API Server 内部与准入链：watch 缓存、APF 与聚合层

# 默认端口布局
--secure-port=6443         # 对外 HTTPS API（认证鉴权生效）
--insecure-port=0          # 非安全端口，v1.20 后默认禁用，务必为 0
--bind-address=0.0.0.0

TCP/TLS 握手
  ↓
HTTP Handler Chain（DefaultBuildHandlerChain）
  ├─ WithRequestInfo          解析 verb/resource/namespace/name
  ├─ WithMaxInFlightLimit     最大并发限制（已被 APF 取代）
  ├─ WithTimeoutForNonLongRunningRequests
  ├─ WithPanicRecovery
  ├─ WithCORS
  ├─ WithAuthentication       认证 → 写入 user.Info
  ├─ WithAuthorization        鉴权 → SubjectAccessReview
  ├─ WithAudit                审计日志
  ├─ WithImpersonation        模拟身份
  └─ WithRequestInfo
  ↓
REST Storage（etcd3 store）
  ├─ Admission（Mutating → Validating）
  ├─ Validation（schema 校验）
  ├─ Strategy（PrepareForCreate/Update 填默认值）
  └─ etcd 事务写

# 排查某身份能否执行某操作，最快的方式
kubectl auth can-i create pods --namespace default --as system:serviceaccount:default:ci

请求体（用户提交的原始对象）
  ↓
Mutating Admission（可修改对象）
  ├─ MutatingAdmissionWebhook（外部 webhook，按名字排序）
  ├─ LimitRanger（填默认资源）
  ├─ DefaultStorageClass
  ├─ PodNodeSelector、DefaultTolerationSeconds ...
  ↓
Object Schema Validation（OpenAPI schema）
  ↓
Validating Admission（只读，不可改）
  ├─ ValidatingAdmissionWebhook
  ├─ ResourceQuota（校验配额）
  ├─ NamespaceLifecycle、PodSecurity ...
  ↓
持久化到 etcd

--enable-admission-plugins=NodeRestriction,PodSecurity,ResourceQuota
--disable-admission-plugins=...

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: policy.example.com
webhooks:
  - name: check.example.com
    clientConfig:
      service:
        name: policy-webhook
        namespace: policy-system
        path: /validate
    rules:
      - apiGroups: [""]
        apiVersions: ["v1"]
        operations: ["CREATE", "UPDATE"]
        resources: ["pods"]
    failurePolicy: Fail          # Fail 会阻断；Ignore 会放行（危险）
    sideEffects: None
    admissionReviewVersions: ["v1"]
    timeoutSeconds: 10

etcd  →  watch（API Server 与 etcd 的长连接）
         ↓
      watch cache（每个资源一份，含滑动窗口事件缓冲）
         ↓
   客户端 LIST  → 从缓存读
   客户端 WATCH → 从缓存的事件缓冲回放 + 订阅增量

# 强制读 etcd（一致性读），用于控制器做乐观并发
kubectl get pod my-pod -o json --resource-version=0

kubectl get pods -A --chunk-size=500

apiVersion: flowcontrol.apiserver.k8s.io/v1
kind: PriorityLevelConfiguration
metadata:
  name: workload-low
spec:
  type: Limited
  limited:
    nominalConcurrencyShares: 10     # 相对份额（不是绝对值）
    limitResponse:
      type: Queue                    # 超出并发时排队
      queuing:
        queues: 128
        queueLengthLimit: 50
        handSize: 6

apiVersion: flowcontrol.apiserver.k8s.io/v1
kind: FlowSchema
metadata:
  name: service-accounts
spec:
  matchingPrecedence: 9000
  priorityLevelConfiguration:
    name: workload-low
  rules:
    - subjects:
        - kind: Group
          group:
            name: system:serviceaccounts
      resourceRules:
        - verbs: ["list", "watch"]
          apiGroups: ["*"]
          resources: ["*"]

# 观察每个优先级等级的排队与拒绝
kubectl get --raw /metrics | grep apiserver_flowcontrol
# 关键指标：
#   apiserver_flowcontrol_current_inqueue_requests
#   apiserver_flowcontrol_rejected_requests_total
#   apiserver_flowcontrol_request_wait_duration_seconds

apiVersion: apiregistration.k8s.io/v1
kind: APIService
metadata:
  name: v1beta1.metrics.k8s.io
spec:
  service:
    name: metrics-server
    namespace: kube-system
    port: 443
  group: metrics.k8s.io
  version: v1beta1
  groupPriorityMinimum: 100
  versionPriority: 100
  insecureSkipTLSVerify: false
  caBundle: <base64-ca>

# 检查聚合 API 健康
kubectl get apiservices
kubectl get --raw /apis/metrics.k8s.io/v1beta1

3 个 apiserver 副本（或 5 个）
  ├─ 前置负载均衡（VIP / L4 LB），健康检查 /healthz
  ├─ 每个副本连自己的 etcd 端点列表（etcd 是 3/5 节点集群）
  └─ 无状态，可任意重启；证书 SAN 必须包含 LB 地址

# 关键健康端点
curl -k https://127.0.0.1:6443/livez    # 进程存活
curl -k https://127.0.0.1:6443/readyz   # 可服务（含 etcd 连通性检查）
curl -k https://127.0.0.1:6443/readyz?verbose   # 逐项检查