企业官网建设流程全解析

K8s集群Containerd镜像轻量化瘦身优化实操

技术栈：Kubernetes v1.32.13 + Rocky Linux 8.6 + Containerd 1.7.x + runc 1.1.x + CNI Plugins v1.4.x

操作环境 / 对接原理 / 详细步骤 / 完整命令 / 配置文件 / 验证流程 / 排错方案

K8s集群Containerd镜像轻量化瘦身优化实操

操作环境

• K8s 集群生产环境，Containerd 已稳定运行

• 操作系统 Rocky Linux 8.6，需根据业务负载进行性能调优

• 具备 root 权限，可修改配置和重启服务

对接原理

Containerd 默认参数适用于通用场景，生产环境需根据集群规模和硬件配置调优。关键参数包括：max_concurrent_downloads（镜像并发下载）、pids_limit（容器 PID 上限）、pull_timeout（拉取超时）、oom_score（OOM 评分）、log 配置。调优目标是提升镜像拉取速度、增加容器密度、优化资源利用、避免 OOM 和资源耗尽。

详细步骤

1. 环境检查与准备

# 检查当前环境 hostname cat /etc/redhat-release uname -r ​ # 检查 Containerd 状态 systemctl status containerd --no-pager | head -10 containerd --version 2>/dev/null || echo "Containerd 未安装" ​ # 检查网络和磁盘 ip addr show | grep -E 'inet ' df -h /var/lib/containerd/ 2>/dev/null || df -h /

2. 配置修改与执行

# 备份原有配置 cp -a /etc/containerd /etc/containerd.bak.$(date +%Y%m%d) 2>/dev/null ​ # 生成/修改配置 mkdir -p /etc/containerd containerd config default > /etc/containerd/config.toml 2>/dev/null ​ # 关键配置调整 sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml grep -E 'SystemdCgroup|root =|state =' /etc/containerd/config.toml ​ # 重启服务生效 systemctl daemon-reload systemctl restart containerd sleep 3 systemctl is-active containerd

3. 功能验证与测试

# 验证服务状态 systemctl status containerd --no-pager | head -8 ​ # 验证 CRI 接口 crictl info 2>/dev/null | grep -E '"status"|containerdVersion' || echo "crictl 未配置" ​ # 验证版本 containerd --version runc --version 2>/dev/null | head -1 ​ # 测试镜像拉取 crictl pull busybox:latest 2>/dev/null && crictl images | grep busybox || echo "镜像拉取测试跳过"

验证流程

# 1. 服务状态验证 systemctl is-active containerd && systemctl is-enabled containerd # 预期：active / enabled ​ # 2. 版本验证 containerd --version # 预期：v1.7.x ​ # 3. CRI 接口验证 crictl info | grep '"status"' # 预期：READY ​ # 4. 配置验证 grep SystemdCgroup /etc/containerd/config.toml # 预期：true ​ # 5. 功能验证 crictl pull busybox:latest && crictl images | grep busybox # 预期：镜像拉取成功

排错方案

• 配置语法错误：执行 containerd config dump 校验，查看 journalctl -u containerd -n 50 定位错误行

• 服务启动失败：检查 /run/containerd/containerd.sock 是否存在，确认数据目录权限，查看系统日志

• CRI 接口异常：检查 crictl.yaml 配置，确认 runtime-endpoint 路径正确，执行 crictl info 验证

• 资源不足：查看 dmesg | grep -i oom，检查内存和磁盘空间，适当增加资源或调整限制

• 网络不通：检查 br_netfilter 模块是否加载，确认 iptables 规则，验证 IP 转发是否开启