当执行kubectl exec 命令时，发生了什么？

用户 -> kubectl -> API Server -> Kubelet -> 容器运行时 -> 目标容器

kubectl exec -it <pod-name> -- /bin/bash

// API 路径示例
POST /api/v1/namespaces/{namespace}/pods/{name}/exec

// Kubelet 的 exec 处理逻辑
func (h *ExecHandler) serveExec(w http.ResponseWriter, req *http.Request) {
    // 获取容器信息
    // 调用容器运行时接口
    // 建立数据流传输
}

// CRI 接口定义
service RuntimeService {
    rpc Exec(ExecRequest) returns (ExecResponse) {}
}

// 使用 SPDY 或 WebSocket 协议
// 支持多路复用的数据流
type StreamProtocol interface {
    Stream(stdin io.Reader, stdout, stderr io.Writer) error
}

// 伪终端配置
type ExecOptions struct {
    Stdin     io.Reader
    Stdout    io.Writer
    Stderr    io.Writer
    TTY       bool
    ptyMaster *os.File
}

// ExecSession 管理执行会话
type ExecSession struct {
    id        string
    stdinPipe io.WriteCloser
    stdoutPipe io.ReadCloser
    stderrPipe io.ReadCloser
    done      chan struct{}
}

客户端 (kubectl)
    ↓ HTTPS with SPDY/WebSocket
API Server
    ↓ 代理连接
Kubelet (节点)
    ↓ CRI gRPC
容器运行时
    ↓ 容器命名空间
目标容器进程

# RBAC 配置示例
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: pod-exec
rules:
- apiGroups: [""]
  resources: ["pods/exec"]
  verbs: ["create"]

// 安全配置
securityContext := &v1.SecurityContext{
    RunAsUser:  &uid,
    RunAsGroup: &gid,
    Capabilities: &v1.Capabilities{
        Drop: []v1.Capability{"ALL"},
    },
}

func (o *ExecOptions) Run() error {
    // 建立与 API Server 的连接
    executor, err := remotecommand.NewSPDYExecutor(
        o.Config, "POST", req.URL())
    
    // 执行命令
    return executor.Stream(remotecommand.StreamOptions{
        Stdin:  o.In,
        Stdout: o.Out,
        Stderr: o.ErrOut,
        Tty:    o.TTY,
    })
}

func (h *ExecHandler) serveExec(w http.ResponseWriter, req *http.Request) {
    // 获取容器 ID
    containerID := podContainer.ContainerID
    
    // 通过 CRI 执行命令
    execRequest := &runtimeapi.ExecRequest{
        ContainerId: containerID.ID,
        Cmd:         cmd,
        Tty:         tty,
        Stdin:       stdin,
        Stdout:      stdout,
        Stderr:      stderr,
    }
    
    // 调用容器运行时
    runtimeService.Exec(execRequest)
}

// 使用 Docker Engine API
client.ContainerExecCreate()
client.ContainerExecAttach()

// 使用 CRI 插件
task.Exec()