limits 是为所接收到的事件查询设置的限制。可以针对服务器端接收到的事件设置限制， 按逐个名字空间、逐个用户、或逐个来源+对象组合的方式均可以。 至少需要设置一种限制。

type 是此配置所适用的限制的类型。

qps 是针对此类型的限制每秒钟所允许的事件查询次数。qps 和 burst 字段一起用来确定是否特定的事件查询会被接受。qps 确定的是当超出查询数量的 burst 值时可以接受的查询个数。

burst 是针对此类型限制的突发事件查询数量。qps 和 burst 字段一起使用可用来确定特定的事件查询是否被接受。 burst 字段确定针对特定的事件桶（bucket）可以接受的规模上限。 例如，如果 burst 是 10，qps 是 3，那么准入控制器会在接收 10 个查询之后阻塞所有查询。 每秒钟可以额外允许 3 个查询。如果这一限额未被用尽，则剩余的限额会被顺延到下一秒钟， 直到再次达到 10 个限额的上限。

cacheSize 是此类型限制的 LRU 缓存的规模。如果某个事件桶（bucket）被从缓存中剔除， 该事件桶所对应的限额也会被重置。如果后来再次收到针对某个已被剔除的事件桶的查询， 则该事件桶会重新以干净的状态进入缓存，因而获得全量的突发查询配额。

默认的缓存大小是 4096。

如果 limitType 是 “server”，则 cacheSize 设置会被忽略。

标准的对象元数据。更多信息：https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#metadata

spec 中包含与被评估的 Pod 相关的信息。

status 由后台负责填充，用来标明 Pod 是否会被准入。

此字段的格式可以是 image:tag 或 image@SHA:012345679abcdef。

containers 是一个列表，其中包含正被创建的 Pod 中各容器的信息子集。

annotations 是一个键值对列表，内容抽取自 Pod 的注解（annotations）。 其中仅包含与模式 *.image-policy.k8s.io/* 匹配的键。 每个 Webhook 后端要负责决定如何解释这些注解（如果有的话）。

namespace 是 Pod 创建所针对的名字空间。

allowed 表明所有镜像都可以被运行。

若 allowed 不是 false，reason 应该为空。 否则其中应包含出错信息的简短描述。Kubernetes 在向用户展示此信息时可能会截断过长的错误文字。

auditAnnotations 会被通过 AddAnnotation 添加到准入控制器的 attributes 对象上。 注解键应该不含前缀，换言之，准入控制器会添加合适的前缀。

生成事件所对应的审计级别。

为每个请求所生成的唯一审计 ID。

生成此事件时请求的处理阶段。

requestURI 是客户端发送到服务器端的请求 URI。

verb 是与请求对应的 Kubernetes 动词。对于非资源请求，此字段为 HTTP 方法的小写形式。

关于认证用户的信息。

关于所伪装（impersonated）的用户的信息。

发起请求和中间代理的源 IP 地址。 源 IP 从以下（按顺序）列出：

1. X-Forwarded-For 请求标头 IP
2. X-Real-Ip 标头，如果 X-Forwarded-For 列表中不存在
3. 连接的远程地址，如果它无法与此处列表中的最后一个 IP（X-Forwarded-For 或 X-Real-Ip）匹配。 注意：除最后一个 IP 外的所有 IP 均可由客户端任意设置。

userAgent 中记录客户端所报告的用户代理（User Agent）字符串。 注意 userAgent 信息是由客户端提供的，一定不要信任。

此请求所指向的对象引用。对于 List 类型的请求或者非资源请求，此字段可忽略。

响应的状态，当 responseObject 不是 Status 类型时被赋值。 对于成功的请求，此字段仅包含 code 和 statusSuccess。 对于非 Status 类型的错误响应，此字段会被自动赋值为出错信息。

来自请求的 API 对象，以 JSON 格式呈现。requestObject 在请求中按原样记录 （可能会采用 JSON 重新编码），之后会进入版本转换、默认值填充、准入控制以及 配置信息合并等阶段。此对象为外部版本化的对象类型，甚至其自身可能并不是一个 合法的对象。对于非资源请求，此字段被忽略。 只有当审计级别为 Request 或更高的时候才会记录。

响应中包含的 API 对象，以 JSON 格式呈现。requestObject 是在被转换为外部类型 并序列化为 JSON 格式之后才被记录的。 对于非资源请求，此字段会被忽略。 只有审计级别为 Response 时才会记录。

请求到达 API 服务器时的时间。

请求到达当前审计阶段时的时间。

annotations 是一个无结构的键-值映射，其中保存的是一个审计事件。 该事件可以由请求处理链路上的插件来设置，包括身份认证插件、鉴权插件以及 准入控制插件等。 注意这些注解是针对审计事件本身的，与所提交的对象中的 metadata.annotations 之间不存在对应关系。 映射中的键名应该唯一性地标识生成该事件的组件，从而避免名字上的冲突 （例如 podsecuritypolicy.admission.k8s.io/policy）。 映射中的键值应该比较简洁。 当审计级别为 Metadata 时会包含 annotations 字段。

包含 metadata 字段是为了便于与 API 基础设施之间实现互操作。

字段 rules 设置请求要被记录的审计级别（level）。 每个请求可能会与多条规则相匹配；发生这种状况时遵从第一条匹配规则。 默认的审计级别是 None，不过可以在列表的末尾使用一条全抓（catch-all）规则 重载其设置。 列表中的规则（PolicyRule）是严格有序的。

字段 omitStages 是一个阶段（Stage）列表，其中包含无须生成事件的阶段。 注意这一选项也可以通过每条规则来设置。 审计组件最终会忽略出现在 omitStages 中阶段，也会忽略规则中的阶段。

omitManagedFields 标明将请求和响应主体写入 API 审计日志时，是否省略其托管字段。 此字段值用作全局默认值 - 'true' 值将省略托管字段，否则托管字段将包含在 API 审计日志中。 请注意，也可以按规则指定此值，在这种情况下，规则中指定的值将覆盖全局默认值。

字段 resources 是此规则所适用的资源的列表。

例如：
'pods' 匹配 Pods；
'pods/log' 匹配 Pods 的 log 子资源；
'∗' 匹配所有资源及其子资源；
'pods/∗' 匹配 Pods 的所有子资源；
'∗/scale' 匹配所有的 scale 子资源。

如果存在通配符，则合法性检查逻辑会确保 resources 中的条目不会彼此重叠。

空的列表意味着规则适用于该 API 组中的所有资源及其子资源。

字段 resourceNames 是策略将匹配的资源实例名称列表。 使用此字段时，resources 必须指定。 空的 resourceNames 列表意味着资源的所有实例都会匹配到此策略。

