CloudPro/content/container-deployment-best-practices/zh.md

容器化部署最佳实践指南

概述

容器化技术已经成为现代应用部署的标准方式，Docker 和 Kubernetes 的普及使得应用部署变得更加灵活、可靠和高效。本文将介绍容器化部署的最佳实践，帮助您构建稳定、可扩展的容器化应用。

容器化基础

Docker 最佳实践

镜像构建优化

# 多阶段构建示例
FROM node:18-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci --only=production

FROM node:18-alpine AS runtime
WORKDIR /app
COPY --from=builder /app/node_modules ./node_modules
COPY . .
EXPOSE 3000
CMD ["npm", "start"]

镜像安全

• 基础镜像选择：使用官方镜像，定期更新安全补丁
• 最小化镜像：使用 Alpine Linux 等轻量级基础镜像
• 非 root 用户：避免使用 root 用户运行容器
• 漏洞扫描：定期扫描镜像中的安全漏洞

镜像标签策略

# 语义化版本标签
docker build -t myapp:1.2.3 .
docker build -t myapp:latest .

# 多架构支持
docker buildx build --platform linux/amd64,linux/arm64 -t myapp:latest .

容器运行时优化

• 资源限制：设置 CPU 和内存限制
• 健康检查：配置健康检查端点
• 日志管理：使用结构化日志，避免日志文件过大
• 环境变量：敏感信息使用 secrets，配置信息使用 configmaps

Kubernetes 部署策略

部署类型选择

Deployment

apiVersion: apps/v1
kind: Deployment
metadata:
  name: myapp
spec:
  replicas: 3
  selector:
    matchLabels:
      app: myapp
  template:
    metadata:
      labels:
        app: myapp
    spec:
      containers:
      - name: myapp
        image: myapp:latest
        ports:
        - containerPort: 3000
        resources:
          requests:
            memory: "64Mi"
            cpu: "250m"
          limits:
            memory: "128Mi"
            cpu: "500m"
        livenessProbe:
          httpGet:
            path: /health
            port: 3000
          initialDelaySeconds: 30
          periodSeconds: 10
        readinessProbe:
          httpGet:
            path: /ready
            port: 3000
          initialDelaySeconds: 5
          periodSeconds: 5

StatefulSet

• 适用于有状态应用（数据库、消息队列等）
• 提供稳定的网络标识和存储
• 支持有序部署和滚动更新

DaemonSet

• 适用于节点级别的服务（日志收集、监控代理等）
• 确保每个节点运行一个 Pod 副本

服务发现和负载均衡

Service 配置

apiVersion: v1
kind: Service
metadata:
  name: myapp-service
spec:
  selector:
    app: myapp
  ports:
  - protocol: TCP
    port: 80
    targetPort: 3000
  type: ClusterIP

Ingress 配置

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: myapp-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  rules:
  - host: myapp.example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: myapp-service
            port:
              number: 80

高可用性设计

多可用区部署

apiVersion: apps/v1
kind: Deployment
metadata:
  name: myapp
spec:
  replicas: 6
  template:
    spec:
      affinity:
        podAntiAffinity:
          preferredDuringSchedulingIgnoredDuringExecution:
          - weight: 100
            podAffinityTerm:
              labelSelector:
                matchExpressions:
                - key: app
                  operator: In
                  values:
                  - myapp
              topologyKey: kubernetes.io/hostname

自动扩缩容

apiVersion: autoscaling/v2
kind: HorizontalPodAutoscaler
metadata:
  name: myapp-hpa
spec:
  scaleTargetRef:
    apiVersion: apps/v1
    kind: Deployment
    name: myapp
  minReplicas: 3
  maxReplicas: 10
  metrics:
  - type: Resource
    resource:
      name: cpu
      target:
        type: Utilization
        averageUtilization: 70

滚动更新策略

apiVersion: apps/v1
kind: Deployment
metadata:
  name: myapp
spec:
  strategy:
    type: RollingUpdate
    rollingUpdate:
      maxSurge: 25%
      maxUnavailable: 25%

