必须关闭selinux，否则kubeadm init会卡在etcd启动阶段，因avc: denied导致kubelet、etcd等无法访问证书文件；临时执行setenforce 0并永久修改/etc/selinux/config中selinux=disabled，二者缺一不可。
必须关闭 SELinux，否则 kubeadm init、etcd 启动、kubelet 服务都会因 avc: denied 报错失败。
为什么 kubeadm 初始化会卡在 etcd 启动阶段
常见现象是 kubeadm init 卡住，日志里反复出现：etcdmain: open /etc/kubernetes/pki/etcd/peer.crt: permission denied
或 kubelet 启动失败，journalctl -u kubelet 显示大量 avc: denied { read } for ... scontext=system_u:system_r:kubelet_t:s0。
这不是文件权限问题（ls -l 看权限完全正常），而是 SELinux 策略阻止了 kubelet 进程读取证书路径下的文件。
etcd、kubelet、apiserver 等组件默认运行在受限域（如 kubelet_t、etcd_t），而 Kubernetes 的证书目录 /etc/kubernetes/pki 默认标签是 system_u:object_r:etc_t:s0，策略不允许跨域访问。
临时关闭 vs 永久关闭：两个命令缺一不可
只执行 setenforce 0 是临时生效，重启后恢复 Enforcing 模式，k8s 服务仍会崩。
必须同步修改配置文件，否则节点重启后集群直接不可用。
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
- 临时禁用（立即生效，用于快速验证）：
setenforce 0 - 永久禁用（防止重启失效）：
sed -i 's/SELINUX=enforcing/SELINUX=disabled/' /etc/selinux/config - 确认已生效：
getenforce应输出Disabled；cat /etc/selinux/config | grep SELINUX应显示SELINUX=disabled
别把 SELinux 和防火墙、swap 混为一谈
SELinux 报错常和 swap、firewalld 问题同时出现，但三者独立：
— 关闭 swap 是为了 kubelet 内存调度逻辑，报错关键词是 swap is enabled；
— 防火墙拦截的是端口通信（如 6443 不通），报错在 kubeadm join 或 apiserver 连接失败时体现；
— SELinux 拦截发生在进程级文件/套接字访问，报错关键词固定是 avc: denied，且一定出现在 journalctl -u kubelet 或 ausearch -m avc 输出中。
排查时先盯死 avc: denied，别被其他错误带偏。
生产环境真不能开 SELinux 吗
能开，但代价高：需为每个 k8s 组件手动写策略模块，用 audit2allow 生成规则，再 semodule -i 加载。实际中极少有人这么做——因为 k8s 官方文档明确要求 SELinux must be disabled，所有主流发行版的 k8s 自动化脚本（kubespray、rke2、k3s）也都默认跳过 SELinux 兼容适配。
真正该花精力的地方是：确保 /etc/selinux/config 修改后执行了 reboot 或至少 init 6，否则 setenforce 0 的临时状态可能被某些 systemd 服务重置。
