4. 轮换作业的负载特征：CPU/内存/网络IO峰值、并发连接数、临时存储需求、作业持续时间

证书轮换作业并非轻量级后台任务，它在执行期间会同时消耗计算、内存、网络和存储资源。若未准确评估其负载特征，轮换作业可能与业务容器争抢资源，导致证书更新超时甚至集群控制面不稳定。本节从五个核心维度拆解轮换作业的资源画像，为后续容量规划提供量化依据。

4.1 负载特征全景

下表汇总了证书轮换作业在典型集群规模（100～5000节点）下的负载特征范围，实际值因证书类型、加密算法和并发策略而异。

4.2 CPU 与内存峰值特征

证书轮换作业的 CPU 消耗集中在三个计算阶段：

• 密钥生成： RSA-2048 密钥对生成约消耗 0.3～0.8 vCPU·秒，ECDSA-P256 约消耗 0.1～0.3 vCPU·秒。
• 证书签名： 使用本地 CA 签名时，CPU 峰值出现在签名操作瞬间，通常持续 1～3 秒。
• 序列化与验证： 将证书写入文件或 Secret 对象时，CPU 消耗较低但持续时间较长。

内存峰值主要由以下因素驱动：

• 证书链加载： 包含中间 CA 和根 CA 的完整证书链可能占用 50～200 MB。
• CRL 缓存： 证书吊销列表（CRL）在内存中缓存，大型 CRL 可达 500 MB。
• 并发连接缓冲区： 每个与 API Server 的 TCP 连接默认分配 128 KB 读写缓冲区，200 个并发连接约占用 25 MB。

4.3 网络 IO 峰值与并发连接数

网络 IO 峰值通常出现在证书分发阶段，作业实例需要将新证书写入 API Server 的 Secret 资源，或通过 SSH/Agent 推送到节点。并发连接数直接影响 API Server 的负载。

下图展示了证书轮换作业的网络 IO 与并发连接关系：

4.4 临时存储需求

证书轮换作业在运行期间会产生临时文件，包括：

• 证书文件： PEM 格式证书文件，每个约 1～5 KB，1000 个证书约 5 MB。
• 密钥文件： 私钥文件，RSA-2048 约 1.7 KB，ECDSA-P256 约 0.5 KB。
• 日志文件： 调试级别日志可能产生 100 MB～1 GB 的日志输出。
• 中间产物： CSR 文件、签名请求、验证结果缓存，约 50～200 MB。

临时存储需求与作业并发度强相关：

4.5 作业持续时间

作业持续时间是容量规划的关键输入，直接影响资源预留窗口和调度策略。持续时间由以下因素决定：

• 证书生成时间： RSA-2048 约 0.5～2 秒，ECDSA-P256 约 0.1～0.5 秒。
• API Server 写入时间： 每个 Secret 写入约 0.1～0.5 秒，受 QPS 限制。
• 证书分发时间： 取决于节点数和网络延迟，每个节点约 0.5～5 秒。
• 验证与重试时间： 证书验证失败时，重试间隔通常为 5～30 秒。

下图展示了不同集群规模下的作业持续时间分布：

4.6 负载特征总结与容量规划建议

综合以上五个维度的负载特征，在制定容量规划时需遵循以下原则：

• 资源预留： 为轮换作业预留专用资源池，避免与业务容器共享节点资源。
• 并发控制： 根据 API Server QPS 限制和节点资源容量，合理设置并发实例数。
• 临时存储： 使用内存临时卷（emptyDir.medium: Memory）提升 IO 性能，并纳入内存容量规划。
• 超时设置： 作业超时时间应设置为预估持续时间的 2～3 倍，避免因网络抖动导致作业失败。
• 监控告警： 对 CPU、内存、网络 IO、并发连接数和临时存储设置告警阈值，及时发现资源瓶颈。