Taints und Tolerations

Stellen Sie sich vor, Sie haben spezielle Nodes in Ihrem Kubernetes-Cluster, etwa mit bestimmter Hardware wie GPUs oder Nodes, die für bestimmte Workloads reserviert sind. Sie möchten dort sicherlich nicht jeden beliebigen Pod platzieren, oder?

Hier kommen Taints ins Spiel! Ein Taint ist eine Eigenschaft eines Nodes, die verhindert, dass Pods dort eingeplant werden, sofern diese den Taint nicht ausdrücklich „tolerieren“.

Taints sind äußerst nützlich, um zu steuern, wo Pods ausgeführt werden:

• Dedizierte Nodes: Reservieren Sie Nodes für bestimmte Teams oder Anwendungen.
• Spezielle Hardware: Isolieren Sie Nodes mit GPUs oder leistungsstarken SSDs für Pods, die diese benötigen.
• Wartung: Markieren Sie einen Node als in Wartung befindlich, damit dort vorübergehend keine neuen Pods eingeplant werden.

Betrachten Sie einen Taint als ein „Betreten verboten“-Schild an einem Node. Ein Pod kann dieses Schild nur ignorieren, wenn er eine passende „Genehmigung“ besitzt, die Toleration genannt wird.

Ein Taint besteht aus einem Schlüssel, einem Wert und einem Effekt. Beispiel: key=value:effect.

Der Teil „effect“ eines Taints teilt Kubernetes mit, was mit Pods geschehen soll, die ihn nicht tolerieren. Es gibt drei Haupteffekte:

• NoSchedule
• PreferNoSchedule
• NoExecute

Sehen wir uns jeden davon an.

Der Effekt NoSchedule ist der strengste. Wenn ein Node einen Taint mit NoSchedule besitzt, wird kein Pod auf diesem Node eingeplant, sofern er nicht über eine passende Toleration verfügt.

Pods, die bereits auf dem Node ausgeführt werden, sind von einem neuen Taint mit NoSchedule NICHT betroffen.

PreferNoSchedule ist eine „weiche“ Variante von NoSchedule. Kubernetes versucht nach Möglichkeit, Pods nicht auf einem mit einem Taint versehenen Node einzuplanen, es handelt sich jedoch nicht um eine harte Anforderung.

Wenn keine anderen geeigneten Nodes vorhanden sind, kann ein Pod auch ohne Toleration auf einem Node mit dem Taint PreferNoSchedule eingeplant werden.

Der Effekt NoExecute ist einzigartig, da er *bereits ausgeführte* Pods betrifft. Wenn ein Node einen Taint mit NoExecute besitzt:

• Pods ohne passende Toleration werden *sofort entfernt*.
• Neue Pods ohne passende Toleration können nicht eingeplant werden.

Dies wird häufig verwendet, um Nodes zu leeren oder Node-Ausfälle zu behandeln.

Während Taints auf Nodes angewendet werden, werden Tolerations auf Pods angewendet. Die Toleration eines Pods ermöglicht es, ihn auf einem Node mit einem passenden Taint einzuplanen.

Ohne passende Toleration kann ein Pod nicht auf einem Node mit Taint eingeplant werden (oder wird dort nach Möglichkeit nicht eingeplant).

Sie definieren Tolerations im YAML-Manifest eines Pods unter dem Abschnitt spec. So toleriert ein Pod einen Taint mit key=value:NoSchedule:

Damit ein Pod auf einem Node mit Taint eingeplant werden kann, muss seine Toleration mit dem Taint des Nodes übereinstimmen. Die Übereinstimmung umfasst:

• Schlüssel: Muss identisch sein.
• Wert: Muss bei operator: Equal identisch sein.
• Effekt: Muss identisch sein.
• Operator: Kann Equal oder Exists sein (also jeder beliebige Wert für den Schlüssel).

Eine spezielle Toleration key: "" operator: Exists toleriert *jeden* Taint.

Ein Node besitzt den Taint env=production:NoSchedule. Welche Pod-Konfiguration würde ermöglichen, dass der Pod auf diesem Node eingeplant wird?

Sie haben Taints und Tolerations kennengelernt!

• Taints werden auf Nodes angewendet, um Pods fernzuhalten.
• Tolerations werden auf Pods angewendet, damit diese auf Nodes mit Taints eingeplant werden können.
• Die wichtigsten Taint-Effekte sind NoSchedule, PreferNoSchedule und NoExecute.
• Tolerations müssen mit dem Schlüssel, dem Wert und dem Effekt des Taints übereinstimmen, damit ein Pod eingeplant werden kann.

Mit diesen Werkzeugen können Sie die Platzierung von Pods sehr genau steuern!