推荐k3s+k3d方案：禁用docker desktop内置k8s后，用homebrew_no_auto_update=1 brew install k3d创建单节点集群，kubectl config use-context k3d-k3d-k3s-default切换上下文，kubectl get nodes验证ready状态，内存常驻约800mb。
在 macos 上配置支持本地测试的 kubernetes 轻量级集群，核心是选对工具、绕过网络和架构陷阱、快速验证可用性。不推荐直接部署完整 k8s，也不建议长期依赖 docker desktop 内置 k8s（易冲突、资源高、版本滞后）。当前实测最平衡的方案是 k3s + k3d；追求极简启动可选 orbstack；需要 dashboard/ingress/metrics-server 等插件生态则仍适合 minikube。
推荐方案：k3s + k3d（M1/M2 最优）
k3s 是为边缘和开发场景精简的 K8s 发行版，k3d 将其运行在 Docker 容器中——无需虚拟机驱动、不占额外内存、ARM 原生兼容。
- 先禁用 Docker Desktop 的内置 Kubernetes：设置 → Kubernetes → 取消勾选 “Enable Kubernetes”，避免上下文覆盖
- 安装 k3d（跳过 brew 自动更新阻塞）：
HOMEBREW_NO_AUTO_UPDATE=1 brew install k3d - 创建单节点集群：
k3d cluster create --servers 1 --agents 0（默认名k3d-k3s-default） - 切换上下文：
kubectl config use-context k3d-k3d-k3s-default（注意双k3d-前缀） - 验证：
kubectl get nodes -o wide应显示Ready，内存常驻约 800MB
备选方案：OrbStack（启动最快、调试略弱）
OrbStack 不是模拟器，而是深度集成 macOS Hypervisor.framework 的轻量容器平台，K8s 开关即开即用，适合高频启停或 CI 本地预检。
Kubernetes Security Posture Scorecard
下载
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
- 下载 OrbStack 官方 .pkg 安装，启动后菜单栏点击图标 → Settings → Kubernetes → Enable
- 终端中直接执行
kubectl get nodes即可，上下文已自动配置，无需手动minikube update-context - 实测 M1/M2 上从点击启用到
Ready状态平均耗时 - 注意：无
minikube ssh类调试入口，查日志需靠kubectl logs，不适合需深入节点系统排查的场景
传统可靠方案：Minikube（插件丰富、适合学习）
如果你需要 Ingress、Metrics Server、Dashboard 等完整插件链，或习惯图形化管理，Minikube 仍是稳妥选择。Apple Silicon 用户请改用 --driver=docker 避免 hyperkit 权限报错。
- 安装依赖：
brew install hyperkit kubectl minikube - 国内加速启动：
minikube start --driver=docker --cpus=2 --memory=4096 --disk-size=20g --image-mirror-country=cn --registry-mirror=https://registry.cn-hangzhou.aliyuncs.com - 启用关键插件：
minikube addons enable ingress metrics-server dashboard - 验证服务：
kubectl create deployment nginx-test --image=nginx && kubectl expose deployment nginx-test --type=NodePort --port=80 && minikube service nginx-test - Ingress Controller Pod 名为
nginx-ingress-controller，位于kube-system命名空间（不是ingress-nginx）
快速验证与日常维护
无论哪种方案，部署一个 Nginx 并暴露服务是最有效的“是否真通”检验方式。
- 确认集群就绪：
kubectl get nodes和kubectl get pods -A | grep -v Completed - 部署测试应用：
kubectl run hello --image=nginx --port=80，再kubectl expose pod hello --type=NodePort - 获取访问地址：
minikube service hello --url（Minikube）或kubectl get service hello -o jsonpath='{.spec.ports[0].nodePort}'+minikube ip（k3d/OrbStack 需查对应服务 IP） - 清理：k3d 用
k3d cluster delete；Minikube 用minikube delete；OrbStack 直接关闭开关即可释放资源
