阿里云容器服务Kubernetes版ACK对接使用完全指南

apphuang2026年06月26日 14:10:492

一、ACK集群类型解析与选型决策

在开始对接使用阿里云容器服务Kubernetes版（ACK）之前，首先需要理解ACK提供的不同集群类型及其适用场景。ACK目前主要提供三种集群形态：ACK托管集群、ACK专有集群和ACK Serverless集群。

1.1 ACK托管集群

ACK托管集群的控制面（包括kube-apiserver、kube-controller-manager、kube-scheduler和etcd等核心组件）完全由阿里云托管，用户只需负责Worker节点的创建与运维。托管集群又细分为Pro版和基础版：

Pro版：适用于企业生产与测试环境，提供99.95%的区域级SLA保障。单集群默认支持最大5000个Worker节点并可申请提高配额。Pro版收取集群管理费用，但相比自行维护Master节点的专有集群，整体TCO通常更低。
基础版：仅供个人学习与测试，单账号最多创建2个集群，单集群仅支持10个Worker节点且不支持提高配额。基础版不收取集群管理费用。

每一个托管集群的管控面包含至少2个kube-apiserver实例和3个etcd实例，并部署在不同的可用区以提供可用区级别的高可用性。这种设计显著降低了用户的运维负担，让团队可以更专注于业务应用的开发和部署。

1.2 ACK专有集群

ACK专有集群的控制面需要用户自行创建并运维。根据官方公告，ACK专有集群已于2024年8月21日起停止新建（云盒场景除外），官方推荐在生产环境中使用ACK托管集群Pro版。

1.3 ACK Serverless集群

ACK Serverless集群完全基于弹性容器实例（ECI）运行，用户无需管理底层ECS服务器，只需提供打包好的镜像即可运行容器。该集群类型适用于对资源弹性要求极高、希望免于节点运维的场景。

1.4 选型建议

对于大多数企业的生产环境，ACK托管集群Pro版是最佳选择。它具有以下优势：提供了可赔付的SLA保障；具备etcd高频冷热备机制和异地容灾能力；支持从基础版或专有集群热迁移至Pro版。对于测试或个人学习场景，可选择ACK托管集群基础版。对于对资源弹性要求极高、不想管理节点的场景，ACK Serverless集群是理想选择。

需要先登录阿里云控制台，点击：阿里云控制台

二、ACK托管集群创建与初始化配置

选定集群类型后，接下来进入集群创建阶段。ACK托管集群支持通过多种方式创建，包括控制台、API、Terraform、SDK以及CLI等，其中控制台方式最为直观便捷。

2.1 控制台创建流程

在阿里云控制台中进入"容器服务Kubernetes版"，点击"创建集群"，选择"ACK托管集群"。创建过程中需要配置以下关键参数：

集群名称：自定义命名，创建后仍可修改。
集群规格：选择Pro版或基础版，生产环境务必选择Pro版。
地域和可用区：地域一经创建不可修改。建议选择与用户和业务资源部署地域较近的地域以降低网络延迟，同时配置至少两个不同可用区以保证高可用。
Kubernetes版本：仅支持创建最近三个次要版本，建议使用当前最新版本以获得更好的稳定性、性能和安全性更新。
自动升级：开启后可在维护窗口期内自动升级集群控制面和节点池，有效降低版本维护负担。
专有网络（VPC）和交换机：可选择自动创建或使用已有VPC。为保障高可用，建议选择2个及以上不同可用区。

2.2 网络规划：Terway与Flannel对比

ACK提供了两种CNI网络插件：Terway和Flannel。Terway是基于阿里云弹性网卡（ENI）资源的云原生容器网络方案，提供更优的网络性能和更丰富的网络策略能力。Flannel则是社区标准的Overlay网络方案，配置简单但性能相对较弱。对于生产环境，推荐使用Terway以获得更好的网络性能和可观测性。

