2. Kubernetes 核心概念回顾：Pod、Service、Deployment、Namespace、ConfigMap、Secret

在深入环境编排与部署之前，必须牢固掌握 Kubernetes 的六大核心原语。这些对象构成了声明式运维的基石，也是自助门户在后台调度的基本单元。下面逐一回顾其定义、职责与典型用法。

2.1 Pod：最小的调度与运行单元

Pod 是 Kubernetes 中可创建和部署的最小计算单元，代表集群上运行的一个进程实例。一个 Pod 封装一个或多个容器（通常为一个主容器），共享存储卷（Volume）和网络 IP。

• 共享网络栈：同一 Pod 内的容器通过 localhost 互相通信，端口不能冲突。
• 共享存储卷：Pod 级别的 Volume 可被内部所有容器挂载，用于日志收集、Sidecar 模式等场景。
• 生命周期短暂：Pod 本身不提供自愈能力，通常由上层控制器（如 Deployment）管理。

2.2 Deployment：声明式应用管理

Deployment 是用于管理无状态工作负载的核心控制器。它通过 ReplicaSet 确保指定数量的 Pod 副本始终运行，并支持滚动更新、回滚、扩缩容等操作。

# 一个典型的 Deployment YAML 片段
apiVersion: apps/v1
kind: Deployment
metadata:
  name: portal-backend
  labels:
    app: portal
spec:
  replicas: 3
  selector:
    matchLabels:
      app: portal
  template:
    metadata:
      labels:
        app: portal
    spec:
      containers:
      - name: backend
        image: registry.example.com/portal:v2.1.0
        ports:
        - containerPort: 8080

2.3 Service：稳定的网络访问抽象

Pod 的 IP 是动态变化的，Service 通过标签选择器（Selector）将一组 Pod 暴露为固定的网络端点，并提供负载均衡与服务发现能力。

• ClusterIP（默认）：集群内部虚拟 IP，仅集群内可访问。
• NodePort：在每个节点上开放一个静态端口（30000-32767），外部可通过 NodeIP:NodePort 访问。
• LoadBalancer：云厂商提供外部负载均衡器，自动分配公网 IP。
• Headless Service：不分配 ClusterIP，直接返回后端 Pod IP 列表，用于 StatefulSet 或自定义发现。

2.4 Namespace：多租户隔离边界

Namespace 将物理集群划分为多个虚拟集群，用于实现资源配额、访问控制和环境隔离。在发布工程中，通常按团队、项目或环境（dev/staging/prod）划分 Namespace。

2.5 ConfigMap & Secret：配置与敏感数据管理

ConfigMap 用于存储非机密性的配置数据（如配置文件、环境变量），Secret 用于存储敏感信息（如密码、、证书）。两者都可以被 Pod 以环境变量或 Volume 挂载的方式使用。

# ConfigMap 示例：挂载为配置文件
apiVersion: v1
kind: ConfigMap
metadata:
  name: portal-config
data:
  application.yml: |
    server:
      port: 8080
    database:
      host: db-service

# Secret 示例：挂载为环境变量
apiVersion: v1
kind: Secret
metadata:
  name: db-credentials
type: Opaque
stringData:
  DB_USER: admin
  DB_PASS: s3cr3t!

2.6 核心概念速查表