Sidecar 模式与原生边车容器：init 容器、生命周期与重启策略

Pod
 ├── app 容器（业务逻辑，只管监听 localhost:8080）
 ├── envoy 边车（接管流量，做 mTLS/重试/熔断）
 └── log-agent 边车（tail 共享卷里的日志文件，推送到远端）

spec:
  containers:
    - name: app
      image: myapp:1.0
      ports:
        - containerPort: 8080
    - name: envoy
      image: envoyproxy/envoy:v1.29
      ports:
        - containerPort: 15001        # 出站劫持端口
        - containerPort: 15006        # 入站劫持端口
      securityContext:
        capabilities:
          add: ["NET_ADMIN", "NET_RAW"]   # 改写 iptables 需要

spec:
  volumes:
    - name: varlog
      emptyDir: {}
  containers:
    - name: app
      image: myapp:1.0
      volumeMounts:
        - name: varlog
          mountPath: /var/log/app
    - name: log-tailer
      image: fluent/fluent-bit:3.0
      volumeMounts:
        - name: varlog
          mountPath: /var/log/app
          readOnly: true

# Vault Agent Injector 就是典型的「配置同步边车」自动注入
annotations:
  vault.hashicorp.com/agent-inject: "true"
  vault.hashicorp.com/role: "myapp"
  vault.hashicorp.com/agent-inject-secret-config: "secret/data/myapp"

Pod 启动序列：
  调度到节点 → 拉取所有镜像（含 init）
  → init-1 执行 → 成功 → init-2 执行 → 成功 → ...
  → 所有 init 成功 → 主容器与边车并行启动
  任一 init 失败（非 0 退出）→ 按 restartPolicy 重试整个 Pod

spec:
  initContainers:
    - name: wait-for-db
      image: busybox:1.36
      command:
        - sh
        - -c
        - |
          until nc -z postgres.prod.svc.cluster.local 5432; do
            echo "waiting for postgres..."
            sleep 2
          done
    - name: fix-permissions
      image: busybox:1.36
      command: ["sh", "-c", "chown -R 1000:1000 /data"]
      volumeMounts:
        - name: data
          mountPath: /data
  containers:
    - name: app
      image: myapp:1.0
      volumeMounts:
        - name: data
          mountPath: /data
  volumes:
    - name: data
      emptyDir: {}

等待数据库就绪（会结束）      → init 容器
改文件属主（会结束）          → init 容器
跑一个 Envoy 代理（不结束）    → 边车容器
tail 日志文件（不结束）        → 边车容器

spec:
  initContainers:
    - name: log-shipper
      image: fluent/fluent-bit:3.0
      restartPolicy: Always          # ← 关键：声明为原生边车
      volumeMounts:
        - name: varlog
          mountPath: /var/log/app
    - name: wait-for-db              # 普通 init，仍串行执行
      image: busybox:1.36
      command: ["sh", "-c", "until nc -z postgres 5432; do sleep 1; done"]
  containers:
    - name: app
      image: myapp:1.0
      volumeMounts:
        - name: varlog
          mountPath: /var/log/app

1) 启动顺序：带 restartPolicy: Always 的 init 容器按顺序先启动，
   且必须「就绪」（startupProbe 通过或进程启动）后，后续 init 与主容器才开始。
2) 终止顺序：Pod 终止时，主容器先收到 SIGTERM 并退出，
   之后原生边车才被终止 —— 边车有机会把缓冲日志 flush 出去。
3) Job 语义：Job 的完成判定只等主容器（非边车容器），
   边车不会再阻止 Job 变成 Complete。

# 完整示例：边车 + 探针保证「就绪后主容器才启动」
initContainers:
  - name: proxy
    image: envoyproxy/envoy:v1.29
    restartPolicy: Always
    startupProbe:
      httpGet: { path: /ready, port: 9901 }
      periodSeconds: 1
      failureThreshold: 30
    lifecycle:
      preStop:
        exec:
          command: ["sh", "-c", "sleep 5; curl -X POST localhost:9901/drain"]

spec:
  restartPolicy: Always        # Pod 级：Always / OnFailure / Never
  containers:
    - name: app
      # 容器级没有 restartPolicy（原生边车例外，且只能是 Always）

containers:
  - name: app
    lifecycle:
      postStart:
        exec:
          command: ["sh", "-c", "echo started >> /tmp/lifecycle.log"]
      preStop:
        exec:
          command: ["sh", "-c", "sleep 10 && nginx -s quit"]

Pod 被删除
  1. Pod 标记 Terminating，从 EndpointSlice 摘除（异步）
  2. 并行执行所有容器的 preStop 钩子
  3. preStop 完成后，向容器主进程发 SIGTERM
  4. 等待 terminationGracePeriodSeconds（默认 30s）
  5. 超时未退出 → SIGKILL
  （原生边车在主容器之后才被终止）

lifecycle:
  preStop:
    exec:
      command: ["sh", "-c", "sleep 5"]

Pod 的调度资源 = sum(所有容器的 requests)
边车 requests.cpu = 100m、memory = 64Mi
→ 每个 Pod 多占 100m/64Mi，1000 个 Pod 就是 100 核 / 64Gi

spec:
  shareProcessNamespace: true     # 同 Pod 内容器可见彼此进程

需要一个辅助能力
  ├─ 是「启动前必须完成的一次性任务」吗？
  │    是 → init 容器（串行、必须成功退出）
  ├─ 是「与主容器同生命周期的长期进程」吗？
  │    是 → 原生边车容器（restartPolicy: Always 的 init 容器）
  │          └─ 集群 < v1.29 → 经典边车 + 注意 Job/顺序问题
  └─ 是「每个节点一次」的能力吗？
       是 → DaemonSet（如日志采集、CNI、NodeLocal DNS）