RKE2集群中节点污点CriticalAddonsOnly对核心组件的影响分析

背景概述

在Kubernetes集群管理中，节点污点(Taint)是控制工作负载调度的关键机制。RKE2作为经过认证的Kubernetes发行版，其默认配置不包含任何节点污点设置。但在实际生产环境中，管理员经常需要为节点添加污点来实现特定的调度策略。

问题现象

当在RKE2集群配置中显式添加CriticalAddonsOnly=true:NoExecute污点时，会出现以下典型症状：

1. 核心系统组件如metrics-server、CoreDNS自动扩缩容器等陷入CrashLoopBackOff状态
2. 部分Pod长期处于Pending状态
3. Helm安装的相关组件无法正常启动

根本原因

这种现象源于Kubernetes的调度机制：

1. NoExecute效果会立即驱逐不满足容忍度的现有Pod
2. 标准部署的RKE2组件默认不包含对该污点的容忍配置
3. 在单节点或全节点污点场景下，系统无法找到合适的节点运行这些关键组件

解决方案

方案一：移除污点配置（适合非生产环境）

直接删除/etc/rancher/rke2/config.yaml中的污点配置是最简单的解决方法，但会降低节点隔离性。

方案二：为系统组件添加容忍度（推荐生产方案）

通过HelmChartConfig为各系统组件添加容忍配置：

1. metrics-server配置示例：

# /var/lib/rancher/rke2/server/manifests/rke2-metrics-server-config.yaml
apiVersion: helm.cattle.io/v1
kind: HelmChartConfig
metadata:
  name: rke2-metrics-server
  namespace: kube-system
spec:
  valuesContent: |-
    tolerations:
    - key: "CriticalAddonsOnly"
      operator: "Exists"
      effect: "NoExecute"

2. Cilium网络插件配置：

# /var/lib/rancher/rke2/server/manifests/rke2-cilium-config.yaml
apiVersion: helm.cattle.io/v1
kind: HelmChartConfig
metadata:
  name: rke2-cilium
  namespace: kube-system
spec:
  valuesContent: |-
    operator:
      tolerations:
      - key: "CriticalAddonsOnly"
        operator: "Exists"
        effect: "NoExecute"

最佳实践建议

1. 生产环境建议采用方案二，保持污点隔离的同时确保核心组件运行
2. 多节点集群中可只为部分节点设置污点，形成专用节点池
3. 新增组件时需同步考虑其容忍度配置
4. 定期检查系统组件的运行状态，确保容忍配置持续有效

技术原理延伸

污点与容忍机制是Kubernetes实现节点亲和性的重要手段：

• NoExecute效果会驱逐不匹配的现有Pod
• Exists操作符表示只要存在指定key的污点即匹配
• 系统组件需要明确声明对关键污点的容忍才能确保高可用

理解这些机制有助于设计更健壮的集群调度策略，在安全隔离和服务可用性之间取得平衡。