ckad on 我的空间

pods-基于 busybox 镜像解释启动命令

Sun, 09 Aug 2026 12:43:00 +0800

用 busybox 来对比，恰好能揭示与 nginx 最核心的一个差异：busybox 官方镜像默认没有设置 ENTRYPOINT，只设置了 CMD ["sh"]。

这就导致 args（对应 CMD）的行为发生了根本性变化——在 nginx 中它只能是“参数”，但在 busybox 中它可以直接变成“完整的可执行命令”。

下面我通过 4 个 kubectl run 命令，让你直观感受这种差异。

场景一：默认运行（`CMD ["sh"]` 生效）

1

kubectl run bbox-default --image=busybox --restart=Never

K8s 字段：command 未设，args 未设。
实际执行：sh
运行结果：由于没有交互终端（-it），sh 启动后立即退出，Pod 状态很快变成 Completed。
差异说明：这是镜像自带的默认行为，但一般不适合作为常驻服务。

场景二：只设置 `args`（覆盖 `CMD`，因为没有 `ENTRYPOINT`，所以直接替换了主程序）

1

kubectl run bbox-args --image=busybox --restart=Never -- sleep 30

注意：这里没用 --command，所以 sleep 30 全被解析为 args。

K8s 字段：command 未设，args: [“sleep”, “30”]。
实际执行：sleep 30
运行结果：容器内 1 号进程是 sleep，持续运行 30 秒后退出。
🔥 与 nginx 的核心差异：在 nginx 中，args 只能追加参数（变成 nginx -g daemon off; worker_processes 4），无法把 nginx 换成 sleep。但在 busybox 中，因为缺少 ENTRYPOINT 这个“骨架”，args 直接覆盖了整条命令，相当于把 sh 换成了 sleep。

场景三：只设置 `command`（显式指定主程序，语义最清晰）

1

kubectl run bbox-command --image=busybox --restart=Never --command -- top

使用 --command，表示后面的 top 属于 command 字段。

K8s 字段：command: [“top”]，args 未设。
实际执行：top
运行结果：top 进程持续运行（默认刷新间隔 5 秒），容器不会退出。
差异说明：虽然在最终效果上，它跟场景二（args: ["top"]）都能运行 top，但在 K8s API 语义上完全不同：
- 场景二（仅 args）是“覆盖默认参数”，只是因为没 ENTRYPOINT 才碰巧变成了主程序；
- 场景三（仅 command）是“显式指定可执行文件”，明确告诉 K8s 我要运行什么。

场景四：同时设置 `command` 和 `args`（完全自定义，最标准）

1

kubectl run bbox-both --image=busybox --restart=Never --command -- ping 127.0.0.1 -- -c 3

--command 后的 ping 127.0.0.1 是 command，-- 后面的 -c 3 是 args。

K8s 字段：command: [“ping”, “127.0.0.1”]，args: ["-c", “3”]
实际执行：ping 127.0.0.1 -c 3
运行结果：向本机发 3 个 ping 包，输出结果后容器正常退出。
差异说明：这是最彻底的覆盖，镜像里定义的所有启动逻辑都被忽略，完全由用户掌控。

核心结论对比表（`nginx` vs `busybox`）

镜像类型	镜像自带字段	仅设置 `args` 时的效果	仅设置 `command` 时的效果
`nginx`	`ENTRYPOINT ["nginx"]`；`CMD ["-g","daemon off;"]`	给 `nginx` 传新参数（程序不变）	彻底换掉 `nginx`，原参数丢弃
`busybox`	`ENTRYPOINT` 未设置；`CMD ["sh"]`	直接变成新的可执行命令（`sh` 被替换）	显式指定新的可执行命令（语义更明确）

如何快速验证它们的不同？

用 kubectl get pods 看状态，再用 kubectl logs 或 kubectl exec 看进程：

1
2
3
4
5


# 查看 bbox-args 的 1 号进程（会是 sleep，而不是 sh）
kubectl exec bbox-args -- ps aux

# 查看 bbox-command 的 1 号进程（会是 top）
kubectl exec bbox-command -- ps aux

一句话总结

busybox 因为缺少 ENTRYPOINT，使得 args 拥有了“变身”能力（可直接换程序），而 nginx 因为有 ENTRYPOINT，args 只能“微调”参数。这提醒我们：写 YAML 时，不能想当然认为 args 永远只是参数，一定要看镜像本身的 ENTRYPOINT 是否存在。

CKAD 常用工具：Helm

Sun, 09 Aug 2026 12:27:00 +0800

Helm 不是 Kubernetes 资源，但 CKAD 可能考 chart 安装、升级、回滚、查看 release。常见题型是安装 Bitnami Nginx。

values 示例

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


replicaCount: 2
service:
 type: ClusterIP
 ports:
 http: 80
resources:
 requests:
 cpu: 100m
 memory: 128Mi
 limits:
 cpu: 200m
 memory: 256Mi

常考命令

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


k create ns web
helm repo add bitnami https://charts.bitnami.com/bitnami
helm repo update

helm search repo bitnami/nginx
helm show values bitnami/nginx
helm install nginx bitnami/nginx -n web --set replicaCount=2
helm list -n web
helm status nginx -n web

helm upgrade nginx bitnami/nginx -n web --set replicaCount=3
helm history nginx -n web
helm rollback nginx 1 -n web
helm uninstall nginx -n web

常考字段解析

release name：例如 nginx，是 Helm 管理实例名。
chart：例如 bitnami/nginx，是安装包。
namespace：release 安装位置，命令里用 -n。
--set key=value：命令行覆盖 values。
-f values.yaml：使用 values 文件覆盖默认值。

易错点

helm list 默认只看当前 namespace，考试要加 -n <ns> 或 -A。
release 名和 chart 名不是一回事。
修改参数用 helm upgrade，不是重新 install 同名 release。

CKAD 常用资源：CustomResourceDefinition

Sun, 09 Aug 2026 12:26:00 +0800

CustomResourceDefinition 简称 CRD，用来扩展 Kubernetes API。CKAD 偶尔考创建简单 CRD，重点是 group、names、version、schema。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


apiVersion: apiextensions.k8s.io/v1
kind: CustomResourceDefinition
metadata:
 name: backups.data.example.com
spec:
 group: data.example.com
 scope: Namespaced
 names:
 plural: backups
 singular: backup
 kind: Backup
 shortNames:
 - bkp
 versions:
 - name: v1alpha1
 served: true
 storage: true
 schema:
 openAPIV3Schema:
 type: object
 properties:
 spec:
 type: object
 properties:
 source:
 type: string
 destination:
 type: string

自定义资源示例

1
2
3
4
5
6
7
8


apiVersion: data.example.com/v1alpha1
kind: Backup
metadata:
 name: daily-backup
 namespace: default
spec:
 source: /data
 destination: s3://bucket/path

常考字段解析

metadata.name：必须是 <plural>.<group>。
spec.group：API group。
spec.scope：Namespaced 或 Cluster。
names.plural：资源复数名，kubectl 查询使用。
names.kind：资源 Kind。
versions[].name：版本名。
versions[].served：是否提供该版本 API。
versions[].storage：是否作为存储版本。
openAPIV3Schema：字段结构校验。

常用命令

1
2
3
4


k apply -f crd.yaml
k get crd backups.data.example.com
k api-resources | grep -i backup
k get backups -A

易错点

CRD 是集群级资源，不写 namespace。
metadata.name 要和 plural/group 对上。 k get backups -A

1
2
3
4
5



## 易错点

- CRD 是集群级资源，不能写 namespace。
- `metadata.name` 必须和 `plural.group` 一致。

CKAD 常用资源：HorizontalPodAutoscaler

Sun, 09 Aug 2026 12:26:00 +0800

HorizontalPodAutoscaler 简称 HPA，用于按指标自动扩缩容。CKAD 不是最高频，但命令很短，值得记。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


apiVersion: autoscaling/v2
kind: HorizontalPodAutoscaler
metadata:
 name: web-hpa
 namespace: workloads
spec:
 scaleTargetRef:
 apiVersion: apps/v1
 kind: Deployment
 name: web
 minReplicas: 2
 maxReplicas: 10
 metrics:
 - type: Resource
 resource:
 name: cpu
 target:
 type: Utilization
 averageUtilization: 60

常考字段解析

scaleTargetRef：要扩缩容的目标资源，常见 Deployment。
minReplicas：最小副本数。
maxReplicas：最大副本数。
metrics[].resource.name：指标资源，常见 cpu。
averageUtilization：目标平均利用率百分比。

常用命令

1
2
3


k autoscale deployment web -n workloads --min=2 --max=10 --cpu-percent=60
k get hpa -n workloads
k describe hpa web-hpa -n workloads

