Собеседования по Kubernetes идут от терминологии (pod, deployment, service) к эксплуатации (что происходит при падении пода, как отлаживать зависший rollout) и проектированию (как вы будете безопасно запускать приложение). Интервьюеры любят команды и симптомы, поэтому тренируйтесь проговаривать, что именно вы введёте в терминале и что ожидаете увидеть.
Ниже 26 вопросов с ответами, сгруппированных по темам. По возможности заменяйте примеры собственным опытом работы с кластерами.
Архитектура и объекты
1. Что такое Kubernetes?
Открытая система для запуска и управления контейнерами на кластере машин. Вы объявляете желаемое состояние, например три копии сервиса, а Kubernetes постоянно работает над тем, чтобы ему соответствовать.
2. Из каких основных компонентов состоит кластер?
В control plane входят API-сервер (входная точка), etcd (хранилище данных), планировщик (выбирает узел для каждого пода) и controller manager (запускает циклы управления). На каждом рабочем узле работают kubelet (запускает поды), среда выполнения контейнеров и kube-proxy (отвечает за сетевую связность сервисов).
3. Что такое под?
Наименьшая развёртываемая единица. Он содержит один или несколько контейнеров, которые разделяют сетевое пространство имён и хранилище. В большинстве подов один основной контейнер, а дополнительные — это sidecar- или init-контейнеры.
4. В чём разница между Deployment, ReplicaSet и StatefulSet?
ReplicaSet поддерживает работу заданного числа одинаковых подов. Deployment управляет ReplicaSet'ами и даёт вам rolling-обновления и откаты. StatefulSet — для stateful-приложений: поды получают стабильные имена, стабильное хранилище и упорядоченный запуск и остановку.
5. Что такое DaemonSet? Job? CronJob?
DaemonSet запускает по одному поду на каждом узле — для агентов вроде сборщиков логов. Job выполняет задачу до завершения. CronJob запускает Job'ы по расписанию.
6. Что такое метки, селекторы и аннотации?
Метки — это пары «ключ-значение» на объектах, а селекторы выбирают объекты по меткам. Так сервисы находят поды, а Deployment'ы — свои ReplicaSet'ы. Аннотации тоже хранят данные в виде «ключ-значение», но предназначены для неидентифицирующих метаданных, которые используют инструменты.
7. Что такое пространство имён?
Способ разделить кластер на виртуальные группы, обычно по команде или окружению. Пространства имён задают область видимости имён, и для каждого из них можно применять квоты ресурсов и правила доступа. Сами по себе они не являются надёжной границей безопасности.
Сеть
8. Какие бывают типы Service?
| Тип | Что делает |
|---|---|
| ClusterIP | Стабильный внутренний IP, доступный только внутри кластера (по умолчанию) |
| NodePort | Открывает порт на каждом узле |
| LoadBalancer | Создаёт внешний балансировщик нагрузки через облачного провайдера |
| ExternalName | Сопоставляет сервис с DNS-именем |
9. Что такое Ingress?
Объект, который маршрутизирует внешний HTTP- и HTTPS-трафик к сервисам по хосту и пути, а работу выполняет ingress-контроллер. Более новый Gateway API — более выразительный преемник.
10. Как поды находят друг друга?
Через сервисы и кластерный DNS. Сервис с именем api в пространстве имён shop доступен как api.shop.svc.cluster.local, а изнутри того же пространства имён — просто как api.
11. Что такое NetworkPolicy?
Набор правил, определяющих, какие поды могут общаться с какими. По умолчанию все поды могут достучаться друг до друга. С помощью политик (и сетевого плагина, который их применяет) вы можете ограничить трафик, например разрешить только подам API обращаться к базе данных.
Конфигурация и хранилище
12. В чём разница между ConfigMap и Secret?
Оба хранят конфигурацию, которая подставляется как переменные окружения или файлы. Secret'ы предназначены для чувствительных данных, но по умолчанию они лишь закодированы в base64, а не зашифрованы. Включите шифрование в состоянии покоя, ограничьте доступ через RBAC и рассмотрите внешний менеджер секретов.
13. Что такое PersistentVolume и PersistentVolumeClaim?
PersistentVolume — это часть хранилища в кластере. PersistentVolumeClaim — это запрос пода на хранилище. StorageClass позволяет Kubernetes автоматически выделять тома. Данные в обычной файловой системе контейнера исчезают, когда под заменяется.
14. Что такое requests и limits?
Requests — это ресурсы, которые планировщик резервирует для контейнера. Limits — максимум, который он может использовать. Превышение лимита по памяти приводит к убийству контейнера (OOMKilled), а превышение лимита по CPU вызывает троттлинг.
Надёжность и обновления
15. Что такое liveness-, readiness- и startup-пробы?
Liveness-проба проверяет, нужно ли перезапустить контейнер. Readiness-проба — готов ли он принимать трафик. Startup-проба даёт медленно стартующим приложениям время, прежде чем начнут работать остальные пробы. Частая ошибка — liveness-проба, которая зависит от базы данных: если база недоступна, это может привести к перезапуску всех подов.
