2. Kubernetes 核心概念回顾：Pod、Deployment、Service、Secret 的基本原理与关系

在深入优化证书轮换流程之前，必须重新梳理 Kubernetes 中四个最核心的抽象对象：Pod、Deployment、Service 和 Secret。它们构成了绝大多数工作负载的基础运行模型，也是后续滚动更新与证书挂载策略的直接操作对象。

2.1 四类核心对象概述

2.2 Pod：最小原子与临时性

Pod 是 Kubernetes 中可创建和管理的最小部署单元。一个 Pod 封装一个或多个容器（Sidecar 模式）、存储卷、网络 IP 以及容器运行选项。

• 临时性：Pod 的 IP 地址不固定，重启后可能变化；Pod 本身可能因节点故障、资源不足或更新被驱逐。
• 共享网络：同一 Pod 内的容器共享同一个网络命名空间（localhost 通信）和存储卷（Volume）。
• 生命周期：Pending → Running → Succeeded/Failed，不支持直接自愈。

# 一个简单的 Pod 定义示例
apiVersion: v1
kind: Pod
metadata:
  name: cert-consumer-pod
spec:
  containers:
  - name: app
    image: nginx:1.25
    volumeMounts:
    - name: tls-certs
      mountPath: /etc/certs
      readOnly: true
  volumes:
  - name: tls-certs
    secret:
      secretName: my-tls-secret

2.3 Deployment：声明式副本管理与滚动更新引擎

Deployment 是 Pod 的上层控制器，它通过 ReplicaSet 管理 Pod 的副本数量与更新策略。Deployment 不直接操作 Pod，而是维护期望状态（Desired State）。

• 滚动更新（RollingUpdate）：默认策略，逐步替换旧 Pod，保证服务不中断。
• 回滚（Rollback）：保留历史版本，支持快速恢复到上一版本。
• 扩缩容（Scale）：调整副本数，支持 HPA 自动扩缩。

# Deployment 定义示例（引用 Secret）
apiVersion: apps/v1
kind: Deployment
metadata:
  name: web-server
spec:
  replicas: 3
  strategy:
    type: RollingUpdate
    rollingUpdate:
      maxUnavailable: 1
      maxSurge: 1
  selector:
    matchLabels:
      app: web
  template:
    metadata:
      labels:
        app: web
    spec:
      containers:
      - name: nginx
        image: nginx:1.25
        volumeMounts:
        - name: certs
          mountPath: /etc/nginx/certs
      volumes:
      - name: certs
        secret:
          secretName: web-tls

2.4 Service：稳定的网络抽象层

Service 为一组动态变化的 Pod 提供固定的虚拟 IP（ClusterIP）和 DNS 名称，并实现请求的负载均衡。Pod 的增减、重启、迁移对客户端透明。

• ClusterIP：默认类型，集群内部可访问。
• NodePort：在每个节点上开放一个静态端口。
• LoadBalancer：对接云厂商负载均衡器。
• Headless Service：无 ClusterIP，直接返回 Pod IP 列表，用于 StatefulSet。

2.5 Secret：敏感数据的存储与挂载

Secret 用于存储密码、OAuth 、SSH 密钥、TLS 证书等敏感信息。数据以 Base64 编码存储，支持 etcd 加密（KMS 或静态加密）。

# 创建 TLS 类型 Secret
kubectl create secret tls my-tls-secret \
  --cert=path/to/tls.crt \
  --key=path/to/tls.key

# 查看 Secret（Base64 编码）
kubectl get secret my-tls-secret -o yaml

2.6 四者关系：证书轮换视角下的数据流

下图展示了从 Secret 更新到 Pod 重新挂载的完整链路，以及 Service 如何保持流量不中断。

2.7 核心关系总结

• Secret → Deployment：Deployment 通过 volumes[].secret 引用 Secret，将证书文件挂载到 Pod 文件系统。
• Deployment → ReplicaSet → Pod：Deployment 控制 ReplicaSet 的版本，ReplicaSet 确保指定数量的 Pod 运行。
• Pod → Service：Service 通过 Label Selector 关联 Pod，提供稳定的 ClusterIP 和 DNS。
• 证书轮换闭环：更新 Secret → 触发 Deployment 滚动更新 → 新 Pod 使用新证书 → Service 将流量导向新 Pod → 旧 Pod 被销毁。