要从Kubernetes进入Pod服务器，最直接的方式是使用kubectl exec命令，在Pod内启动一个交互式Shell会话，从而获得容器内的命令行访问权限。这个操作相当于把Pod里的容器当作一台远程Linux服务器来登录，是日常调试、排查问题最常用的手段。
进入Pod前的准备工作：确认环境和权限
动手之前，先花十秒钟确认两件事,能避免大半的报错。
第一，本地环境有没有配好kubectl？ 执行kubectl version，能返回客户端和服务端版本号，说明连接正常，如果提示connection refused，多半是kubeconfig文件没配好，检查~/.kube/config里的集群地址和证书。
第二，当前命名空间对不对？ Pod是归属于命名空间的，忘记加-n参数，系统会在默认的default命名空间里找，大概率会提示Error from server (NotFound): pods "xxx" not found，先用kubectl get pods -n 你的命名空间看看目标Pod的确切名称。
核心方法：用kubectl exec进入Pod容器
这是最常用、也是首要推荐的方式,适用于绝大多数业务容器。
基础命令：启动一个交互式Shell
kubectl exec -it <pod名称> -n <命名空间> -- /bin/sh
-i：保持标准输入打开,让命令能接收你的键盘输入。-t：分配一个伪终端，让你能看到彩色的命令提示符,操作体验和SSH类似。- 双横线后面跟的是要在容器里执行的命令，
/bin/sh是启动一个Shell解释器。
执行完这条命令，提示符会变成类似/app #或root@pod名称:/#,这就说明你已经成功进入了Pod内部的容器环境。
指定容器：多容器Pod怎么选
如果Pod里有多个容器（比如业务容器加Sidecar代理容器），必须用-c参数指定要进入哪一个：
kubectl exec -it <pod名称> -n <命名空间> -c <容器名称> -- /bin/bash
不指定-c时，kubectl会默认进入Pod的第一个容器，想查看Pod里有哪些容器，用kubectl describe pod <pod名称> -n <命名空间>，在Containers字段下能看到所有容器名。
用bash还是sh
大多数基于Alpine、Distroless镜像的容器只有sh，没有bash，如果-- /bin/bash报错bash: not found，换成-- /bin/sh即可，CentOS、Ubuntu这类完整镜像则两者都支持。
其他进入Pod的实用方式
除了kubectl exec，还有几种方式适合特定场景,各自有不可替代的价值。
kubectl attach：连接主进程的标准输出
kubectl attach和exec的区别在于，它直接连接到容器的主进程（PID 1），看到的是应用自身的实时日志输出，如果应用本身是交互式的（比如数据库客户端）,attach能直接和主进程对话。
kubectl attach <pod名称> -n <命名空间> -it
注意，attach不会启动新的Shell，它只是把当前终端接到主进程上，退出时按Ctrl + C或输入exit，有可能会终止容器主进程,生产环境慎用。
临时容器：进入没有Shell的Pod
现在不少镜像为了安全，只包含二进制文件，连sh都没有，这种情况下，kubectl exec会直接失败，解决办法是使用临时容器（Ephemeral Container）：
kubectl debug -it <pod名称> -n <命名空间> --image=busybox:latest --target=<目标容器名>
这条命令会在目标Pod里临时创建一个新容器，挂载到同一个网络和进程命名空间，相当于往Pod里“塞”进一个带Shell的容器，再用它去调试原来的容器，这种方式对排障非常有效,而且不会影响原容器的运行状态。
通过节点进入：nsenter命令
如果Pod的网络或文件系统已经异常，连debug都拉不起来，可以考虑从Pod所在的宿主机节点入手，先找到Pod所在节点，然后SSH登录到该节点，使用nsenter进入容器的命名空间：
# 获取Pod所在节点和容器ID
kubectl get pod <pod名称> -n <命名空间> -o wide
# SSH登录到节点后，找到容器进程
docker inspect --format '{{.State.Pid}}' <容器ID>
# 进入容器命名空间
nsenter -t <PID> -n -m -u -i -- /bin/sh
这种方式需要你有节点的SSH权限，且节点上装有docker或crictl工具，日常调试不常用,但遇到极端情况时是最后的保底手段。
常见报错与排查思路
进入Pod时遇到报错很常见,搞清楚原因基本能自己解决。
“cannot exec into a container: container is not running”
容器已经退出了，状态不是Running,先看Pod状态和重启次数：