字段 apiGroup 给出包含所引用对象的 API 组的名称。 空字符串代表 core API 组。

字段 apiVersion 是包含所引用对象的 API 组的版本。

与此规则匹配的请求所对应的日志记录级别（Level）。

根据身份认证所确定的用户名的列表，给出此规则所适用的用户。 空列表意味着适用于所有用户。

此规则所适用的用户组的列表。如果用户是所列用户组中任一用户组的成员，则视为匹配。 空列表意味着适用于所有用户组。

此规则所适用的动词（verb）列表。 空列表意味着适用于所有动词。

此规则所适用的资源类别列表。 空列表意味着适用于 API 组中的所有资源类别。

此规则所适用的名字空间列表。 空字符串（""）意味着适用于非名字空间作用域的资源。 空列表意味着适用于所有名字空间。

字段 nonResourceURLs 给出一组需要被审计的 URL 路径。 允许使用 ∗，但只能作为路径中最后一个完整分段。
例如：
"/metrics" - 记录对 API 服务器度量值（metrics）的所有请求；
"/healthz∗" - 记录所有健康检查请求。

字段 omitStages 是一个阶段（Stage）列表，针对所列的阶段服务器不会生成审计事件。 注意这一选项也可以在策略（Policy）级别指定。服务器审计组件会忽略 omitStages 中给出的阶段，也会忽略策略中给出的阶段。 空列表意味着不对阶段作任何限制。

omitManagedFields 决定将请求和响应主体写入 API 审计日志时，是否省略其托管字段。

• 值为 'true' 将从 API 审计日志中删除托管字段
• 值为 'false' 表示托管字段应包含在 API 审计日志中 请注意，如果指定此规则中的值将覆盖全局默认值。 如果未指定，则使用 policy.omitManagedFields 中指定的全局默认值。

resources 是一个包含资源及其对应的加密驱动的列表。

keys 是一组用于创建 AES 转换器的秘钥。 对于 AES-CBC，每个秘钥必须是 32 字节长；对于 AES-GCM，每个秘钥可以是 16、24、32 字节长。

name 是要使用的 KMS 插件名称。

cachesize 是可在内存中缓存的 Secret 数量上限。默认值是 1000。将此字段设置为负值会禁用缓存。

endpoint 是 gRPC 服务器的监听地址，例如 "unix:///var/run/kms-provider.sock"。

对 KMS 插件执行 gRPC 调用的超时时长（例如，'5s'）。默认值为 3 秒。

name 是在向磁盘中存储数据时使用的键名。

secret 是实际的秘钥，用 base64 编码。

aesgcm 是用于 AES-GCM 转换器的配置。

aescbc 是用于 AES-CBC 转换器的配置。

secretbox 是用于基于 Secretbox 的转换器的配置。

identity 是用于标识转换器的配置（空）。

kms 中包含用于基于 KMS 的封套转换器的名称、缓存大小以及配置文件路径信息。

resources 是必需要加密的 Kubernetes 资源的列表。

providers 是一个转换器列表，用来将资源写入到磁盘或从磁盘上读出。 例如：'aesgcm'、'aescbc'、'secretbox'、'identity'。

keys 是一个秘钥列表，用来创建 Secretbox 转换器。每个秘钥必须是 32 字节长。

plugins 字段允许为每个准入控制插件设置配置选项。

name 是准入控制器的名称。它必须与所注册的准入插件名称匹配。

path 是指向包含插件配置信息的配置文件的路径。

configuration 是一个内嵌的配置对象，用来保存插件的配置信息。 如果存在，则使用这里的配置信息而不是指向配置文件的路径。

plugins 允许用户为每个准入控制插件指定设置。

connectionServices 包含一组 Egress 选择算符客户端配置选项。

在控制面节点上运行的采集器的端点。 API 服务器在向采集器发送数据时将 egressType 设置为 ControlPlane。 这里的语法定义在 https://github.com/grpc/grpc/blob/master/doc/naming.md。 默认值为 otlpgrpc 的默认值，即 localhost:4317 这一连接是不安全的，且不支持 TLS。

samplingRatePerMillion 设置每一百万个数据点中要采样的样本个数。默认值为 0。

name 是准入控制器的名称。此名称必须与所注册的准入插件名称匹配。

path 为指向包含插件配置数据的配置文件的路径。

configuration 是一个嵌入的配置对象，用作插件的配置数据来源。 如果设置了此字段，则使用此字段而不是指向配置文件的路径。

proxyProtocol 是客户端连接到 konnectivity 服务器所使用的协议。

transport 定义的是传输层的配置。我们使用这个配置来联系 konnectivity 服务器。 当 proxyProtocol 是 HTTPConnect 或 GRPC 时需要设置此字段。

name 是 Egress 选择器的名称。当前支持的取值有 "controlplane"， "master"，"etcd" 和 "cluster"。 "master" Egress 选择器已被弃用，推荐使用 "controlplane"。

connection 是用来配置 Egress 选择器的配置信息。

url 是要连接的 konnectivity 服务器的位置。例如 "https://127.0.0.1:8131"。

tlsConfig 是使用 TLS 来连接 konnectivity 服务器时需要的信息。

caBundle 是指向用来确定与 konnectivity 服务器间信任欢喜的 CA 证书包的文件位置。 当 tcpTransport.url 前缀为 "http://" 时必须不设置，或者设置为空。 如果 tcpTransport.url 前缀为 "https://" 并且此字段未设置，则默认使用系统的信任根。

clientKey 是与 konnectivity 服务器进行 mtls 握手时使用的客户端秘钥文件位置。 如果 `tcp.url` 前缀为 http://，必须不指定或者为空； 如果 `tcp.url` 前缀为 https://，必须设置。

clientCert 是与 konnectivity 服务器进行 mtls 握手时使用的客户端证书文件位置。 如果 `tcp.url` 前缀为 http://，必须不指定或者为空； 如果 `tcp.url` 前缀为 https://，必须设置。

tcp 包含通过 TCP 与 konnectivity 服务器通信时使用的 TCP 配置。 目前使用 TCP 传输时不支持 GRPC 的 proxyProtocol。 tcp 和 uds 二者至少设置一个。

uds 包含通过 UDS 与 konnectivity 服务器通信时使用的 UDS 配置。 tcp 和 uds 二者至少设置一个。

udsName 是与 konnectivity 服务器连接时使用的 UNIX 域套接字名称。 字段取值不要求包含 unix:// 前缀。 （例如：/etc/srv/kubernetes/konnectivity-server/konnectivity-server.socket）

featureGates 字段是一个功能特性名称到布尔值的映射表， 用来启用或者禁用测试性质的功能特性。

bindAddress 字段是代理服务器提供服务时所用 IP 地址（设置为 0.0.0.0 时意味着在所有网络接口上提供服务）。

healthzBindAddress 字段是健康状态检查服务器提供服务时所使用的 IP 地址和端口， 默认设置为 '0.0.0.0:10256'。

metricsBindAddress 字段是指标服务器提供服务时所使用的 IP 地址和端口， 默认设置为 '127.0.0.1:10249'（设置为 0.0.0.0 意味着在所有接口上提供服务）。

