3. 调度策略核心概念：节点亲和性、Pod亲和性/反亲和性、污点与容忍度

在 Kubernetes 集群中，调度器（kube-scheduler）负责将 Pod 分配到合适的节点。默认的“轮询”或“资源余量”策略无法满足复杂生产环境的需求。本章深入解析三大核心调度原语：节点亲和性、Pod 亲和性/反亲和性以及污点与容忍度。理解这些概念是进行调度策略调优与配置漂移审计的基础。

3.1 节点亲和性（Node Affinity）

节点亲和性允许你根据节点上的标签（Label）来约束 Pod 可以调度到哪些节点。它替代了早期的 nodeSelector，提供了更丰富的匹配逻辑。

3.1.1 节点亲和性配置示例

apiVersion: v1
kind: Pod
metadata:
  name: node-affinity-pod
spec:
  affinity:
    nodeAffinity:
      requiredDuringSchedulingIgnoredDuringExecution:
        nodeSelectorTerms:
        - matchExpressions:
          - key: disk-type
            operator: In
            values:
            - ssd
      preferredDuringSchedulingIgnoredDuringExecution:
      - weight: 50
        preference:
          matchExpressions:
          - key: topology.kubernetes.io/zone
            operator: In
            values:
            - us-east-1a
  containers:
  - name: nginx
    image: nginx:1.25

3.2 Pod 亲和性（Pod Affinity）与反亲和性（Pod Anti-Affinity）

Pod 亲和性/反亲和性基于已经在节点上运行的 Pod 的标签来决策调度，而非节点本身的标签。这对于微服务架构中的“就近部署”或“故障隔离”至关重要。

• Pod 亲和性： 将 Pod 调度到与特定 Pod 相同的拓扑域（如节点、可用区）中。例如，将缓存服务和数据库服务调度到同一节点以减少网络延迟。
• Pod 反亲和性： 将 Pod 调度到与特定 Pod 不同的拓扑域中。例如，将同一应用的不同副本分散到不同节点或可用区，以提高可用性。

3.2.1 Pod 反亲和性配置示例

apiVersion: apps/v1
kind: Deployment
metadata:
  name: web-app
spec:
  replicas: 3
  selector:
    matchLabels:
      app: web
  template:
    metadata:
      labels:
        app: web
    spec:
      affinity:
        podAntiAffinity:
          requiredDuringSchedulingIgnoredDuringExecution:
          - labelSelector:
              matchExpressions:
              - key: app
                operator: In
                values:
                - web
            topologyKey: kubernetes.io/hostname
      containers:
      - name: nginx
        image: nginx:1.25

3.3 污点（Taints）与容忍度（Tolerations）

污点与容忍度是一对“排斥-吸引”机制。污点标记在节点上，用于排斥不匹配的 Pod；容忍度标记在 Pod 上，允许 Pod 调度到具有特定污点的节点。

• 污点效果（Effect）：
  • NoSchedule：不调度新的 Pod 到该节点（除非有容忍度）。
  • PreferNoSchedule：尽量不调度，但不强制。
  • NoExecute：不仅不调度新 Pod，还会驱逐节点上已有的、没有对应容忍度的 Pod。
• 容忍度操作符（Operator）：
  • Equal：容忍度必须与污点的 key、value、effect 完全匹配。
  • Exists：只要污点的 key 和 effect 匹配即可，忽略 value。

3.3.1 污点与容忍度配置示例

# 给节点添加污点
# kubectl taint nodes node1 dedicated=gpu:NoSchedule

# Pod 容忍度配置
apiVersion: v1
kind: Pod
metadata:
  name: gpu-pod
spec:
  tolerations:
  - key: "dedicated"
    operator: "Equal"
    value: "gpu"
    effect: "NoSchedule"
  containers:
  - name: cuda-container
    image: nvidia/cuda:12.0-base

3.4 核心概念关系图

下图展示了调度器在决策时如何综合评估节点亲和性、Pod 亲和性/反亲和性以及污点与容忍度。调度器首先过滤掉不满足硬约束的节点，然后对剩余节点进行打分，最终选择最优节点。

3.5 配置漂移审计对照表

在 Prometheus 驱动的审计体系中，以下配置项是漂移检测的重点。任何与基线不符的变更都应触发告警。