Kubernetes 边缘 AI 部署与运维最佳实践

编写部署清单

Deployment 文件中，关键点是 nodeSelector 确保应用在边缘节点运行，以及 resources 限制资源防止挤占系统。Service 则负责暴露端口。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: edge-ai-service
  namespace: default
spec:
  replicas: 1
  selector:
    matchLabels:
      app: edge-ai-service
  template:
    metadata:
      labels:
        app: edge-ai-service
    spec:
      nodeSelector:
        node-role.kubernetes.io/edge: "true"
      containers:
      - name: edge-ai-service
        image: edge-ai-service:latest
        ports:
        - containerPort: 8080
        resources:
          limits:
            cpu: 1
            memory: 1Gi
          requests:
            cpu: 500m
            memory: 512Mi
        volumeMounts:
        - name: model-volume
          mountPath: /models
      volumes:
      - name: model-volume
        persistentVolumeClaim:
          claimName: model-pvc

apiVersion: v1
kind: Service
metadata:
  name: edge-ai-service
  namespace: default
spec:
  selector:
    app: edge-ai-service
  ports:
  - port: 8080
    targetPort: 8080
  type: NodePort

应用后，可以通过 NodePort 访问服务进行测试：

NODE_PORT=$(kubectl get svc edge-ai-service -o jsonpath='{.spec.ports[0].nodePort}')
EDGE_NODE_IP=$(kubectl get nodes -l node-role.kubernetes.io/edge=true -o jsonpath='{.items[0].status.addresses[0].address}')
curl -X POST http://$EDGE_NODE_IP:$NODE_PORT/predict -H "Content-Type: application/json" -d '{"image": "base64_encoded_image"}'

节点管理与资源调度

标签与污点

为了让 AI 任务只跑在边缘节点上，我们需要给节点打标签并设置污点。这样普通应用不会被调度过来，而 AI 服务可以容忍污点。

# 标记节点
kubectl label nodes <edge-node> node-role.kubernetes.io/edge=true
# 添加污点，拒绝非容忍的 Pod
kubectl taint nodes <edge-node> node-role.kubernetes.io/edge:NoSchedule
# 允许 AI 服务容忍该污点
kubectl patch deployment edge-ai-service -p '{"spec":{"template":{"spec":{"tolerations":[{"key":"node-role.kubernetes.io/edge","operator":"Exists","effect":"NoSchedule"}]}}}}'

资源配额

为防止单个 Namespace 耗尽节点资源，建议设置 ResourceQuota：

apiVersion: v1
kind: ResourceQuota
metadata:
  name: edge-node-quota
  namespace: default
spec:
  hard:
    requests.cpu: "2"
    requests.memory: "4Gi"
    limits.cpu: "4"
    limits.memory: "8Gi"
    pods: "10"

网络与存储优化

网络策略

边缘网络通常不稳定，使用 Calico 等 CNI 插件配合 NetworkPolicy 可以增强安全性。例如，限制只有网关能访问 AI 服务：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: edge-ai-network-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: edge-ai-service
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: edge-gateway
    ports:
    - protocol: TCP
      port: 8080

本地存储

边缘设备磁盘有限，建议使用本地 PV 提升 IO 性能：

apiVersion: v1
kind: PersistentVolume
metadata:
  name: edge-local-storage
  namespace: default
spec:
  capacity:
    storage: 10Gi
  accessModes:
    - ReadWriteOnce
  persistentVolumeReclaimPolicy: Retain
  local:
    path: /mnt/edge-storage
  nodeAffinity:
    required:
      nodeSelectorTerms:
      - matchExpressions:
        - key: node-role.kubernetes.io/edge
          operator: In
          values:
          - "true"

监控与日志

可观测性建设

Prometheus Operator 可以快速部署监控栈。记得创建 ServiceMonitor 来抓取 AI 服务的指标：

helm repo add prometheus-community https://prometheus-community.github.io/helm-charts
helm install prometheus prometheus-community/kube-prometheus-stack -n monitoring --create-namespace

kubectl apply -f - <<EOF
apiVersion: monitoring.coreos.com/v1
kind: ServiceMonitor
metadata:
  name: edge-ai-service-monitor
  namespace: monitoring
spec:
  selector:
    matchLabels:
      app: edge-ai-service
  endpoints:
  - port: 8080
    path: /metrics
    interval: 15s
EOF

日志方面，Fluentd DaemonSet 能收集所有容器日志并转发到后端。

安全加固

最小权限原则

不要给 ServiceAccount 过高的权限。RBAC 配置示例如下：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: edge-ai-role
  namespace: default
rules:
- apiGroups: [""]
  resources: ["pods", "services"]
  verbs: ["get", "list", "watch"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: edge-ai-rolebinding
  namespace: default
subjects:
- kind: ServiceAccount
  name: edge-ai-service-account
  namespace: default
roleRef:
  kind: Role
  name: edge-ai-role
  apiGroup: rbac.authorization.k8s.io

此外，模型文件应加密存储，通信启用 TLS，并定期更新固件。

典型应用场景

智能视频分析

视频流直接接入边缘节点，通过 RTSP 协议拉取画面，本地推理后仅回传结果。

传感器数据处理

IoT 传感器数据量小但频率高，边缘侧进行异常检测过滤，减轻云端压力。

故障排查

遇到 Pod 启动失败或网络不通时，常用命令如下：

kubectl get nodes
kubectl get pods -l app=edge-ai-service
kubectl logs -l app=edge-ai-service
kubectl top node <edge-node>
kubectl exec -it <pod-name> -- ping <target-host>

调试时可开启详细日志，或使用 kubectl debug 进入容器排查。确保资源限制合理，网络连接正常。

总结

Kubernetes 让边缘 AI 的规模化部署成为可能。关键在于合理的节点规划、资源隔离、网络策略及安全控制。遵循上述实践，能构建出高性能且可靠的边缘计算系统。