kubernetes集群状态备份核心是可靠备份etcd快照，需满足时间可控（每6–12小时+变更前后）、存储隔离（同步至远程）、完整链路（含对应证书）；须用etcdctl显式指定api版本与证书路径执行；自动化需校验、清理与告警；velero仅补充应用层恢复，不可替代etcd备份。
Kubernetes 集群状态备份，核心是保护 etcd 中的元数据——这是集群“大脑”所在。一旦 etcd 数据损坏或丢失，整个集群将无法调度、无法识别 Pod、Service、Namespace 等所有对象，相当于系统失忆。因此，灾难恢复的前提，是能可靠、可验证地备份并还原 etcd 快照。
etcd 快照必须定期执行且独立存储
Kubespray 默认采用 Host 模式部署 etcd（即作为 systemd 服务运行），这是最常见也最便于备份的模式。备份不是“有就行”，而是要满足三个硬性条件：
- 时间可控：建议每 6–12 小时一次快照，尤其在配置变更（如升级、扩缩容、证书轮换）前后手动触发一次
- 存储隔离：快照文件（
.db）不能留在 etcd 节点本地磁盘，必须同步到远程位置（如 NFS、S3 兼容对象存储、异地服务器） - 完整链路：每次备份需附带对应时间点的证书（
ca.pem、server.pem、server-key.pem），否则还原时无法通过 TLS 认证
用 etcdctl 执行可靠的手动备份
命令需显式指定 API 版本和证书路径，避免因环境变量或默认配置导致失败：
sudo ETCDCTL_API=3 etcdctl \ --endpoints=https://127.0.0.1:2379 \ --cacert=/etc/kubernetes/ssl/etcd/ca.pem \ --cert=/etc/kubernetes/ssl/etcd/server.pem \ --key=/etc/kubernetes/ssl/etcd/server-key.pem \ snapshot save /backup/etcd-$(date -u +%Y%m%d-%H%M%S).db
注意：--endpoints 必须用 https:// + 127.0.0.1（非 localhost），且端口为 2379；时间戳推荐加 -u（UTC）避免时区歧义。
针对 Kubernetes 仪表板和 Web UI 的浏览器自动化。适用于与 Kubernetes Dashboard、Grafana、ArgoCD UI 或其他 Web 界面交互。需要设置 MCP_BROWSER_ENABLED=true。
自动化不能只靠 cron，要带校验与清理
Systemd Timer 是比 cron 更可靠的调度方式，但脚本中必须包含：
- 备份后立即校验快照完整性：
etcdctl snapshot status <file.db></file.db>应返回版本、哈希、键数量等有效信息 - 自动清理过期快照（如保留最近 7 天），防止
/backup目录占满磁盘 - 错误时发通知（如写入 syslog 或调用 webhook），而非静默失败
Velero 不替代 etcd 备份，而是补充应用层恢复
Velero 主要用于备份 Kubernetes API 对象（Deployment、PV/PVC 元数据等）和持久卷内容（需配合 Restic 或 Kopia），但它不备份 etcd 本身的状态。如果控制平面完全崩溃（比如所有 master 节点宕机且无 etcd 快照），仅靠 Velero 无法重建集群。正确做法是：
- etcd 快照 → 恢复控制平面（重建 master 节点 + 恢复 etcd 集群）
- Velero 备份 → 恢复命名空间、工作负载、PV 数据（在新集群上 restore）
二者是分层协作关系，不是二选一。
不复杂但容易忽略
