一般情况下我们部署的 Pod 是通过集群的自动调度策略来选择节点的，默认情况下调度器考虑的是资源足够，并且负载尽量平均，但是有的时候我们需要能够更加细粒度的去控制 Pod 的调度，比如我们内部的一些服务 gitlab 之类的也是跑在Kubernetes集群上的，我们就不希望对外的一些服务和内部的服务跑在同一个节点上了，害怕内部服务对外部的服务产生影响；但是有的时候我们的服务之间交流比较频繁，又希望能够将这两个服务的 Pod 调度到同一个的节点上。这就需要用到 Kubernetes 里面的一个概念：亲和性和反亲和性。
亲和性有分成节点亲和性(nodeAffinity)和 Pod 亲和性(podAffinity)。
在了解亲和性之前，我们先来了解一个非常常用的调度方式：nodeSelector。我们知道label是kubernetes中一个非常重要的概念，用户可以非常灵活的利用 label 来管理集群中的资源，比如最常见的一个就是 service 通过匹配 label 去匹配 Pod 资源，而 Pod 的调度也可以根据节点的 label 来进行调度。
我们可以通过下面的命令查看我们的 node 的 label：
$ kubectl get nodes --show-labels
现在我们先给节点k8s-node01增加一个com=youdianzhishi的标签，命令如下：
$ kubectl label node k8s-node01 com=youdianzhishi
我们可以通过上面的--show-labels参数可以查看上述标签是否生效。当 node 被打上了相关标签后，在调度的时候就可以使用这些标签了，只需要在 Pod 的spec字段中添加nodeSelector字段，里面是我们需要被调度的节点的 label 即可。比如，下面的 Pod 我们要强制调度到 k8s-node01 这个节点上去，我们就可以使用 nodeSelector 来表示了：
node-selector-demo.yaml
apiVersion: v1
kind: Pod
metadata:
name: busybox-pod
labels:
app: busybox-pod
spec:
containers:
- command:
- sleep
- "3600"
name: test-busybox
image: busybox
imagePullPolicy: Always
nodeSelector:
com: youdianzhishi
然后我们可以通过 describe 命令查看调度结果：
$ kubectl apply -f node-selector-demo.yaml
$ kubectl describe pod busybox-pod
Name: busybox-pod
Namespace: default
Priority: 0
Node: k8s-node01/192.168.99.182
......
QoS Class: BestEffort
Node-Selectors: com=youdianzhishi
Tolerations: node.kubernetes.io/not-ready:NoExecute for 300s
node.kubernetes.io/unreachable:NoExecute for 300s
Events:
Type Reason Age From Message
---- ------ ---- ---- -------
Normal Scheduled 38s default-scheduler Successfully assigned default/busybox-pod to k8s-node01
Normal Pulling 37s kubelet Pulling image "busybox"
Normal Pulled 21s kubelet Successfully pulled image "busybox"
Normal Created 21s kubelet Created container test-busybox
Normal Started 21s kubelet Started container test-busybox
我们可以看到 Events 下面的信息，我们的 Pod 通过默认的 default-scheduler 调度器被绑定到了k8s-node01节点。不过需要注意的是nodeSelector属于强制性的，如果我们的目标节点没有可用的资源，我们的 Pod 就会一直处于 Pending 状态，这就是nodeSelector的用法。
通过上面的例子我们可以感受到nodeSelector的方式比较直观，但是还够灵活，控制粒度偏大，接下来我们再和大家了解下更加灵活的方式：节点亲和性(nodeAffinity)。
我们了解了 kubernetes 调度器的一个调度流程，我们知道默认的调度器在使用的时候，经过了 predicates 和 priorities 两个阶段，但是在实际的生产环境中，往往我们需要根据自己的一些实际需求来控制 pod 的调度，这就需要用到 nodeAffinity(节点亲和性)、podAffinity(pod 亲和性) 以及 podAntiAffinity(pod 反亲和性)。
亲和性调度可以分成软策略和硬策略两种方式:
软策略就是如果你没有满足调度要求的节点的话，pod 就会忽略这条规则，继续完成调度过程，说白了就是满足条件最好了，没有的话也无所谓了的策略硬策略就比较强硬了，如果没有满足条件的节点的话，就不断重试直到满足条件为止，简单说就是你必须满足我的要求，不然我就不干的策略。对于亲和性和反亲和性都有这两种规则可以设置： preferredDuringSchedulingIgnoredDuringExecution和requiredDuringSchedulingIgnoredDuringExecution，前面的就是软策略，后面的就是硬策略。
这命名不觉得有点反人类吗？有点无语......
