2.6. 使用节点污点控制 pod 放置

您可以通过在 pod 规格中指定 tolerationSeconds 参数，指定 pod 在被驱除前可以保持与节点绑定的时长。如果将具有 NoExecute effect 的污点添加到某个节点，则所有不容许该污点的 pod 都被立即驱除（容许该污点的 pod 不会被驱除）。但是，如果要被驱除的 pod 具有 tolerationSeconds 参数，则只有该时限到期后 pod 才会被驱除。

例如：

tolerations:
- key: "key1"
  operator: "Equal"
  value: "value1"
  effect: "NoExecute"
  tolerationSeconds: 3600

在这里，如果此 pod 正在运行但没有匹配的污点，pod 保持与节点绑定 3600 秒，然后被驱除。如果污点在这个时间之前移除，pod 就不会被驱除。

您可以在同一个节点中放入多个污点，并在同一 pod 中放入多个容限。OpenShift Container Platform 按照如下所述处理多个污点和容限：

例如：

在本例中，pod 无法调度到节点上，因为没有与第三个污点匹配的容限。如果在添加污点时 pod 已在节点上运行，pod 会继续运行，因为第三个污点是三个污点中 pod 唯一不容许的污点。

OpenShift Container Platform 可以配置为用污点来代表节点不可访问和节点未就绪状况。这样，就可以对每个 pod 设置在节点变得不可访问或未就绪时保持与节点绑定的时长，而不是使用默认的五分钟。

Taint-Based Evictions 功能默认为启用。污点由节点控制器自动添加，而且会禁用从就绪节点驱除 pod 的一般逻辑。

此功能与 tolerationSeconds 相结合，可以允许 pod 指定它应当在多久时间内保持与具有一个或多个这种问题的节点的绑定。

OpenShift Container Platform 会自动将报告内存压力和磁盘压力等状况的节点变成污点。如果某个节点报告一个状况，则添加一个污点，直到状况被清除为止。这些污点具有 NoSchedule effect；即，pod 无法调度到该节点上，除非 pod 有匹配的容限。此功能称为 根据条件设置污点节点（Taint Nodes By Condition），默认为启用。

在调度 pod 前，调度程序会检查节点上是否有这些污点。如果污点存在，则将 pod 调度到另一个节点。由于调度程序检查的是污点而非实际的节点状况，因此您可以通过添加适当的 Pod 容限，将调度程序配置为忽略其中一些节点状况。

DaemonSet 控制器会自动将下列容限添加到所有守护进程，以保证向后兼容性：

您还可以在 DaemonSet 中添加任意容限。

基于污点的驱除（Taint-Based Evictions）功能默认为启用，可以从遇到特定状况（如未就绪和无法访问）的节点驱除 pod。当节点遇到其中一个状况时，OpenShift Container Platform 会自动给节点添加污点，并开始驱除 pod 以及将 pod 重新调度到其他节点。

Taint Based Evictions 具有 NoExecute effect，不容许污点的 pod 都会被立即驱除，而容许污点的 pod 则永不会被驱除。

此功能与 tolerationSeconds 相结合，允许您指定 pod 应当在多久时间内保持与具有某一节点状况的节点的绑定。如果在 tolerationSections 到期后状况仍然存在，则污点会保持在节点上，并且 pod 会以限速方式被驱除。如果状况在 tolerationSeconds 到期前清除，则 pod 不会被移除。

OpenShift Container Platform 会自动为 node.kubernetes.io/not-ready 和 node.kubernetes.io/unreachable 添加容限并设置 tolerationSeconds=300，除非 pod 配置中已指定了其中任一种容限。

spec
  tolerations:
    - key: node.kubernetes.io/not-ready
      operator: Exists
      effect: NoExecute
      tolerationSeconds: 300
    - key: node.kubernetes.io/unreachable
      operator: Exists
      effect: NoExecute
      tolerationSeconds: 300

这些容限确保了在默认情况下，pod 在检测到这些节点条件问题中的任何一个时，会保持绑定 5 分钟。

您可以根据需要配置这些容限。例如，如果您有一个具有许多本地状态的应用程序，您可能希望在发生网络分区时让 pod 与节点保持绑定更久一些，以等待分区恢复并避免 pod 驱除行为的发生。

DaemonSet pod 创建时具有以下污点的 NoExecute 容限，但没有设置 tolerationSeconds：

这可以确保 DaemonSet pod 不会因为这些节点状况而被驱除，即使 DefaultTolerationSeconds 准入控制器已被禁用。

您可以指定一组节点供一组特定用户独占使用。

您可以配置节点，使特定用户只能使用专用节点。

如果集群中有少量节点具有特殊的硬件（如 GPU），您可以使用污点和容限让不需要特殊硬件的 pod 与这些节点保持距离，从而将这些节点保留给那些确实需要特殊硬件的 pod。您还可以要求需要特殊硬件的 pod 使用特定的节点。

例如，准入控制器可以使用 pod 的一些特征来决定是否应该允许 pod 通过添加容限来使用特殊节点。

要确保 pod 只能使用特殊硬件，您需要一些额外的机制。例如，您可以给具有特殊硬件的节点打上标签，并在需要该硬件的 pod 上使用节点关联性。