Container Service for Kubernetes:Kubernetes クラスターにおける DNS のベストプラクティス

監視メトリクス

CoreDNS は、標準の Prometheus インターフェイスを介して名前解決の結果などのヘルスメトリクスを公開し、CoreDNS またはアップストリーム DNS サーバーの異常を検出するのに役立ちます。

Prometheus for ACK には、組み込みの CoreDNS 監視メトリクスとアラートルールが含まれています。Container Service for Kubernetes (ACK) コンソール で Prometheus とダッシュボードを有効にします。詳細については、「CoreDNS コンポーネントの監視」をご参照ください。

セルフマネージド Prometheus インスタンスでは、関連するメトリクスを監視し、重要なものについてはアラートを設定します。詳細については、「CoreDNS の Prometheus 公式ドキュメント」をご参照ください。

運用ログ

DNS の異常が発生した場合、CoreDNS ログを使用して根本原因を診断します。ドメイン解決ログと SLS ログ収集を有効にします。詳細については、「CoreDNS ログの分析と監視」をご参照ください。

Kubernetes イベント配信

CoreDNS v1.9.3.6-32932850-aliyun 以降では、k8s_event プラグインを有効にすると、重要な CoreDNS ログを Kubernetes イベントとしてイベントハブに配信できます。詳細については、「k8s_event プラグインのドキュメント」をご参照ください。

新しくデプロイされた CoreDNS インスタンスでは、この機能はデフォルトで有効になっています。古いバージョンからアップグレードする場合は、設定ファイルを手動で変更して有効にする必要があります。

1. CoreDNS の設定ファイルを開きます：

   kubectl -n kube-system edit ConfigMap/coredns

2. kubeAPI および k8s_event プラグインを追加します。

   apiVersion: v1
   data:
     Corefile: |
       .:53 {
           errors
           health {
               lameduck 15s
           }
           // 追加開始 (他の相違点は無視してください)
           kubeapi
           k8s_event {
             level info error warning // info、error、または warning レベルの重要なログを配信します
           }
           // 追加終了
           kubernetes cluster.local in-addr.arpa ip6.arpa {
               pods verified
               fallthrough in-addr.arpa ip6.arpa
           }
           // 以下省略
       }

3. CoreDNS の Pod のステータスとログを確認します。ログに reload が含まれている場合、変更は成功です。

CoreDNS コンポーネントの負荷評価

DNS ストレステストを実行して、CoreDNS アドオンの負荷を評価してください。DNSPerf などのオープンソースツールが役立ちます。DNS の負荷を正確に評価できない場合は、次の推奨事項に従ってください：

• 少なくとも 2 つの CoreDNS Pod をデプロイし、それぞれに少なくとも 1 CPU コアと 1 GB のメモリのリソース制限を設定してください。

• CoreDNS の QPS 容量は CPU 使用率と相関します。NodeLocal DNSCache を使用すると、各 CPU コアは 10,000 QPS 以上をサポートします。ビジネスワークロードの DNS QPS は大幅に異なります。CoreDNS Pod ごとのピーク時の CPU 使用率を監視し、ピーク時に使用率が 1 コアを超えた場合はレプリカをスケールアウトしてください。ピーク時の使用率が不明な場合は、保守的な対策として、クラスターノード 8 つにつき 1 つの CoreDNS Pod をデプロイしてください。

CoreDNS Pod 数の調整

CoreDNS Pod の数は、利用可能なコンピューティングリソースを直接決定します。評価に基づいて調整してください。

• 推奨ポリシーに基づいた Pod 数の自動調整

  次の dns-autoscaler をデプロイしてください。これは、クラスターノード 8 つにつき 1 Pod の比率で CoreDNS Pod 数をリアルタイムに調整します。レプリカ数：replicas = max(ceil(cores × 1/coresPerReplica), ceil(nodes × 1/nodesPerReplica)) で、max と min の制限を受けます。

  dns-autoscaler

  apiVersion: apps/v1
  kind: Deployment
  metadata:
    name: dns-autoscaler
    namespace: kube-system
    labels:
      k8s-app: dns-autoscaler
  spec:
    selector:
      matchLabels:
        k8s-app: dns-autoscaler
    template:
      metadata:
        labels:
          k8s-app: dns-autoscaler
      spec:
        serviceAccountName: admin
        containers:
        - name: autoscaler
          image: registry.cn-hangzhou.aliyuncs.com/acs/cluster-proportional-autoscaler:1.8.4
          resources:
            requests:
              cpu: "200m"
              memory: "150Mi"
          command:
          - /cluster-proportional-autoscaler
          - --namespace=kube-system
          - --configmap=dns-autoscaler
          - --nodelabels=type!=virtual-kubelet
          - --target=Deployment/coredns
          - --default-params={"linear":{"coresPerReplica":64,"nodesPerReplica":8,"min":2,"max":100,"preventSinglePointFailure":true}}
          - --logtostderr=true
          - --v=9

• 手動調整

  CoreDNS Pod 数を手動で調整してください：

  kubectl scale --replicas={target} deployment/coredns -n kube-system # {target} を目的の Pod 数に置き換えます。

• ワークロードの自動スケーリングを使用しない

  Horizontal Pod Autoscaling (HPA) や CronHPA などのワークロード自動スケーリングメカニズムは、頻繁なスケーリング操作をトリガーします。Pod のスケールイン中の解決異常のため、CoreDNS Pod にはワークロードの自動スケーリングを使用しないでください。