bindAddressHardFail 字段设置为 true 时， kube-proxy 将无法绑定到某端口这类问题视为致命错误并直接退出。

enableProfiling 字段通过 '/debug/pprof' 处理程序在 Web 界面上启用性能分析。 性能分析处理程序将由指标服务器执行。

clusterCIDR 字段是集群中 Pods 所使用的 CIDR 范围。 这一地址范围用于对来自集群外的请求流量进行桥接。 如果未设置，则 kube-proxy 不会对非集群内部的流量做桥接。

hostnameOverride 字段非空时， 所给的字符串（而不是实际的主机名）将被用作 kube-proxy 的标识。

clientConnection 字段给出代理服务器与 API 服务器通信时要使用的 kubeconfig 文件和客户端链接设置。

iptables 字段字段包含与 iptables 相关的配置选项。

ipvs 字段中包含与 ipvs 相关的配置选项。

oomScoreAdj 字段是为 kube-proxy 进程所设置的 oom-score-adj 值。 此设置值必须介于 [-1000, 1000] 范围内。

mode 字段用来设置将使用的代理模式。

portRange 字段是主机端口的范围，形式为 ‘beginPort-endPort’（包含边界）， 用来设置代理服务所使用的端口。如果未指定（即 ‘0-0’），则代理服务会随机选择端口号。

udpIdleTimeout 字段用来设置 UDP 链接保持活跃的时长（例如，'250ms'、'2s'）。 此值必须大于 0。此字段仅适用于 mode 值为 'userspace' 的场合。

conntrack 字段包含与 conntrack 相关的配置选项。

configSyncPeriod 字段是从 API 服务器刷新配置的频率。此值必须大于 0。

nodePortAddresses 字段是 kube-proxy 进程的 --nodeport-addresses 命令行参数设置。 此值必须是合法的 IP 段。所给的 IP 段会作为参数来选择 NodePort 类型服务所使用的接口。 如果有人希望将本地主机（Localhost）上的服务暴露给本地访问， 同时暴露在某些其他网络接口上以实现某种目标，可以使用 IP 段的列表。 如果此值被设置为 "127.0.0.0/8"，则 kube-proxy 将仅为 NodePort 服务选择本地回路（loopback）接口。 如果此值被设置为非零的 IP 段，则 kube-proxy 会对 IP 作过滤，仅使用适用于当前节点的 IP 地址。 空的字符串列表意味着选择所有网络接口。

winkernel 字段包含与 winkernel 相关的配置选项。

showHiddenMetricsForVersion 字段给出的是一个 Kubernetes 版本号字符串， 用来设置你希望显示隐藏指标的版本。

detectLocalMode 字段用来确定检测本地流量的方式，默认为 LocalModeClusterCIDR。

detectLocal 字段包含与 DetectLocalMode 相关的可选配置设置。

bridgeInterface 字段是一个表示单个桥接接口名称的字符串参数。 Kube-proxy 将来自这个给定桥接接口的流量视为本地流量。 如果 DetectLocalMode 设置为 LocalModeBridgeInterface，则应设置该参数。

interfaceNamePrefix 字段是一个表示单个接口前缀名称的字符串参数。 Kube-proxy 将来自一个或多个与给定前缀匹配的接口流量视为本地流量。 如果 DetectLocalMode 设置为 LocalModeInterfaceNamePrefix，则应设置该参数。

maxPerCore 字段是每个 CPU 核所跟踪的 NAT 链接个数上限 （0 意味着保留当前上限限制并忽略 min 字段设置值）。

min 字段给出要分配的链接跟踪记录个数下限。 设置此值时会忽略 maxPerCore 的值（将 maxPerCore 设置为 0 时不会调整上限值）。

tcpEstablishedTimeout 字段给出空闲 TCP 连接的保留时间（例如，'2s'）。 此值必须大于 0。

tcpCloseWaitTimeout 字段用来设置空闲的、处于 CLOSE_WAIT 状态的 conntrack 条目 保留在 conntrack 表中的时间长度（例如，'60s'）。 此设置值必须大于 0。

masqueradeBit 字段是 iptables fwmark 空间中的具体一位， 用来在纯 iptables 代理模式下设置 SNAT。此值必须介于 [0, 31]（含边界值）。

masqueradeAll 字段用来通知 kube-proxy 在使用纯 iptables 代理模式时对所有流量执行 SNAT 操作。

syncPeriod 字段给出 iptables 规则的刷新周期（例如，'5s'、'1m'、'2h22m'）。此值必须大于 0。

minSyncPeriod 字段给出 iptables 规则被刷新的最小周期（例如，'5s'、'1m'、'2h22m'）。

syncPeriod 字段给出 ipvs 规则的刷新周期（例如，'5s'、'1m'、'2h22m'）。 此值必须大于 0。

minSyncPeriod 字段给出 ipvs 规则被刷新的最小周期（例如，'5s'、'1m'、'2h22m'）。

IPVS 调度器。

excludeCIDRs 字段取值为一个 CIDR 列表，ipvs 代理程序在清理 IPVS 服务时不应触碰这些 IP 地址。

strictARP 字段用来配置 arp_ignore 和 arp_announce，以避免（错误地）响应来自 kube-ipvs0 接口的 ARP 查询请求。

tcpTimeout 字段是用于设置空闲 IPVS TCP 会话的超时值。 默认值为 0，意味着使用系统上当前的超时值设置。

tcpFinTimeout 字段用来设置 IPVS TCP 会话在收到 FIN 之后的超时值。 默认值为 0，意味着使用系统上当前的超时值设置。

udpTimeout 字段用来设置 IPVS UDP 包的超时值。 默认值为 0，意味着使用系统上当前的超时值设置。

networkName 字段是 kube-proxy 用来创建端点和策略的网络名称。

sourceVip 字段是执行负载均衡时进行 NAT 转换所使用的源端 VIP 端点 IP 地址。

enableDSR 字段通知 kube-proxy 是否使用 DSR 来创建 HNS 策略。

rootHnsEndpointName 字段是附加到用于根网络命名空间二层桥接的 hnsendpoint 的名称。

forwardHealthCheckVip 字段为 Windows 上的健康检查端口转发服务 VIP。

kubeconfig 字段是指向一个 KubeConfig 文件的路径。

acceptContentTypes 字段定义客户端在连接到服务器时所发送的 Accept 头部字段。 此设置值会覆盖默认配置 'application/json'。 此字段会控制某特定客户端与指定服务器的所有链接。

contentType 字段是从此客户端向服务器发送数据时使用的内容类型（Content Type）。

qps 字段控制此连接上每秒钟可以发送的查询请求个数。

burst 字段允许客户端超出其速率限制时可以临时累积的额外查询个数。

enableProfiling 字段通过位于 host:port/debug/pprof/ 的 Web 接口启用性能分析。

enableContentionProfiling 字段在 enableProfiling 为 true 时允许执行锁竞争分析。

[实验特性] json 字段包含 "JSON" 日志格式的配置选项。

[实验特性] splitStream 字段将信息类型的信息输出到标准输出，错误信息重定向到标准 错误输出，并提供缓存。默认行为是将二者都输出到标准输出且不提供缓存。