易错点

HPA 依赖 metrics-server；考试如果只要求创建资源，不一定需要指标真实可用。
被扩缩容的容器通常需要配置 CPU requests。

CKAD 常用字段：SecurityContext

Sun, 09 Aug 2026 12:25:00 +0800

SecurityContext 是 Pod 或 Container 的安全字段。CKAD 常考非 root、禁止提权、只读根文件系统、capabilities。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


apiVersion: v1
kind: Pod
metadata:
 name: secure-pod
 namespace: security
spec:
 securityContext:
 runAsNonRoot: true
 runAsUser: 1000
 runAsGroup: 3000
 fsGroup: 2000
 containers:
 - name: app
 image: nginx
 securityContext:
 allowPrivilegeEscalation: false
 readOnlyRootFilesystem: true
 capabilities:
 drop: ["ALL"]
 add: ["NET_BIND_SERVICE"]

常考字段解析

Pod 级 securityContext：影响 Pod 内所有容器的默认安全上下文。
Container 级 securityContext：只影响单个容器，优先级更高。
runAsNonRoot：要求非 root 运行。
runAsUser/runAsGroup：指定用户和组 ID。
fsGroup：挂载卷文件所属组。
allowPrivilegeEscalation：是否允许提权。
readOnlyRootFilesystem：根文件系统只读。
capabilities.drop/add：删除或增加 Linux capability。

常用命令

1
2
3


k get pod secure-pod -n security -o yaml | grep -A20 securityContext
k exec secure-pod -n security -- id
k describe pod secure-pod -n security

易错点

Pod 级和容器级都能写 securityContext，位置不同。
readOnlyRootFilesystem: true 可能导致应用写临时文件失败，需要配合 volume。

CKAD 常用字段：Probe

Sun, 09 Aug 2026 12:24:00 +0800

Probe 是容器字段，不是独立资源。CKAD 常考 HTTP、TCP、exec 三种探针，以及 liveness/readiness 的区别。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27


apiVersion: v1
kind: Pod
metadata:
 name: health-pod
 namespace: workloads
spec:
 containers:
 - name: nginx
 image: nginx
 ports:
 - containerPort: 80
 livenessProbe:
 httpGet:
 path: /healthz
 port: 80
 initialDelaySeconds: 10
 periodSeconds: 15
 failureThreshold: 3
 readinessProbe:
 tcpSocket:
 port: 80
 periodSeconds: 10
 startupProbe:
 exec:
 command: ["sh", "-c", "test -f /tmp/started"]
 failureThreshold: 30
 periodSeconds: 5

常考字段解析

livenessProbe：判断容器是否活着，失败会重启容器。
readinessProbe：判断是否可以接流量，失败会从 Service endpoints 移除。
startupProbe：给慢启动应用更多启动时间，成功前会屏蔽其他探针。
httpGet.path/port：HTTP 探测路径和端口。
tcpSocket.port：只检查端口是否可连接。
exec.command：在容器内执行命令。
periodSeconds：检查间隔。
failureThreshold：失败多少次后判定失败。

常用命令

1
2
3


k describe pod health-pod -n workloads
k get endpoints -n workloads
k logs health-pod -n workloads

易错点

liveness 失败会重启，readiness 失败不会重启。
port 可以写数字，也可以写容器端口名。

CKAD 常用资源：Volume

Sun, 09 Aug 2026 12:23:00 +0800

Volume 不是独立 API 资源，而是 Pod 里的字段。CKAD 常考 emptyDir、configMap、secret、persistentVolumeClaim。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32


apiVersion: v1
kind: Pod
metadata:
 name: volume-pod
 namespace: workloads
spec:
 containers:
 - name: app
 image: busybox
 command: ["sh", "-c", "sleep 3600"]
 volumeMounts:
 - name: cache
 mountPath: /cache
 - name: config
 mountPath: /etc/config
 - name: secret
 mountPath: /etc/secret
 readOnly: true
 - name: data
 mountPath: /data
 volumes:
 - name: cache
 emptyDir: {}
 - name: config
 configMap:
 name: app-config
 - name: secret
 secret:
 secretName: app-secret
 - name: data
 persistentVolumeClaim:
 claimName: pvc-app

常考字段解析

volumeMounts[].name：必须匹配 volumes[].name。
volumeMounts[].mountPath：容器内挂载路径。
volumeMounts[].readOnly：只读挂载，Secret 常用。
emptyDir：Pod 生命周期内临时目录，多容器共享。
configMap.name：挂载 ConfigMap 为文件。
secret.secretName：挂载 Secret 为文件。
persistentVolumeClaim.claimName：挂载 PVC。

常用命令

1
2
3


k describe pod volume-pod -n workloads
k exec -it volume-pod -n workloads -- ls -l /etc/config
k exec -it volume-pod -n workloads -- cat /etc/secret/password

易错点

volumeMounts 在容器下，volumes 在 Pod spec 下。
ConfigMap/Secret/PVC 必须和 Pod 在同一 namespace。

CKAD 常用资源：StorageClass

Sun, 09 Aug 2026 12:22:00 +0800

StorageClass 描述存储供应方式。CKAD 常考 kubernetes.io/no-provisioner 和 WaitForFirstConsumer。

YAML 模板

1
2
3
4
5
6
7


apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
 name: fast-storage
provisioner: kubernetes.io/no-provisioner
volumeBindingMode: WaitForFirstConsumer
reclaimPolicy: Retain

常考字段解析

provisioner：供应器，静态本地存储常用 kubernetes.io/no-provisioner。
volumeBindingMode：绑定模式，WaitForFirstConsumer 会等 Pod 调度时再绑定。
reclaimPolicy：动态创建 PV 的回收策略。
allowVolumeExpansion：是否允许扩容，题目要求时再加。

常用命令

1
2
3


k get sc
k describe sc fast-storage
k apply -f storageclass.yaml

易错点

StorageClass 是集群级资源，不能写 namespace。
PVC 的 storageClassName 必须和 StorageClass 名称一致。

CKAD 常用资源：PersistentVolumeClaim

Sun, 09 Aug 2026 12:21:00 +0800

PersistentVolumeClaim 简称 PVC，是命名空间里的存储申请。Pod 通常通过 PVC 使用 PV。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


apiVersion: v1
kind: PersistentVolumeClaim
metadata:
 name: pvc-app
 namespace: storage-test
spec:
 accessModes:
 - ReadWriteOnce
 storageClassName: fast-storage
 resources:
 requests:
 storage: 500Mi

Pod 使用模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


apiVersion: v1
kind: Pod
metadata:
 name: pvc-pod
 namespace: storage-test
spec:
 containers:
 - name: app
 image: busybox
 command: ["sh", "-c", "echo hello > /data/hello.txt && sleep 3600"]
 volumeMounts:
 - name: app-data
 mountPath: /data
 volumes:
 - name: app-data
 persistentVolumeClaim:
 claimName: pvc-app

常考字段解析

spec.accessModes：要和 PV 支持的模式兼容。
spec.storageClassName：指定 StorageClass，也可为空字符串禁用动态供应。
resources.requests.storage：申请容量。
volumes[].persistentVolumeClaim.claimName：Pod 引用 PVC 名称。

常用命令

1
2
3


k get pvc -n storage-test
k describe pvc pvc-app -n storage-test
k get pv

易错点

PVC 是 namespace 级资源，Pod 必须和 PVC 在同一 namespace。
PVC 申请容量不能大于可绑定 PV 的容量。

CKAD 常用资源：PersistentVolume

Sun, 09 Aug 2026 12:20:00 +0800

PersistentVolume 简称 PV，是集群级存储资源。CKAD 常考 hostPath PV、容量、访问模式、回收策略。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


apiVersion: v1
kind: PersistentVolume
metadata:
 name: pv-storage
spec:
 capacity:
 storage: 1Gi
 accessModes:
 - ReadWriteOnce
 persistentVolumeReclaimPolicy: Retain
 storageClassName: fast-storage
 hostPath:
 path: /mnt/data

常考字段解析

spec.capacity.storage：PV 容量。
spec.accessModes：访问模式，常见 ReadWriteOnce。
persistentVolumeReclaimPolicy：回收策略，常见 Retain、Delete。
storageClassName：绑定 StorageClass，需和 PVC 对应。
hostPath.path：节点本地路径，模拟题常用。

