Padrões do Kubernetes

Padrões do Kubernetes de nível de produção para implantar, gerenciar e depurar cargas de trabalho de forma confiável.

Quando Ativar

• Escrevendo manifestos do Kubernetes (Deployments, Services, Ingress, Jobs)
• Configurando requisições/limites de recursos, sondas de liveness/readiness
• Configurando RBAC, namespaces ou ServiceAccounts
• Gerenciando configuração e segredos no K8s
• Depurando CrashLoopBackOff, OOMKilled, pods pendentes ou erros de pull de imagem
• Configurando HPA (Horizontal Pod Autoscaler) ou PodDisruptionBudgets
• Revisando YAML do K8s para segurança ou correção

Quando Usar

O mesmo que Quando Ativar acima. Este alias atende às convenções de formato de habilidade do repositório. Use esta habilidade sempre que estiver escrevendo, revisando ou depurando YAML e cargas de trabalho do Kubernetes.

Como Funciona

Esta habilidade fornece padrões YAML de nível de produção, copiáveis e comandos de depuração do kubectl organizados por tarefa:

1. Modelo de Deployment — Um Deployment de produção totalmente configurado com contexto de segurança, estratégia de atualização contínua, os três tipos de sondas, limites de recursos e injeção de ambiente de ConfigMap/Secret.
2. Sondas — Tabela de decisão para startup vs liveness vs readiness, com a failureThreshold × periodSeconds correta.
3. Services & Ingress — Padrões ClusterIP, LoadBalancer e TLS Ingress com anotações do cert-manager.
4. ConfigMaps & Secrets — Orientação sobre envFrom, montagem de arquivos e segredos externos.
5. Gerenciamento de Recursos — Regras gerais de requisições vs limites por tipo de carga de trabalho (API web, JVM, worker, sidecar).
6. RBAC — Cadeia de ServiceAccount → Role → RoleBinding de menor privilégio.
7. HPA & PDB — Configurações de segurança para autoescalonamento e drain de nós.
8. Jobs & CronJobs — Padrões de carga de trabalho única e agendada com restartPolicy correto.
9. Cheat sheet do kubectl — Comandos de logs, exec, rollback, port-forward, dry-run e diagnóstico de erros comuns.
10. Anti-padrões e checklist — O que NÃO fazer e um checklist de segurança/confiabilidade/observabilidade.

Exemplos

Veja as seções abaixo para exemplos completos e executáveis. Referências rápidas:

Padrões de Carga de Trabalho Principal

Deployment — Modelo de Produção

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app
  namespace: my-namespace
  labels:
    app: my-app
    version: "1.0.0"
spec:
  replicas: 3
  selector:
    matchLabels:
      app: my-app
  strategy:
    type: RollingUpdate
    rollingUpdate:
      maxSurge: 1          # Permite 1 pod extra durante a atualização
      maxUnavailable: 0    # Nunca reduz abaixo do número desejado
  template:
    metadata:
      labels:
        app: my-app
        version: "1.0.0"
    spec:
      # Contexto de segurança no nível do pod
      securityContext:
        runAsNonRoot: true
        runAsUser: 1001
        fsGroup: 1001

      # Desligamento gracioso
      terminationGracePeriodSeconds: 30

      containers:
        - name: my-app
          image: ghcr.io/org/my-app:1.0.0   # Nunca use :latest
          imagePullPolicy: IfNotPresent

          ports:
            - containerPort: 8080
              protocol: TCP

          # Requisições E limites de recursos são ambos obrigatórios
          resources:
            requests:
              cpu: "100m"
              memory: "128Mi"
            limits:
              cpu: "500m"
              memory: "256Mi"

          # Contexto de segurança do contêiner
          securityContext:
            allowPrivilegeEscalation: false
            readOnlyRootFilesystem: true
            capabilities:
              drop:
                - ALL

          # Sondas (veja a seção Sondas abaixo)
          startupProbe:
            httpGet:
              path: /health
              port: 8080
            failureThreshold: 30
            periodSeconds: 5
          livenessProbe:
            httpGet:
              path: /health
              port: 8080
            initialDelaySeconds: 0
            periodSeconds: 30
            failureThreshold: 3
          readinessProbe:
            httpGet:
              path: /ready
              port: 8080
            initialDelaySeconds: 5

…