一文搞懂 Kubernetes Addons 生态：分类解读、选型建议与避坑指南

前言

刚接触 Kubernetes 的同学往往会遇到一个困惑：集群装好了，然后呢？

kubeadm init 执行成功只是万里长征第一步。此时的集群就像一个"毛坯房"——没有网络（Pod 之间不能通信）、没有 DNS（不能用服务名互相访问）、没有监控（不知道集群是否健康）、没有日志收集（出了问题无从查起）。这些能力都需要通过 Addons（插件） 来补齐。

Kubernetes 官方在 Installing Addons 页面罗列了各类插件项目，但只是简单列了个名字和链接，没有告诉你该选哪个、哪个已经死了、哪个适合你的场景。

本文基于官方 Addons 页面，结合实际生产经验，将所有主流 Addon 按功能分类，用通俗解读的方式说明每个项目"解决什么痛点"，并给出热度、上手难度、是否适合上生产、是否还在维护等关键信息，帮助你快速建立对 K8s 插件生态的全局认知。

📌 阅读建议：不需要全部看完。先看完"总览分层图"，再根据你的实际需求跳转到对应章节即可。

总览：按"必选程度"分层

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

┌─────────────────────────────────────────────────────────────┐
│  🔴 必装（不装集群跑不起来）                                    │
│     CNI 网络插件 + CoreDNS                                   │
├─────────────────────────────────────────────────────────────┤
│  🟠 强烈建议（不装影响日常运维）                                │
│     Metrics Server + Ingress Controller + cert-manager       │
├─────────────────────────────────────────────────────────────┤
│  🟡 生产标配（上生产前必须配齐）                                │
│     监控(Prometheus+Grafana) + 日志(Loki/EFK)               │
│     + 安全策略(Gatekeeper/Kyverno) + GitOps(ArgoCD)         │
├─────────────────────────────────────────────────────────────┤
│  🟢 按需选配（特定场景才需要）                                  │
│     服务网格(Istio/Linkerd) + 分布式存储(Rook/Longhorn)       │
│     + MetalLB + KEDA + Falco                               │
└─────────────────────────────────────────────────────────────┘

一、🌐 网络插件（CNI）—— 必选，集群的"水电煤"

通俗解读：K8s 装完默认 Pod 之间不能通信。CNI 插件就是给每个 Pod “拉网线、分 IP、配路由"的基础设施。不装 CNI，节点永远是 NotReady，集群就是个空壳。这是唯一必选的 Addon 类别。

企业选型建议：

• 小规模/求稳：Flannel（最简单）或 Calico（功能全）
• 大规模/要安全/要可观测：Cilium（趋势所向）
• 传统网络团队：kube-ovn
• 电信/NFV 多网卡：Multus + Calico/Cilium

项目链接：

二、📡 DNS 服务发现 —— 必选

通俗解读：让 Pod 能通过"名字"找到 Service，而不是记一串 IP。就像你打电话不用记号码，直接说"帮我转客服部"一样。没有它，集群内所有基于名称的服务调用全部瘫痪。

⚠️ 以前的 kube-dns 已被 CoreDNS 完全取代，新项目不要再考虑。

项目链接：

三、📊 容器资源监控 —— 强烈建议

通俗解读：告诉你每个 Pod/节点用了多少 CPU 和内存。没有它，kubectl top 命令直接报错，HPA 自动扩缩容无法工作。相当于给集群装了个"仪表盘"。

项目链接：

四、📋 集群级日志收集 —— 生产必备

通俗解读：容器挂了、重启了，日志就没了。日志收集系统把日志"搬出来"集中存储，方便事后查问题、做审计。相当于给集群装了"行车记录仪"。

企业选型建议：

• 小集群/资源紧张：Fluent Bit + Loki
• 大集群/需要全文搜索：EFK/ELK
• 已有 Grafana 体系：Loki
• 新项目推荐：Vector（趋势）

项目链接：

五、🖥️ 可视化 & 控制面板 —— 可选但方便

通俗解读：给不习惯敲命令行的人提供一个 Web 界面看集群状态。就像给服务器装了个"图形化遥控器"。

项目链接：

六、🚪 Ingress / API 网关 —— 生产必备

通俗解读：外部流量怎么进入集群？Ingress 就是"集群大门口的保安+指路人"，根据 URL 路径把请求分发给不同的 Service。比如 /api 转给后端服务，/web 转给前端服务。

⚠️ 注意：Ingress Controller ≠ kube-proxy。kube-proxy 处理集群内部 Service 流量，Ingress 处理外部进入集群的 HTTP/HTTPS 流量。

项目链接：

七、🔒 服务网格（Service Mesh）—— 高阶可选

通俗解读：比 Ingress 更细粒度的"微服务间通信管控”。给每个 Pod 旁边塞个"代理保镖"（Sidecar），所有进出流量都经过它，从而实现熔断、重试、加密、链路追踪。适合微服务数量多、调用关系复杂的场景。

💡 企业建议：微服务少于 20 个，不建议上服务网格，复杂度收益比不划算。

项目链接：

八、💾 存储 —— 按需

通俗解读：Pod 重启数据就没了。存储 Addon 让 Pod 能挂载持久化磁盘/分布式存储，数据不会因容器重启而丢失。相当于给容器配了块"外接硬盘"。

项目链接：

九、🔐 安全 & 策略 —— 生产加固

通俗解读：K8s 默认安全策略很宽松，这些工具帮你"上锁"。防止有人部署违规镜像、运行特权容器、或者容器被入侵后横向扩散。

项目链接：

十、📈 监控告警（完整方案）—— 生产必备

通俗解读：Metrics Server 只给"快照"（最近几分钟的 CPU/内存），真正的监控需要时序数据库 + 告警 + 可视化。相当于从"看一眼仪表盘"升级为"24 小时监控室 + 自动报警"。

项目链接：

十一、🔄 其他实用 Addons

🪦 已废弃 / 停更项目黑名单（不要碰）

以下项目已停止维护或归档，新项目请勿选用。如果你在旧系统中遇到它们，建议规划迁移。

⚠️ 如果你在网上看到教程推荐上述项目，大概率是过时内容。请以本文列出的活跃项目为准。

📝 写在最后

Kubernetes 的 Addon 生态非常庞大，但不要贪多。装得越多，运维负担越重，出问题排查面越广。

最小生产集群推荐清单（6 件套）：

1
2
3
4
5
6

CNI（Calico/Cilium/Flannel）
+ CoreDNS
+ Metrics Server
+ Ingress Controller（Nginx）
+ Prometheus + Grafana（kube-prometheus-stack）
+ 日志方案（Loki 或 Fluent Bit）

其余 Addon 根据业务需要逐步添加。先跑起来，再慢慢完善。

本文基于 Kubernetes 官方 Addons 页面 整理，结合社区活跃度和生产实践编写。如有遗漏或信息过时，欢迎评论区指正。