常用命令

1
2
3


k get pv
k describe pv pv-storage
k apply -f pv.yaml

易错点

PV 是集群级资源，不能写 namespace。
PVC 绑定失败时查容量、accessModes、storageClassName 是否匹配。

CKAD 常用资源：NetworkPolicy

Sun, 09 Aug 2026 12:19:00 +0800

NetworkPolicy 控制 Pod 间网络访问。CKAD 高频题型是“只允许某些 Pod 访问某些 Pod 的某个端口”。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
 name: allow-frontend
 namespace: networking
spec:
 podSelector:
 matchLabels:
 app: web
 policyTypes:
 - Ingress
 ingress:
 - from:
 - podSelector:
 matchLabels:
 tier: frontend
 ports:
 - protocol: TCP
 port: 80

常考字段解析

spec.podSelector：选择被保护的目标 Pod。
policyTypes：Ingress 控制入站，Egress 控制出站。
ingress[].from[].podSelector：允许哪些来源 Pod。
ingress[].from[].namespaceSelector：允许哪些命名空间里的来源。
ports[].port：允许访问的目标端口。

常用命令

1
2
3
4


k get netpol -n networking
k describe netpol allow-frontend -n networking
k get pod -n networking --show-labels
k run tmp --restart=Never --rm -i --image=busybox -- wget -O- web-service:80

易错点

podSelector 是目标 Pod，不是来源 Pod。
Pod 一旦被 NetworkPolicy 选中，未允许的流量会被拒绝。
NetworkPolicy 是否生效取决于集群 CNI 是否支持。

CKAD 常用资源：Ingress

Sun, 09 Aug 2026 12:18:00 +0800

Ingress 提供 HTTP/HTTPS 七层路由。CKAD 常考 host、path、pathType、backend service。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
 name: api-ingress
 namespace: networking
spec:
 rules:
 - host: api.example.com
 http:
 paths:
 - path: /
 pathType: Prefix
 backend:
 service:
 name: api-service
 port:
 number: 80

常考字段解析

spec.rules[].host：域名匹配。
paths[].path：URL 路径。
paths[].pathType：常用 Prefix 或 Exact。
backend.service.name：后端 Service 名称。
backend.service.port.number：后端 Service 端口，不是容器端口。

常用命令

1
2
3


k create ingress api-ingress -n networking --rule='api.example.com/=api-service:80'
k get ingress -n networking
k describe ingress api-ingress -n networking

易错点

Ingress 后端指向 Service，不直接指向 Pod。
port.number 是 Service 的 port。
集群需要 Ingress Controller，资源存在不代表外部一定可访问。

CKAD 常用资源：Service

Sun, 09 Aug 2026 12:17:00 +0800

Service 为一组 Pod 提供稳定访问入口。CKAD 常考 ClusterIP、NodePort、selector 排障。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


apiVersion: v1
kind: Service
metadata:
 name: web-service
 namespace: networking
spec:
 type: ClusterIP
 selector:
 app: web
 ports:
 - name: http
 protocol: TCP
 port: 80
 targetPort: 8080

NodePort 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


apiVersion: v1
kind: Service
metadata:
 name: public-web
 namespace: networking
spec:
 type: NodePort
 selector:
 app: web
 ports:
 - port: 80
 targetPort: 80
 nodePort: 30080

常考字段解析

spec.type：常见 ClusterIP、NodePort、LoadBalancer。
spec.selector：匹配 Pod labels，决定 endpoints。
ports[].port：Service 暴露端口。
ports[].targetPort：Pod 容器端口，可以是数字或端口名。
ports[].nodePort：NodePort 类型的节点端口，通常范围 30000-32767。

常用命令

1
2
3
4


k expose deployment web -n networking --name=web-service --port=80 --target-port=8080
k get svc,endpoints -n networking
k describe svc web-service -n networking
k run tmp --restart=Never --rm -i --image=busybox -- wget -O- web-service:80

易错点

Service 不通先看 endpoints，为空就是 selector 没匹配到 Pod。
port 是访问 Service 的端口，targetPort 是 Pod 里的端口。

CKAD 常用资源：ResourceQuota 与 LimitRange

Sun, 09 Aug 2026 12:16:00 +0800

ResourceQuota 限制命名空间总量，LimitRange 限制单个 Pod 或 Container 的默认值和范围。CKAD 出现频率不高，但属于常用资源。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33


apiVersion: v1
kind: ResourceQuota
metadata:
 name: compute-quota
 namespace: dev
spec:
 hard:
 requests.cpu: "1"
 requests.memory: 1Gi
 limits.cpu: "2"
 limits.memory: 2Gi
 pods: "10"
---
apiVersion: v1
kind: LimitRange
metadata:
 name: container-limits
 namespace: dev
spec:
 limits:
 - type: Container
 default:
 cpu: 200m
 memory: 256Mi
 defaultRequest:
 cpu: 100m
 memory: 128Mi
 max:
 cpu: "1"
 memory: 1Gi
 min:
 cpu: 50m
 memory: 64Mi

常考字段解析

ResourceQuota.spec.hard：命名空间资源硬限制。
requests.cpu/memory：所有 Pod requests 总和限制。
limits.cpu/memory：所有 Pod limits 总和限制。
LimitRange.spec.limits[].type：常用 Container。
default：容器未写 limits 时默认值。
defaultRequest：容器未写 requests 时默认值。

常用命令

1
2
3


k get quota,limitrange -n dev
k describe quota compute-quota -n dev
k describe limitrange container-limits -n dev

易错点

ResourceQuota 是 namespace 级资源，必须放在目标 namespace。
开了 ResourceQuota 后，Pod 不写 requests/limits 可能被拒绝。

CKAD 常用资源：ClusterRole 与 ClusterRoleBinding

Sun, 09 Aug 2026 12:15:00 +0800

ClusterRole 定义集群级权限，ClusterRoleBinding 把权限绑定到整个集群范围。CKAD 常考允许某用户读取所有 Pod。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
 name: pod-reader
rules:
- apiGroups: [""]
 resources: ["pods"]
 verbs: ["get", "list", "watch"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
 name: read-pods
subjects:
- kind: User
 name: jane
 apiGroup: rbac.authorization.k8s.io
roleRef:
 kind: ClusterRole
 name: pod-reader
 apiGroup: rbac.authorization.k8s.io

常考字段解析

ClusterRole.metadata.namespace：不能写，ClusterRole 是集群级资源。
ClusterRoleBinding.metadata.namespace：不能写，ClusterRoleBinding 也是集群级资源。
subjects[].kind：用户用 User，服务账号用 ServiceAccount。
roleRef.kind：这里通常是 ClusterRole。

常用命令

1
2
3


k create clusterrole pod-reader --verb=get,list,watch --resource=pods
k create clusterrolebinding read-pods --clusterrole=pod-reader --user=jane
k auth can-i list pods --as=jane

易错点

只想授权某个 namespace 时，用 RoleBinding 绑定 ClusterRole 也可以限制范围。
集群级资源不要加 -n。

CKAD 常用资源：Role 与 RoleBinding

Sun, 09 Aug 2026 12:14:00 +0800

Role 定义命名空间内权限，RoleBinding 把权限绑定给用户、组或 ServiceAccount。公式：先写权限，再写绑定。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23


apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
 name: pod-reader
 namespace: security
rules:
- apiGroups: [""]
 resources: ["pods"]
 verbs: ["get", "list", "watch"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
 name: read-pods
 namespace: security
subjects:
- kind: ServiceAccount
 name: app-sa
 namespace: security
roleRef:
 kind: Role
 name: pod-reader
 apiGroup: rbac.authorization.k8s.io

常考字段解析

rules[].apiGroups：核心资源如 Pod、Service 写空字符串 ""。
rules[].resources：资源复数名，如 pods、services。
rules[].verbs：动作，如 get、list、watch、create、delete。
subjects[].kind：User、Group 或 ServiceAccount。
roleRef：绑定到哪个 Role，创建后不能直接修改。

常用命令

1
2
3


k create role pod-reader -n security --verb=get,list,watch --resource=pods
k create rolebinding read-pods -n security --role=pod-reader --serviceaccount=security:app-sa
k auth can-i list pods -n security --as=system:serviceaccount:security:app-sa

易错点

Role 只在自己的 namespace 生效。
ServiceAccount subject 需要写 namespace。

CKAD 常用资源：ServiceAccount

Sun, 09 Aug 2026 12:13:00 +0800

ServiceAccount 是 Pod 在集群内访问 Kubernetes API 时使用的身份。CKAD 常和 RBAC、Secret、Pod spec 一起考。

YAML 模板

1
2
3
4
5
6


apiVersion: v1
kind: ServiceAccount
metadata:
 name: app-sa
 namespace: security
automountServiceAccountToken: false

Pod 使用模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


apiVersion: v1
kind: Pod
metadata:
 name: sa-pod
 namespace: security
spec:
 serviceAccountName: app-sa
 containers:
 - name: nginx
 image: nginx