[实验特性] infoBufferSize 字段设置在使用分离数据流时 info 数据流的缓冲区大小。 默认值为 0，意味着不提供缓存。

leaderElect 字段允许领导者选举客户端在进入主循环执行之前先获得领导者角色。 运行多副本组件时启用此功能有助于提高可用性。

leaseDuration 字段是非领导角色候选者在观察到需要领导席位更新时要等待的时间； 只有经过所设置时长才可以尝试去获得一个仍处于领导状态但需要被刷新的席位。 这里的设置值本质上意味着某个领导者在被另一个候选者替换掉之前可以停止运行的最长时长。 只有当启用了领导者选举时此字段有意义。

renewDeadline 字段设置的是当前领导者在停止扮演领导角色之前需要刷新领导状态的时间间隔。 此值必须小于或等于租约期限的长度。只有到启用了领导者选举时此字段才有意义。

retryPeriod 字段是客户端在连续两次尝试获得或者刷新领导状态之间需要等待的时长。 只有当启用了领导者选举时此字段才有意义。

resourceLock 字段给出在领导者选举期间要作为锁来使用的资源对象类型。

resourceName 字段给出在领导者选举期间要作为锁来使用的资源对象名称。

resourceNamespace 字段给出在领导者选举期间要作为锁来使用的资源对象所在名字空间。

format 字段设置日志消息的结构。默认的格式取值为 text。

对日志进行清洗的最大间隔纳秒数（例如，1s = 1000000000）。 如果所选的日志后端在写入日志消息时不提供缓存，则此配置会被忽略。

verbosity 字段用来确定日志消息记录的详细程度阈值。 默认值为 0，意味着仅记录最重要的消息。 数值越大，额外的消息越多。错误消息总是被记录下来。

vmodule 字段会在单个文件层面重载 verbosity 阈值的设置。 这一选项仅支持 "text" 日志格式。

[实验特性] options 字段中包含特定于不同日志格式的配置参数。 只有针对所选格式的选项会被使用，但是合法性检查时会查看所有选项配置。

此字段为指向某 KubeConfig 文件的路径。

acceptContentTypes 定义的是客户端与服务器建立连接时要发送的Accept 头部， 这里的设置值会覆盖默认值 "application/json"。 此字段会影响某特定客户端与服务器的所有连接。

contentType 包含的是此客户端向服务器发送数据时使用的内容类型（Content Type）。

qps 控制此连接允许的每秒查询次数。

burst 允许在客户端超出其速率限制时可以累积的额外查询个数。

此字段允许通过 Web 接口 host:port/debug/pprof/ 执行性能分析。

此字段在 enableProfiling 为 true 时允许执行锁竞争分析。

[实验特性] json 字段包含为 "json" 日志格式提供的配置选项。

[实验特性] 此字段将错误信息重定向到标准错误输出（stderr）， 将提示消息重定向到标准输出（stdout），并且支持缓存。 默认配置为将二者都输出到标准输出（stdout），且不提供缓存。

[实验特性] infoBufferSize 用来在分离数据流场景是设置提示信息数据流的大小。 默认值为 0，意味着禁止缓存。

leaderElect 允许领导者选举客户端在进入主循环执行之前先获得领导者角色。 运行多副本组件时启用此功能有助于提高可用性。

leaseDuration 是非领导角色候选者在观察到需要领导席位更新时要等待的时间； 只有经过所设置时长才可以尝试去获得一个仍处于领导状态但需要被刷新的席位。 这里的设置值本质上意味着某个领导者在被另一个候选者替换掉之前可以停止运行的最长时长。 只有当启用了领导者选举时此字段有意义。

renewDeadline 设置的是当前领导者在停止扮演领导角色之前需要刷新领导状态的时间间隔。 此值必须小于或等于租约期限的长度。只有到启用了领导者选举时此字段才有意义。

retryPeriod 是客户端在连续两次尝试获得或者刷新领导状态之间需要等待的时长。 只有当启用了领导者选举时此字段才有意义。

此字段给出在领导者选举期间要作为锁来使用的资源对象类型。

此字段给出在领导者选举期间要作为锁来使用的资源对象名称。

此字段给出在领导者选举期间要作为锁来使用的资源对象所在名字空间。

format 设置日志消息的结构。默认的格式取值为 text。

对日志进行清洗的最大间隔纳秒数（例如，1s = 1000000000）。 如果所选的日志后端在写入日志消息时不提供缓存，则此配置会被忽略。

verbosity 用来确定日志消息记录的详细程度阈值。默认值为 0， 意味着仅记录最重要的消息。数值越大，额外的消息越多。错误消息总是被记录下来。

vmodule 会在单个文件层面重载 verbosity 阈值的设置。 这一选项仅支持 "text" 日志格式。

[实验特性] options 中包含特定于不同日志格式的配置参数。 只有针对所选格式的选项会被使用，但是合法性检查时会查看所有选项配置。

此字段为试运行抢占时 shortlist 中候选节点数的下限，数值为节点数的百分比。 字段值必须介于 [0, 100] 之间。未指定时默认值为整个集群规模的 10%。

此字段设置 shortlist 中候选节点的绝对下限。用于试运行抢占而列举的候选节点个数近似于通过下面的公式计算的：

候选节点数 = max(节点数 * minCandidateNodesPercentage, minCandidateNodesAbsolute)

之所以说是"近似于"是因为存在一些类似于 PDB 违例这种因素，会影响到进入 shortlist中候选节点的个数。 取值至少为 0 节点。若未设置默认为 100 节点。

此字段是一个计分权重值。针对新增的 Pod， 要对现存的、带有与新 Pod 匹配的硬性亲和性设置的 Pod 计算亲和性得分。

此字段设置为调度 Pod 而执行算法时的并发度。此值必须大于 0。 默认值为 16。

此字段用来定义领导者选举客户端的配置。

此字段为与 API 服务器通信时使用的代理服务器设置 kubeconfig 文件和客户端连接配置。

healthzBindAddress 是健康检查服务器提供服务所用的 IP 地址和端口。 注意：healthzBindAddress 和 metricsBindAddress这两个字段都已被弃用。 只可以设置空地址或者端口 0。其他设置值都无法通过合法性检查。

metricsBindAddress 是度量值服务器提供服务所用的 IP 地址和端口。

此字段设置与调试相关功能特性的配置。 TODO：我们可能想把它做成一个子结构，像调试 component-base/config/v1alpha1.DebuggingConfiguration 一样。

此字段为所有节点的百分比，一旦调度器找到所设置比例的、能够运行 Pod 的节点， 则停止在集群中继续寻找更合适的节点。这一配置有助于提高调度器的性能。 调度器总会尝试寻找至少 "minFeasibleNodesToFind" 个可行节点，无论此字段的取值如何。 例如：当集群规模为 500 个节点，而此字段的取值为 30， 则调度器在找到 150 个合适的节点后会停止继续寻找合适的节点。 当此值为 0 时，调度器会使用默认节点数百分比（基于集群规模确定的值，在 5% 到 50% 之间）来执行打分操作。

