容器＝打包程式與相依、共用 kernel、到處跑一致；跟 VM 差在虛擬化 OS 非硬體。

Docker 只跑單一容器；跨機調度/自癒/擴縮/服務發現/滾動更新要靠編排。

可攜的容器編排平台；不是 PaaS、不 build image、不內建 CI/CD。

你宣告 desired(spec)、系統回報 current(status)，差距由系統補平。

永不停止的迴圈：觀察→比對→補差距，把現況拉近目標。

Pod 掛了自己回來是 reconcile 的自然結果、不是魔法；修不了 spec 寫錯。

一顆大腦(control plane 做決策)＋一群手腳(node 做事)。

API server 唯一入口、etcd 唯一帳本、scheduler 選 node、controller-manager 對齊目標。

kubelet 透過 CRI 指揮 containerd 起容器；dockershim v1.24 已移除。

kubectl→API server(認證/授權/admission)→etcd→controller→scheduler→kubelet。

K8s 以 Pod 為單位排程；可含多容器共享網路/儲存；Pod 短命。

裸 Pod 掛了不重生；要靠 controller 才會另建替補。

用 label selector 認領 Pod、維持 N 份，少了照 template 補。

管 ReplicaSet 並提供 rollout/rollback；日常都用它。

selector.matchLabels 必須對上 template.labels，否則 API server 擋下。

Pod IP 會變；Service 給一個穩定的名字/IP 當總機。

宣告 label 條件、持續掃描維護 EndpointSlice；打錯字後端就空。

ClusterIP/NodePort/LoadBalancer 同心圓；多服務對外改用 Ingress。

L7 依 host+path 分流、TLS 在此終結；需自己裝 ingress controller。

設定與程式分家(12-factor)，同一 image 靠注入跑遍所有環境。

放非機密設定的 key-value；上限約 1 MiB、不提供加密。

放機密；預設只是 base64 不是加密，真保護靠 etcd 加密＋RBAC。

env 不熱更新要重啟；volume 檔案自動更新(subPath 例外)。

liveness 掛了重啟、readiness 沒好不給流量、startup 慢啟動保護。

requests 是保證量，scheduler 依總和找放得下的 node。

超 CPU 被 throttle 不殺、超記憶體被 OOMKilled(137)。

get/describe/logs/exec/apply/delete 六件套；describe 看 Events 除錯首選。

改 Pod template 才觸發滾動更新；maxSurge/maxUnavailable 各 25%；undo 秒回。

Pending/ImagePullBackOff/CrashLoopBackOff/OOMKilled 各代表什麼、怎麼查。