常考字段解析

metadata.name：Pod 通过 serviceAccountName 引用。
automountServiceAccountToken：是否自动挂载 API token。
spec.serviceAccountName：Pod 字段，不是 ServiceAccount 字段。

常用命令

1
2
3
4


k create sa app-sa -n security
k get sa -n security
k describe sa app-sa -n security
k auth can-i list pods -n security --as=system:serviceaccount:security:app-sa

易错点

ServiceAccount 自身不代表权限，权限来自 RoleBinding 或 ClusterRoleBinding。
serviceAccountName 写在 Pod 的 spec 下。

CKAD 常用资源：Secret

Sun, 09 Aug 2026 12:12:00 +0800

Secret 保存敏感配置。CKAD 常考 generic Secret、环境变量引用、volume 挂载。

YAML 模板

1
2
3
4
5
6
7
8
9


apiVersion: v1
kind: Secret
metadata:
 name: db-credentials
 namespace: configuration
type: Opaque
stringData:
 username: admin
 password: securepass

Pod 使用模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


apiVersion: v1
kind: Pod
metadata:
 name: secure-pod
 namespace: configuration
spec:
 containers:
 - name: mysql
 image: mysql:5.7
 env:
 - name: DB_USER
 valueFrom:
 secretKeyRef:
 name: db-credentials
 key: username
 - name: DB_PASSWORD
 valueFrom:
 secretKeyRef:
 name: db-credentials
 key: password
 volumeMounts:
 - name: db-secret
 mountPath: /etc/db-secret
 readOnly: true
 volumes:
 - name: db-secret
 secret:
 secretName: db-credentials

常考字段解析

type: Opaque：通用 Secret 类型。
stringData：明文写入，apiserver 会转成 data 的 base64。
data：需要自己写 base64 编码后的值。
secretKeyRef.name/key：引用指定 Secret 的指定 key。
volumes[].secret.secretName：挂载 Secret 为文件。

常用命令

1
2
3
4


k create secret generic db-credentials -n configuration --from-literal=username=admin --from-literal=password=securepass
k describe secret db-credentials -n configuration
k get secret db-credentials -n configuration -o yaml
k get secret db-credentials -n configuration -o jsonpath='{.data.username}' | base64 -d

易错点

YAML 中 data 必须 base64；想写明文用 stringData。
Secret 挂载成 volume 时默认只读。

CKAD 常用资源：ConfigMap

Sun, 09 Aug 2026 12:11:00 +0800

ConfigMap 保存非敏感配置。CKAD 常考创建 ConfigMap，并让 Pod 通过环境变量或文件挂载使用。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


apiVersion: v1
kind: ConfigMap
metadata:
 name: app-config
 namespace: configuration
data:
 APP_ENV: production
 LOG_LEVEL: info
 app.conf: |
 server.port=8080
 feature.enabled=true

Pod 使用模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


apiVersion: v1
kind: Pod
metadata:
 name: config-pod
 namespace: configuration
spec:
 containers:
 - name: app
 image: nginx
 envFrom:
 - configMapRef:
 name: app-config
 volumeMounts:
 - name: config
 mountPath: /etc/app
 volumes:
 - name: config
 configMap:
 name: app-config

常考字段解析

data：键值都按字符串处理。
envFrom.configMapRef.name：把 ConfigMap 所有 key 注入为环境变量。
env[].valueFrom.configMapKeyRef：只引用一个 key。
volumes[].configMap.name：把 ConfigMap 挂载成文件。

常用命令

1
2
3
4


k create configmap app-config -n configuration --from-literal=APP_ENV=production --from-literal=LOG_LEVEL=info
k create configmap app-config -n configuration --from-file=app.conf
k describe cm app-config -n configuration
k get cm app-config -n configuration -o yaml

易错点

ConfigMap 不适合保存密码，密码用 Secret。
通过 volume 挂载时，每个 key 会变成一个文件名。

CKAD 常用资源：DaemonSet

Sun, 09 Aug 2026 12:10:00 +0800

DaemonSet 保证每个匹配节点上运行一个 Pod，常用于日志、监控、节点代理。CKAD 不算最高频，但属于常见工作负载资源。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


apiVersion: apps/v1
kind: DaemonSet
metadata:
 name: node-logger
 namespace: kube-system
spec:
 selector:
 matchLabels:
 app: node-logger
 template:
 metadata:
 labels:
 app: node-logger
 spec:
 containers:
 - name: logger
 image: busybox
 command: ["sh", "-c", "while true; do date; sleep 30; done"]

常考字段解析

spec.selector.matchLabels：选择 DaemonSet 管理的 Pod。
spec.template.metadata.labels：必须匹配 selector。
spec.template.spec.nodeSelector：限制只在部分节点运行。
spec.template.spec.tolerations：允许调度到带污点的节点。

常用命令

1
2
3
4


k get daemonset -A
k describe daemonset node-logger -n kube-system
k rollout status daemonset/node-logger -n kube-system
k get pod -n kube-system -l app=node-logger -o wide

易错点

DaemonSet 不写 replicas，副本数由节点数量决定。
selector 和 template labels 仍然必须一致。

CKAD 常用资源：StatefulSet

Sun, 09 Aug 2026 12:09:00 +0800

StatefulSet 用于有稳定网络标识和稳定存储的应用。CKAD 出现频率不如 Deployment，但存储综合题可能会考。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32


apiVersion: apps/v1
kind: StatefulSet
metadata:
 name: web
 namespace: state
spec:
 serviceName: web
 replicas: 2
 selector:
 matchLabels:
 app: web
 template:
 metadata:
 labels:
 app: web
 spec:
 containers:
 - name: nginx
 image: nginx
 ports:
 - containerPort: 80
 volumeMounts:
 - name: data
 mountPath: /usr/share/nginx/html
 volumeClaimTemplates:
 - metadata:
 name: data
 spec:
 accessModes: ["ReadWriteOnce"]
 resources:
 requests:
 storage: 500Mi

常考字段解析

spec.serviceName：关联 headless Service 名称，用于稳定 DNS。
spec.replicas：副本数，Pod 名称会是 web-0、web-1。
spec.selector.matchLabels：必须匹配 Pod 模板标签。
volumeClaimTemplates：为每个 Pod 自动创建独立 PVC。
volumeMounts[].name：要匹配 volumeClaimTemplates[].metadata.name。

常用命令

1
2
3
4


k get statefulset,pod,pvc -n state
k scale statefulset web -n state --replicas=3
k describe statefulset web -n state
k rollout status statefulset/web -n state

易错点

StatefulSet 通常需要一个同名或指定名的 headless Service。
删除 StatefulSet 不一定删除 PVC，存储可能会保留。

CKAD 常用资源：CronJob

Sun, 09 Aug 2026 12:08:00 +0800

CronJob 按时间表达式创建 Job。CKAD 常考每分钟、每小时、每天执行一次，以及并发策略。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


apiVersion: batch/v1
kind: CronJob
metadata:
 name: log-cleaner
 namespace: jobs
spec:
 schedule: "0 * * * *"
 concurrencyPolicy: Forbid
 successfulJobsHistoryLimit: 3
 failedJobsHistoryLimit: 1
 jobTemplate:
 spec:
 backoffLimit: 2
 template:
 spec:
 restartPolicy: OnFailure
 containers:
 - name: cleaner
 image: busybox
 command: ["sh", "-c", "date && rm -rf /tmp/*.log"]

常考字段解析

spec.schedule：cron 表达式，*/5 * * * * 表示每 5 分钟。
spec.concurrencyPolicy：并发策略，Allow、Forbid、Replace。
spec.jobTemplate：Job 模板，里面再写 Pod 模板。
successfulJobsHistoryLimit：保留成功 Job 数量。
failedJobsHistoryLimit：保留失败 Job 数量。

常用命令

1
2
3
4


k create cronjob log-cleaner -n jobs --image=busybox --schedule='0 * * * *' -- sh -c 'date'
k get cronjob,job,pod -n jobs
k create job manual-run -n jobs --from=cronjob/log-cleaner
k describe cronjob log-cleaner -n jobs

易错点

jobTemplate.spec.template.spec.restartPolicy 仍然必须是 Never 或 OnFailure。
cron 表达式要加引号，避免 * 被 shell 处理。

CKAD 常用资源：Job

Sun, 09 Aug 2026 12:07:00 +0800

Job 用来运行一次性任务，目标是成功完成指定数量的 Pod。CKAD 常考执行命令、设置重试和超时时间。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


apiVersion: batch/v1
kind: Job
metadata:
 name: hello-job
 namespace: jobs
spec:
 completions: 1
 parallelism: 1
 backoffLimit: 3
 activeDeadlineSeconds: 60
 template:
 spec:
 restartPolicy: Never
 containers:
 - name: hello
 image: busybox
 command: ["sh", "-c", "echo hello && sleep 5"]