kubectl describe pod <pod名称> -n <命名空间>
重点看Events和Last State字段，如果是CrashLoopBackOff，说明容器启动即崩溃，此时无法exec进入，需要用kubectl logs查看崩溃前的日志。
“error: unable to upgrade connection: Internal error occurred”
这个报错通常是kubelet和API Server之间的连接出了问题，或者Pod所在的节点处于NotReady状态,检查一下节点状态：
kubectl get nodes
如果节点是NotReady，去节点上检查kubelet服务是否存活，也有一种情况是网络插件（如Calico、Flannel）故障导致Pod网络不通,这时exec同样会失败。
“OCI runtime exec failed: exec failed: container_linux.go: … starting container process caused: exec: “/bin/sh”: stat /bin/sh: no such file or directory”
容器里确实没有/bin/sh，换/bin/bash试试，如果也没有，就用前面提到的kubectl debug临时容器方案。
生产环境进入Pod的安全注意事项
在生产环境操作Pod，业内专家指出，任何进入操作都应该遵循最小权限原则,避免因误操作造成业务故障。
- 优先使用只读命令：进入Pod后，先用
ps aux、netstat -tlnp、df -h这些命令观察状态,不要一上来就改文件或杀进程。 - 避免在容器内安装软件：容器是临时性的，重启后所有修改都会丢失，需要装工具排查问题时，优先用
kubectl debug拉起临时容器，不要污染原容器，行业共识认为，直接在业务容器里装包会破坏镜像的不可变性,给后续排障埋坑。 - 不要在生产环境用
kubectl attach：前面提到过，attach退出可能影响主进程,生产环境尽量只用exec。 - 操作前记录现场：执行可能产生副作用的命令前，先截屏或复制关键输出,方便事后回溯和复盘。
- 使用审计日志：如果公司有k8s审计功能，确认你的操作会被记录，这既是保护自己,也是合规要求。
从进入Pod到定位问题的完整流程
拿到一个“Pod异常”的工单，按下面这个顺序操作,效率最高。
- 先看事件，再进Pod：
kubectl describe pod能告诉你为什么Pod起不来，比如镜像拉取失败、探针失败、资源不足,很多问题在这一步就有答案了。 - 看日志，缩小范围：
kubectl logs <pod名称> -n <命名空间> --tail=50，看最近50行日志,判断是启动阶段出错还是运行中异常。 - 进入Pod，查运行状态：exec进去后，用
ps -ef看进程是否存在，用curl localhost:端口测本机服务是否响应，用cat /etc/resolv.conf检查DNS配置。 - 对比退出前后的状态：如果容器反复重启，看
kubectl describe里的Last State: Terminated，里面的Exit Code和Reason能直接反映退出原因，比如137是被杀,143是优雅退出。
与进入Pod相关的常见问题解答
如何从宿主机直接进入Pod而不通过kubectl？
在Pod所在节点上，使用crictl exec -it <容器ID> /bin/sh（containerd运行时）或docker exec -it <容器ID> /bin/sh（Docker运行时），前提是你有节点的SSH访问权限，并且知道容器ID，可以通过crictl ps或docker ps查询，这种方式绕过了API Server,适合kubectl无法连接集群时使用。
kubectl exec和kubectl attach在进入Pod时有什么区别？
kubectl exec是在容器里启动一个新的进程（比如Shell），和你原有的业务进程并行运行，互不干扰，退出exec不会影响容器，而kubectl attach是把你的终端直接连接到容器的主进程上，你看到的是主进程的输出，退出attach时如果用的是Ctrl + C，信号会传给主进程，可能导致容器重启，日常调试优先用exec,attach更适合需要和主进程直接交互的场景。
进入Pod后发现没有ifconfig或ip命令，怎么查IP？
很多精简镜像不带网络工具，可以用cat /proc/net/fib_trie查看本机IP，或者hostname -i获取容器IP，如果需要测试网络连通性，wget和curl通常比ping更常被预装，因为很多镜像基于Alpine，而Alpine默认没有ping命令，需要apk add iputils才能安装。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/772154.html
