Kubernetes emptyDir 详解：多容器共享临时存储

一、核心概念与生命周期

emptyDir 是 Kubernetes 中一种与 Pod 强绑定的临时卷，其核心特性如下：

生命周期：与 Pod 完全一致。当 Pod 被调度到节点时自动创建，Pod 从节点移除（删除、驱逐、节点故障）时自动删除，数据随 Pod 消亡而丢失。
共享范围：仅支持同一 Pod 内的多个容器共享数据（跨 Pod 无法共享）。
存储介质：默认使用节点的本地磁盘（或临时存储目录，通常为 /var/lib/kubelet/pods/<pod-id>/volumes/kubernetes.io~empty-dir/<volume-name>），也可指定为内存（tmpfs）。

二、完整配置参数

emptyDir 的配置参数较少但需精准理解，完整结构如下：

volumes:
- name: <卷名称>  # 自定义名称，供容器挂载引用
  emptyDir:
    medium: <存储介质>  # 可选，默认""（磁盘），设为"Memory"则使用tmpfs（内存）
    sizeLimit: <容量限制>  # 可选，如"1Gi"，限制卷的最大使用空间
    medium: "Memory"  # 仅支持"Memory"或空字符串（空字符串表示磁盘）

参数详解：

medium：
默认值为空字符串（""）：使用节点的本地磁盘/临时存储（依赖节点的存储介质，可能是 HDD、SSD 或网络挂载的临时盘）。
设为 "Memory"：使用节点的 tmpfs（内存文件系统），特点是：
- 读写速度远快于磁盘（内存级性能）；
- 数据占用节点内存（计入节点内存使用量，可能影响节点调度）；
- 若节点重启，tmpfs 数据会丢失（即使 Pod 未被删除）；
- 不支持硬盘swap（取决于系统配置，通常 tmpfs 可被swap，但不建议依赖）。
sizeLimit：
可选配置，用于限制卷的最大容量（如 1Gi、512Mi）。
若不设置，卷容量仅受限于节点的可用存储（磁盘或内存），可能导致节点存储耗尽。
当卷使用量超过 sizeLimit 时，kubelet 会触发 Pod 驱逐（遵循 eviction 策略），避免节点资源被耗尽。

三、多容器共享的典型配置示例

示例1：基础共享（磁盘介质）

两个容器通过磁盘介质的 emptyDir 共享日志文件：

apiVersion: v1
kind: Pod
metadata:
  name: log-share-pod
spec:
  volumes:
  - name: log-storage  # 定义emptyDir卷
    emptyDir:
      sizeLimit: 512Mi  # 限制最大512MB

  containers:
  - name: app  # 应用容器：写入日志
    image: nginx:alpine
    command: ["/bin/sh", "-c"]
    args:
    - while true; do
        echo "[$(date)] 访问日志: ..." >> /var/log/app/app.log;
        sleep 3;
      done
    volumeMounts:
    - name: log-storage  # 挂载卷到应用容器的日志目录
      mountPath: /var/log/app

  - name: log-collector  # 日志收集容器：读取日志
    image: busybox:1.35
    command: ["/bin/sh", "-c"]
    args:
    - while true; do
        cat /logs/app.log;  # 读取共享日志
        sleep 10;
      done
    volumeMounts:
    - name: log-storage  # 挂载同一个卷到收集容器的目录
      mountPath: /logs  # 路径可与应用容器不同

示例2：内存介质（tmpfs）+ 只读权限

适合高频读写的临时缓存，且限制容器写权限：

apiVersion: v1
kind: Pod
metadata:
  name: cache-share-pod
spec:
  volumes:
  - name: cache-volume  # 内存介质的emptyDir
    emptyDir:
      medium: Memory  # 使用tmpfs（内存）
      sizeLimit: 256Mi  # 限制256MB内存

  containers:
  - name: cache-generator  # 生成缓存（可写）
    image: busybox:1.35
    command: ["/bin/sh", "-c"]
    args:
    - while true; do
        echo "缓存数据: $(date +%s)" > /cache/data;  # 写入缓存
        sleep 5;
      done
    volumeMounts:
    - name: cache-volume
      mountPath: /cache  # 可写路径