此字段设置不可调度 Pod 的初始回退秒数。如果设置了此字段，其取值必须大于零。 若此值为 null，则使用默认值（1s）。

此字段设置不可调度的 Pod 的最大回退秒数。如果设置了此字段， 则其值必须大于 podInitialBackoffSeconds 字段值。如果此值设置为 null，则使用默认值（10s）。

此字段为 kube-scheduler 所支持的方案（profiles）。 Pod 可以通过设置其对应的调度器名称来选择使用特定的方案。 未指定调度器名称的 Pod 会使用 "default-scheduler" 方案来调度，如果存在的话。

此字段为调度器扩展模块（Extender）的列表， 每个元素包含如何与某扩展模块通信的配置信息。 所有调度器模仿会共享此扩展模块列表。

addedAffinity 会作为附加的亲和性属性添加到所有 Pod 的规约中指定的 NodeAffinity 中。 换言之，节点需要同时满足 addedAffinity 和 .spec.nodeAffinity。默认情况下，addedAffinity 为空（与所有节点匹配）。 使用了 addedAffinity 时，某些带有已经能够与某特定节点匹配的亲和性需求的 Pod （例如 DaemonSet Pod）可能会继续呈现不可调度状态。

要管理的资源；如果未设置，则默认值为 "cpu" 和 "memory"。

此字段为 NodeResources 匹配过滤器要忽略的资源列表。此列表不影响节点打分。

此字段定义 NodeResources 匹配过滤器要忽略的资源组列表。 例如，如果配置值为 ["example.com"]，则以 "example.com" 开头的资源名（如"example.com/aaa" 和 "example.com/bbb"）都会被忽略。 资源组名称中不可以包含 '/'。此设置不影响节点的打分。

此字段用来选择节点资源打分策略。默认的策略为 LeastAllocated， 且 "cpu" 和"memory" 的权重相同。

此字段针对未定义 .spec.topologySpreadConstraints 的 Pod， 为其提供拓扑分布约束。.defaultConstraints[∗].labelSelectors必须为空， 因为这一信息要从 Pod 所属的 Service、ReplicationController、 ReplicaSet 或 StatefulSet 来推导。 此字段不为空时，.defaultingType 必须为 "List"。

defaultingType 决定如何推导 .defaultConstraints。 可选值为 "System" 或 "List"。

• "System"：使用 Kubernetes 定义的约束，将 Pod 分布到不同节点和可用区；
• "List"：使用 .defaultConstraints 中定义的约束。

当特性门控 DefaultPodTopologySpread 被禁用时，默认值为 "list"；反之，默认值为 "System"。

此字段设置卷绑定操作的超时秒数。字段值必须是非负数。 取值为 0 意味着不等待。如果此值为 null，则使用默认值（600）。

shape 用来设置打分函数曲线所使用的计分点， 这些计分点用来基于静态制备的 PV 卷的利用率为节点打分。 卷的利用率是计算得来的，将 Pod 所请求的总的存储空间大小除以每个节点上可用的总的卷容量。 每个计分点包含利用率（范围从 0 到 100）和其对应的得分（范围从 0 到 10）。 你可以通过为不同的使用率值设置不同的得分来反转优先级：

默认的曲线计分点为：

1. 利用率为 0 时得分为 0；
2. 利用率为 100 时得分为 10。

所有计分点必须按利用率值的升序来排序。

用来访问扩展模块的 URL 前缀。

filter 调用所使用的动词，如果不支持过滤操作则为空。 此动词会在向扩展模块发送 filter 调用时追加到 urlPrefix 后面。

preempt 调用所使用的动词，如果不支持抢占操作则为空。 此动词会在向扩展模块发送 preempt 调用时追加到 urlPrefix 后面。

prioritize 调用所使用的动词，如果不支持 prioritize 操作则为空。 此动词会在向扩展模块发送 prioritize 调用时追加到 urlPrefix 后面。

针对 prioritize 调用所生成的节点分数要使用的数值系数。 weight 值必须是正整数。

bind 调用所使用的动词，如果不支持 bind 操作则为空。 此动词会在向扩展模块发送 bind 调用时追加到 urlPrefix 后面。 如果扩展模块实现了此方法，扩展模块要负责将 Pod 绑定到 API 服务器。 只有一个扩展模块可以实现此函数。

此字段设置是否需要使用 HTTPS 来与扩展模块通信。

此字段设置传输层安全性（TLS）配置。

此字段给出扩展模块功能调用的超时值。filter 操作超时会导致 Pod 无法被调度。 prioritize 操作超时会被忽略，Kubernetes 或者其他扩展模块所给出的优先级值会被用来选择节点。

此字段指示扩展模块可以缓存节点信息，从而调度器应该发送关于可选节点的最少信息， 假定扩展模块已经缓存了集群中所有节点的全部详细信息。

managedResources 是一个由此扩展模块所管理的扩展资源的列表。

• 如果某 Pod 请求了此列表中的至少一个扩展资源，则 Pod 会在 filter、 prioritize 和 bind （如果扩展模块可以执行绑定操作）阶段被发送到该扩展模块。 若此字段为空或未设置，则所有 Pod 都会发送到此扩展模块。
• 如果某资源上设置了 ignoredByScheduler 为 true，则 kube-scheduler 会在断言阶段略过对该资源的检查。

此字段用来设置扩展模块是否是可忽略的。 换言之，当扩展模块返回错误或者完全不可达时，调度操作不应失败。

扩展资源的名称。

此字段标明 kube-scheduler 是否应在应用断言时忽略此资源。

访问服务器时不需要检查 TLS 证书。此配置仅针对测试用途。

serverName 会被发送到服务器端，作为 SNI 标志； 客户端会使用此设置来检查服务器证书。 如果 serverName 为空，则会使用联系服务器时所用的主机名。

服务器端所要求的 TLS 客户端证书认证。

服务器端所要求的 TLS 客户端秘钥认证。

服务器端可信任的根证书。

certData 包含 PEM 编码的字节流（通常从某客户端证书文件读入）。 此字段优先级高于 certFile 字段。

keyData 包含 PEM 编码的字节流（通常从某客户端证书秘钥文件读入）。 此字段优先级高于 keyFile 字段。

caData 包含 PEM 编码的字节流（通常从某根证书包文件读入）。 此字段优先级高于 caFile 字段。

schedulerName 是与此调度方案相关联的调度器的名称。 如果 schedulerName 与 Pod 的 spec.schedulerName 匹配，则该 Pod 会使用此方案来调度。

plugins 设置一组应该被启用或禁止的插件。 被启用的插件是指除了默认插件之外需要被启用的插件。 被禁止的插件是指需要被禁用的默认插件。

如果针对某个扩展点没有设置被启用或被禁止的插件， 则使用该扩展点的默认插件（如果有的话）。如果设置了 QueueSort 插件，则同一个 QueueSort 插件和 pluginConfig 要被设置到所有调度方案之上。