2.3 节点池管理

节点池是具有相同属性（例如实例规格、操作系统、标签和污点等）的一组节点的逻辑集合。一个集群中可以创建多个不同配置和类型的节点池。节点池的配置包含节点的属性，例如节点实例规格、计费类型、可用区（vSwitch）、操作系统镜像、CPU架构、标签和污点等。

通过节点池，可以实现：

分组管理：将不同配置的节点分组管理，例如CPU节点池和GPU节点池。
弹性伸缩：节点池支持手动扩缩容和自动弹性伸缩。
混合云部署：ACK托管集群Pro版支持创建混合云节点池，将已有的混合云节点加入集群。

三、应用部署与服务暴露

3.1 核心工作负载部署

ACK集群完全兼容Kubernetes原生API，可以使用Deployment、StatefulSet、DaemonSet等标准工作负载资源来部署应用。以下是一个Nginx Deployment的YAML示例：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  namespace: default
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx:1.25
        ports:
        - containerPort: 80
        resources:
          requests:
            memory: "64Mi"
            cpu: "250m"
          limits:
            memory: "128Mi"
            cpu: "500m"

对于需要持久化存储的有状态应用，应使用StatefulSet配合持久化存储卷。

3.2 Service：集群内服务发现与四层负载均衡

Service是Kubernetes中实现服务发现和四层负载均衡的核心资源。ACK支持ClusterIP、NodePort和LoadBalancer三种Service类型。其中LoadBalancer类型会自动创建阿里云负载均衡实例，将服务暴露到公网或内网。

3.3 ALB Ingress：七层负载均衡

Ingress是集群内Service对外暴露七层（HTTP/HTTPS）的访问接入点，用于为集群中的多个Service提供统一的入口。ACK推荐使用ALB Ingress来实现七层负载均衡。

创建ACK托管集群时，在Ingress参数配置区域，选择安装ALB Ingress。ALB Ingress提供了以下核心能力：

支持通过域名或访问路径路由到不同的Service
支持混合挂载：将K8s集群内Pod和集群外ECS实例混合挂载到同一后端服务器组
支持跨地域挂载和本地IDC挂载

以下是一个ALB Ingress的配置示例：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: app-ingress
  namespace: default
  annotations:
    kubernetes.io/ingress.class: "alb"
spec:
  rules:
  - host: app.example.com
    http:
      paths:
      - path: /api
        pathType: Prefix
        backend:
          service:
            name: api-service
            port:
              number: 8080
      - path: /
        pathType: Prefix
        backend:
          service:
            name: web-service
            port:
              number: 80

四、存储管理

Kubernetes应用通常需要持久化存储来保存数据。ACK通过标准的容器存储接口（CSI），集成了多种阿里云存储服务（如云盘、OSS、NAS、CPFS等），并兼容Kubernetes原生存储机制，为不同业务场景提供存储解决方案。

4.1 存储方案选型

ACK的存储方案分为两类：

Kubernetes原生存储卷：包括emptyDir、HostPath、ConfigMap/Secret等，生命周期通常与Pod绑定，不适用于需要持久化保存应用数据的场景。
阿里云持久化存储卷：通过CSI组件集成，为工作负载提供稳定、可靠的数据持久化能力。生命周期独立于Pod，可用于有状态应用。

4.2 云盘动态存储卷

云盘是阿里云为云服务器ECS提供的数据块级别的块存储产品，具有低时延、高性能、持久性、高可靠等特点。ACK支持使用CSI插件创建云盘动态存储卷。

动态存储卷的配置需要先创建StorageClass，然后通过PVC（PersistentVolumeClaim）动态申请存储资源。以下是一个StorageClass和PVC的配置示例：

apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
  name: alicloud-disk-ssd
provisioner: diskplugin.csi.alibabacloud.com
parameters:
  type: cloud_ssd
  regionId: cn-hangzhou
  zoneId: cn-hangzhou-g
reclaimPolicy: Delete
---
apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: disk-pvc
  namespace: default
spec:
  accessModes:
  - ReadWriteOnce
  storageClassName: alicloud-disk-ssd
  resources:
    requests:
      storage: 20Gi

