3. Deployment 滚动更新机制详解：ReplicaSet、滚动更新策略与更新流程

Deployment 的滚动更新（Rolling Update）是 Kubernetes 中最核心的应用发布策略。它通过逐步替换旧版本 Pod 实例，实现零停机、可控速率的应用升级。理解其底层组件 ReplicaSet 以及策略参数 maxSurge 与 maxUnavailable，是优化证书轮换等敏感作业流程的基础。

3.1 核心组件：ReplicaSet 的版本化控制

Deployment 并不直接管理 Pod，而是通过 ReplicaSet（RS） 进行间接管理。每次 Deployment 的 Pod 模板（spec.template）发生变更（例如更新证书文件或镜像版本），Kubernetes 都会创建一个新的 ReplicaSet，并逐步调整新旧 RS 的副本数。

3.2 滚动更新策略：maxSurge 与 maxUnavailable

滚动更新的速率和资源占用由 strategy.rollingUpdate 下的两个关键参数控制。这两个参数可以是整数（数量）或百分比（相对于期望副本数）。

参数计算示例（期望副本数 replicas=10）：

• maxSurge=25%：更新期间最多允许 10 * 25% = 2.5，向上取整为 3 个额外 Pod。集群中 Pod 总数最多为 10 + 3 = 13 个。
• maxUnavailable=25%：更新期间最多允许 10 * 25% = 2.5，向下取整为 2 个 Pod 不可用。集群中可用 Pod 最少为 10 - 2 = 8 个。

3.3 滚动更新流程详解

以下 SVG 图展示了从触发更新到完成的完整流程，以及新旧 ReplicaSet 的副本变化。

3.4 更新流程中的关键步骤与状态检查

Kubernetes Controller Manager 中的 Deployment Controller 负责执行滚动更新，其核心逻辑是一个循环，直到新旧 RS 的副本数达到期望状态。

1. 检测变更： Controller 监听到 Deployment 的 Pod 模板发生变化（如 spec.template.spec.containers[].image 或挂载的 Secret/ConfigMap 版本更新）。
2. 暂停旧 RS： 将旧 ReplicaSet 标记为不再接收新 Pod 请求。
3. 创建新 RS： 根据新的 Pod 模板创建一个新的 ReplicaSet，初始副本数为 0。
4. 执行扩容（新 RS）： 计算当前可扩容数量，不超过 maxSurge 的限制。新 Pod 启动并通过 Readiness Probe 检查后，标记为 Ready。
5. 执行缩容（旧 RS）： 计算当前可缩容数量，不超过 maxUnavailable 的限制。Controller 向旧 Pod 发送 SIGTERM 信号，等待 TerminationGracePeriodSeconds 后强制删除。
6. 重复步骤 4-5： 直到新 RS 的副本数等于期望副本数，旧 RS 的副本数归零。
7. 更新状态： Deployment 的 status.updatedReplicas 等于期望副本数，status.readyReplicas 等于可用副本数，滚动更新完成。

3.5 滚动更新策略配置示例

以下是一个针对证书轮换场景优化的 Deployment YAML 配置片段，强调安全性和可控性。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: cert-renewal-app
spec:
  replicas: 5
  strategy:
    type: RollingUpdate
    rollingUpdate:
      maxSurge: 2        # 允许最多额外创建 2 个 Pod，加速轮换
      maxUnavailable: 0  # 确保更新期间所有旧 Pod 都可用，零停机
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
      - name: app
        image: my-app:latest
        volumeMounts:
        - name: cert-volume
          mountPath: /etc/certs
        readinessProbe:
          exec:
            command:
            - cat
            - /etc/certs/tls.crt
          initialDelaySeconds: 5
          periodSeconds: 10
      volumes:
      - name: cert-volume
        secret:
          secretName: my-tls-secret

3.6 滚动更新 vs 其他更新策略