常考字段解析

spec.template：Pod 模板，和 Pod 的 spec 写法一致。
spec.template.spec.restartPolicy：Job 里必须是 Never 或 OnFailure。
spec.completions：需要成功完成的 Pod 数量。
spec.parallelism：并发运行的 Pod 数量。
spec.backoffLimit：失败重试次数。
spec.activeDeadlineSeconds：Job 总超时时间。

常用命令

1
2
3
4
5


k create job hello-job -n jobs --image=busybox -- sh -c 'echo hello'
k create job test-job -n jobs --from=cronjob/log-cleaner
k get job,pod -n jobs
k logs job/hello-job -n jobs
k describe job hello-job -n jobs

易错点

Job 的 Pod 不应该写 restartPolicy: Always。
command 覆盖 ENTRYPOINT，args 传参数；不确定时用 sh -c 最稳。

CKAD 常用资源：Deployment

Sun, 09 Aug 2026 12:06:00 +0800

Deployment 用来管理无状态应用副本和滚动更新。CKAD 常考创建 Deployment、修改镜像、扩缩容、回滚、暴露 Service。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


apiVersion: apps/v1
kind: Deployment
metadata:
 name: nginx-deployment
 namespace: dev
spec:
 replicas: 3
 selector:
 matchLabels:
 app: nginx
 strategy:
 type: RollingUpdate
 template:
 metadata:
 labels:
 app: nginx
 spec:
 containers:
 - name: nginx
 image: nginx:1.25
 ports:
 - containerPort: 80

常考字段解析

spec.replicas：副本数。
spec.selector.matchLabels：Deployment 管理哪些 Pod。
spec.template.metadata.labels：Pod 模板标签，必须匹配 selector。
spec.template.spec.containers：真正的 Pod 容器模板。
spec.strategy.type：滚动更新策略，常见 RollingUpdate。

常用命令

1
2
3
4
5
6
7


k create deployment nginx-deployment -n dev --image=nginx:1.25 --replicas=3
k scale deployment nginx-deployment -n dev --replicas=5
k set image deployment/nginx-deployment nginx=nginx:1.26 -n dev
k rollout status deployment/nginx-deployment -n dev
k rollout history deployment/nginx-deployment -n dev
k rollout undo deployment/nginx-deployment -n dev
k expose deployment nginx-deployment -n dev --port=80 --target-port=80

易错点

selector.matchLabels 和 template.metadata.labels 不一致会创建失败。
set image 里的容器名不是 Deployment 名，而是 containers[].name。
Deployment 排障先看 Pod，再看 ReplicaSet 和 rollout 状态。

CKAD 常用资源：Pod

Sun, 09 Aug 2026 12:05:00 +0800

Pod 是 CKAD 最核心资源。大多数题不是单独考 Pod，就是把 Pod 模板嵌在 Deployment、Job、CronJob、StatefulSet 里。

YAML 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


apiVersion: v1
kind: Pod
metadata:
 name: nginx-pod
 namespace: dev
 labels:
 app: nginx
 tier: web
spec:
 restartPolicy: Always
 containers:
 - name: nginx
 image: nginx:1.25
 imagePullPolicy: IfNotPresent
 ports:
 - containerPort: 80
 env:
 - name: APP_ENV
 value: prod
 resources:
 requests:
 cpu: 100m
 memory: 128Mi
 limits:
 cpu: 200m
 memory: 256Mi
 livenessProbe:
 httpGet:
 path: /
 port: 80
 periodSeconds: 10
 readinessProbe:
 tcpSocket:
 port: 80
 periodSeconds: 5

常考字段解析

metadata.namespace：资源所在命名空间，命令里常用 -n 指定。
metadata.labels：给 Service、NetworkPolicy、查询命令选择 Pod。
spec.containers[].name：容器名，logs -c、exec -c、set image 都会用到。
spec.containers[].image：镜像名，排障题常考镜像错误。
spec.containers[].ports[].containerPort：容器监听端口，常和 Service 的 targetPort 对应。
spec.restartPolicy：Pod 默认 Always；Job/CronJob 模板里常用 Never 或 OnFailure。
resources.requests/limits：调度和限制资源，常考 CPU、内存格式。
livenessProbe：存活检查，失败会重启容器。
readinessProbe：就绪检查，失败时不会接入 Service endpoints。

常用命令

1
2
3
4
5
6


k run nginx-pod --image=nginx --restart=Never -n dev
k run nginx-pod --image=nginx --restart=Never --dry-run=client -o yaml > pod.yaml
k get pod -n dev --show-labels
k describe pod nginx-pod -n dev
k logs nginx-pod -n dev
k exec -it nginx-pod -n dev -- sh

易错点

单独 Pod 使用 --restart=Never 生成模板；不加时容易变成默认行为混淆。
多容器 Pod 查日志要加 -c <container>。
readinessProbe 失败会导致 Service 没有可用 endpoint。

CKAD 常用资源：Namespace

Sun, 09 Aug 2026 12:00:00 +0800

Namespace 用来隔离命名空间级资源。CKAD 里常见要求是创建命名空间、在指定命名空间创建资源、列出所有命名空间并写入文件。

YAML 模板

1
2
3
4
5
6


apiVersion: v1
kind: Namespace
metadata:
 name: dev
 labels:
 env: dev

常考字段解析

metadata.name：命名空间名称，很多题后续资源都必须放到这里。
metadata.labels：给 NetworkPolicy、配额或选择器使用，考试偶尔要求补标签。

常用命令

1
2
3
4


k create ns dev
k get ns
k get ns > /opt/course/1/namespaces
k config set-context --current --namespace=dev

易错点

Namespace 本身不是 namespaced 资源，不能写 metadata.namespace。
创建资源时忘记 -n <namespace> 是 CKAD 高频失分点。

CKAD 复习：排障、Helm、CRD 与镜像工具

Sun, 09 Aug 2026 11:40:00 +0800

排障题不要凭感觉改，先按固定链路收证据：get 看状态，describe 看事件，logs 看应用，rollout 看发布，endpoints 看 Service 是否选中 Pod。

1. Deployment 启动失败

1
2
3
4
5


k get deploy,pod -n troubleshooting -o wide
k describe deployment broken-deployment -n troubleshooting
k describe pod -l app=broken-app -n troubleshooting
k logs -l app=broken-app -n troubleshooting --all-containers=true
k get events -n troubleshooting --sort-by=.lastTimestamp

常见修法：

1
2
3
4
5
6
7
8
9


# 镜像错
k set image deployment/broken-deployment nginx=nginx:1.19 -n troubleshooting

# 资源限制缺失或过低
k patch deployment broken-deployment -n troubleshooting --patch '{"spec":{"template":{"spec":{"containers":[{"name":"nginx","resources":{"requests":{"cpu":"100m","memory":"128Mi"},"limits":{"cpu":"200m","memory":"256Mi"}}}]}}}}'

# 观察发布结果
k rollout status deployment/broken-deployment -n troubleshooting
k rollout history deployment/broken-deployment -n troubleshooting

2. Service 不通

1
2
3
4
5


k get svc web-service -n troubleshooting -o wide
k describe svc web-service -n troubleshooting
k get endpoints web-service -n troubleshooting
k get pod -n troubleshooting --show-labels
k run tmp --restart=Never --rm -i --image=busybox -- wget -O- web-service:80

判断：

endpoints 为空：selector 和 Pod label 不匹配。
endpoints 有 IP 但访问失败：检查 targetPort、容器监听端口、NetworkPolicy。
只有某个 Pod 失败：看该 Pod 的 logs/events。

3. 常用输出与定位

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 所有命名空间资源概览
k get pod -A -o wide
k get deploy,svc,ingress,netpol -A

# 自定义列
k get pod -A -o custom-columns='NS:.metadata.namespace,NAME:.metadata.name,NODE:.spec.nodeName,IMAGE:.spec.containers[*].image'

# JSONPath
k get pod nginx -o jsonpath='{.spec.containers[*].image}'

# 排序事件
k get events -A --sort-by=.lastTimestamp

4. Helm 基础题

Helm 题通常是添加仓库、安装 chart、升级、回滚、卸载。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


k create ns web
helm repo add bitnami https://charts.bitnami.com/bitnami
helm repo update

helm install nginx bitnami/nginx -n web --set replicaCount=2
helm list -n web
helm status nginx -n web

helm upgrade nginx bitnami/nginx -n web --set replicaCount=3
helm history nginx -n web
helm rollback nginx 1 -n web
helm uninstall nginx -n web

