1. InitContainers 的基本概念

  • 定义与位置
    initContainers 是 Kubernetes Pod 配置中的一种特殊容器，定义在 Pod 的 spec.initContainers 数组中，通常与 containers 平级。

  • 核心功能
    用于执行主应用容器启动前的初始化任务，比如预载数据、生成配置、等待依赖服务可达等，为主容器提供准备环境和依赖保障。

2. 运行时机与执行顺序

  • InitContainers 由 kubelet 串行按定义顺序依次启动。各个 init 容器必须先成功完成（退出码为 0），才能继续执行下一个。

  • 所有 init 容器成功后，才启动 spec.containers 中定义的主容器。

  • Pod 状态在 Kubernetes 中会体现当前执行状态，如 Init:0/2、Init:CrashLoopBackOff、PodInitializing 等。

3. 状态与生命周期特性

  • 状态
    Init 容器执行完成后状态为 Completed，终止且不保持 Running，主容器启动后其生命周期结束。

  • 重启策略
    Init 容器的重启遵循 Pod 的 restartPolicy；如果设为 Always，Kubernetes 会将其视为 OnFailure 策略；若为 Never，失败即停止，不继续重试。

  • 日志查看方式
    虽然状态不是 Running，但仍可通过 kubectl logs pod -c <init-container> 获取其日志。

4. 功能限制与资源处理

  • 不支持字段
    Init 容器不能定义 livenessProbe、readinessProbe、startupProbe 或 lifecycle 钩子，否则 Pod 验证失败。

  • 资源调度机制
    Pod 的调度使用所谓的 “effective resource limits”：会选取所有 init 容器中 CPU/内存最大值，与主容器总资源要求比较，取最大值作为调度依据。

5. 优势与安全性

  • 解耦初始化逻辑：避免将复杂初始化工具（如 git、curl）嵌入主镜像，保持主镜像精简、安全。

  • 增强安全隔离：可以将敏感凭据、工具权限限定给 init 容器，减少主容器的暴露与攻击面。

  • 支持初始化多任务：例如 clone Git、生成配置文件、等待服务就绪、创建目录等，都可通过 init 容器完成。

6. 使用场景与示例

  • 等待依赖服务（如数据库、消息队列）可达
  • 从 GitHub 克隆资源或下载配置文件
  • 从 Vault 或 Secrets Manager 获取凭据
  • 创建目录、生成配置模板（可能带有 Pod IP）、预热缓存、执行数据库迁移脚本等。

示例 Pod YAML（结合资源下载与共享方式）：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
apiVersion: v1
kind: Pod
metadata:
  name: init-demo
spec:
  initContainers:
  - name: install
    image: busybox:1.28
    command: ['wget', '-O', '/work-dir/index.html', 'http://info.cern.ch']
    volumeMounts:
    - name: workdir
      mountPath: /work-dir
  containers:
  - name: nginx
    image: nginx
    ports:
    - containerPort: 80
    volumeMounts:
    - name: workdir
      mountPath: /usr/share/nginx/html
  volumes:
  - name: workdir
    emptyDir: {}