kubectl run可快速启动无持久化qdrant实例，但仅适用于功能验证；生产环境必须用statefulset配persistentvolumeclaim、fsgroup:1001、api key认证及/healthz探针，禁用helm chart因其默认配置不安全且不兼容私有云。
用kubectl直接部署单节点Qdrant（无持久化）
如果你只是想快速验证功能或跑通CI流程，不关心数据保留，kubectl run是最轻量的启动方式。它绕过YAML编排，5秒内就能拿到一个可访问的Qdrant实例。
执行以下命令：
kubectl run qdrant --image=qdrant/qdrant:v1.10.0 \ --port=6333 \ --expose \ --env="QDRANT__SERVICE__API_KEY=dev-key" \ --restart=Always
注意：--expose会自动创建ClusterIP Service，但默认不对外暴露。若需从集群外访问，得额外加NodePort或Ingress配置。这个方式没挂载存储卷，Pod重启后所有collection和point都会丢失——别在迁移或压测时用它。
带持久化存储的StatefulSet部署（生产推荐）
Qdrant对磁盘IO和文件锁敏感，Deployment + EmptyDir 或 hostPath 都容易引发索引损坏或启动失败。必须用StatefulSet配PersistentVolumeClaim，且确保PV支持ReadWriteOnce和fsGroup权限修正。
关键点列表：
-
volumeClaimTemplates里指定storageClassName，避免绑定到默认的standard（可能不支持fsGroup） - 容器
securityContext必须设fsGroup: 1001（Qdrant官方镜像的gid） - 环境变量
QDRANT__STORAGE__PATH=/qdrant/storage不能省，否则数据写进容器根目录，PVC挂载失效 - 端口映射只暴露
6333（HTTP API），6334（gRPC）除非明确需要，否则关掉减少攻击面
示例片段（非完整YAML）：
spec:
securityContext:
fsGroup: 1001
containers:
- name: qdrant
image: qdrant/qdrant:v1.10.0
env:
- name: QDRANT__STORAGE__PATH
value: "/qdrant/storage"
- name: QDRANT__SERVICE__API_KEY
valueFrom:
secretKeyRef:
name: qdrant-secrets
key: api-key
volumeMounts:
- name: storage
mountPath: /qdrant/storage
启用API Key认证与健康检查探针
裸跑Qdrant等于把向量数据全摊在公网——哪怕只开在内网，K8s里Service Mesh或误配NetworkPolicy都可能让/collections接口被横向扫描到。强制API Key不是可选项。
livenessProbe和readinessProbe必须用httpGet而非exec，因为Qdrant的/readyz和/healthz端点返回HTTP 200才代表索引加载完成、能响应搜索请求。用curl -f http://localhost:6333/healthz这种exec探针，会因Qdrant启动慢（尤其首次加载大collection）被反复kill重启。
正确配置示例：
livenessProbe:
httpGet:
path: /healthz
port: 6333
initialDelaySeconds: 60
periodSeconds: 30
readinessProbe:
httpGet:
path: /readyz
port: 6333
initialDelaySeconds: 45
periodSeconds: 15
注意initialDelaySeconds要比Qdrant冷启动时间多留10秒余量——v1.10+版本加载10GB数据通常耗时35~55秒。
为什么不用Helm Chart？
官方qdrant/qdrant-helm Chart（v1.10.0对应chart v0.4.2）默认禁用API Key、未设置fsGroup、values.yaml里service.type写死LoadBalancer——这在私有云或Minikube里直接导致部署卡住。更麻烦的是，它把QDRANT__SERVICE__API_KEY硬编码进Deployment模板，无法通过Secret注入，违反K8s安全基线。
如果你坚持用Helm，必须覆盖至少三个参数：
service.type=ClusterIP-
auth.enabled=true（并手动提供secret） securityContext.fsGroup=1001
实际项目中，90%团队最后都删掉Chart，改用手写StatefulSet——因为Qdrant本身配置项少，YAML比Helm值文件更直观，出问题时kubectl describe pod一眼能看到env和volumeMount是否对齐。