pluginConfig 是为每个插件提供的一组可选的定制插件参数。 如果忽略了插件的配置参数，则意味着使用该插件的默认配置。

插件的名称。

插件的权重；仅适用于评分（Score）插件。

name 是所配置的插件的名称。

args 定义在初始化阶段要传递给插件的参数。参数可以为任意结构。

enabled 设置在默认插件之外要启用的插件。 如果在调度器的配置文件中也配置了默认插件，则对应插件的权重会被覆盖。 此处所设置的插件会在默认插件之后被调用，调用顺序与数组中元素顺序相同。

disabled 设置要被禁用的默认插件。 如果需要禁用所有的默认插件，应该提供仅包含一个元素 "∗" 的数组。

queueSort 是一个在对调度队列中 Pod 排序时要调用的插件列表。

preFilter 是一个在调度框架中“PreFilter（预过滤）”扩展点上要调用的插件列表。

filter 是一个在需要过滤掉无法运行 Pod 的节点时被调用的插件列表。

postFilter 是一个在过滤阶段结束后会被调用的插件列表； 这里的插件只有在找不到合适的节点来运行 Pod 时才会被调用。

preScore 是一个在打分之前要调用的插件列表。

score 是一个在对已经通过过滤阶段的节点进行排序时调用的插件的列表。

reserve 是一组在运行 Pod 的节点已被选定后，需要预留或者释放资源时调用的插件的列表。

permit 是一个用来控制 Pod 绑定关系的插件列表。 这些插件可以禁止或者延迟 Pod 的绑定。

preBind 是一个在 Pod 被绑定到某节点之前要被调用的插件的列表。

bind 是一个在调度框架中"Bind（绑定）"扩展点上要调用的插件的列表。 调度器按顺序调用这些插件。只要其中某个插件返回成功，则调度器就略过余下的插件。

postBind 是一个在 Pod 已经被成功绑定之后要调用的插件的列表。

multiPoint 是一个简化的配置段落，用来为所有合法的扩展点启用插件。

shape 是一个定义评分函数曲线的计分点的列表。

资源名称。

资源权重。

type 用来选择要运行的策略。

resources 设置在评分时要考虑的资源。

默认的资源集合包含 "cpu" 和 "memory"，且二者权重相同。

权重的取值范围为 1 到 100。

当权重未设置或者显式设置为 0 时，意味着使用默认值 1。

特定于 RequestedToCapacityRatio 策略的参数。

利用率（x 轴）。合法值为 0 到 100。完全被利用的节点映射到 100。

分配给指定利用率的分值（y 轴）。合法值为 0 到 10。

此字段为指向 KubeConfig 文件的路径。

acceptContentTypes 定义的是客户端与服务器建立连接时要发送的 Accept 头部， 这里的设置值会覆盖默认值 "application/json"。此字段会影响某特定客户端与服务器的所有连接。

contentType 包含的是此客户端向服务器发送数据时使用的内容类型（Content Type）。

qps 控制此连接允许的每秒查询次数。

burst 允许在客户端超出其速率限制时可以累积的额外查询个数。

此字段允许通过 Web 接口 host:port/debug/pprof/ 执行性能分析。

此字段在 enableProfiling 为 true 时允许执行锁竞争分析。

[实验特性] json 字段包含为 "json" 日志格式提供的配置选项。

[实验特性] 此字段将错误信息重定向到标准错误输出（stderr）， 将提示消息重定向到标准输出（stdout），并且支持缓存。 默认配置为将二者都输出到标准输出（stdout），且不提供缓存。

[实验特性] infoBufferSize 用来在分离数据流场景是设置提示信息数据流的大小。 默认值为 0，意味着禁止缓存。

leaderElect 允许领导者选举客户端在进入主循环执行之前先获得领导者角色。 运行多副本组件时启用此功能有助于提高可用性。

leaseDuration 是非领导角色候选者在观察到需要领导席位更新时要等待的时间； 只有经过所设置时长才可以尝试去获得一个仍处于领导状态但需要被刷新的席位。 这里的设置值本质上意味着某个领导者在被另一个候选者替换掉之前可以停止运行的最长时长。 只有当启用了领导者选举时此字段有意义。

renewDeadline 设置的是当前领导者在停止扮演领导角色之前需要刷新领导状态的时间间隔。 此值必须小于或等于租约期限的长度。只有到启用了领导者选举时此字段才有意义。

retryPeriod 是客户端在连续两次尝试获得或者刷新领导状态之间需要等待的时长。 只有当启用了领导者选举时此字段才有意义。

此字段给出在领导者选举期间要作为锁来使用的资源对象类型。

此字段给出在领导者选举期间要作为锁来使用的资源对象名称。

此字段给出在领导者选举期间要作为锁来使用的资源对象所在名字空间。

format 设置日志消息的结构。默认的格式取值为 text。

对日志进行清洗的最大间隔纳秒数（例如，1s = 1000000000）。 如果所选的日志后端在写入日志消息时不提供缓存，则此配置会被忽略。

verbosity 用来确定日志消息记录的详细程度阈值。 默认值为 0，意味着仅记录最重要的消息。 数值越大，额外的消息越多。错误消息总是被记录下来。

vmodule 会在单个文件层面重载 verbosity 阈值的设置。 这一选项仅支持 "text" 日志格式。

[实验特性] options 中包含特定于不同日志格式的配置参数。 只有针对所选格式的选项会被使用，但是合法性检查时会查看所有选项配置。

此字段为试运行抢占时 shortlist 中候选节点数的下限，数值为节点数的百分比。 字段值必须介于 [0, 100] 之间。未指定时默认值为整个集群规模的 10%。

此字段设置 shortlist 中候选节点的绝对下限。 用于试运行抢占而列举的候选节点个数近似于通过下面的公式计算的：
候选节点数 = max(节点数 * minCandidateNodesPercentage, minCandidateNodesAbsolute) 之所以说是"近似于"是因为存在一些类似于 PDB 违例这种因素， 会影响到进入 shortlist中候选节点的个数。 取值至少为 0 节点。若未设置默认为 100 节点。

此字段是一个计分权重值。针对新增的 Pod，要对现存的、 带有与新 Pod 匹配的硬性亲和性设置的 Pods 计算亲和性得分。

此字段设置为调度 Pod 而执行算法时的并发度。此值必须大于 0。默认值为 16。

此字段用来定义领导者选举客户端的配置。

此字段为与 API 服务器通信时使用的代理服务器设置 kubeconfig 文件和客户端连接配置。

此字段设置与调试相关功能特性的配置。 TODO：我们可能想把它做成一个子结构，像调试 component-base/config/v1alpha1.DebuggingConfiguration 一样。

此字段为所有节点的百分比，一旦调度器找到所设置比例的、能够运行 Pod 的节点， 则停止在集群中继续寻找更合适的节点。这一配置有助于提高调度器的性能。 调度器总会尝试寻找至少 "minFeasibleNodesToFind" 个可行节点，无论此字段的取值如何。 例如：当集群规模为 500 个节点，而此字段的取值为 30， 则调度器在找到 150 个合适的节点后会停止继续寻找合适的节点。当此值为 0 时， 调度器会使用默认节点数百分比（基于集群规模确定的值，在 5% 到 50% 之间）来执行打分操作。