节点亲和性主要是用来控制 pod 要部署在哪些主机上，以及不能部署在哪些主机上的。它可以进行一些简单的逻辑组合了，不只是简单的相等匹配。
比如现在我们用一个 Deployment 来管理3个 pod 副本，现在我们来控制下这些 pod 的调度，如下例子：
node-affinity-demo.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
name: affinity
labels:
app: affinity
spec:
replicas: 3
revisionHistoryLimit: 15
selector:
matchLabels:
app: affinity
role: test
template:
metadata:
labels:
app: affinity
role: test
spec:
containers:
- name: nginx
image: nginx:1.7.9
ports:
- containerPort: 80
name: nginxweb
affinity:
nodeAffinity:
requiredDuringSchedulingIgnoredDuringExecution: # 硬策略
nodeSelectorTerms:
- matchExpressions:
- key: kubernetes.io/hostname
operator: NotIn
values:
- k8s-master
preferredDuringSchedulingIgnoredDuringExecution: # 软策略
- weight: 1
preference:
matchExpressions:
- key: com
operator: In
values:
- youdianzhishi
上面这个 pod 首先是要求不能运行在 k8s-master这个节点上，如果有个节点满足com=youdianzhishi的话就优先调度到这个节点上。
从结果可以看出 pod 都被部署到了 k8s-node01，其他节点上没有部署 pod，这里的匹配逻辑是 label 的值在某个列表中，现在Kubernetes提供的操作符有下面的几种：
如果
nodeSelectorTerms下面有多个选项的话，满足任何一个条件就可以了；如果
matchExpressions有多个选项的话，则必须同时满足这些条件才能正常调度 POD。
pod 亲和性主要解决 pod 可以和哪些 pod 部署在同一个拓扑域中的问题（其中拓扑域用主机标签实现，可以是单个主机，也可以是多个主机组成的 cluster、zone 等等），而 pod 反亲和性主要是解决 pod 不能和哪些 pod 部署在同一个拓扑域中的问题，它们都是处理的 pod 与 pod 之间的关系，比如一个 pod 在一个节点上了，那么我这个也得在这个节点，或者你这个 pod 在节点上了，那么我就不想和你待在同一个节点上。
由于我们这里只有一个集群，并没有区域或者机房的概念，所以我们这里直接使用主机名来作为拓扑域，把 pod 创建在同一个主机上面。
同样，还是针对上面的资源对象，我们来测试下 pod 的亲和性：
pod-affinity-demo.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
name: affinity
labels:
app: affinity
spec:
replicas: 3
revisionHistoryLimit: 15
selector:
matchLabels:
app: affinity
role: test
template:
metadata:
labels:
app: affinity
role: test
spec:
containers:
- name: nginx
image: nginx:1.7.9
ports:
- containerPort: 80
name: nginxweb
affinity:
podAffinity:
requiredDuringSchedulingIgnoredDuringExecution: # 硬策略
- labelSelector:
matchExpressions:
- key: app
operator: In
values:
- busybox-pod
topologyKey: kubernetes.io/hostname
上面这个例子中的 pod 需要调度到某个指定的主机上，至少有一个节点上运行了这样的 pod：这个 pod 有一个app=busybox-pod的 label。
我们查看有标签app=busybox-pod的 pod 列表：
$ kubectl get pod -o wide -l app=busybox-pod
NAME READY STATUS RESTARTS AGE IP NODE NOMINATED NODE READINESS GATES
busybox-pod 1/1 Running 1 93m 10.100.85.198 k8s-node01 <none> <none>
我们看到这个 pod 运行在了 k8s-node01的节点上面，所以按照上面的亲和性来说，上面我们部署的3个 pod 副本也应该运行在 k8s-node01节点上：
$ kubectl get pods -o wide -l app=affinity
NAME READY STATUS RESTARTS AGE IP NODE NOMINATED NODE READINESS GATES
affinity-856865df9-9wxhg 1/1 Running 0 60m 10.100.85.200 k8s-node01 <none> <none>
affinity-856865df9-llwcv 1/1 Running 0 60m 10.100.85.203 k8s-node01 <none> <none>
affinity-856865df9-v92hk 1/1 Running 0 60m 10.100.85.201 k8s-node01 <none> <none>
如果我们把上面的 test-busybox 和 affinity 这个 Deployment 都删除，然后重新创建 affinity 这个资源，看看能不能正常调度呢：
$ kubectl get pod -o wide -l app=affinity
NAME READY STATUS RESTARTS AGE IP NODE NOMINATED NODE READINESS GATES
