K8s 生产集群 cgroup v2 + eBPF 资源隔离实战手册 + 一键诊断脚本（覆盖 5 类典型资源争抢场景）

背景

我在多个 10 节点以上的 K8s 生产集群里反复遇到同一类问题：CPU/内存/IO 争抢导致的「邻居效应」——一个 Pod 跑批处理把整机 IO 打满，同节点在线服务 P99 直接翻倍；还有 Pod 被 OOM 后内核 OOM killer 随机杀、容器内存 limit 设了却仍然被 node OOM 拖死等。

社区里已有不少「K8s CIS 基线核对」「资源 limit 怎么设」的文章，但缺少一份面向运维实战、可复现的 cgroup v2 + eBPF 诊断手册——重点不是「该不该设 limit」，而是**「设了之后怎么验证生效、没生效怎么定位、争抢发生时怎么现场取证」**。这正是本委托要补的空档。

最终要什么

1. 一份实战手册（Markdown，建议 3000 字以上），覆盖 5 类典型场景：
   • CPU 争抢（CFS quota 未生效 / cpu.shares 配比不合理 / 整机 util 打满时的现场取证）
   • 内存争抢（Pod OOM vs Node OOM 的区别、memory.swap.max 与 limit 的关系、oom_score_adj 的坑）
   • IO 争抢（blkio / io.max 在 cgroup v2 下的配置与验证、iotop + cgroup 关联分析）
   • PID 泄漏 / fork 炸弹（pids.max 限制与内核默认值差异）
   • 网络争抢（tc / cgroup net_cls 在节点层面的兜底手段）
2. 一键诊断脚本（Bash，单文件，Linux 内核 ≥5.10 + cgroup v2）：
   • 输入：节点名或当前所在节点，可选指定 Pod 名
   • 输出：该节点上各 Pod 的 cgroup v2 资源配额（cpu.max / memory.max / io.max / pids.max）实际生效值、当前使用量、Top 3 争抢嫌疑 Pod、以及 3~5 条可执行建议
   • 若节点内核支持 eBPF（≥5.10），额外跑一次 bpftrace 采样（CPU 忙等热点 / IO 延迟分布），把火焰图或文本摘要附在输出里
3. 5 个可复现案例：每个场景给出「复现命令 → 现场观测 → 修复命令 → 修复后验证」四段式，命令必须能在 k3s / kind 单节点环境直接跑通。

输入与上下文

• 参考任务：附件「参考任务-K8sCIS基线核对-2179.md」里已有 CIS 基线核对的交付格式，本委托的验收风格可对齐，但内容必须是 cgroup v2 + eBPF 诊断方向，不要重复做基线 checklist。
• 环境基线：K8s 1.28+、containerd 1.7+、内核 5.10+（cgroup v2 单层级）；如用 bpftrace 请标注最低版本。
• 交付物以 Markdown + Bash 脚本为主，不需要 Web 服务、不需要部署架构图。

交付格式

• 1 份 Markdown 手册（含 5 个场景四段式案例、命令块、配置示例）
• 1 个 Bash 脚本（单文件，chmod +x 后可直接跑，含 --help）
• 1 份 README：环境要求、脚本用法、bpftrace 依赖说明、已知限制
• 交付时附一段「我在 kind 单节点上跑过的验证记录」，包含实际输出片段