4.3 NAS静态存储卷

NAS存储卷提供数据持久化（Pod重建后数据不丢失）和数据共享（多Pod同时读写）能力。ACK支持将已有的NAS文件系统，以静态存储卷的方式挂载给工作负载使用。静态存储卷需预先创建PV来代表已有的存储资源（如NAS文件系统）。

五、安全与权限管理

5.1 RAM授权与RBAC授权的双层体系

ACK的权限管理采用双层体系：RAM授权和RBAC授权。

RAM授权：控制用户对ACK产品的操作权限，例如创建集群、查看集群列表等。系统策略如AliyunCSFullAccess、AliyunCSReadOnlyAccess等可满足大部分场景。
RBAC授权：控制用户在集群内部对Kubernetes资源的操作权限，例如创建Pod、删除Service等。RBAC授权通过Kubernetes原生的Role、ClusterRole、RoleBinding和ClusterRoleBinding资源来实现。

如果某个用户需要访问ACK集群，无需为用户授予访问其他云产品资源的权限，保证用户访问云产品资源权限最小化。

5.2 ack-ram-authenticator Webhook认证

ack-ram-authenticator组件是面向ACK托管集群的认证插件，基于Kubernetes原生Webhook Token认证方式，实现通过RAM完成集群API Server的请求认证。同时，该组件通过CRD形式提供RAM身份和RBAC权限的映射关系，帮您更灵活地配置RBAC鉴权。

该认证方式的主要优势包括：

适配企业通过云SSO场景，提供灵活可控的数据面RBAC授权
在角色SSO对接场景下，API Server审计日志中包含企业IDP中的身份信息，有效支持对扮演同一角色的不同IDP用户的行为审计
当企业员工离职时被删除所持有的RAM用户或RAM角色后，其在集群中的RBAC权限将自动失效

5.3 安全组配置

ACK集群使用安全组来约束控制面节点和Worker节点之间的网络流量。安全组还用于控制节点、VPC资源和外部IP地址之间的流量。创建集群或节点池时，系统会默认自动为您分配一个安全组，您也可以指定关联已有安全组。

六、可观测性体系建设

6.1 日志采集

在ACK集群中，通过部署日志采集组件（Logtail），可以将各类日志数据安全传输至日志服务SLS进行存储和分析。ACK通过AliyunLogConfig CRD实现与SLS采集配置的关联。日志采集支持容器标准输出、容器内文件日志以及节点日志等多种来源。

6.2 监控告警

ACK集成了阿里云托管版Prometheus监控服务。接入阿里云容器服务ACK后，云监控会创建对应的SLS Store和Prometheus实例用于存储对应可观测数据。通过Prometheus，可以采集集群节点、Pod、容器等各个层面的监控指标，并配置告警规则。

ACK还支持与Grafana集成，实现监控数据的可视化展示。

七、生产级运维与优化

7.1 集群自动升级

ACK支持集群的自动升级能力，保持集群控制面和节点池的周期性自动升级。集群维护窗口是一个为ACK集群预先设定的、可重复的特定时间段。在此期间，ACK将执行集群自动化运维操作，如集群自动升级、CVE漏洞自动修复等。开启自动升级后，可有效降低版本维护负担。

7.2 弹性伸缩

ACK提供了完善的弹性伸缩方案，包括工作负载伸缩和节点伸缩。

工作负载伸缩：支持社区标准的HPA（Horizontal Pod Autoscaler）、VPA（Vertical Pod Autoscaler）等能力。还提供了类似CronHPA的定时伸缩能力。
节点伸缩：通过Cluster Autoscaler实现节点级别的自动扩缩容。

