Kubernetes切换Containerd教程详解

Kubernetes自1.20版本起正式弃用Docker作为容器运行时，containerd已成为唯一推荐、稳定且被所有主流发行版（如kubeadm、ACK、RKE2、K3s）默认采用的生产级CRI实现；本文直击迁移过程中的核心痛点——CRI插件未启用、systemd cgroup驱动不匹配、镜像加速缺失、kubelet endpoint配置错误等高频陷阱，手把手指导如何精准验证当前状态、修正containerd配置、显式对接kubelet，并安全完成节点腾空与切换，避免NotReady、容器反复退出、pause镜像拉取失败等典型故障，助你一次搞定平滑升级。

Kubernetes 1.20 起已弃用 docker 直接作为 CRI 的支持，containerd 是当前生产环境唯一推荐、稳定且被所有主流发行版（包括阿里云 ACK、kubeadm、RKE2、K3s）默认采用的容器运行时。强行继续用 docker 会导致 kubelet 启动失败、节点 NotReady、镜像拉取超时等连锁问题。

确认当前节点运行时和 CRI 状态

先看实际在跑什么，别凭感觉操作：

• 执行 kubectl get node -o wide，观察 CONTAINER-RUNTIME 列是否显示 docker:// 或 containerd://
• 检查 kubelet 是否还在用 dockershim：运行 ps aux | grep kubelet，若参数中含 --container-runtime=docker 或未显式指定 --container-runtime-endpoint，说明仍走旧路径
• 验证 containerd 是否已安装并监听：运行 sudo systemctl status containerd；再试 sudo ctr --namespace k8s.io containers list，若报 “connection refused” 或 “no such file”，说明 socket 未就位或服务未启

配置 containerd 启用 CRI 插件并适配 systemd cgroup

containerd 默认配置不自动启用 CRI 接口，且若 kubelet 使用 systemd cgroup 驱动（kubeadm 1.22+ 默认），而 containerd 配置里 SystemdCgroup = false，会导致容器启动后立即退出——这是最常被忽略的兼容性断点。

• 生成基础配置：sudo mkdir -p /etc/containerd && sudo containerd config default | sudo tee /etc/containerd/config.toml
• 强制启用 CRI 插件：确保配置中 [plugins."io.containerd.grpc.v1.cri"] 段落未被注释或禁用；若存在 disabled_plugins = ["cri"]，必须删掉整行
• 关键修复 cgroup 驱动：将 SystemdCgroup = false 改为 SystemdCgroup = true（位置在 [plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc.options] 下）
• 国内环境务必配镜像加速：在 [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"] 下添加 endpoint = ["https://your-mirror.mirror.aliyuncs.com"]，否则 pause 镜像拉取失败，kubelet 卡在 ContainerCreating

让 kubelet 正确对接 containerd socket

kubelet 不会自动发现 containerd，必须显式告诉它 CRI endpoint 地址。不同部署方式写法不同，混用会导致启动失败：

• 使用 kubeadm：优先改 /var/lib/kubelet/instance-config.yaml，写入 containerRuntimeEndpoint: unix:///run/containerd/containerd.sock；该文件存在时，kubeadm-flags.env 中的 --container-runtime-endpoint 会被忽略
• 手动部署或老版本：编辑 /var/lib/kubelet/kubeadm-flags.env，追加 --container-runtime-endpoint=unix:///run/containerd/containerd.sock（注意不能写成 --container-runtime=remote，该参数已废弃）
• 绝对不要同时设 --container-runtime=docker 和 --container-runtime-endpoint，kubelet 会拒绝启动并报错 conflicting runtime flags
• 重启前确认 socket 路径真实存在：ls -l /run/containerd/containerd.sock；若不存在，systemctl restart containerd 后仍未生成，大概率是配置中 CRI 插件未启用或 TOML 语法错误

节点腾空、切换与验证要点

单节点集群切运行时风险极高，控制面组件（如 coredns、metrics-server）可能因 CRI 切换中断而无法恢复，务必按顺序操作：

• 先 kubectl cordon 封锁节点，再 kubectl drain --ignore-daemonsets --delete-emptydir-data 驱逐所有 Pod；若报错 “cannot delete DaemonSet-managed Pods”，加 --force 强制（仅限工作节点）
• 停 kubelet 再停 docker：sudo systemctl stop kubelet && sudo systemctl stop docker；不先停 kubelet，它可能反复尝试连 docker socket 导致日志刷屏
• 验证 containerd 已就绪后再启 kubelet：sudo systemctl start containerd && sudo systemctl start kubelet
• 验证成功标志有三个：kubectl get node -o wide 显示 containerd://；sudo crictl ps 能列出 pause 容器；kubectl get pod -A 所有系统 Pod 处于 Running 状态且 READY 列为 1/1 或更高

真正卡住的地方往往不是安装命令，而是 containerd 配置里 CRI 插件没开、cgroup 驱动不匹配、或 kubelet 还在读一个过期的 instance-config.yaml 缓存。每次改完配置，用 sudo containerd --config /etc/containerd/config.toml config dump 看最终生效项，比猜更可靠。

终于介绍完啦！小伙伴们，这篇关于《Kubernetes切换Containerd教程详解》的介绍应该让你收获多多了吧！欢迎大家收藏或分享给更多需要学习的朋友吧~golang学习网公众号也会发布文章相关知识，快来关注吧！