affinity-856865df9-jw92h 0/1 Pending 0 11s <none> <none> <none> <none>
affinity-856865df9-qsqt9 0/1 Pending 0 11s <none> <none> <none> <none>
affinity-856865df9-xxpgl 0/1 Pending 0 11s <none> <none> <none> <none>
我们可以看到处于Pending状态了，这是因为现在没有一个节点上面拥有busybox-pod这个 label 的 pod，而上面我们的调度使用的是硬策略，所以就没办法进行调度了，大家可以去尝试下重新将 test-busybox 这个 pod 调度到 k8s-node02这个节点上，看看上面的 affinity 的3个副本会不会也被调度到 k8s-node02这个节点上去？
我们这个地方使用的是kubernetes.io/hostname这个拓扑域，意思就是我们当前调度的 pod 要和目标的 pod 处于同一个主机上面，因为要处于同一个拓扑域下面，为了说明这个问题，我们把拓扑域改成beta.kubernetes.io/os，同样的我们当前调度的 pod 要和目标的 pod 处于同一个拓扑域中，目标的 pod 是不是拥有beta.kubernetes.io/os=linux的标签，而我们这里3个节点都有这样的标签，这也就意味着我们3个节点都在同一个拓扑域中，所以我们这里的 pod 可能会被调度到任何一个节点：
$ kubectl get pod -o wide -l app=affinity
NAME READY STATUS RESTARTS AGE IP NODE NOMINATED NODE READINESS GATES
affinity-7cf8df9d5d-2z8zt 1/1 Running 0 17s 10.100.85.205 k8s-node01 <none> <none>
affinity-7cf8df9d5d-775s8 1/1 Running 0 17s <none> k8s-master <none> <none>
affinity-7cf8df9d5d-x5qsg 1/1 Running 0 17s 10.100.58.206 k8s-node02 <none> <none>
这就是 pod 亲和性的用法，而 pod 反亲和性则是反着来的，比如一个节点上运行了某个 pod，那么我们的 pod 则希望被调度到其他节点上去，同样我们把上面的 podAffinity 直接改成 podAntiAffinity！
pod-antiaffinity-demo.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
name: affinity
labels:
app: affinity
spec:
replicas: 3
revisionHistoryLimit: 15
selector:
matchLabels:
app: affinity
role: test
template:
metadata:
labels:
app: affinity
role: test
spec:
containers:
- name: nginx
image: nginx:1.7.9
ports:
- containerPort: 80
name: nginxweb
affinity:
podAntiAffinity:
requiredDuringSchedulingIgnoredDuringExecution: # 硬策略
- labelSelector:
matchExpressions:
- key: app
operator: In
values:
- busybox-pod
topologyKey: kubernetes.io/hostname
这里的意思就是如果一个节点上面有一个app=busybox-pod这样的 pod 的话，那么我们的 pod 就别调度到这个节点上面来，上面我们把app=busybox-pod这个 pod 固定到了 k8s-node02这个节点上面来，所以正常来说我们这里的 pod 不会出现在 k8s-node02节点上：
$ kubectl apply -f pod-antiaffinity-demo.yaml
$ kubectl get pod -o wide
NAME READY STATUS RESTARTS AGE IP NODE NOMINATED NODE READINESS GATES
affinity-6657d8fccf-28b6h 1/1 Running 0 20s 10.100.235.232 k8s-master <none> <none>
affinity-6657d8fccf-t9klw 1/1 Running 0 16s 10.100.235.233 k8s-master <none> <none>
affinity-6657d8fccf-xqtht 1/1 Running 0 3m46s 10.100.85.204 k8s-node01 <none> <none>
busybox-pod 1/1 Running 0 6m55s 10.100.58.207 k8s-node02 <none> <none>
这就是 pod 反亲和性的用法。
对于nodeAffinity无论是硬策略还是软策略方式，都是调度 pod 到预期节点上，而Taints恰好与之相反，如果一个节点标记为 Taints ，除非 pod 也被标识为可以容忍污点节点，否则该 Taints 节点不会被调度 pod。
比如用户希望把 Master 节点保留给 Kubernetes 系统组件使用，或者把一组具有特殊资源预留给某些 pod，则污点就很有用了，pod 不会再被调度到 taint 标记过的节点。我们使用kubeadm搭建的集群默认就给 master 节点添加了一个污点标记，所以我们看到我们平时的 pod 都没有被调度到 master 上去：
$ kubectl describe node master
Name: master
Roles: master
Labels: beta.kubernetes.io/arch=amd64
beta.kubernetes.io/os=linux
kubernetes.io/hostname=master
node-role.kubernetes.io/master=
......
