Kurator 云边协同与多集群治理实操指南

多集群访问外部资源（如 AWS S3 或阿里 OSS）时，避免在每个集群埋入 Access Key。Kurator 提供身份映射机制，利用 Workload Identity 概念。在管理平面统一配置身份策略，指定 Fleet 中特定命名空间的 Pod 自动映射为云服务商 IAM 角色。Pod 启动时，Kurator 注入临时 Token，应用无需硬编码密钥，符合企业级安全合规要求。

命名空间相同性

多集群追求命名空间相同性（Namespace Sameness）。集群 A 的 prod 命名空间与集群 B 的 prod 命名空间被视为同一逻辑隔离域。Kurator 通过抽象，使网络策略或服务发现规则跨集群生效。例如，配置规则允许 prod 命名空间下的服务互相访问，无论物理集群位置，Kurator 底层自动下发跨集群防火墙规则。

FluxCD Helm 应用工作流程

多集群下 Helm 应用流程：

1. Source Controller：从 Git 仓库拉取 Helm Chart 定义。
2. Kustomize Controller（可选）：对 Chart 进行 Overlay 修改（如不同区域使用不同 values.yaml）。
3. Helm Controller：生成 HelmRelease 对象。
4. Kurator 将 HelmRelease 分发到目标集群。支持推模式（管理面推送）和拉模式（子集群 Agent 拉取），大规模场景推荐拉模式以减轻控制面压力。

第四部分：流量路由与 Volcano 算力调度

金丝雀发布配置

Kurator 集成 Istio 等服务网格能力，定义复杂的流量路由规则。例如金丝雀发布，新版本仅允许特定用户访问。

以下 YAML 示例展示基于权重的流量切分配置：

apiVersion: networking.kurator.dev/v1alpha1
kind: TrafficRoute
metadata:
  name: canary-demo
  namespace: default
spec:
  hosts:
    - "myapp.example.com"
  gateways:
    - my-gateway
  http:
    - route:
        - destination:
            host: myapp
            subset: v1
          weight: 90 # 90% 的流量走老版本
        - destination:
            host: myapp
            subset: v2
          weight: 10 # 10% 的流量给金丝雀
          headers:
            request:
              set:
                x-canary-version: "v2" # 标记方便追踪日志

Kurator 控制器自动调整网关和 Sidecar 配置，监控大盘可见流量分流效果。

Volcano Job 与 PodGroup

大数据处理、基因测序或 AI 训练需依赖 Volcano。K8s 原生调度器对批处理任务支持有限，Volcano 引入三个核心概念：

1. Job（作业）：任务本体，如 TensorFlow 训练任务。
2. PodGroup（Pod 组）：Job 包含多个 Pod（如 1 个 PS，4 个 Worker）。这 5 个 Pod 必须同时运行。若资源不足，原生 K8s 可能先起部分导致死锁。PodGroup 告诉调度器：'要么一起上，要么都别上（All-or-Nothing）'。
3. Queue（队列）：资源分配桶。可将集群资源切分为多个 Queue（如'研发部'30%，'生产部'70%），Job 提交到对应 Queue。

Volcano Job 配置示例：

apiVersion: batch.volcano.sh/v1alpha1
kind: Job
metadata:
  name: tensorflow-training-job
spec:
  minAvailable: 3 # 凑够 3 个 Pod 资源才调度
  schedulerName: volcano
  queue: research-queue # 提交到研发队列
  tasks:
    - replicas: 1
      name: ps
      template:
        spec:
          containers:
            - command: ["python", "ps.py"]
              image: tensorflow/tensorflow:1.15.2
              name: ps
    - replicas: 2
      name: worker
      template:
        spec:
          containers:
            - command: ["python", "worker.py"]
              image: tensorflow/tensorflow:1.15.2
              name: worker

配置中 minAvailable: 3 隐含创建 PodGroup。若资源紧张，Volcano 挂起 Job 直到资源充足，避免碎片化。

总结

Kurator 解决了云原生运维中边缘网络、多集群一致性、批量计算调度等难题。它贴近实操，从源码安装到 Volcano 调度原理均有覆盖。建议在掌握理论后动手搭建测试环境，通过解决实际问题巩固知识。