert-volume
        secret:
          secretName: tls-cert

4.4 maxSurge 与 maxUnavailable：滚动更新的核心参数

这两个参数直接决定了滚动更新的速度、资源消耗以及零停机的保障能力。

4.5 滚动更新流程与零停机原理（SVG 图）

下图展示了 Deployment 在 maxSurge: 1 和 maxUnavailable: 0 配置下，从旧证书版本（v1）滚动更新到新证书版本（v2）的完整流程。

4.6 证书轮换场景下的滚动更新策略配置建议

针对证书轮换这一特定场景，Deployment 的滚动更新参数需要精细调优：

• maxUnavailable: 0：这是零停机的底线。确保在更新过程中，任何时候都有足够数量的 Pod 处理请求。
• maxSurge: 1 或 10%：控制额外资源的消耗。对于证书轮换，通常不需要快速大规模并行更新，1 个 Pod 的 Surge 足以平滑过渡。
• minReadySeconds: 30-60：新 Pod 启动后，等待一段时间再将其标记为 Ready。这给证书加载和应用程序预热留出时间。
• Progress Deadline Seconds: 600：设置合理的进度超时时间，防止因证书配置错误导致滚动更新卡死。