此字段设置不可调度 Pod 的初始回退秒数。如果设置了此字段，其取值必须大于零。 若此值为 null，则使用默认值（1s）。

此字段设置不可调度的 Pod 的最大回退秒数。 如果设置了此字段，则其值必须大于 podInitialBackoffSeconds 字段值。 如果此值设置为 null，则使用默认值（10s）。

此字段为 kube-scheduler 所支持的方案（profiles）。 Pod 可以通过设置其对应的调度器名称来选择使用特定的方案。 未指定调度器名称的 Pod 会使用"default-scheduler"方案来调度，如果存在的话。

此字段为调度器扩展模块（Extender）的列表， 每个元素包含如何与某扩展模块通信的配置信息。 所有调度器模仿会共享此扩展模块列表。

addedAffinity 会作为附加的亲和性属性添加到所有 Pod 的规约中指定的 NodeAffinity 中。 换言之，节点需要同时满足 addedAffinity 和 .spec.nodeAffinity。 默认情况下，addedAffinity 为空（与所有节点匹配）。使用了 addedAffinity 时， 某些带有已经能够与某特定节点匹配的亲和性需求的 Pod （例如 DaemonSet Pod）可能会继续呈现不可调度状态。

要管理的资源；如果未设置，则默认值为 "cpu" 和 "memory"。

此字段为 NodeResources 匹配过滤器要忽略的资源列表。此列表不影响节点打分。

此字段定义 NodeResources 匹配过滤器要忽略的资源组列表。 例如，如果配置值为 ["example.com"]， 则以 "example.com" 开头的资源名 （如"example.com/aaa" 和 "example.com/bbb"）都会被忽略。 资源组名称中不可以包含 '/'。此设置不影响节点的打分。

此字段用来选择节点资源打分策略。默认的策略为 LeastAllocated， 且 "cpu" 和 "memory" 的权重相同。

此字段针对未定义 .spec.topologySpreadConstraints 的 Pod， 为其提供拓扑分布约束。.defaultConstraints[∗].labelSelectors必须为空， 因为这一信息要从 Pod 所属的 Service、ReplicationController、ReplicaSet 或 StatefulSet 来推导。 此字段不为空时，.defaultingType 必须为 "List"。

defaultingType 决定如何推导 .defaultConstraints。 可选值为 "System" 或 "List"。

• "System"：使用 Kubernetes 定义的约束，将 Pod 分布到不同节点和可用区；
• "List"：使用 .defaultConstraints 中定义的约束。

默认值为 "System"。

此字段设置卷绑定操作的超时秒数。字段值必须是非负数。 取值为 0 意味着不等待。如果此值为 null，则使用默认值（600）。

shape 用来设置打分函数曲线所使用的计分点， 这些计分点用来基于静态制备的 PV 卷的利用率为节点打分。 卷的利用率是计算得来的， 将 Pod 所请求的总的存储空间大小除以每个节点上可用的总的卷容量。 每个计分点包含利用率（范围从 0 到 100）和其对应的得分（范围从 0 到 10）。 你可以通过为不同的使用率值设置不同的得分来反转优先级：

默认的曲线计分点为：

1. 利用率为 0 时得分为 0；
2. 利用率为 100 时得分为 10。

所有计分点必须按利用率值的升序来排序。

用来访问扩展模块的 URL 前缀。

filter 调用所使用的动词，如果不支持过滤操作则为空。 此动词会在向扩展模块发送 filter 调用时追加到 urlPrefix 后面。

preempt 调用所使用的动词，如果不支持过滤操作则为空。 此动词会在向扩展模块发送 preempt 调用时追加到 urlPrefix 后面。

prioritize 调用所使用的动词，如果不支持过滤操作则为空。 此动词会在向扩展模块发送 prioritize 调用时追加到 urlPrefix 后面。

针对 prioritize 调用所生成的节点分数要使用的数值系数。 weight 值必须是正整数。

bind 调用所使用的动词，如果不支持过滤操作则为空。 此动词会在向扩展模块发送 bind 调用时追加到 urlPrefix 后面。 如果扩展模块实现了此方法，扩展模块要负责将 Pod 绑定到 API 服务器。 只有一个扩展模块可以实现此函数。

此字段设置是否需要使用 HTTPS 来与扩展模块通信。

此字段设置传输层安全性（TLS）配置。

此字段给出扩展模块功能调用的超时值。filter 操作超时会导致 Pod 无法被调度。 prioritize 操作超时会被忽略， Kubernetes 或者其他扩展模块所给出的优先级值会被用来选择节点。

此字段指示扩展模块可以缓存节点信息，从而调度器应该发送关于可选节点的最少信息， 假定扩展模块已经缓存了集群中所有节点的全部详细信息。

managedResources 是一个由此扩展模块所管理的扩展资源的列表。

• 如果某 Pod 请求了此列表中的至少一个扩展资源，则 Pod 会在 filter、 prioritize 和 bind （如果扩展模块可以执行绑定操作）阶段被发送到该扩展模块。
• 如果某资源上设置了 ignoredByScheduler 为 true，则 kube-scheduler 会在断言阶段略过对该资源的检查。

此字段用来设置扩展模块是否是可忽略的。 换言之，当扩展模块返回错误或者完全不可达时，调度操作不应失败。

扩展资源的名称。

此字段标明 kube-scheduler 是否应在应用断言时忽略此资源。

访问服务器时不需要检查 TLS 证书。此配置仅针对测试用途。

serverName 会被发送到服务器端，作为 SNI 标志； 客户端会使用此设置来检查服务器证书。 如果 serverName 为空，则会使用联系服务器时所用的主机名。

服务器端所要求的 TLS 客户端证书认证。

服务器端所要求的 TLS 客户端秘钥认证。

服务器端被信任的根证书。

certData 包含 PEM 编码的字节流（通常从某客户端证书文件读入）。 此字段优先级高于 certFile 字段。

keyData 包含 PEM 编码的字节流（通常从某客户端证书秘钥文件读入）。 此字段优先级高于 keyFile 字段。

caData 包含 PEM 编码的字节流（通常从某根证书包文件读入）。 此字段优先级高于 caFile 字段。

schedulerName 是与此调度方案相关联的调度器的名称。 如果 schedulerName 与 Pod 的 spec.schedulerName匹配， 则该 Pod 会使用此方案来调度。

plugins 设置一组应该被启用或禁止的插件。 被启用的插件是指除了默认插件之外需要被启用的插件。 被禁止的插件是指需要被禁用的默认插件。

如果针对某个扩展点没有设置被启用或被禁止的插件， 则使用该扩展点的默认插件（如果有的话）。如果设置了 QueueSort 插件， 则同一个 QueueSort 插件和 pluginConfig 要被设置到所有调度方案之上。

