Nvidia 新云账号首次部署 Kubernetes 集群：依赖顺序与验收

题意与假设

这道练习题保留了面经中值得训练的核心约束，并将需要澄清的条件单独列出。现场拿到变体时，先和面试官确认这些条件。

• 训练方案选云厂商托管 control plane、单区域多可用区、初始两个 worker node pool；这是为了聚焦首次部署的依赖链，不代表原题指定该方案。
• 示例服务是一个无状态 API 和一个持久卷测试 Pod；若目标是 DGX/GPU 训练，还需 GPU 实例配额、驱动、设备插件、高速网络与调度约束，题目未明确这些要求。
• 基础设施通过声明式配置管理，账号权限遵循最小授权；实际网络 CIDR、节点规格和成本预算在面试中先确认。

解题路线

1. 先问清托管还是自管。托管服务把 control plane 运营交给云厂商；自管则要自己部署和维护高可用 API server、etcd 与升级流程。新账号的简化题可先选托管，并明确这是取舍。
2. 建立云账号基础：资源配额和账单告警、VPC/子网与地址范围、出站与私有镜像仓库访问、账号 IAM 和集群 API 的认证授权。先定网络再建集群，避免 Pod/Service CIDR 与现有网段冲突。
3. 创建托管 control plane 和跨故障域 worker node pool；验证节点 Ready、Pod 网络与 DNS。再接镜像仓库凭据、持久存储驱动、Service/Ingress、TLS 与必要的网络策略。每项都以小工作负载验收，而非一次部署全部组件。
4. 接入日志、指标、事件和审计：监控 API 可用性、节点 Ready、Pod 启动失败、镜像拉取、磁盘/网络容量和部署失败。准备备份、升级、回滚与账号权限轮换；先做一次故障演练再承载生产流量。
5. 若需要 GPU，追加实例与区域配额核对、驱动/设备插件版本、GPU 可见性和训练作业的调度/存储吞吐验收。不要把 GPU 部分当作题目明确题干。

手动走一遍

训练示例：新账号先发现 GPU 实例配额为零，因此首轮用普通 worker pool 验证集群基础。完成 VPC、IAM 与托管 control plane 后，部署返回版本号的 API；从 Ingress 访问它，再运行挂载持久卷的 Pod 并重建 Pod 核对数据仍在。GPU 配额到账后另建 GPU pool，用最小设备查询和单卡训练作业验收。

规模与取舍

这是部署依赖和运营取舍题，没有单一算法复杂度。初始容量可按工作负载请求量、每节点可分配资源和冗余系数估算；若每节点能容纳 C 个训练 Pod、目标并发 J，至少需要 ceil(J/C) 个节点，再加故障域和维护余量。成本还包括空闲 GPU、跨区流量、存储和 control plane 费用，需按实际云价格核算。

易错点与追问

容易失分的边界

• 先创建集群再讨论 VPC、Pod CIDR 和镜像可达性，导致节点 Ready 但工作负载无法联网或拉取镜像。
• 把云账号管理员长期凭据直接放到 Pod 中，或把集群管理员权限给所有开发者。
• 只看到节点 Ready 就宣称完成部署，未验证 DNS、Service/Ingress、存储和故障恢复。
• 把自管与托管的 control plane 责任混为一谈，漏掉 etcd 备份、升级和可用性责任。

继续深挖

• 若要跨区域容灾，讨论多个独立集群、镜像与数据复制、流量切换和 RPO/RTO；单集群跨区不自动解决所有故障。
• 若是 DGX/GPU 集群，继续问设备插件、驱动与 CUDA 兼容、训练数据吞吐、节点隔离和作业队列。
• 若需自管 control plane，明确高可用 API server、etcd quorum、证书、升级和云控制器责任；再比较团队运营成本。