1. 课程导论：K8s性能调优全景图、准入控制与Pod密度的关系、课程目标与前置知识
1.1 K8s性能调优全景图
Kubernetes 性能调优并非单一维度的参数调整，而是一个从控制面到数据面、从调度决策到资源隔离的系统工程。本课程聚焦于两个关键且相互关联的领域：准入控制（Admission Control）与Pod密度优化。
以下全景图展示了 K8s 性能调优的核心层次，以及本课程在其中的定位：
课程定位：本课程重点覆盖图中红色与橙色高亮的两层——准入控制与Pod密度优化。这两层是集群管理员在保障安全与合规的同时，最大化资源利用效率的关键杠杆。
1.2 准入控制与Pod密度的关系
准入控制与Pod密度看似分属安全与资源两个领域，但在实际集群运行中，它们通过以下机制产生强耦合：
| 维度 | 准入控制的影响 | Pod密度的影响 | 耦合点 |
|---|---|---|---|
| 资源规格 | 通过 MutatingWebhook 自动注入 Resource Request/Limit | 决定单节点可调度 Pod 数量上限 | 准入控制直接决定 Pod 的资源声明，进而影响密度上限 |
| 节点选择 | 通过 PodNodeSelector 强制绑定节点标签 | 影响 Pod 在节点间的分布均匀性 | 准入控制限制节点池，可能导致部分节点过载或空闲 |
| 容忍度 | 通过 PodTolerationRestriction 限制容忍度设置 | 决定 Pod 能否调度到特殊节点（如 GPU 节点） | 准入控制影响 Pod 可调度的节点范围，间接影响密度分布 |
| 安全上下文 | 通过 PodSecurity 或第三方 Webhook 注入安全策略 | 安全策略可能限制 Pod 的资源使用方式 | 安全策略与资源限制共同决定 Pod 的实际资源消耗 |
核心观点：准入控制是 Pod 进入集群的“守门员”，它决定了 Pod 的“身份”（资源规格、标签、容忍度）。这些身份属性直接决定了调度器如何放置 Pod，进而决定了节点的 Pod 密度。优化准入控制策略，是提升 Pod 密度的前置条件。
1.3 课程目标
完成本课程后，你将能够：
- 理解准入控制架构：掌握 MutatingAdmissionWebhook 与 ValidatingAdmissionWebhook 的工作原理、生命周期与性能影响。
- 优化准入控制性能：通过 Webhook 超时设置、并发控制、缓存策略等手段，降低准入控制对 API Server 的延迟影响。
- 设计高密度 Pod 调度策略：基于节点资源碎片、装箱算法、Pod 资源规格分布，制定最大化节点利用率的调度方案。
- 实施 Pod 密度压测与监控：使用工具（如 clusterloader2、kube-burner）模拟高密度场景，并利用 Prometheus 监控节点资源压力。
- 平衡安全与效率：在准入控制中注入必要的安全策略（如只读根文件系统、非 root 用户），同时不牺牲 Pod 密度。
1.4 前置知识
为了确保学习效果，建议你具备以下基础：
| 领域 | 具体要求 | 参考资源 |
|---|---|---|
| Kubernetes 基础 | 熟悉 Pod、Deployment、Node、Namespace 等核心资源；了解 kubectl 常用命令 | Kubernetes 官方文档：Concepts 章节 |
| Linux 系统管理 | 理解 cgroups、namespace、进程调度、内存管理基本概念 | 《Linux 内核设计与实现》相关章节 |
| 网络基础 | 了解 CNI 插件（Calico/Flannel）的基本工作原理 | Kubernetes 网络模型文档 |
| 监控与可观测性 | 了解 Prometheus 指标采集与 Grafana 仪表盘的基本使用 | Prometheus 官方文档：Getting Started |
| Go 语言基础（可选） | 能够阅读简单的 Go 代码，便于理解 Webhook 实现 | Go 官方教程：A Tour of Go |
注意：本课程包含大量实操环节，建议准备一个至少包含 3 个工作节点的测试集群（推荐使用 kind 或 kubeadm 搭建）。生产环境经验不是必须的，但有助于理解调优决策的权衡。
1.5 课程内容概览
本课程共分为 6 个模块，30 个章节，结构如下：
学习路径建议：如果你对准入控制已有一定了解，可以直接从模块 3（Pod密度优化）开始；但建议至少快速浏览模块 2 中关于 Webhook 性能影响的内容，因为准入控制是密度优化的前置依赖。