2. Kubernetes 配置基础：ConfigMap、Secret、Deployment、StatefulSet、DaemonSet 的核心配置字段解析

在 Kubernetes 集群中，配置漂移（Configuration Drift）的根源往往始于资源对象的定义不一致。本章将深入解析五大核心资源——ConfigMap、Secret、Deployment、StatefulSet、DaemonSet——的关键配置字段。理解这些字段的语义与约束，是后续构建基线核验与漂移检测体系的基础。

2.1 ConfigMap：非敏感配置的声明式管理

ConfigMap 用于将非机密性的配置数据（如环境变量、配置文件内容）从 Pod 定义中解耦。其核心字段结构如下：

apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
  namespace: production
data:
  APP_ENV: "production"
  LOG_LEVEL: "info"
  config.yaml: |
    server:
      port: 8080
      timeout: 30s

2.2 Secret：敏感数据的编码与约束

Secret 与 ConfigMap 结构相似，但专用于存储敏感信息（密码、令牌、证书）。其核心差异在于 data 字段的值必须经过 Base64 编码，而 stringData 字段允许明文写入（API 服务器会自动编码）。

apiVersion: v1
kind: Secret
metadata:
  name: db-credentials
  namespace: production
type: Opaque
data:
  username: YWRtaW4=   # "admin" 的 Base64
  password: czNjcjN0   # "s3cr3t" 的 Base64
immutable: true

2.3 Deployment：无状态工作负载的声明式模板

Deployment 是 Kubernetes 中最常用的工作负载资源，负责管理无状态应用的副本集与滚动更新。其核心配置字段集中在 spec 下：

Deployment 的基线核验应重点关注以下字段：

• spec.replicas：副本数是否与环境预期一致（如生产环境为 3，预发环境为 1）。
• spec.template.spec.containers[].image：镜像名称与标签是否锁定（禁止使用 latest）。
• spec.template.spec.containers[].resources：CPU/内存的 requests 与 limits 是否满足基线阈值。
• spec.template.spec.containers[].env：环境变量是否引用了正确的 ConfigMap 或 Secret。
• spec.strategy：更新策略（RollingUpdate / Recreate）及滚动更新参数（maxSurge、maxUnavailable）。

2.4 StatefulSet：有状态工作负载的标识与存储

StatefulSet 用于管理有状态应用（如数据库、消息队列），其核心特征是为每个 Pod 提供稳定的网络标识和持久化存储。与 Deployment 的关键差异字段如下：

apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: mysql
  namespace: production
spec:
  serviceName: mysql-headless
  replicas: 3
  podManagementPolicy: OrderedReady
  volumeClaimTemplates:
  - metadata:
      name: data
    spec:
      accessModes: ["ReadWriteOnce"]
      storageClassName: fast-ssd
      resources:
        requests:
          storage: 100Gi
  template:
    spec:
      containers:
      - name: mysql
        image: mysql:8.0.32
        volumeMounts:
        - name: data
          mountPath: /var/lib/mysql

2.5 DaemonSet：节点级守护进程的调度约束

DaemonSet 确保每个（或部分）节点上运行一个 Pod 副本，常用于日志收集、监控代理、网络插件等场景。其核心配置字段聚焦于节点选择与调度约束：

DaemonSet 的基线核验需特别关注以下字段：

• spec.selector：标签选择器必须与 template.metadata.labels 匹配。
• spec.template.spec.nodeSelector：节点标签选择器，决定 Pod 在哪些节点上运行。
• spec.template.spec.tolerations：容忍节点污点，确保 Pod 能调度到特定节点。
• spec.updateStrategy.type：RollingUpdate（默认）或 OnDelete。滚动更新时需关注 maxSurge 和 maxUnavailable。
• spec.minReadySeconds：Pod 被视为 Ready 的最小稳定时间。

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: fluentd-log-collector
  namespace: kube-system
spec:
  selector:
    matchLabels:
      name: fluentd
  template:
    metadata:
      labels:
        name: fluentd
    spec:
      nodeSelector:
        kubernetes.io/os: linux
      tolerations:
      - key: node-role.kubernetes.io/control-plane
        effect: NoSchedule
      containers:
      - name: fluentd
        image: fluent/fluentd:v1.16
        resources:
          requests:
            memory: "256Mi"
            cpu: "100m"
          limits:
            memory: "512Mi"
            cpu: "200m"

2.6 五大资源基线核验字段速查表

以下表格汇总了五大资源在配置漂移检测中必须核验的核心字段，可作为基线模板的快速参考：