06 Kubernetes 开发工具链

Kubernetes 开发工具链的价值，不是让开发者在终端里背更多命令，而是把“我正在操作哪个集群、哪个命名空间、哪一版资源、哪一份镜像”变成随时可验证的事实。客户端、kubeconfig、本地集群、模板渲染、运行时对象和开发内循环各有独立状态；任何一层指错目标，都可能产生看似成功、实际落在错误环境的验证结果。

工具链关系

阅读路径

文章	先解决的问题	继续建立的能力
kubectl	安装、版本偏差、查询与受控变更	API discovery、字段所有权、差异审查和可回滚操作
kubeconfig、context 与 namespace	多集群身份、目标切换和权限自检	凭证轮换、合并规则、exec 插件风险和防误连护栏
kubectx 与 kubens	提高 context 与 namespace 切换效率	提示符确认、别名治理和显式目标校验
kind	用容器节点建立可重复本地集群	多节点、镜像导入、本地 registry、CI 和彻底清理
minikube	选择 driver、资源和访问方式	addons、Ingress、镜像工作流、快照与故障证据
k3d	用 k3s-in-Docker 建立轻量集群	多节点、registry、端口、卷、配置文件和 CI 取舍
Helm	Chart 获取、渲染、安装、升级与回滚	values 合并、OCI、Hook、CRD、Secret 和供应链治理
Kustomize	用 base 与 overlay 管理环境差异	patch、replacement、生成器、版本兼容和 GitOps 边界
k9s 与 Lens	可视化查看资源、日志和事件	只读 RBAC、危险动作限制、插件、遥测与团队审计
日志、事件、exec 与 port-forward	沿证据链定位一次启动失败	临时容器、Service 端点、端口暴露、审计和现场清理
Tilt、Skaffold 与 DevSpace	缩短构建、部署、同步和调试内循环	团队选型、集群权限、缓存成本和 CI/CD 责任边界

安全操作基线

每次操作前都应让 context、namespace、集群 API 地址和当前身份可见；共享集群还要先执行 kubectl auth can-i，再做 diff、dry-run 和真实变更。kubectl 的退出码、Event、Pod 状态、Service Endpoint、发布历史和实际镜像摘要共同构成验证证据，单独看到 created、configured 或界面中的绿色状态并不足以证明服务可用。

本地集群适合验证清单、控制器行为和开发内循环，但不能替代生产网络、存储、身份、容量和容灾验证。团队应固定本地集群工具与版本检查方式，限定共享集群权限，统一临时 namespace、标签、TTL 和清理责任，并把 kubeconfig、registry 凭证、Helm values 与调试数据纳入敏感信息治理。