Docker & Kubernetes
核心测验

容器通过 namespace/cgroup 隔离进程视图与资源，但仍共享宿主机内核。

Dockerfile 是配方，镜像是不可变模板，容器是模板的一次运行。

编译发生在 build 阶段，最终阶段只复制运行所需产物。

Volume/PVC 将数据生命周期从短命实例中分离。

Controller 的 reconciliation loop 不断比较 spec 与现实并采取纠偏动作。

Deployment 管版本和发布，ReplicaSet 管副本数量，Pod 承载容器。

Service 通过 selector 寻找 Ready Pod；无 Endpoint 时没有可转发的后端。

未就绪 Pod 通常会从服务端点中移除，但不必然被重启。

CPU 超限通常节流，内存超限可能 OOMKilled。

一次性任务用 Job；每节点一个实例通常用 DaemonSet。

身份权限与数据面流量是两条安全边界，需要组合使用。

沿流量链逐段验证，能最快缩小故障范围并保留证据。