配置管理

ConfigMap 和 Secret

apiVersion: v1
kind: ConfigMap
metadata:
  name: myapp-config
data:
  database_url: "mysql://localhost:3306/myapp"
  redis_url: "redis://localhost:6379"
  log_level: "info"

---
apiVersion: v1
kind: Secret
metadata:
  name: myapp-secret
type: Opaque
data:
  database_password: bXlwYXNzd29yZA==  # base64 encoded
  api_key: YXBpa2V5MTIzNA==

环境变量注入

apiVersion: apps/v1
kind: Deployment
metadata:
  name: myapp
spec:
  template:
    spec:
      containers:
      - name: myapp
        image: myapp:latest
        env:
        - name: DATABASE_URL
          valueFrom:
            configMapKeyRef:
              name: myapp-config
              key: database_url
        - name: DATABASE_PASSWORD
          valueFrom:
            secretKeyRef:
              name: myapp-secret
              key: database_password

监控和日志

监控指标

• 应用指标：响应时间、错误率、吞吐量
• 基础设施指标：CPU、内存、网络、存储使用率
• 业务指标：用户活跃度、交易量、转化率

日志收集

apiVersion: v1
kind: ConfigMap
metadata:
  name: fluentd-config
data:
  fluent.conf: |
    <source>
      @type tail
      path /var/log/containers/*.log
      pos_file /var/log/fluentd-containers.log.pos
      tag kubernetes.*
      read_from_head true
      <parse>
        @type json
        time_format %Y-%m-%dT%H:%M:%S.%NZ
      </parse>
    </source>

安全最佳实践

网络安全

• 网络策略：使用 NetworkPolicy 限制 Pod 间通信
• 服务网格：使用 Istio 等工具实现细粒度流量控制
• TLS 终止：在 Ingress 层终止 TLS 连接

访问控制

• RBAC：配置适当的角色和权限
• Service Account：为不同应用使用不同的 Service Account
• Pod Security Standards：遵循 Pod 安全标准

镜像安全

• 镜像签名：使用 Notary 等工具签名镜像
• 漏洞扫描：集成 Trivy 等工具进行漏洞扫描
• 镜像策略：使用 OPA 等工具实施镜像策略

CI/CD 集成

自动化部署流程

# GitHub Actions 示例
name: Deploy to Kubernetes
on:
  push:
    branches: [ main ]
jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
    - uses: actions/checkout@v3
    - name: Build and push Docker image
      run: |
        docker build -t myapp:${{ github.sha }} .
        docker push myapp:${{ github.sha }}
    - name: Deploy to Kubernetes
      run: |
        kubectl set image deployment/myapp myapp=myapp:${{ github.sha }}
        kubectl rollout status deployment/myapp

GitOps 实践

• 声明式配置：所有配置通过 Git 管理
• 自动化同步：使用 ArgoCD 等工具自动同步配置
• 版本控制：所有变更都有版本记录和回滚能力

故障排查

常见问题

1. Pod 启动失败：检查镜像、配置、资源限制
2. 服务无法访问：检查 Service 和 Endpoints 配置
3. 存储问题：检查 PVC 和 StorageClass 配置
4. 网络问题：检查网络策略和 DNS 配置

调试工具

• kubectl：基础调试命令
• kubectl exec：进入容器调试
• kubectl logs：查看容器日志
• kubectl describe：查看资源详细信息

总结

容器化部署是现代应用部署的标准方式，通过遵循最佳实践，可以构建稳定、可扩展、安全的容器化应用。关键要点包括：

1. 镜像优化：多阶段构建、安全加固、标签策略
2. 部署策略：选择合适的部署类型、配置资源限制、实施健康检查
3. 高可用性：多可用区部署、自动扩缩容、滚动更新
4. 配置管理：使用 ConfigMap 和 Secret、环境变量注入
5. 监控日志：收集关键指标、实施日志收集
6. 安全加固：网络安全、访问控制、镜像安全
7. CI/CD 集成：自动化部署、GitOps 实践
8. 故障排查：掌握调试工具、了解常见问题

通过系统性地应用这些最佳实践，您可以构建企业级的容器化部署平台，支撑业务的快速发展。