Kubernetes 与 Docker的关系

Kubernetes 与 Docker：现代云原生架构的黄金搭档（生产环境深度解读）

如果你刚接触容器技术，可能会困惑：为什么既要用 Docker 又要用 K8s？它们到底是竞争还是互补？在生产环境中又是如何配合的？这篇文章将用真实场景为你揭秘。

一、基础定位：不同的职责领域

1.1 Docker：标准化集装箱

• 核心功能：将应用代码、运行时环境、系统工具打包成标准化容器镜像（类似货运集装箱）
• 生产价值：
  • 消除环境差异：开发环境的镜像 = 测试环境镜像 = 生产环境镜像
  • 加速交付流程：镜像构建后可在任意支持 Docker 的节点运行
  • 资源隔离：CPU/内存限制防止单个容器耗尽主机资源（通过 cgroups 实现）

1.2 Kubernetes：智能调度系统

• 核心功能：自动化管理跨主机的容器集群（类似全球港口物流调度系统）
• 生产价值：
  • 弹性扩缩：根据 CPU 使用率自动增减 Pod 副本（HPA 策略）
  • 故障自愈：当节点宕机时，自动在其他节点重建 Pod
  • 服务治理：内置 DNS 和服务发现机制（ClusterIP/NodePort/LoadBalancer）
  • 配置管理：通过 ConfigMap/Secret 统一管理环境变量和敏感数据

二、生产环境中的协作关系

2.1 技术栈分层

应用层 (Your App)
↓
容器层 (Docker/Podman)
↓
编排层 (Kubernetes/OpenShift)
↓
基础设施层 (物理机/云服务器)

2.2 实际工作流示例

1. 开发阶段：用 Dockerfile 构建镜像并推送至私有镜像仓库（Harbor/Nexus）
2. 部署阶段：通过 K8s Deployment 定义副本数、资源限制等
3. 运行阶段：Kubelet 调用容器运行时（containerd/CRI-O）拉取镜像并启动容器
4. 运维阶段：使用 kubectl 或 Lens 可视化工具监控容器状态

2.3 重要技术演变

• 容器运行时变化：K8s v1.20+ 默认使用 containerd（Docker 已剥离容器运行时功能）
• 镜像格式统一：K8s 支持所有符合 OCI 标准的镜像（Docker/CRI-O/Buildah 构建的镜像均可运行）

三、生产环境最佳实践

3.1 镜像管理规范

• 多阶段构建：减小生产镜像体积（分离构建环境和运行环境）

# 构建阶段
FROM golang:1.20 as builder
COPY . /app
RUN go build -o myapp

# 运行阶段
FROM alpine:3.18
COPY --from=builder /app/myapp /
CMD ["/myapp"]

• 安全扫描：在 CI/CD 流水线集成 Trivy 或 Clair 扫描镜像漏洞

3.2 K8s 部署策略

• 资源配额管理：防止内存泄漏导致节点雪崩

resources:
  limits:
    memory: "512Mi"
    cpu: "500m"
  requests:
    memory: "256Mi" 
    cpu: "250m"

• 滚动更新配置：保证服务零停机

strategy:
  type: RollingUpdate
  rollingUpdate:
    maxSurge: 25%
    maxUnavailable: 0

3.3 监控与日志方案

• 指标收集：Prometheus + Grafana 监控容器资源使用率
• 日志收集：EFK 栈（Elasticsearch+Fluentd+Kibana）实现日志聚合
• 分布式追踪：Jaeger 或 SkyWalking 跟踪跨服务调用链

四、常见误区解读

4.1 "Kubernetes 替代了 Docker"

• 实际情况：K8s 仍然需要容器运行时，只是不再直接依赖 Docker 引擎
• 当前主流方案：
  • containerd（CNCF 毕业项目，性能更优）
  • CRI-O（专为 K8s 设计的轻量级运行时）

4.2 "本地能用 Docker 就够用了"

• 单机场景：Docker Compose 确实适合开发环境
• 生产场景：当需要管理超过 3 个节点时，K8s 的自动化运维优势将显著体现

五、企业级扩展方案

5.1 多集群管理

• 工具选择：Rancher/KubeSphere 提供多集群统一管控
• 应用场景：混合云部署、跨地域容灾

5.2 服务网格

• Istio 方案：在 K8s 上实现细粒度流量控制（金丝雀发布、熔断限流）
• Linkerd 方案：超轻量级 Service Mesh，适合资源敏感场景

5.3 安全加固

• Pod 安全策略：限制特权容器运行
• 网络策略：Calico 实现微服务间零信任网络
• 镜像签名：Notary 项目确保镜像来源可信

---

结语：在真实生产环境中，Docker 与 K8s 如同机械齿轮般精密配合。理解它们的协作原理，能帮助您设计出更健壮的云原生架构。建议从中小规模集群开始实践，逐步掌握 Helm 模板化部署、Operator 自动化运维等进阶技能，最终构建出符合企业需求的容器化平台。