滚动更新时本地镜像缓存丢失会引发回源潮汐，导致registry雪崩；应验证缓存目录是否清空、检查拉取日志与registry监控，改用持久化pvc存储，启用kuik跨节点同步与预热，并调优maxsurge/maxunavailable及minreadyseconds参数。
滚动更新时本地节点镜像缓存丢失，会触发大量Pod启动时集中拉取远程镜像，造成 registry 回源压力激增、网络拥塞、启动延迟甚至超时失败。这不是单纯的“慢”，而是集群级雪崩风险。
确认是否是缓存丢失引发的回源潮汐
先验证问题根源，避免误判为网络或 registry 性能问题：
- 检查节点重启或 kubelet 重装后，
/var/lib/kubelet/cache/images/或容器运行时（如 containerd）的镜像存储目录是否清空 - 对比滚动更新期间各节点的镜像拉取日志：
kubectl logs -n kube-system daemonset/kube-image-keeper-proxy | grep "pulling"（若使用 kuik） - 观察 registry 服务端监控：短时间内大量 200 OK 的
GET /v2/.../blobs/...请求，且来源 IP 高度集中在刚更新的节点
用持久化镜像缓存替代临时存储
kuik（kube-image-keeper）等缓存方案默认可能使用 emptyDir，节点重启即丢失。必须切换为持久化后端：
Kubernetes Security Posture Scorecard
下载
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
- 修改 Helm values.yaml，将 registry 的 PVC 配置指向真实存储：
registry.persistence.enabled: true，并指定已存在的 StorageClass - 禁用
emptyDir类型卷，删除 helm/kube-image-keeper/templates/registry-pvc.yaml 中任何emptyDir: {}定义 - 验证 PVC 绑定状态：
kubectl get pvc -n kube-image-keeper，确保状态为Bound且容量非零
启用跨节点缓存协同与预热机制
单点缓存仍无法应对多节点同时更新。需让节点间共享缓存视图或提前加载：
- 开启 kuik 的高可用模式，在
docs/high-availability.md指导下配置cache.sync.enabled: true，使 Proxy DaemonSet 能向主 Registry 同步缓存索引 - 在滚动更新前，用
kuik preload命令将新版本镜像推送到各节点缓存：kuik preload --image nginx:1.25.3 --nodes node-a,node-b - 若无 kuik，可配合 initContainer 在 Pod 启动前执行
crictl pull，实现“按需预热”
调整滚动更新策略降低并发冲击
即使有缓存，也要控制更新节奏，避免所有节点在同一秒发起拉取：
- 在 Deployment 中设置更保守的滚动更新参数：
maxSurge: 1、maxUnavailable: 1，确保每次只更新一个 Pod - 添加
minReadySeconds: 30，强制新 Pod 就绪后等待半分钟再下线旧 Pod，给缓存同步留出时间 - 对关键服务，改用分区更新（canary）：先更新 1 个节点上的副本，验证缓存命中率和启动耗时达标后再扩到全量