5. CRD 最小模板

CRD 题只要能写出 group、kind、plural、version、schema。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


apiVersion: apiextensions.k8s.io/v1
kind: CustomResourceDefinition
metadata:
 name: backups.data.example.com
spec:
 group: data.example.com
 scope: Namespaced
 names:
 plural: backups
 singular: backup
 kind: Backup
 shortNames:
 - bkp
 versions:
 - name: v1alpha1
 served: true
 storage: true
 schema:
 openAPIV3Schema:
 type: object
 properties:
 spec:
 type: object
 properties:
 source:
 type: string
 destination:
 type: string

6. OCI/Docker 基础

如果题目要求处理镜像归档或 Dockerfile，记住最短路径：

1
2
3
4
5
6
7
8
9


cat > Dockerfile <<'EOF'
FROM nginx:alpine
COPY index.html /usr/share/nginx/html/
EXPOSE 80
EOF

docker build -t ckad-nginx:latest .
docker save ckad-nginx:latest -o /tmp/ckad-nginx.tar
docker load -i /tmp/ckad-nginx.tar

OCI 归档类题：

1
2
3
4


docker pull nginx:latest
docker save nginx:latest -o /tmp/nginx-image.tar
mkdir -p /root/oci-images
tar -xf /tmp/nginx-image.tar -C /root/oci-images

考场压缩记忆

排障先证据后修改：get -> describe -> logs -> events。
Deployment 修复后必须 rollout status。
Service 题核心看 endpoints。
Helm 固定顺序：repo add/update -> install -> list/status -> upgrade/rollback。
CRD 固定骨架：group + names + versions + schema。

CKAD 复习：存储题压缩模板

Sun, 09 Aug 2026 11:35:00 +0800

存储题记 4 个层次：emptyDir 是 Pod 内共享临时目录，PV 是集群里的真实存储，PVC 是命名空间里的申请单，Pod volumes 把 PVC 挂进去。

1. emptyDir：多容器共享临时目录

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


apiVersion: v1
kind: Pod
metadata:
 name: shared-volume-pod
 namespace: storage-test
spec:
 containers:
 - name: writer
 image: busybox
 command: ["sh", "-c", "while true; do date >> /data/app.log; sleep 5; done"]
 volumeMounts:
 - name: data
 mountPath: /data
 - name: reader
 image: busybox
 command: ["sh", "-c", "tail -f /data/app.log"]
 volumeMounts:
 - name: data
 mountPath: /data
 volumes:
 - name: data
 emptyDir: {}

2. PV：集群级真实存储

hostPath 类型 PV 常用于模拟题。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


apiVersion: v1
kind: PersistentVolume
metadata:
 name: pv-storage
spec:
 capacity:
 storage: 1Gi
 accessModes:
 - ReadWriteOnce
 persistentVolumeReclaimPolicy: Retain
 storageClassName: fast-storage
 hostPath:
 path: /mnt/data

3. StorageClass：动态或延迟绑定策略

无动态 provisioner 的本地模拟题常用 kubernetes.io/no-provisioner。

1
2
3
4
5
6


apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
 name: fast-storage
provisioner: kubernetes.io/no-provisioner
volumeBindingMode: WaitForFirstConsumer

4. PVC：命名空间里的申请单

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


apiVersion: v1
kind: PersistentVolumeClaim
metadata:
 name: pvc-app
 namespace: storage-test
spec:
 accessModes:
 - ReadWriteOnce
 storageClassName: fast-storage
 resources:
 requests:
 storage: 500Mi

检查绑定：

1
2
3


k get pv
k get pvc -n storage-test
k describe pvc pvc-app -n storage-test

5. Pod 挂载 PVC

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


apiVersion: v1
kind: Pod
metadata:
 name: pvc-pod
 namespace: storage-test
spec:
 containers:
 - name: app
 image: busybox
 command: ["sh", "-c", "echo hello > /data/hello.txt && sleep 3600"]
 volumeMounts:
 - name: app-data
 mountPath: /data
 volumes:
 - name: app-data
 persistentVolumeClaim:
 claimName: pvc-app

6. StatefulApp 题的最小思路

如果题目要 StatefulSet，先抓 3 个关键字段：serviceName、volumeClaimTemplates、稳定副本名。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30


apiVersion: apps/v1
kind: StatefulSet
metadata:
 name: web
 namespace: state
spec:
 serviceName: web
 replicas: 2
 selector:
 matchLabels:
 app: web
 template:
 metadata:
 labels:
 app: web
 spec:
 containers:
 - name: nginx
 image: nginx
 volumeMounts:
 - name: data
 mountPath: /usr/share/nginx/html
 volumeClaimTemplates:
 - metadata:
 name: data
 spec:
 accessModes: ["ReadWriteOnce"]
 resources:
 requests:
 storage: 500Mi

考场压缩记忆

emptyDir：Pod 生命周期内临时共享。
PV：集群级，写容量、访问模式、回收策略、后端类型。
PVC：命名空间级，写申请容量、访问模式、StorageClass。
Pod：通过 volumes.persistentVolumeClaim.claimName 使用 PVC。
绑定失败优先查 storageClassName、容量、accessModes。

CKAD 复习：网络题压缩模板

Sun, 09 Aug 2026 11:30:00 +0800

网络题只围绕 3 个资源：Service 找 Pod，Ingress 找 Service，NetworkPolicy 限制 Pod 流量。排障时顺着这条链查：客户端 -> Service -> Endpoints -> Pod labels -> containerPort。

1. Service：selector 必须匹配 Pod label

ClusterIP 是默认类型，内部访问用它。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


apiVersion: v1
kind: Service
metadata:
 name: internal-app
 namespace: networking
spec:
 type: ClusterIP
 selector:
 app: backend
 ports:
 - port: 80
 targetPort: 8080

NodePort 暴露到节点端口：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


apiVersion: v1
kind: Service
metadata:
 name: public-web
 namespace: networking
spec:
 type: NodePort
 selector:
 app: web
 ports:
 - port: 80
 targetPort: 80
 nodePort: 30080

用命令从 Deployment 暴露 Service：

1
2
3
4
5


k expose deployment web-frontend -n networking \
 --name=public-web \
 --type=NodePort \
 --port=80 \
 --target-port=80

2. Service 排障：看 Endpoints

Service 不通时优先查 selector 和 endpoint。

1
2
3
4


k get svc web-service -n troubleshooting -o wide
k describe svc web-service -n troubleshooting
k get endpoints web-service -n troubleshooting
k get pod -n troubleshooting --show-labels

如果 ENDPOINTS 为空，通常是 Service selector 和 Pod label 不匹配：

1
2
3
4
5


# 方案 1：改 Service selector
k patch svc web-service -n troubleshooting -p '{"spec":{"selector":{"app":"web"}}}'

# 方案 2：给 Pod/Deployment 模板补 label
k label pod <pod> app=web -n troubleshooting

临时测试：

1

k run tmp --restart=Never --rm -i --image=busybox -- wget -O- web-service:80

3. Ingress：host/path -> service/port

Ingress 只是七层路由，后端必须是 Service。

k get ingressClass -A

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
 name: api-ingress
 namespace: networking
spec:
 ingressClassName: nginx # 指定 Ingress Controller, 默认 nginx
 rules:
 - host: api.example.com
 http:
 paths:
 - path: /
 pathType: Prefix
 backend:
 service:
 name: api-service
 port:
 number: 80

检查：

1
2


k get ingress -n networking
k describe ingress api-ingress -n networking

4. NetworkPolicy：选择目标 Pod，再写允许来源

题型：“只允许 label 为 tier=frontend 的 Pod 访问 label 为 app=web 的 Pod 的 80 端口”。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
 name: allow-traffic
 namespace: networking
spec:
 podSelector:
 matchLabels:
 app: web
 policyTypes:
 - Ingress
 ingress:
 - from:
 - podSelector:
 matchLabels:
 tier: frontend
 ports:
 - protocol: TCP
 port: 80

记忆点：

spec.podSelector 选被保护的目标 Pod。
ingress.from.podSelector 选允许进来的来源 Pod。
一旦 Pod 被 NetworkPolicy 选中，未显式允许的流量会被拒绝。

5. 自定义列输出

Killer Shell 常出现“输出特定列到文件”：

1
2
3


k get ns > /opt/course/1/namespaces
k get pod -A -o custom-columns='NS:.metadata.namespace,NAME:.metadata.name,IMAGE:.spec.containers[*].image'
k get svc -A -o wide

考场压缩记忆

Service：selector 找 Pod，port 是 Service 端口，targetPort 是容器端口。
Ingress：host/path 找 Service，不直接找 Pod。
NetworkPolicy：先选“被保护目标”，再写“允许来源”。
排障固定看：svc -> endpoints -> pod labels -> logs/events。

