3. APF 核心组件：FlowSchema 与 PriorityLevelConfiguration 详解

API 优先级与公平性（APF）是 Kubernetes 1.20+ 默认启用的请求排队机制，用于替代旧的 MaxInFlight 限流。APF 通过两个核心 CRD 资源——FlowSchema 和 PriorityLevelConfiguration——实现精细化的请求分类与排队控制。理解这两个组件是调优 APF 队列、保障 etcd 水位稳定的前提。

3.1 核心概念与职责划分

APF 将请求处理分为两个阶段：分类（由 FlowSchema 完成）和 排队（由 PriorityLevelConfiguration 完成）。

3.2 FlowSchema：请求分类引擎

FlowSchema 通过一组规则（rules）对请求进行匹配。每个规则包含 subjects（请求来源）和 resourceRules（请求目标）。匹配顺序由 spec.matchingPrecedence 决定，数值越小优先级越高。

3.2.1 内置 FlowSchema 示例

apiVersion: flowcontrol.apiserver.k8s.io/v1beta3
kind: FlowSchema
metadata:
  name: kube-controller-manager
spec:
  matchingPrecedence: 800
  priorityLevelConfiguration:
    name: workload-high
  rules:
  - subjects:
    - kind: ServiceAccount
      serviceAccount:
        name: kube-controller-manager
        namespace: kube-system
    resourceRules:
    - verbs: ["*"]
      apiGroups: ["*"]
      resources: ["*"]
      clusterScope: true
      namespaces: ["*"]

3.2.2 匹配规则字段详解

3.3 PriorityLevelConfiguration：排队与并发控制

PriorityLevelConfiguration 定义每个优先级级别的 队列数量、并发度 和 排队策略。APF 使用 公平排队（Fair Queuing） 算法，确保低优先级请求不会饿死高优先级请求。

3.3.1 核心参数

3.3.2 内置优先级级别

Kubernetes 默认创建 6 个 PriorityLevelConfiguration，覆盖从系统关键请求到低优先级批处理任务的全场景。

3.4 FlowSchema 与 PriorityLevelConfiguration 的关联关系

下图展示了请求从进入 API Server 到最终执行的完整 APF 处理流程：

3.5 调优实践：如何设计 FlowSchema 与 PriorityLevel

3.5.1 设计原则

1. 隔离关键路径： 将 kubelet 心跳、kube-scheduler 绑定、控制器管理器的 list-watch 请求映射到高并发份额的优先级级别。
2. 限制批量操作： 将 Job/CronJob 创建、大规模 Pod 删除等批量操作映射到低并发份额级别，防止突发流量冲击 etcd。
3. 避免过度细分： 优先级级别建议控制在 8~12 个以内，过多级别会导致队列管理开销增加。
4. 监控调整： 通过 apiserver_flowcontrol_* 指标观察每个优先级的排队深度、拒绝率和等待时间，动态调整并发份额。

3.5.2 自定义 FlowSchema 示例

apiVersion: flowcontrol.apiserver.k8s.io/v1beta3
kind: FlowSchema
metadata:
  name: ci-pipeline-workloads
spec:
  matchingPrecedence: 2000
  priorityLevelConfiguration:
    name: ci-pipeline-priority
  rules:
  - subjects:
    - kind: ServiceAccount
      serviceAccount:
        name: jenkins
        namespace: ci
    resourceRules:
    - verbs: ["create", "delete", "deletecollection"]
      apiGroups: ["batch"]
      resources: ["jobs", "cronjobs"]
      namespaces: ["*"]
---
apiVersion: flowcontrol.apiserver.k8s.io/v1beta3
kind: PriorityLevelConfiguration
metadata:
  name: ci-pipeline-priority
spec:
  type: Limited
  limited:
    assuredConcurrencyShares: 10
    limitResponse:
      type: Queue
      queuing:
        queues: 32
        handSize: 6
        queueLengthLimit: 20

3.6 常见问题与排查思路