安装Cilium遇Pod反亲和性规则不匹配：如何查看及修改规则？

要定位触发调度警告的反亲和性规则，直接查看Cilium相关的Pod或其控制器配置即可：

• 先找到kube-system命名空间下的Cilium Pod（默认安装位置）：

  kubectl get pods -n kube-system | grep cilium
  

• 查看目标Pod的详细配置，在输出的Affinity区块中找到podAntiAffinity字段：

  kubectl describe pod <cilium-pod-name> -n kube-system
  

• 更高效的方式是直接查看Cilium的Deployment配置（因为Pod由Deployment管理）：

  kubectl get deployment cilium -n kube-system -o yaml | grep -A20 podAntiAffinity
  

  这里会直接输出完整的反亲和性规则定义。

Cilium的反亲和性规则由控制器（Deployment）或安装参数定义，不能直接修改单个Pod（控制器会重建Pod覆盖修改），可通过以下方式调整：

• Helm安装场景：修改helm values中的反亲和参数，执行升级：

  # 将强制反亲和改为首选反亲和（soft规则）
  helm upgrade cilium cilium/cilium -n kube-system --set affinity.podAntiAffinity=soft
  # 或者完全禁用反亲和规则
  helm upgrade cilium cilium/cilium -n kube-system --set affinity.podAntiAffinity=None
  

• Cilium CLI安装场景：重新安装时指定参数修改：

  cilium install --set affinity.podAntiAffinity=soft
  

• 直接编辑Deployment：手动修改控制器配置，保存后会自动滚动更新Pod：

  kubectl edit deployment cilium -n kube-system
  

  找到spec.template.spec.affinity.podAntiAffinity节点，可将requiredDuringSchedulingIgnoredDuringExecution（强制规则）改为preferredDuringSchedulingIgnoredDuringExecution（首选规则），或直接删除整个反亲和配置块。

你提到kubectl describe node未发现nodeAffinity和污点，这是正常现象：Pod反亲和性是Pod层面的调度规则，并非节点配置。Cilium默认的反亲和规则通常要求同一节点上不能运行多个Cilium Agent Pod，而你只有1个节点，所以新Pod无法满足强制反亲和规则，导致调度失败。

内容的提问来源于stack exchange，提问作者Chris G.