在kubernetes 1.24+集群中将节点容器运行时从docker切换为containerd，需逐节点执行驱逐、停服、配置containerd与kubelet、重启验证及恢复调度，确保cgroup driver一致、内核模块加载、配置备份与pause镜像替换。
在Kubernetes 1.24+集群中将节点底层容器运行时从Docker安全切换为Containerd，需确保工作负载不中断、镜像与配置无缝继承、kubelet能正确对接CRI接口，整个过程必须逐节点操作且不可跳过驱逐与验证环节。
迁移前的强制检查与准备
执行 kubectl get nodes -o wide 确认当前运行时显示为 docker://，同时检查集群版本是否 ≥1.24：kubectl version --short。低于该版本无需迁移，强行操作会导致 kubelet 启动失败。
运行 lsmod | grep -E 'overlay|br_netfilter'，若无输出，必须先加载内核模块：sudo modprobe overlay && sudo modprobe br_netfilter，并写入 /etc/modules-load.d/containerd.conf 持久化，否则 containerd 无法创建容器网络命名空间。
备份关键配置文件：sudo cp /etc/docker/daemon.json /etc/docker/daemon.json.bak 和 sudo cp /var/lib/kubelet/config.yaml /var/lib/kubelet/config.yaml.bak。缺失这两份备份，一旦 containerd 配置错误将无法回退到 Docker 运行时。
确认 cgroup driver 一致性：执行 cat /var/lib/kubelet/config.yaml | grep cgroupDriver，输出必须是 cgroupDriver: systemd 或 cgroupDriver: cgroupfs；随后检查 docker info | grep "Cgroup Driver"，两者值必须完全相同。若不一致，【Containerd 启动后 kubelet 将拒绝注册节点】，导致节点永久失联。
安装并初始化 Containerd
方法一（Ubuntu/Debian）：sudo apt-get update && sudo apt-get install -y containerd cri-tools。
方法二（CentOS/RHEL）：sudo yum install -y yum-utils && sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo && sudo yum install -y containerd.io。
生成默认配置：sudo mkdir -p /etc/containerd && sudo containerd config default | sudo tee /etc/containerd/config.toml。
编辑配置文件，重点修改两处：
① 在 [plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc.options] 下添加或修改 SystemdCgroup = true（若 kubelet 使用 systemd cgroup driver）或 SystemdCgroup = false（若使用 cgroupfs）；
② 将 sandbox_image 替换为国内可拉取的 pause 镜像，例如：sandbox_image = "registry.cn-hangzhou.aliyuncs.com/google_containers/pause:3.9"。
节点级平滑切换操作
第一步：驱逐节点负载
执行 kubectl drain <node-name> --ignore-daemonsets --delete-emptydir-data --force</node-name>。此命令会将所有非 DaemonSet Pod 迁出，但 【若某 Deployment 副本数为1，服务将短暂中断】，务必提前评估业务容忍度。
第二步：停服务并清理残留sudo systemctl stop kubelet → sudo systemctl stop docker → sudo systemctl disable docker。注意顺序不可颠倒：先停 kubelet，再停 docker，否则 kubelet 可能尝试调用已终止的 dockershim 接口而报错退出。
第三步：启用 containerd 并重配 kubeletsudo systemctl enable containerd && sudo systemctl start containerd；
编辑 /var/lib/kubelet/kubeadm-flags.env，在原有参数末尾追加：--container-runtime=remote --container-runtime-endpoint=unix:///run/containerd/containerd.sock；
若使用 systemd 管理 kubelet，还需检查 /usr/lib/systemd/system/kubelet.service 中 After=containerd.service 和 Requires=containerd.service 是否存在，缺失则手动添加。
第四步：重启并验证sudo systemctl daemon-reload && sudo systemctl restart kubelet；
等待约30秒，执行 kubectl get node <node-name> -o wide</node-name>，观察 CONTAINER-RUNTIME 列是否已变为 containerd://1.7.20（版本号依实际安装而定）；
再运行 sudo crictl ps，应能列出当前节点上所有正在运行的 Pod 容器，说明 CRI 接口已通。
第五步：恢复调度kubectl uncordon <node-name></node-name>。此时节点重新接受新 Pod 调度，旧 Pod 不会自动回迁，需手动触发滚动更新或等待下一次调度决策。
