K8s API延迟的根源：API Server负载、频繁的List-Watch、准入控制器链的瓶颈
在Kubernetes集群中，API延迟是影响控制面稳定性和业务响应速度的核心问题。本章深入剖析导致API延迟的三个主要根源：API Server负载过重、频繁的List-Watch操作以及准入控制器链的瓶颈。理解这些根源是后续实施Rego策略缓存优化的前提。
3.1 API Server负载：控制面的“单点瓶颈”
kube-apiserver是Kubernetes控制面的唯一入口，所有组件（kubelet、scheduler、controller-manager）和外部客户端（kubectl、CI/CD系统）的请求都必须经过它。当并发请求量超过其处理能力时，延迟急剧上升。
API Server的负载主要来自以下方面：
| 负载来源 | 典型场景 | 影响程度 |
|---|---|---|
| 大量并发写请求 | 大规模Deployment滚动更新、批量创建Pod | 高 |
| 频繁的List请求 | HPA每15秒List所有Pod、监控系统全量拉取资源 | 极高 |
| Watch连接数过多 | 每个节点、每个控制器都建立独立的Watch | 中 |
| 准入控制器处理 | 每个写请求都要经过Mutating和Validating链 | 高 |
3.2 频繁的List-Watch：资源版本号与全量拉取的代价
Kubernetes的List-Watch机制是控制面组件间通信的基础。然而，不合理的List-Watch使用方式会显著增加API Server和etcd的负载。
3.2.1 List操作的性能特征
List操作会从etcd读取所有匹配的资源对象，并在API Server内存中序列化后返回。当集群规模较大时，一次全量List可能消耗数百毫秒甚至数秒。
| 集群规模 | 资源类型 | 单次List延迟（典型值） | 内存开销 |
|---|---|---|---|
| 100节点 | Pod | 50-100ms | ~5MB |
| 500节点 | Pod | 200-500ms | ~25MB |
| 2000节点 | Pod | 1-3s | ~100MB |
| 5000节点 | Pod | 3-10s | ~250MB |
3.2.2 Watch连接的资源消耗
每个Watch连接都会在API Server中维护一个协程和缓冲区。当Watch连接数超过数千时，API Server的内存和CPU开销显著增加。
# 查看当前API Server的Watch连接数
kubectl get --raw /metrics | grep apiserver_watch_connections
# 典型输出示例
apiserver_watch_connections{group="",version="v1",kind="Pod"} 245
apiserver_watch_connections{group="",version="v1",kind="Node"} 98
apiserver_watch_connections{group="apps",version="v1",kind="Deployment"} 563.3 准入控制器链：每个写请求的“必经关卡”
Kubernetes的准入控制器（Admission Controller）在对象持久化到etcd之前执行验证和修改逻辑。每个写请求都必须依次通过Mutating和Validating两个阶段的控制器链。
3.3.1 准入控制器链的执行流程
- 请求到达API Server：认证、授权通过后进入准入阶段。
- Mutating阶段：按顺序执行所有Mutating准入控制器（如PodNodeSelector、DefaultStorageClass）。
- 对象验证：验证Mutating阶段修改后的对象是否合法。
- Validating阶段：按顺序执行所有Validating准入控制器（如PodSecurity、ResourceQuota）。
- 持久化到etcd：通过所有准入检查后写入存储。
3.3.2 准入控制器链的延迟放大效应
准入控制器链的延迟具有累加性。每个控制器都会增加一定的处理时间，当链中包含多个复杂控制器（如OPA Gatekeeper、PodSecurity、自定义Webhook）时，总延迟可能达到秒级。
3.4 三个根源的相互作用
API Server负载、频繁List-Watch和准入控制器链并非独立存在，它们之间存在相互放大的关系：
- List-Watch → API Server负载：频繁的List操作直接增加API Server的CPU和内存消耗。
- 准入控制器 → API Server负载：复杂的准入策略增加每个写请求的处理时间，降低API Server的吞吐量。
- API Server负载 → 所有客户端延迟：当API Server过载时，所有请求（包括List-Watch和准入检查）的延迟都会增加。