Velero 1.15版本中卷排除机制的异常行为分析

问题背景

在Kubernetes数据备份工具Velero从1.14升级到1.15版本后，用户发现了一个关于资源排除机制的重要行为变化。具体表现为：当用户为PVC（PersistentVolumeClaim）设置了velero.io/exclude-from-backup=true标签时，虽然PVC本身被正确排除在备份之外，但与之关联的PV（PersistentVolume）却仍然被包含在备份中。

技术原理分析

Velero的排除机制

Velero提供了通过标签排除特定资源的功能。当资源被标记为velero.io/exclude-from-backup=true时，理论上该资源及其所有关联资源都不应被包含在备份中。

1.15版本的变化

在1.15版本中，Velero引入了ItemBlock机制来支持并行备份。这一变化优化了备份性能，但也带来了某些行为上的改变：

1. 传统备份流程：在1.14版本中，PVC的BackupItemAction插件会返回关联的PV作为附加项。如果PVC被排除，PV自然不会被包含。

2. 新ItemBlock机制：1.15版本中，资源也会通过ItemBlockAction插件被拉取。即使PVC被排除，ItemBlockAction插件仍可能将关联的PV包含进来，因为PV本身没有排除标签。

问题根源

问题的核心在于排除检查的时机。在1.15版本中：

• 排除检查发生在ItemBlock构建之后
• 被排除的PVC仍然会触发其ItemBlockAction插件
• 插件返回的PV（无排除标签）被错误包含

解决方案

正确的处理方式应该是：

1. 在构建ItemBlock之前就进行排除检查
2. 被排除的资源不应被添加到ItemBlock中
3. 这样就不会触发相关的ItemBlockAction插件

这种处理方式能够保持与1.14版本一致的行为，确保被排除PVC的关联PV也不会被备份。

影响范围

这一问题影响所有使用标签排除PVC但希望其关联PV也被排除的用户场景，特别是在：

• 使用非CSI卷的场景
• 需要精细控制备份内容的复杂环境
• 自动化备份验证流程中

最佳实践建议

在等待官方修复的同时，用户可以采取以下临时措施：

1. 为需要排除的PV也直接添加排除标签
2. 使用备份筛选器进行更精确的控制
3. 在关键备份操作前进行验证测试

总结

Velero 1.15版本的并行备份优化虽然提升了性能，但也带来了资源排除机制的行为变化。理解这一变化的根本原因有助于用户更好地规划升级策略和备份策略。官方已确认这一问题并将发布修复，建议用户关注后续版本更新。