session保持
如何在service内部实现session保持呢？当然是在service的yaml里进行设置啦。
在service的yaml的sepc里加入以下代码：
sessionAffinity: ClientIP
sessionAffinityConfig:
clientIP:
timeoutSeconds: 10800这样就开启了session保持。下面的timeoutSeconds指的是session保持的时间，这个时间默认是10800秒，也就是三个小时。
那么原理是啥呢？当不设置session保持时，service向后台pod转发规则是轮询。当设置了session保持之后，k8s会根据访问的ip来把请求转发给他以前访问过的pod，这样session就保持住了。
容器root权限
你一定很奇怪，明明进入容器内，可以看到是root用户啊，为什么还要设置容器的root权限？这是因为容器内虽然看起来是root，但是却没有root的所有功能。当需要修改系统文件时，就不被允许。如果你的app恰好就要去修改系统文件，那么就需要明白如何设置容器的root权限。
想要开启容器的root权限，需要做以下操作:
1.设置kube-apiserver与kubelet的
--allow-privileged=true
这样就允许节点上的容器开启privileged。
怎么看当前是不是为true呢？
ps -ef|grep kube
然后仔细看，你就会看到是不是为true。
那么如何设置以上参数呢？
因为kube-apiserver与kubelet都是通过二进制文件直接运行的，所以直接在重启时加入以上参数就行。更简单的是，如果已经设置了systemd启动，那么就去/etc/systemd/system/下找到对应的.service文件，改里面的参数，然后通过systemctl命令直接重启就行。
2.设置包含contariners的yaml文件（如deploy的yaml文件），在containers下添加：
securityContext:
privileged: true例如pod的yaml文件：
apiVersion: v1
kind: Pod
metadata:
name: hello-world
spec:
containers:
- name: hello-world-container
# The container definition
# ...
securityContext:
privileged: true这个很好理解，但是切记要把这个与podSecurityContext分开。
podSecurityContext是在pod.spec内的属性，虽然它也写作securityContext
securityContext是container内的属性
podSecurityContext的例子如下：
apiVersion: v1
kind: Pod
metadata:
name: hello-world
spec:
containers:
# specification of the pod’s containers
# ...
securityContext:
fsGroup: 1234
supplementalGroups: [5678]
seLinuxOptions:
level: "s0:c123,c456"多端口容器
如果app需要开放两个端口，该怎么办呢？
有两种办法，
- 第一种是起2个service，每个service开放一个端口
- 第二种是同一个service开放2个端口
下面分析两种方法。
起两个service
明明可以用一个service搞定，为什么还要起两个service呢？我认为是让service更清晰，一个service负责一种服务。
例如，有个app，同时开发9200与9300端口。9200提供web服务，9300提供api。那么，用两个service，分别命名为app-http与app-api，分别暴露9200与9300端口，分别为nodePort与clusterIP方式，这样层次清晰。
同一个service开2个端口
一般我们只有一个端口的时候，在service的yaml文件：
ports:
- nodePort: 8482
port: 8080
protocol: TCP
targetPort: 8080而如果你想开两个端口，直接复制粘贴可不行，k8s会提示你必须要加上name。所以,如果要开多端口，要为每个port都指定一个name，如：
ports:
- name: http
nodePort: 8482
port: 8080
protocol: TCP
targetPort: 8080