CKAD 复习：配置与安全题压缩模板

Sun, 09 Aug 2026 11:25:00 +0800

配置与安全题看起来对象多，其实只记 5 个入口：ConfigMap、Secret、ServiceAccount、Role/ClusterRole、securityContext。考试常考的是“创建配置，然后让 Pod 用起来”。

1. ConfigMap：创建后给 Pod 用

命令创建最快：

1
2
3
4
5
6
7


k create ns configuration

k create configmap app-config -n configuration \
 --from-literal=DB_HOST=mysql \
 --from-literal=DB_PORT=3306 \
 --from-literal=APP_ENV=production \
 --from-literal=LOG_LEVEL=info

作为环境变量整体注入：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


apiVersion: v1
kind: Pod
metadata:
 name: config-pod
 namespace: configuration
spec:
 containers:
 - name: nginx
 image: nginx
 envFrom:
 - configMapRef:
 name: app-config

作为文件挂载：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


apiVersion: v1
kind: Pod
metadata:
 name: config-volume-pod
 namespace: configuration
spec:
 containers:
 - name: nginx
 image: nginx
 volumeMounts:
 - name: config
 mountPath: /etc/app
 volumes:
 - name: config
 configMap:
 name: app-config

记忆点：envFrom.configMapRef.name 变环境变量，volumes.configMap.name 变文件。

2. Secret：和 ConfigMap 结构几乎一样

1
2
3


k create secret generic app-secret -n configuration \
 --from-literal=DB_USER=admin \
 --from-literal=DB_PASSWORD=s3cr3t

指定 key 映射到环境变量：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


apiVersion: v1
kind: Pod
metadata:
 name: secure-pod
 namespace: configuration
spec:
 containers:
 - name: mysql
 image: mysql:5.7
 env:
 - name: DB_USER
 valueFrom:
 secretKeyRef:
 name: app-secret
 key: DB_USER
 - name: DB_PASSWORD
 valueFrom:
 secretKeyRef:
 name: app-secret
 key: DB_PASSWORD

Secret 挂载成文件：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


apiVersion: v1
kind: Pod
metadata:
 name: secret-volume-pod
 namespace: configuration
spec:
 containers:
 - name: busybox
 image: busybox
 command: ["sh", "-c", "cat /etc/secret/DB_USER && sleep 3600"]
 volumeMounts:
 - name: secret
 mountPath: /etc/secret
 readOnly: true
 volumes:
 - name: secret
 secret:
 secretName: app-secret

3. ServiceAccount：Pod 使用身份

1
2


k create ns security
k create serviceaccount app-sa -n security

Pod 绑定 ServiceAccount：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


apiVersion: v1
kind: Pod
metadata:
 name: sa-pod
 namespace: security
spec:
 serviceAccountName: app-sa
 containers:
 - name: app
 image: nginx

如果题目要求“不要自动挂载 token”：

1
2


spec:
 automountServiceAccountToken: false

4. RBAC：Role/ClusterRole + Binding

只在命名空间内授权，用 Role 和 RoleBinding：

1
2


k create role pod-reader -n security --verb=get,list,watch --resource=pods
k create rolebinding read-pods -n security --role=pod-reader --serviceaccount=security:app-sa

集群级资源或所有命名空间授权，用 ClusterRole 和 ClusterRoleBinding：

1
2


k create clusterrole pod-reader --verb=get,list,watch --resource=pods
k create clusterrolebinding read-pods --clusterrole=pod-reader --user=jane

检查权限：

1
2


k auth can-i list pods -n security --as=system:serviceaccount:security:app-sa
k auth can-i get pods --as=jane

5. SecurityContext：Pod 级和容器级

常考字段：用户 ID、禁止提权、只读根文件系统、能力控制。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


apiVersion: v1
kind: Pod
metadata:
 name: secure-context-pod
 namespace: security
spec:
 securityContext:
 runAsNonRoot: true
 runAsUser: 1000
 fsGroup: 2000
 containers:
 - name: app
 image: nginx
 securityContext:
 allowPrivilegeEscalation: false
 readOnlyRootFilesystem: true
 capabilities:
 drop: ["ALL"]

高频检查命令

1
2
3
4
5


k get cm,secret,sa,role,rolebinding -n <ns>
k describe cm app-config -n <ns>
k describe secret app-secret -n <ns>
k get pod <pod> -n <ns> -o yaml | grep -A20 -E 'env|volume|securityContext|serviceAccountName'
k auth can-i <verb> <resource> -n <ns> --as=<user-or-sa>

考场压缩记忆

ConfigMap 和 Secret：创建方式不同，Pod 引用结构类似。
envFrom：全部 key 变环境变量。
valueFrom.secretKeyRef/configMapKeyRef：单个 key 变指定环境变量。
volumes.configMap/secret：配置变文件。
RBAC 固定公式：Role/ClusterRole 定义权限，Binding 绑定用户或 ServiceAccount。

CKAD 复习：工作负载题压缩模板

Sun, 09 Aug 2026 11:20:00 +0800

CKAD 的工作负载题不用按题背，核心只记 4 个资源：Pod、Deployment、Job、CronJob。多数题都是在这 4 个对象上补字段：标签、命令、环境变量、卷、探针、资源限制、滚动更新。

1. Pod：单容器和临时测试

能用命令生成的先用命令，复杂字段再 --dry-run=client -o yaml 后改。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


# 创建带标签、环境变量、端口的 Pod 模板
k run nginx-pod \
 --image=nginx \
 --restart=Never \
 --labels="app=web,env=prod" \
 --env="APP_ENV=production" \
 --port=80 \
 --dry-run=client -o yaml > pod.yaml

k apply -f pod.yaml

# 一次性临时容器：常用于测 Service、DNS、HTTP
k run tmp \
 --restart=Never \
 --rm -i \
 --image=busybox \
 -- wget -O- frontend-svc:80

常见改法：

1
2
3
4
5


k get pod -n <ns> --show-labels
k label pod nginx-pod tier=frontend -n <ns>
k annotate pod nginx-pod owner=ckad -n <ns>
k logs nginx-pod -n <ns>
k exec -it nginx-pod -n <ns> -- sh

2. 多容器 Pod：共享 emptyDir

多容器、sidecar logging、initContainer 题都可以从这个结构变形。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


apiVersion: v1
kind: Pod
metadata:
 name: sidecar-pod
 namespace: workloads
spec:
 initContainers:
 - name: init
 image: busybox
 command: ["sh", "-c", "echo init > /work/app.log"]
 volumeMounts:
 - name: work
 mountPath: /work
 containers:
 - name: app
 image: nginx
 volumeMounts:
 - name: work
 mountPath: /var/log/app
 - name: sidecar
 image: busybox
 command: ["sh", "-c", "tail -f /var/log/app/app.log"]
 volumeMounts:
 - name: work
 mountPath: /var/log/app
 volumes:
 - name: work
 emptyDir: {}

记忆点：两个容器要共享数据，只要 volumeMounts[].name 指向同一个 volumes[].name。

3. Deployment：副本、镜像、暴露、回滚

Deployment 是 Pod 模板外面套一层副本控制，考试里经常要求创建、修镜像、看 rollout、暴露 Service。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


# 创建 3 副本 Deployment
k create ns dev
k create deployment nginx-deployment -n dev --image=nginx:latest --replicas=3

# 改镜像并观察滚动更新
k set image deployment/nginx-deployment nginx=nginx:1.25 -n dev
k rollout status deployment/nginx-deployment -n dev
k rollout history deployment/nginx-deployment -n dev

# 回滚
k rollout undo deployment/nginx-deployment -n dev

# 暴露成 ClusterIP Service
k expose deployment nginx-deployment -n dev --name=nginx-svc --port=80 --target-port=80

如果题目从 Pod 改成 Deployment：

1

k get pod old-pod -o yaml > deploy.yaml

然后把 kind: Pod 改成 kind: Deployment，补 spec.replicas、spec.selector.matchLabels、spec.template.metadata.labels、spec.template.spec。最容易错的是 selector 和 template labels 不一致。

4. 探针和资源限制：只补容器字段

探针、requests、limits 都在 spec.containers[] 下面。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27


apiVersion: v1
kind: Pod
metadata:
 name: health-pod
 namespace: workloads
spec:
 containers:
 - name: nginx
 image: nginx
 ports:
 - containerPort: 80
 resources:
 requests:
 cpu: 100m
 memory: 128Mi
 limits:
 cpu: 200m
 memory: 256Mi
 livenessProbe:
 httpGet:
 path: /healthz
 port: 80
 periodSeconds: 15
 readinessProbe:
 tcpSocket:
 port: 80
 periodSeconds: 10