ACK Pro版集群支持为应用申请GPU显存和算力，能够帮助您更精细化的使用GPU的显存和算力资源。共享GPU调度支持仅申请显存和同时申请显存和算力两种任务。

7.3 CI/CD流水线搭建

ACK与阿里云云效、容器镜像服务ACR等产品深度集成，支持构建完整的容器CI/CD流水线。

典型的CI/CD流程如下：

开发人员更新项目代码后，云效流水线自动触发镜像构建
构建完成的镜像推送到容器镜像服务ACR
流水线触发部署，将镜像拉取到测试集群进行测试
测试通过并经过审核批准后，将镜像拉取到生产集群完成部署

在多账号多集群的环境下，各个账号负责不同的业务和功能需求，同时在特定账号下创建对应职能的容器集群，实现集群间的完全隔离。

八、最佳实践与注意事项

8.1 生产环境集群配置建议

选择Pro版：生产环境务必选择ACK托管集群Pro版，以获得SLA保障和高可用性。
多可用区部署：配置至少两个不同可用区以保证集群的高可用性。
启用自动升级：开启集群自动升级，在维护窗口期内自动完成版本更新。
使用Terway网络：生产环境推荐使用Terway网络插件以获得更好的网络性能。

8.2 安全最佳实践

最小权限原则：通过RAM和RBAC的双层授权体系，确保用户仅拥有完成工作所需的最小权限。
启用Webhook认证：使用ack-ram-authenticator组件为集群API Server提供更安全的身份验证。
安全组配置：合理配置安全组规则，控制节点和Pod的网络访问。

8.3 成本优化建议

合理规划节点规格：根据工作负载的实际资源需求选择合适的ECS实例规格，避免资源浪费。
使用弹性伸缩：通过HPA和Cluster Autoscaler实现资源的按需使用，降低闲置成本。
选择合适的存储类型：根据业务场景选择云盘、NAS或OSS，平衡性能与成本。

九、常见问答

问1：ACK托管集群Pro版和基础版的主要区别是什么？

答：Pro版提供99.95%的区域级SLA保障，单集群默认支持最大5000个Worker节点，适用于企业生产环境；基础版仅供个人学习与测试，单账号最多创建2个集群，单集群仅支持10个Worker节点。Pro版收取集群管理费用，基础版不收取。

问2：如何在ACK集群中暴露一个Web应用给公网访问？

答：可以通过两种方式：一是创建LoadBalancer类型的Service，自动创建阿里云负载均衡实例暴露服务；二是安装ALB Ingress Controller，通过Ingress资源配置七层转发规则，将流量路由到后端Service。生产环境推荐使用ALB Ingress方式。

问3：ACK集群中的存储卷如何实现数据持久化？

答：ACK通过CSI插件集成了阿里云云盘、NAS、OSS等存储服务。对于云盘，可以通过StorageClass和PVC实现动态存储卷的自动创建和挂载；对于NAS，可以通过预先创建PV和PVC的方式实现静态存储卷的挂载。存储卷的生命周期独立于Pod，即使Pod被删除，数据依然保留。

问4：如何管理ACK集群的用户权限？

答：ACK采用RAM授权和RBAC授权的双层体系。RAM授权控制用户对ACK产品的操作权限；RBAC授权控制用户在集群内部对Kubernetes资源的操作权限。建议启用ack-ram-authenticator组件，实现基于RAM的Webhook认证。

问5：ACK集群如何进行版本升级？

答：ACK支持手动升级和自动升级两种方式。开启自动升级后，ACK会在设定的维护窗口期内自动完成集群控制面和节点池的版本升级。建议生产环境开启自动升级以降低版本维护负担。

问6：ACK如何与CI/CD流水线集成？

答：ACK与阿里云云效、容器镜像服务ACR深度集成。典型的流程是：代码提交触发云效流水线构建镜像，推送到ACR，然后通过流水线自动部署到ACK集群。也可以使用Jenkins、GitLab等第三方工具与ACK集成。