如何做好容器化运维

做好容器化运维（Container Ops）并不是只“会跑 Docker”就够了，而是要建立一套覆盖构建、部署、运行、监控、治理、应急的工程体系。下面从实践角度，系统性地给你一个可落地的框架。

一、先明确目标（别为了容器而容器）

容器化运维的核心目标通常是：

• 环境一致（开发 = 测试 = 生产）
• 快速交付（CI/CD）
• 弹性伸缩 & 高可用
• 故障可观测、可恢复
• 成本可控、安全风险可控

二、基础规范：先把“地基”打稳

1. 镜像规范

• 单一职责：一个容器只跑一个主进程
• 最小化镜像：用 distroless / alpine
• 固定版本：不用 latest
• 非 root 运行
• 镜像扫描（Trivy / Clair）

示例：

FROM node:18-alpine
WORKDIR /app
COPY . .
RUN npm ci --omit=dev
USER node
CMD ["node", "server.js"]

2. 资源配置（非常重要）

• 必须设置：
  • CPU / Memory requests & limits
• 避免：
  • 无限制 → 节点被拖死
  • 太小 → 频繁 OOM

resources:
  requests:
    cpu: 100m
    memory: 128Mi
  limits:
    cpu: 500m
    memory: 256Mi

三、部署体系：CI/CD + 编排

1. CI/CD 流水线

典型链路：

代码提交 → 单元测试 → 构建镜像 → 镜像扫描 → 推送仓库 → 部署

工具组合：

• GitLab CI / GitHub Actions
• Harbor（镜像仓库）
• Argo CD / Flux（GitOps）

✅ 推荐：GitOps（声明式 + 自动同步）

2. 编排平台

• Kubernetes 是事实标准
• 小团队也可用：
  • Docker Compose（开发）
  • Nomad / K3s（轻量）

K8s 核心关注：

• Deployment / StatefulSet
• HPA（自动扩缩）
• Pod 反亲和性
• 滚动更新 & 回滚

四、可观测性：看不见 = 运维失败

1. 三大支柱

• 日志：Loki / ELK
• 监控：Prometheus + Grafana
• 链路追踪：Jaeger / OTel

2. 必看指标

• CPU / 内存
• 容器重启次数
• Pod 就绪率
• 请求延迟 & 错误率
• 节点资源水位

五、稳定性与容灾

1. 高可用

• 多副本
• 跨可用区
• 探针配置：

livenessProbe:
  httpGet:
    path: /health
    port: 8080

2. 故障演练

• 随机杀 Pod
• 网络延迟注入
• 节点宕机演练

六、安全运维（常被忽视）

• 镜像漏洞扫描
• 禁止特权容器
• 网络策略（NetworkPolicy）
• Secret 不写进代码
• RBAC 最小权限

七、成本与治理

• 节点自动伸缩（Cluster Autoscaler）
• 非核心服务用 Spot 实例
• 资源闲置分析
• 环境分级（dev / staging / prod）

八、常见坑（经验之谈）

❌ 把容器当虚拟机用
❌ 日志写文件不输出 stdout
❌ 无资源限制
❌ 手动改生产环境
❌ 只关注部署，不关注运行

九、成长路径建议

1. 熟练 Docker
2. 理解 K8s 核心对象
3. 写 CI/CD
4. 做监控 & 排障
5. 做平台化（内部 PaaS）

如果你愿意，我可以：

• 给你一套 K8s 生产级 YAML 模板
• 帮你设计 容器化运维架构图
• 针对你当前技术栈做 落地路线图

你现在是处在：入门 / 迁移中 / 生产运维 哪个阶段？