关键业务节点物理隔离的核心是通过noschedule或noexecute污点强制拒绝普通pod调度，关键服务pod需配置精确匹配的toleration才能运行。
关键业务节点物理隔离的核心是让普通 Pod 绝对无法调度到这些节点上，同时确保关键服务 Pod 只能运行在它们上面——Taint（污点）配合 Toleration（容忍）正是为此设计的机制。
明确隔离目标与污点策略
物理隔离不是靠标签或亲和性“尽量引导”，而是靠污点强制拒绝。必须选用 NoExecute 或 NoSchedule 效果：
- NoSchedule：最常用，阻止新 Pod 调度，已运行的 Pod 不受影响；适合长期专用节点（如支付核心、数据库主节点）
- NoExecute：更强约束，不仅拒绝新调度，还会驱逐不匹配的现存 Pod；适合临时强隔离场景（如紧急维护、安全加固）
避免使用 PreferNoSchedule，它不具备强制性，无法满足“物理隔离”要求。
为关键节点打上专用污点
给目标节点添加带业务语义的污点，例如：
kubectl taint nodes core-db-01 tier=core:NoExecute
这里 tier=core 是可读性强的标识，NoExecute 确保非授权 Pod 既不能进来，也不能留下。若节点已有非关键 Pod，该命令会立即触发驱逐（除非它们配置了对应容忍）。
批量操作时可配合 label selector：
kubectl taint nodes -l node-role.kubernetes.io/core=true tier=core:NoExecute
关键服务 Pod 必须声明精准容忍
仅打污点不够，关键服务的 Pod 模板中必须显式配置 tolerations，且需严格匹配：
tolerations: - key: "tier" operator: "Equal" value: "core" effect: "NoExecute"
注意三点：
- 必须指定
effect字段，且值要与节点污点完全一致（大小写敏感） - 用
Equal运算符保证键值精确匹配，防止误容其他污点 - 若使用
NoExecute，建议加上tolerationSeconds: 300（5分钟），给 Pod 留出优雅退出时间
验证与防护增强
执行后务必验证隔离效果：
- 检查节点是否已标记：
kubectl describe node core-db-01 | grep Taints - 尝试部署一个无容忍的测试 Pod，确认其状态卡在
Pending - 查看关键 Pod 是否只出现在目标节点：
kubectl get pods -o wide --field-selector spec.nodeName=core-db-01
进一步加固可结合 RBAC：限制普通用户对关键节点执行 kubectl taint 的权限，防止误删污点导致隔离失效。