16. Как работает rolling update?
Deployment постепенно создаёт новые поды и удаляет старые, а управляют этим параметры maxSurge и maxUnavailable. Readiness-пробы определяют, когда новый под считается готовым. Если что-то пошло не так, kubectl rollout undo возвращает предыдущую ревизию.
17. Как работает автомасштабирование?
Horizontal Pod Autoscaler меняет количество подов на основе метрик, например загрузки CPU. Vertical Pod Autoscaler корректирует requests и limits. Cluster autoscaler добавляет или убирает узлы, когда поды не удаётся разместить или узлы простаивают.
18. Как обеспечить доступность приложения во время обслуживания узла?
Запустите несколько реплик, распределите их по узлам или зонам и задайте PodDisruptionBudget, чтобы при добровольном вытеснении сохранялся минимум работающих подов. Узлы выводите из эксплуатации командой kubectl drain.
Диагностика проблем
19. Под находится в состоянии CrashLoopBackOff. Что делать?
Контейнер запускается и сразу завершается, и так по кругу. Выполните kubectl logs <pod> --previous, чтобы увидеть причину сбоя, и kubectl describe pod — там будут события, коды выхода и ошибки проб. Проверьте конфигурацию, отсутствующие секреты и лимиты ресурсов.
20. Под завис в состоянии Pending. Что проверять?
kubectl describe pod покажет, почему планировщик не смог его разместить: не хватает CPU или памяти ни на одном узле, не совпадают node selectors или taints, либо не привязан запрос на том.
21. Под убит по OOMKilled. Что делать?
Он превысил лимит памяти. Посмотрите динамику потребления, выясните, утечка это или просто слишком низкий лимит, и либо поднимите лимит, либо исправьте приложение. Задавайте requests близко к реальному потреблению, чтобы планирование было реалистичным.
22. Сервис недоступен. Как это отлаживать?
- Проверьте, что поды запущены и готовы.
- Проверьте, что селектор сервиса совпадает с метками подов (kubectl get endpoints).
- Проверьте доступность изнутри кластера с помощью временного пода.
- Проверьте порт, target port и адрес, который слушает контейнер.
- Проверьте сетевые политики, затем ingress и DNS.
Безопасность и эксплуатация
23. Как работает RBAC?
Роли определяют права на ресурсы, а привязки выдают их пользователям, группам или service accounts. По возможности используйте роли в пределах namespace, избегайте cluster-admin и выделяйте каждому workload собственный service account с минимально необходимыми правами.
24. Как защитить кластер?
Используйте RBAC с минимальными привилегиями, ограничивайте доступ к API, сканируйте образы, запускайте контейнеры от имени non-root и, где возможно, с read-only файловой системой, применяйте сетевые политики, шифруйте секреты, своевременно обновляйте Kubernetes и ведите аудит активности.
25. Что такое Helm?
Пакетный менеджер для Kubernetes. Chart — это набор шаблонизированных манифестов, а release — установленный экземпляр со своими values. Он помогает переиспользовать и версионировать развёртывания в разных окружениях. Kustomize — другой подход, который патчит обычные манифесты.
26. Как безопасно развернуть веб-приложение в Kubernetes?
«Deployment минимум с тремя репликами, распределёнными по зонам, заданными requests и limits, readiness- и liveness-пробами, Service и Ingress с TLS, конфигурацией в ConfigMaps и Secrets, HPA и PodDisruptionBudget. Развёртывание через пайплайн с rolling update и простым откатом, а во время выката следим за долей ошибок и задержкой».
Команды, которые стоит знать
| Задача | Команда |
|---|---|
| Список подов | kubectl get pods -n <namespace> |
| Детали пода и события | kubectl describe pod <pod> |
| Логи | kubectl logs <pod> -c <container> (добавьте --previous после сбоя) |
| Shell в поде | kubectl exec -it <pod> -- sh |
| Откат | kubectl rollout undo deployment/<name> |
| Масштабирование | kubectl scale deployment/<name> --replicas=5 |
| Применить манифест | kubectl apply -f file.yaml |
Как готовиться
Поднимите небольшой кластер локально с помощью kind или minikube и ломайте всё специально: неверный тег образа, падающая проба, слишком низкий лимит памяти. Тренируйтесь читать вывод describe и logs. Подготовьте одну реальную аварию, которую вы разбирали, и расскажите, что изменили после неё. Для тренировки проектирования смотрите наш гайд по system design, а по облачным темам — гайд по AWS.
Проговаривайте шаги отладки вслух — интервьюерам важен порядок ваших проверок. Мок-интервью с транскриптом покажет, где вы пропустили шаг. Соблюдайте правила работодателя насчёт AI-инструментов на любом живом интервью.
Практикуйте ответы для собеседования по Kubernetes с YesToTheOffer
Пройдите mock-техническое собеседование, проговорите шаги отладки и просмотрите расшифровку afterward. 30 бесплатных минут, без подписки.
