重要 环境说明 部署的external-dns包括以下组件: external-dns: k3s集群内部，kube-system命名空间 下载 etcd : k3s集群内部，paas命名

重要 DNS 协议在响应包超过 512 字节时，会自动切换到 TCP 传输。如果 DNS Server 只开放 UDP 53 端口，部分解析请求会被截断，客户端重试 TCP 超时后才会 fallback。 环

重要 K8s 中收集容器日志有两种模式： 模式 原理 优缺点 DaemonSet 每个 Node 部署一个日志采集 Pod，读 /var/log/containers 运维简单，但不支持自定义日志路径 Sidecar 在业务 Pod 内嵌入日志采集容

重要 Kubernetes 升级时 API 版本变更会导致已有 YAML 无法 kubectl apply。记录 v1.16 ~ v1.25 的主要 API 弃用变更，迁移时对照检查。 v1.16 资源 旧 API 新 API NetworkPolicy extensions/v1beta1 networking.k8s.io/v1 PodSecurityPolicy extensions/v1beta1 policy/v1beta1 DaemonSet extensions/v1beta1, apps/v1beta2 apps/v1 Deployment extensions/v1beta1, apps/v1beta1/2 apps/v1 StatefulSet

重要 PodSecurityPolicy 已在 K8s 1.21 弃用、1.25 移除。 本文内容仅适用于 ≤1.24 的集群。 替代方案： 方案 说明 Pod Security Admission（内置） K8s 1.23+ 内置，通过 namespace label 设置 enforce/audit/warn

重要 ingress-nginx 启用 SSL Passthrough（证书透传）需要两步：部署时加 --enable-ssl-passthrough 参数，Ingress 对象中设 ssl-redirect: "false"。 环境说明

重要 ingress-nginx 暴露 gRPC 服务时要求必须使用 TLS。两种方案： 方案 证书位置 适用场景 gRPCS（后端 TLS） 服务端自己管理证书 微服务内部已统一证书 gRPC（

重要 由于需要配置ingress-grpc,nginx-ingress要求tls加密。实现的方式有两种：一种在ingress注解grpcs,之

重要 client-go 的 scheme.Codecs.UniversalDeserializer().Decode 可以将 YAML 字符串解码为 runtime.Object。结合 --- 分割多文档 YAML，就能一次性解析 helm get manifest 的输出。 环境说明 Helm 3 Kubernetes v1.15.6 1. 核心函数

重要 client-go 的核心不是 CRUD，而是 Informer + WorkQueue + Reconcile 这套控制器模式。 本文通过一个工作真实案例——监听 Service annotation 自动注册到 Consul——展开客户端初始化、In

系列导航 本系列按 K8S 扩展机制递进展开： 顺序 文章 定位 ① 本篇 - CRD 概念与使用 数据模型扩展——CRD 的定义、校验、版本管理 ② Operator 逻辑扩展——自定义控制器

重要 Kubernetes 核心只做编排——调度、声明式 API、状态协调。容器的运行时、网络、存储、GPU、调度策略、自定义 API，全部通过扩展机制交给外部插件。