Taints: node-role.kubernetes.io/master:NoSchedule
Unschedulable: false
......
我们可以使用上面的命令查看 master 节点的信息，其中有一条关于 Taints 的信息：node-role.kubernetes.io/master:NoSchedule，就表示给 master 节点打了一个污点的标记，其中影响的参数是NoSchedule，表示 pod 不会被调度到标记为 taints 的节点，除了 NoSchedule 外，还有另外两个选项：
PreferNoSchedule：NoSchedule 的软策略版本，表示尽量不调度到污点节点上去NoExecute：该选项意味着一旦 Taint 生效，如该节点内正在运行的 pod 没有对应 Tolerate 设置，会直接被逐出污点 taint 标记节点的命令如下：
$ kubectl taint nodes k8s-node02 test=k8s-node02:NoSchedule
node/k8s-node02 tainted
上面的命名将 k8s-node02节点标记为了污点，影响策略是 NoSchedule，只会影响新的 pod 调度，如果仍然希望某个 pod 调度到 taint 节点上，则必须在 Spec 中做出Toleration定义，才能调度到该节点，比如现在我们想要将一个 pod 调度到 master 节点：
taint-demo.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
name: taint
labels:
app: taint
spec:
replicas: 3
revisionHistoryLimit: 10
selector:
matchLabels:
app: taint
template:
metadata:
labels:
app: taint
spec:
containers:
- name: nginx
image: nginx:1.7.9
ports:
- name: http
containerPort: 80
tolerations:
- key: "node-role.kubernetes.io/master"
operator: "Exists"
effect: "NoSchedule"
由于 master 节点被标记为了污点节点，所以我们这里要想 pod 能够调度到 master 节点去，就需要增加容忍的声明：
tolerations:
- key: "node-role.kubernetes.io/master"
operator: "Exists"
effect: "NoSchedule"
然后创建上面的资源，查看结果：
$ kubectl apply -f taint-demo.yaml
$ kubectl get pod -o wide -l app=taint
NAME READY STATUS RESTARTS AGE IP NODE NOMINATED NODE READINESS GATES
taint-5779c44f78-cb67p 1/1 Running 0 18s 10.100.235.237 k8s-master <none> <none>
taint-5779c44f78-h2r4q 1/1 Running 0 18s 10.100.235.236 k8s-master <none> <none>
taint-5779c44f78-rqlx4 1/1 Running 0 18s 10.100.85.208 k8s-node01 <none> <none>
我们可以看到有一个 pod 副本被调度到了 master 节点，这就是容忍的使用方法。
对于 tolerations 属性的写法，其中的 key、value、effect 与 Node 的 Taint 设置需保持一致， 还有以下几点说明：
另外，还有两个特殊值：
最后，如果我们要取消节点的污点标记，可以使用下面的命令：
$ kubectl taint nodes k8s-node02 test=k8s-node02:NoSchedule-
node/k8s-node02 untainted
这就是污点和容忍的使用方法。
原文：https://www.cnblogs.com/lvzhenjiang/p/15268055.html