  - name: cache-reader  # 读取缓存（只读）
    image: busybox:1.35
    command: ["/bin/sh", "-c"]
    args:
    - while true; do
        echo "读取缓存: $(cat /read-only-cache/data)";
        sleep 5;
      done
    volumeMounts:
    - name: cache-volume
      mountPath: /read-only-cache
      readOnly: true  # 限制为只读，避免误修改

四、关键特性与边缘场景说明

1. 容器重启不影响数据

当 Pod 内的容器因故障重启（如 crashLoopBackOff），emptyDir 数据不会丢失（因卷生命周期与 Pod 绑定，而非容器）。例如：应用容器重启后，仍可读取之前写入的共享文件。

2. 容量超限的行为

若设置 sizeLimit：当卷使用量超过限制，kubelet 会将 Pod 标记为 DiskPressure 或 MemoryPressure，并根据节点驱逐策略（--eviction-hard）驱逐 Pod。
若未设置 sizeLimit：卷可能耗尽节点磁盘/内存，导致节点不可用（生产环境强烈建议设置）。

3. 权限与安全

容器挂载 emptyDir 时，默认拥有读写权限（readOnly: false）。
对无需写入的容器（如日志收集、监控），建议设置 readOnly: true，减少误操作风险。
emptyDir 数据存储在节点本地，不加密，禁止存储敏感信息（如密码、Token）。

五、适用场景与不适用场景

适用场景：

临时数据传递：如前端容器生成临时文件，后端容器读取处理（如数据转换、格式处理）。
日志/指标共享：应用容器写入日志/指标到 emptyDir，专用收集容器（如 Fluentd、Prometheus Agent）读取并上传。
高频临时缓存：需要快速读写的临时数据（如计算中间结果），且不依赖持久化（用 tmpfs 介质提升性能）。

不适用场景：

数据持久化：需长期保存的数据（如数据库文件），应使用 PersistentVolume。
跨 Pod 共享：emptyDir 仅能在同一 Pod 内共享，跨 Pod 需用 NFS、Ceph 等共享存储。
大容量存储：emptyDir 依赖节点本地资源，容量有限，不适合存储大容量数据。

六、与其他存储类型的对比

存储类型	生命周期	共享范围	典型用途
`emptyDir`	与 Pod 一致	同一 Pod 内容器	临时数据共享
`configMap`	独立于 Pod	跨 Pod 配置共享	配置文件挂载
`secret`	独立于 Pod	跨 Pod 敏感信息	密码、证书挂载
`PersistentVolume`	独立于 Pod	跨 Pod/命名空间	持久化数据（如数据库）

七、最佳实践

介质选择：
临时且低容量、高读写频率 → 用 medium: Memory（tmpfs）。
大容量、读写频率低 → 用默认磁盘介质。
容量控制：必须设置 sizeLimit，建议根据业务需求预留 20%+ 冗余（如预期用 500Mi，设为 600Mi）。
权限控制：对只读容器显式设置 readOnly: true，避免数据被误删/篡改。
监控：通过 Kubernetes 节点指标（如 kubelet_volume_stats_used_bytes）监控 emptyDir 使用量，避免超限。
避免敏感数据：禁止存储密钥、证书等，若需临时存储敏感信息，可结合 tmpfs + 容器退出时自动清理脚本。

八、调试与验证方法

查看卷挂载状态：进入 Pod 内的容器，检查挂载路径是否存在：

kubectl exec -it <pod-name> -c <container-name> -- ls <mount-path>

验证数据共享：在一个容器写入数据，在另一个容器读取：

# 在writer容器写入
kubectl exec -it <pod-name> -c writer -- echo "test" > /shared/test.txt
# 在reader容器读取
kubectl exec -it <pod-name> -c reader -- cat /shared/test.txt

检查容量使用：通过节点的 kubelet 指标查看：

# 需集群部署metrics-server
kubectl top pod <pod-name> --containers

通过合理配置 emptyDir，可高效实现 Pod 内多容器的临时数据协作，同时需注意其临时性和资源限制，避免生产环境风险。

Z笔记

左老师的课堂笔记

emptyDir详解