CoreDNS Pod の仕様の調整

Pod の仕様を変更して、CoreDNS のリソースを調整してください。ACK managed clusters Pro では、CoreDNS Pod のデフォルトのメモリ制限は 2Gi で、CPU 制限はありません。CPU 制限を 4096m に設定し、最小値は 1024m とします。コンソールで CoreDNS Pod の設定を調整してください。

CoreDNS Pod のスケジューリング

単一ノードまたは単一ゾーンの障害を回避するために、CoreDNS Pod をゾーンやノードに分散してデプロイしてください。v1.8.4.3 より前の CoreDNS バージョンでは、デフォルトで弱いノードアンチアフィニティが使用されるため、リソースが不足している場合にすべての Pod が同じノードに配置される可能性があります。Pod を削除して再スケジューリングをトリガーするか、最新のコンポーネントバージョンにアップグレードしてください。v1.8 より前の CoreDNS バージョンはサポートが終了しています。できるだけ早くアップグレードしてください。

CPU またはメモリ使用率がフルのノードに CoreDNS をデプロイすることは避けてください。これは DNS QPS と応答レイテンシに影響を及ぼします。カスタムパラメーターを使用して専用ノードに CoreDNS をスケジュールし、安定したドメイン名前解決を実現してください。

kube-dns Service のアフィニティ設定の無効化

Autopath プラグインの無効化

一部の古い CoreDNS バージョンでは Autopath プラグインが有効になっており、極端なシナリオで誤った名前解決の結果を生成する可能性があります。プラグインが有効になっているかどうかを確認し、設定ファイルを編集して無効にしてください。詳細については、「Autopath」をご参照ください。

1. kubectl -n kube-system edit configmap coredns で CoreDNS の設定ファイルを開きます。

2. autopath @kubernetes の行を削除し、変更を保存してください。

3. CoreDNS の Pod のステータスとログを確認してください。ログに reload という単語が含まれている場合、変更は成功です。

CoreDNS のグレースフルシャットダウンの設定

CoreDNS の lameduck メカニズムにより、グレースフルシャットダウンが可能になります。CoreDNS が停止または再起動するとき、進行中のリクエストは突然中断されるのではなく、正常に完了します。lameduck メカニズムは次のように機能します：

• CoreDNS が終了すると、Lameduck モードに入ります。

• lameduck モードでは、CoreDNS は新しいリクエストの受け入れを停止しますが、既存のリクエストが完了するか、lameduck のタイムアウトが切れるまで処理を続行します。

アップストリーム VPC DNS サーバーと通信するための Forward プラグインのデフォルトプロトコルの設定

NodeLocal DNSCache は TCP を使用して CoreDNS と通信します。CoreDNS は、アップストリーム DNS サーバーと通信する際に、受信リクエストと同じプロトコルを使用します。デフォルトでは、アプリケーションコンテナからの外部ドメイン解決リクエストは、NodeLocal DNSCache と CoreDNS を経由し、TCP 経由で VPC DNS サーバー (100.100.2.136 および 100.100.2.138) に到達します。

# 変更前
forward . /etc/resolv.conf
# 変更後
forward . /etc/resolv.conf {
  prefer_udp
}

readiness プローブ用の ready プラグインの設定

CoreDNS バージョン 1.5.0 以降では、readiness プローブを有効にするために ready プラグインが必要です。

1. CoreDNS 設定ファイルを開きます：

   kubectl -n kube-system edit configmap/coredns

2. ready の行を確認してください。見つからない場合は ready を追加してください。Esc を押し、:wq! と入力してから Enter を押して、変更を保存して終了してください。

   apiVersion: v1
   data:
    Corefile: |
     .:53 {
       errors
       health {
         lameduck 15s
       }
       ready # 見つからない場合はこの行を追加し、Kubernetes とのインデントを一致させてください。
       kubernetes cluster.local in-addr.arpa ip6.arpa {
         pods verified
         fallthrough in-addr.arpa ip6.arpa
       }
       prometheus :9153
       forward . /etc/resolv.conf {
         max_concurrent 1000
               prefer_udp
       }
       cache 30
       loop
       log
       reload
       loadbalance
     }

3. CoreDNS の Pod のステータスとログを確認してください。ログに reload という単語が含まれている場合、変更は成功です。

CoreDNS の名前解決パフォーマンスを向上させるための multisocket プラグインの設定

CoreDNS v1.12.1 では multisocket プラグインが導入されました。有効にすると、CoreDNS は複数のソケットを使用して同じポートでリッスンし、CPU 使用率が高いシナリオでのパフォーマンスを向上させることができます。詳細については、「コミュニティのドキュメント」をご参照ください。

coredns ConfigMap で multisocket を有効にしてください：

.:53 {
        ...
        prometheus :9153
        multisocket [NUM_SOCKETS]
        forward . /etc/resolv.conf
        ...
}

NUM_SOCKETS は、同じポートでリッスンするソケットの数を指定します。

NUM_SOCKETS を、推定 CPU 使用率、CPU リソース制限、および利用可能なクラスターリソースに合わせて調整してください。例：

• CoreDNS がピーク時に 4 コアを消費し、8 コアが利用可能な場合、NUM_SOCKETS を 2 に設定してください。

• CoreDNS がピーク時に 8 コアを消費し、64 コアが利用可能な場合、NUM_SOCKETS を 8 に設定してください。

さまざまな設定をテストし、QPS と負荷を測定して最適な設定を決定してください。

NUM_SOCKETS を指定しない場合、CoreDNS はデフォルトで GOMAXPROCS を使用します。これは、CoreDNS Pod の CPU 制限、または制限が設定されていない場合はノードの CPU コア数と同じです。