快速 patch Deployment 里的资源限制：

1
2
3


k patch deployment broken-deployment -n troubleshooting --type='json' -p='[
 {"op":"add","path":"/spec/template/spec/containers/0/resources","value":{"requests":{"cpu":"100m","memory":"128Mi"},"limits":{"cpu":"200m","memory":"256Mi"}}}
]'

5. Job 和 CronJob：一次执行与定时执行

Job 负责完成一次，CronJob 负责按时间创建 Job。命令字段背一个形式就够了。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


apiVersion: batch/v1
kind: Job
metadata:
 name: hello-job
 namespace: workloads
spec:
 activeDeadlineSeconds: 30
 template:
 spec:
 restartPolicy: Never
 containers:
 - name: hello
 image: busybox
 command: ["sh", "-c", "echo hello && sleep 5"]

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


apiVersion: batch/v1
kind: CronJob
metadata:
 name: log-cleaner
 namespace: workloads
spec:
 schedule: "0 * * * *"
 concurrencyPolicy: Forbid
 jobTemplate:
 spec:
 template:
 spec:
 restartPolicy: OnFailure
 containers:
 - name: cleaner
 image: busybox
 command: ["sh", "-c", "rm -rf /var/log/*.log"]

高频检查命令

1
2
3
4
5


k get pod,deploy,job,cronjob -n <ns>
k describe pod <pod> -n <ns>
k logs <pod> -n <ns> [-c <container>]
k get events -n <ns> --sort-by=.lastTimestamp
k rollout status deployment/<deploy> -n <ns>

考场压缩记忆

Pod：容器本体，背 containers / volumeMounts / volumes。
Deployment：Pod 外面加 replicas / selector / template。
Job：Pod 外面加 template，必须有 restartPolicy。
CronJob：Job 外面加 schedule / jobTemplate。
探针、资源限制、env、securityContext 都贴在 containers[] 上。

pods

Sun, 09 Aug 2026 10:39:00 +0800

创建 Pod 模版

1
2


# 创建 Pod 模版: 启动 nginx 容器，设置 镜像、标签、环境变量、端口，使用 --dry-run=client 生成 yaml 文件
k run nginx --image=nginx --restart=Never --labels="version=v1,env=prod" --env="DNS_DOMAIN=example.com" --env="POD_NAMESPACE=default" --port=80 --dry-run=client -o yaml > pod.yaml

1
2


# 创建临时容器：用 busybox 镜像，访问 frontend 服务的 80 端口，使用 wget 命令获取内容，容器运行结束后自动删除
k run tmp --restart=Never --rm -i --image=busybox -i -- wget -O- frontend:80

pods-基于 nginx 镜像解释启动命令

Sun, 09 Aug 2026 10:39:00 +0800

用实际运行的 Pod 来直观验证。下面的 4 个示例都基于 nginx 官方镜像（它的 Dockerfile 明确写了 ENTRYPOINT ["nginx"] 和 CMD ["-g", "daemon off;"]）。

我会用 kubectl run 命令创建 4 个 Pod，并同步给出它们在 K8s 中对应的 command 和 args 字段含义。

场景一：什么都不设置（使用镜像默认值）

1

kubectl run demo-default --image=nginx --restart=Never

K8s 字段：command 未设置，args 未设置。
实际执行：nginx -g "daemon off;"
运行差异：1 号进程是 nginx，参数是默认的 daemon off。这是最标准的 Web 容器启动方式。

场景二：只设置 `args`（覆盖 CMD，保留 ENTRYPOINT）

1

kubectl run demo-args --image=nginx --restart=never -- -g "daemon off; worker_processes 4;"

注意：-- 后面的内容在 K8s 中会被解析为 args。

K8s 字段：command 未设置，args: ["-g", "daemon off; worker_processes 4;"]
实际执行：nginx -g "daemon off; worker_processes 4;"
运行差异：程序骨架没变（仍是 nginx），但启动参数变了（worker_processes 从默认的 1 变成了 4）。这在调整运行配置时非常有用。

场景三：只设置 `command`（覆盖 ENTRYPOINT，原 CMD 被丢弃）

1

kubectl run demo-command --image=nginx --restart=Never --command -- /bin/sh -c "sleep 8888"

注意：--command 后面的内容在 K8s 中会被解析为 command。

K8s 字段：command: ["/bin/sh", "-c", "sleep 8888"]，args 未设置。
实际执行：/bin/sh -c "sleep 8888"
运行差异：完全替换了可执行程序。容器里根本没有 nginx 进程，且镜像自带的 -g daemon off 参数被彻底丢弃。此时容器变成了一个单纯的“休眠器”。

场景四：同时设置 `command` 和 `args`（完全自定义）

1

kubectl run demo-both --image=nginx --restart=Never --command -- /bin/sh -c "echo $*" -- arg1 arg2

K8s 字段：command: ["/bin/sh", "-c", "echo $*"]，args: ["arg1", "arg2"]
实际执行：/bin/sh -c "echo $* arg1 arg2"（终端会输出 arg1 arg2 后容器退出，这里仅做演示）
运行差异：启动程序和参数完全由用户操控，与原镜像定义的 ENTRYPOINT 和 CMD 毫无关系。

直观对比表

Pod 名称	K8s `command`	K8s `args`	最终运行的命令	核心差异点
demo-default	未设置	未设置	`nginx -g "daemon off;"`	原汁原味的镜像默认行为
demo-args	未设置	覆盖了 `CMD`	`nginx -g "daemon off; worker_processes 4;"`	只改参数，保留原程序
demo-command	覆盖了 `ENTRYPOINT`	未设置（被忽略）	`/bin/sh -c "sleep 8888"`	彻底换程序，丢掉了镜像自带参数
demo-both	覆盖了 `ENTRYPOINT`	覆盖了 `CMD`	`/bin/sh -c "echo $* arg1 arg2"`	完全自定义，镜像只提供文件系统

如何肉眼验证差异？

创建 Pod 后，可以用下面命令进入容器查看 1 号进程：

1
2
3
4
5


## 查看 demo-default 的进程
kubectl exec demo-default -- ps aux | grep nginx

## 查看 demo-command 的进程（你会发现根本找不到 nginx）
kubectl exec demo-command -- ps aux | grep sleep

核心结论

command 是“谁是老大”，一旦设置，镜像的 ENTRYPOINT 就作废了。

args 是“给老大传啥话”，如果没设置 command，它就替换镜像的 CMD 传给原有的老大。

ckad on 我的空间

pods-基于 busybox 镜像解释启动命令

场景一：默认运行（CMD ["sh"] 生效）

场景二：只设置 args（覆盖 CMD，因为没有 ENTRYPOINT，所以直接替换了主程序）

场景三：只设置 command（显式指定主程序，语义最清晰）

场景四：同时设置 command 和 args（完全自定义，最标准）

核心结论对比表（nginx vs busybox）

如何快速验证它们的不同？

一句话总结

CKAD 常用工具：Helm

values 示例

常考命令

常考字段解析

易错点

CKAD 常用资源：CustomResourceDefinition

YAML 模板

自定义资源示例

常考字段解析

常用命令

易错点

CKAD 常用资源：HorizontalPodAutoscaler

YAML 模板

常考字段解析

常用命令

易错点

CKAD 常用字段：SecurityContext

YAML 模板

常考字段解析

常用命令

易错点

CKAD 常用字段：Probe

YAML 模板

常考字段解析

常用命令

易错点

CKAD 常用资源：Volume

YAML 模板

常考字段解析

常用命令

易错点

CKAD 常用资源：StorageClass

YAML 模板

常考字段解析

常用命令

易错点

CKAD 常用资源：PersistentVolumeClaim

YAML 模板

Pod 使用模板

常考字段解析

常用命令

易错点

CKAD 常用资源：PersistentVolume

YAML 模板

常考字段解析

常用命令

易错点

CKAD 常用资源：NetworkPolicy

YAML 模板

常考字段解析

常用命令

易错点

CKAD 常用资源：Ingress

YAML 模板

常考字段解析

常用命令

易错点

CKAD 常用资源：Service

YAML 模板

NodePort 模板

常考字段解析

常用命令

易错点

CKAD 常用资源：ResourceQuota 与 LimitRange

YAML 模板

常考字段解析

常用命令

易错点

CKAD 常用资源：ClusterRole 与 ClusterRoleBinding

YAML 模板

常考字段解析

场景一：默认运行（`CMD ["sh"]` 生效）

场景二：只设置 `args`（覆盖 `CMD`，因为没有 `ENTRYPOINT`，所以直接替换了主程序）

场景三：只设置 `command`（显式指定主程序，语义最清晰）

场景四：同时设置 `command` 和 `args`（完全自定义，最标准）

核心结论对比表（`nginx` vs `busybox`）