Kubernetes原生配置

集群服务器配置（kube-apiserver）

容器故障迁移默认容忍周期

容器故障迁移默认容忍周期配置默认对集群中所有的容器生效，您也可以为指定Pod进行差异化容忍配置，此时将以Pod配置的容忍时长为准。

请合理设置容忍时间配置，否则可能出现以下问题：

• 配置过小：在网络抖动等短时故障场景下，容器可能会频繁迁移而影响业务。
• 配置过大：在节点故障时，容器可能长时间无法迁移，导致业务受损。

准入控制器插件配置

Kubernetes支持开启一些准入控制插件，可以在集群对Kubernetes API对象（如Pods、Services、Deployments等）进行修改操作前，进行相应的约束与控制。

v1.23.14-r0、v1.25.9-r0、v1.27.6-r0、v1.28.4-r0及以上版本的集群支持该参数。

服务账号令牌卷投射

kubelet可以将ServiceAccount令牌投射到Pod中。您可以指定令牌的期望属性，例如API受众。当Pod或ServiceAccount被删除时，该令牌也将对API无效。详细信息请参考官方文档。

v1.23.16-r0、v1.25.11-r0、v1.27.8-r0、v1.28.6-r0、v1.29.2-r0及以上版本的集群支持该参数。

表3 服务账号令牌卷投射配置参数说明

名称	参数	说明	取值
API 受众	api-audiences	为ServiceAccount令牌定义其受众。Kubernetes 用于服务账户令牌的身份验证组件，会验证API请求中使用的令牌是否指定了合法的受众。 配置建议：根据集群服务间通信的需求，精确配置受众列表。此举确保服务账户令牌仅在授权的服务间进行认证使用，提升安全性。 说明： 不正确的配置可能导致服务间认证通信失败，或令牌的验证过程出现错误。	默认值："https://kubernetes.default.svc.cluster.local" 支持配置多个值，用英文逗号隔开。
服务账户令牌发行者	service-account-issuer	指定发行服务账户令牌的实体标识符。这是在服务账户令牌的负载（Payload）中的 'iss' 字段所标识的值。 配置建议：请确保所配置的发行者（Issuer）URL在集群内部可被访问，并且可被集群内部的认证系统所信任。 说明： 若设置了一个不可信或无法访问的发行者 URL，可能会导致基于服务账户的认证流程失败。	默认值："https://kubernetes.default.svc.cluster.local" 支持配置多个值，用英文逗号隔开。

集群控制器配置（kube-controller-manager）

控制器公共配置

• 控制器性能配置：用于设置控制器访问kube-api-server的性能参数配置。
  

  请合理设置控制器性能配置，否则可能出现以下问题：

  • 配置过小：可能会触发客户端限流，对控制器性能产生影响。
  • 配置过大：可能会导致kube-apiserver过载。

  表4 控制器性能配置参数说明

  名称	参数	说明	取值
  控制器访问kube-apiserver的QPS	kube-api-qps	与kube-apiserver通信的QPS，即每秒查询率。	集群规格为1000节点以下时，默认值为100 集群规格为1000节点及以上时，默认值为200
  控制器访问kube-apiserver的突发流量上限	kube-api-burst	与kube-apiserver通信的突发流量上限。	集群规格为1000节点以下时，默认值为100 集群规格为1000节点及以上时，默认值为200

• 资源对象处理并发配置：允许同时同步的资源对象的数量。配置数量越大，管理响应越快，但 CPU（和网络）负载也越高。
  

  请合理设置资源对象处理并发配置，否则可能出现以下问题：

  • 配置过小：可能导致管理器处理响应慢。
  • 配置过大：会对集群管控面造成压力，产生过载风险。

  表5 资源对象处理并发配置参数说明

  名称	参数	说明	取值
  Deployment	concurrent-deployment-syncs	可以并发同步的Deployment对象个数。数值越大意味着对Deployment的响应越及时，同时也意味着更大的CPU（和网络带宽）压力。	默认：5
  Endpoint	concurrent-endpoint-syncs	可以并发同步的Endpoints对象个数。数值越大意味着更新Endpoints越快，同时也意味着更大的CPU（和网络）压力。	默认：5
  GC回收	concurrent-gc-syncs	可以并发同步的垃圾收集（Garbage Collector）工作线程个数。	默认：20
  Job	concurrent-job-syncs	可以并发同步的Job对象个数。较大的数值意味着对Job的响应越及时，不过也意味着更多的CPU（和网络）占用。	默认：5
  CronJob	concurrent-cron-job-syncs	可以并发同步的CronJob对象个数。较大的数值意味着对CronJob的响应越及时，不过也意味着更多的CPU（和网络）占用。	默认：5
  Namespace	concurrent-namespace-syncs	可以并发同步的Namespace对象个数。较大的数值意味着对Namespace的响应越及时，不过也意味着更多的CPU（和网络）占用。	默认：10
  Replicaset	concurrent-replicaset-syncs	可以并发同步的ReplicaSet个数。数值越大，副本管理的响应速度越快，同时也意味着更多的CPU（和网络）占用。	默认：5
  ResourceQuota	concurrent-resource-quota-syncs	可以并发同步的ResourceQuota对象个数。数值越大，配额管理的响应速度越快，不过对CPU（和网络）的占用也越高。	默认：5
  Servicepace	concurrent-service-syncs	可以并发同步的Service对象个数。数值越大，服务管理的响应速度越快，不过对CPU（和网络）的占用也越高。	默认：10
  ServiceAccountToken	concurrent-serviceaccount-token-syncs	可以并发同步的服务账号令牌对象个数。数值越大，令牌生成的速度越快，不过对CPU（和网络）的占用也越高。	默认：5
  TTLAfterFinished	concurrent-ttl-after-finished-syncs	可以并发同步的ttl-after-finished-controller线程个数。	默认：5
  RC	concurrent_rc_syncs	可以并发同步的副本控制器对象个数。数值越大，副本管理操作越快，不过对CPU（和网络）的占用也越高。 说明： 该参数仅在v1.19及以下版本集群中使用。	默认：5
  RC	concurrent-rc-syncs	可以并发同步的副本控制器对象个数。数值越大，副本管理操作越快，不过对CPU（和网络）的占用也越高。 说明： 该参数仅在v1.21至v1.23版本集群中使用。v1.25版本后，该参数弃用（正式弃用版本为v1.25.3-r0）。	默认：5
  HPA并发处理数	concurrent-horizontal-pod-autoscaler-syncs	允许并发执行的HPA弹性伸缩数量。 数值越大，HPA弹性伸缩响应越快，不过对CPU（和网络）的占用也越高。 该参数仅v1.27及以上版本集群支持。	默认：5 取值范围为1-50

节点生命周期控制器（node-lifecycle-controller）配置

v1.23.14-r0、v1.25.9-r0、v1.27.6-r0、v1.28.4-r0及以上版本的集群支持该参数。

负载弹性伸缩控制器（horizontal-pod-autoscaler-controller）配置

Pod回收控制器（pod-garbage-collector-controller）配置

资源配额控制器（resource-quota-controller）配置

在高并发场景下（如批量创建Pod），配额管理机制可能导致部分请求因冲突而失败，除非必要不建议启用该功能。如启用，请确保请求客户端具备重试机制。