容器部署
共 203 篇文章
StatefulSet 使用 Parallel 滚动更新，minReadySeconds 没有等满
新 Pod 刚 Ready，下一实例已更新？核对 Parallel 滚更时间线、1.34.0 修复和实际并发策略，避免强制替换有状态服务。
Kubernetes resourceNames 限权后，get 单个节点成功但 list 报 Forbidden
同一账户能 get 授权节点，节点列表却 Forbidden。核对 list、watch 的 metadata.name 条件及客户端请求，保留既定名称授权范围。
ReadWriteOncePod 卷仍是 root:root，fsGroup 为什么没有生效
CSI 文件系统卷采用 ReadWriteOncePod 和 ReadWriteOnceWithFSType，旧实现可能跳过组权限。核对节点修复、驱动委托及实际目录权限。
authentik 2025.8.1 worker 报 ENOSPC，histogram 文件持续撑大 /dev/shm
worker 反复退出，根目录仍有空间，/dev/shm 的 histogram 文件持续增长。核对 2025.8.2 指标基数修复，避免仅扩大内存卷。
GKE Autopilot 的 cert-manager Webhook 报 unknown authority，先查选主权限
Webhook Pod 在运行，CA 却未注入？核对 cainjector 在 kube-system 的选主拒绝，再调整选主命名空间与匹配权限。
Job 主程序已退出，istio-proxy 仍让任务保持 Running
主容器已退出，普通 containers 中的 istio-proxy 仍运行。检查实际注入结果及 Kubernetes、Istio 版本，再评估原生 sidecar 生命周期。
Traefik 放大 proxy-body-size 后，超过 2 MiB 仍返回 413
Traefik 3.7.1、3.7.5 的 Ingress NGINX 兼容 provider 可能让 Retry 保留旧上限。核对实际次数与状态码条件，再安排包含修复的版本。
HPA 一项自定义指标取不到，另一项下降后仍不缩容
HPA 多路 Object 指标中，一项出现 FailedGetObjectMetric，另一项下降后仍不缩容。核对有效指标、空结果与真实零值，再查稳定窗口。
StatefulSet 回退镜像后，坏版本 Pod 仍卡住更新
模板已回退，坏镜像 Pod 仍挡住 StatefulSet 更新：核对 revision、策略与分区，先恢复好模板，再正常终止已确认的坏实例。
Pod 指定 nodeName 后，WaitForFirstConsumer 的 PVC 一直 Pending
Pod 已指定节点，PVC 仍等 first consumer？核对 nodeName 与延迟绑定，改用调度器识别的节点约束，保留卷、数据和拓扑条件。
Docker non-blocking 日志出现缺口：检查缓冲与投递速度
应用正常响应但日志缺失，检查 non-blocking 中间缓冲和实际投递速度。区分普通 Docker 与 ECS 默认配置，评估容量、背压和已丢消息的恢复边界。
Docker rootless 已有 cgroup v2，Driver 仍是 none
系统已有 cgroup v2，rootless Docker Driver 仍为 none：核对 systemd 条件和实际后端。参数被接受、容器健康都不能证明资源上限已经实施。
BuildKit 只复制一个文件，新增别的文件仍让缓存失效
RUN 只复制一个文件，但绑定源是整个目录，新增其他文件仍可能使缓存失效。按真实依赖缩小 source，分别验证缓存和产物完整性。
Compose Watch 首次漏同步旧文件，修改后却能同步
Watch 首次没有复制已有文件，编辑后却正常同步，核对旧镜像时间过滤和实际版本。正式 5.5.1 已移除该过滤，路径、忽略和权限仍需检查。
RUN 的 bind 挂载加了 rw，下一步文件仍消失
构建 bind 挂载加 rw 后生成的文件仍在下一步消失：挂载写入不会提交镜像层。产物须在当前 RUN 结束前写到挂载外，再进入最终阶段。
Docker build 切换用户后，SSH 挂载报 publickey
切到非 root 用户后 SSH 构建报 publickey，检查 agent 套接字的默认属主和实际 UID。套接字可读、agent 身份与仓库授权分别核对。
COPY --link 写入 /tmp 后，apt 无法写临时文件
COPY 加上 --link 后，/tmp 从带 sticky bit 的模式变为 0755，apt 无法写临时文件。核对独立层的目录模式覆盖，避免只给文件加 chmod。
Compose 添加 build 后仍拉取镜像：检查 pull_policy
开发覆盖文件增加 build 后仍使用仓库镜像，先看合并模型中的 image 和 pull_policy。明确本地构建策略，再核对实际运行产物。
镜像已推送，manifest inspect 却报 no such manifest
Buildx 推送完成，manifest inspect 却提示清单不存在。用 imagetools 核对 OCI 对象与媒体类型，保留客户端版本和 provenance 的兼容边界。
Compose 更新上游后 Nginx 报 502：检查依赖重启设置
后端被 Compose 重建后，Nginx 仍运行却返回 502。检查依赖长写法的 restart 设置，区分显式更新传播与容器运行时自动重启。