proto.lib

ServiceAccount Token Projection

Kubelet yêu cầu apiserver cấp JWT ngắn hạn, gắn với Pod và audience cụ thể, thay cho Secret token dùng vĩnh viễn kiểu cũ.

Data CenterNâng cao2026-07-08
ServiceAccount Token Projection

Tags

#serviceaccount#token-projection#jwt#kubelet#security

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

Data CenterNâng cao

Swap có kiểm soát trên Node Kubernetes

Bật swap có giới hạn cho các Pod Burstable để kernel page-out vùng anonymous memory lạnh ra đĩa thay vì kubelet phải evict Pod ngay khi vượt memory request, đổi lấy độ trễ khó đoán khi trang bị swap-in trở lại; Pod Guaranteed/nhạy độ trễ được loại trừ khỏi swap để tránh rủi ro này.

#kubernetes#swap#kubelet#memory-management
Data CenterTrung bình

In-Place Pod Resize: đổi CPU/Memory không cần tạo lại Pod

Kubernetes cho phép cập nhật requests/limits của một container đang chạy mà không cần xoá và tạo lại Pod; kubelet nhận resize qua PATCH subresource, áp trực tiếp vào cgroup nếu node đủ tài nguyên, giữ nguyên kết nối mạng và cache đã warm của tiến trình.

#kubernetes#pod-resize#cgroup#kubelet
Data CenterTrung bình

Pod QoS Class và thứ tự eviction khi node hết bộ nhớ

Tương quan giữa requests và limits của pod quyết định QoS class: requests bằng limits là Guaranteed, chỉ có requests là Burstable, không đặt gì là BestEffort; khi node vào memory pressure, kubelet evict theo thứ tự BestEffort trước, rồi Burstable, xếp hạng theo mức vượt request, Guaranteed bị evict cuối cùng.

#qos-class#pod-eviction#requests-limits#memory-pressure