如何根据容器内特定用户PID数量终止K8s集群中的Pod

核心要解决的就是无侵入拿到容器内指定用户的进程计数，不用非得进容器敲命令，以下三个方案按推荐优先级排序：

• 方案1：节点cgroup只读挂载实现无侵入统计（最适配CronJob部署模式，优先选）
  这个方案完全不用改业务容器，所有逻辑闭环在CronJob里：

  1. 提前固定业务容器内user用户的UID（比如统一设为1000，避免镜像更新导致UID漂移）
  2. 给CronJob使用的ServiceAccount绑定集群权限：pods、nodes的只读权限，以及pods/delete权限
  3. CronJob的Pod配置hostPID: true，同时将节点的/sys/fs/cgroup、/proc目录以只读模式挂载进容器
  4. 定时执行逻辑：
     • 先筛选出所有目标命名空间下、匹配业务标签的Pod
     • 根据Pod所在节点、容器ID，拼接出容器在节点上对应的cgroup路径，读取路径下cgroup.procs文件拿到该容器关联的所有宿主机PID
     • 遍历每个PID，读取/proc/<pid>/status里的Uid字段，统计和目标用户UID匹配的进程数量
     • 若统计值低于阈值15，直接调用K8s API删除对应Pod，触发控制器自动拉起新副本
       这个方案的优势是对业务零侵入，不需要业务容器带任何额外调试工具，权限收敛在CronJob侧，安全风险低。

• 方案2：Sidecar共享PID命名空间导出指标（适合集群权限管控严格的场景）
  如果集群禁止工作负载开启hostPID、挂载hostPath路径，可以用这个方案：

  1. 给业务Pod配置shareProcessNamespace: true，让Pod内容器共享PID命名空间
  2. 在业务Pod里注入一个资源占用极低的sidecar容器，sidecar不需要特殊权限，定时执行ps -u user -o pid | wc -l统计目标用户进程数，将结果作为Prometheus指标暴露
  3. 配置Prometheus告警规则，当指标值低于15持续一个检测周期时，触发webhook调用K8s API删除异常Pod
     这个方案的统计精度最高，缺点是需要修改业务工作负载的部署配置，有极少量额外资源开销。

• 方案3：kubectl exec直接进容器统计（不推荐）
  逻辑很直接：给CronJob绑定Pod的exec权限，定时对每个目标Pod执行kubectl exec <pod-name> -- ps -u user -o pid | wc -l获取计数，低于阈值就删Pod。
  这个方案兼容性最差：一是需要给CronJob开放容器执行权限，安全风险高；二是如果业务用的是distroless这类精简镜像，容器内没有ps命令会直接执行失败。

踩坑提示：统计PID时记得过滤统计命令本身、Pod内pause容器的进程，避免计数偏差导致误删。建议先跑24小时的dry run模式（只统计不删Pod），确认统计值和容器内手动核对的结果完全一致后，再开启自动删除逻辑。

内容的提问来源于stack exchange，提问作者DarkTidings