pluginConfig 是为每个插件提供的一组可选的定制插件参数。 如果忽略了插件的配置参数，则意味着使用该插件的默认配置。

插件的名称。

插件的权重；仅适用于评分（Score）插件。

name 是所配置的插件的名称。

args 定义在初始化阶段要传递给插件的参数。参数可以为任意结构。

enabled 设置在默认插件之外要启用的插件。 如果在调度器的配置文件中也配置了默认插件，则对应插件的权重会被覆盖。 此处所设置的插件会在默认插件之后被调用，调用顺序与数组中元素顺序相同。

disabled 设置要被禁用的默认插件。 如果需要禁用所有的默认插件，应该提供仅包含一个元素 "∗" 的数组。

queueSort 是一个在对调度队列中 Pod 排序时要调用的插件列表。

preFilter 是一个在调度框架中"PreFilter（预过滤）"扩展点上要 调用的插件列表。

filter 是一个在需要过滤掉无法运行 Pod 的节点时被调用的插件列表。

postFilter 是一个在过滤阶段结束后会被调用的插件列表； 这里的插件只有在找不到合适的节点来运行 Pod 时才会被调用。

preScore 是一个在打分之前要调用的插件列表。

score 是一个在对已经通过过滤阶段的节点进行排序时调用的插件的列表。

reserve 是一组在运行 Pod 的节点已被选定后，需要预留或者释放资源时调用的插件的列表。

permit 是一个用来控制 Pod 绑定关系的插件列表。 这些插件可以禁止或者延迟 Pod 的绑定。

preBind 是一个在 Pod 被绑定到某节点之前要被调用的插件的列表。

bind 是一个在调度框架中"Bind（绑定）"扩展点上要调用的插件的列表。 调度器按顺序调用这些插件。只要其中某个插件返回成功，则调度器就略过余下的插件。

postBind 是一个在 Pod 已经被成功绑定之后要调用的插件的列表。

multiPoint 是一个简化的配置段落，用来为所有合法的扩展点启用插件。 通过 multiPoint 启用的插件会自动注册到插件所实现的每个独立的扩展点上。 通过 multiPoint 禁用的插件会禁用对应的操作行为。 通过 multiPoint 所禁止的 "∗" 也是如此，意味着所有默认插件都不会被自动注册。 插件也可以通过各个独立的扩展点来禁用。

就优先序而言，插件配置遵从以下基本层次：

1. 特定的扩展点；
2. 显式配置的 multiPoint 插件；
3. 默认插件的集合，以及 multiPoint 插件。

这意味着优先序较高的插件会先被运行，并且覆盖 multiPoint 中的任何配置。

用户显式配置的插件也会比默认插件优先序高。

在这样的层次结构设计之下，enabled 的优先序高于 disabled。 例如，某插件同时出现在 multiPoint.enabled 和 multiPoint.disalbed 时， 该插件会被启用。类似的， 同时设置 multiPoint.disabled = '∗'和 multiPoint.enabled = pluginA 时， 插件 pluginA 仍然会被注册。这一设计与所有其他扩展点的配置行为是相符的。

shape 是一个定义评分函数曲线的计分点的列表。

资源名称。

资源权重。

type 用来选择要运行的策略。

resources 设置在评分时要考虑的资源。

默认的资源集合包含 "cpu" 和 "memory"，且二者权重相同。

权重的取值范围为 1 到 100。

当权重未设置或者显式设置为 0 时，意味着使用默认值 1。

特定于 RequestedToCapacityRatio 策略的参数。

利用率（x 轴）。合法值为 0 到 100。完全被利用的节点映射到 100。

分配给指定利用率的分值（y 轴）。合法值为 0 到 10。

etcd 中包含 etcd 服务的配置。

kubernetesVersion 设置控制面的目标版本。

controlPlaneEndpoint 为控制面设置一个稳定的 IP 地址或 DNS 名称。 取值可以是一个合法的 IP 地址或者 RFC-1123 形式的 DNS 子域名，二者均可以带一个可选的 TCP 端口号。 如果 controlPlaneEndpoint 未设置，则使用 advertiseAddress + bindPort。 如果设置了 controlPlaneEndpoint，但未指定 TCP 端口号，则使用 bindPort。

apiServer 包含 API 服务器的一些额外配置。

controllerManager 中包含控制器管理器的额外配置。

scheduler 包含调度器的额外配置。

dns 定义在集群中安装的 DNS 插件的选项。

certificatesDir 设置在何处存放或者查找所需证书。

imageRepository 设置用来拉取镜像的容器仓库。 如果此字段为空，默认使用 k8s.gcr.io； 当 Kubernetes 用来执行 CI 构造时（Kubernetes 版本以 ci/ 开头）， 将默认使用 gcr.io/k8s-staging-ci-images 来拉取控制面组件镜像， 而使用 k8s.gcr.io 来拉取所有其他镜像。

useHyperKubeImage 控制是否使用 hyperkube 来作为Kubernetes 组件，而不是一个个独立的镜像。 已启用：由于 hyperkube 自身已被弃用，此字段也被启用。 将被从将来的 kubeadm 配置版本中移除，kubeadm 在此字段设置为 true 时会打印多个警告信息，并且在一些其他位置忽略此字段设置。

featureGates 包含用户所启用的特性门控。

集群名称。

apiEndpoints 为当前集群中可用的 API 端点，每个控制面实例 （API 服务器）对应一个表项。 映射的键名为主机默认接口的 IP 地址。

bootstrapTokens 在 kubeadm init 执行时会被用到， 其中描述了一组要创建的启动引导令牌（Bootstrap Tokens）。 这里的信息不会被上传到 kubeadm 在集群中保存的 ConfigMap 中，部分原因是由于信息本身比较敏感。

nodeRegistration 中包含与向集群中注册新的控制面节点相关的字段。

localAPIEndpoint 所代表的是在此控制面节点上要部署的 API 服务器的端点。 在高可用（HA）配置中，此字段与 ClusterConfiguration.controlPlaneEndpoint 的取值不同：后者代表的是整个集群的全局端点，该端点上的请求会被负载均衡到每个 API 服务器。 此配置对象允许你定制本地 API 服务器所公布的、可访问的 IP/DNS 名称和端口。 默认情况下，kubeadm 会尝试自动检测默认接口上的 IP 并使用该地址。 不过，如果这种检测失败，你可以在此字段中直接设置所期望的值。

certificateKey 用来设置一个秘钥，该秘钥将对 uploadcerts init 阶段上传到集群中某 Secret 内的秘钥和证书加密。

caCertPath 是指向 SSL 证书机构的路径， 该证书包用来加密节点与控制面之间的通信。默认值为 "/etc/kubernetes/pki/ca.crt"。

discovery 设置 TLS 引导过程中 kubelet 要使用的选项。

controlPlane 定义要在正被加入到集群中的节点上部署的额外控制面实例。 此字段为 null 时，不会再上面部署额外的控制面实例。

advertiseAddress 设置 API 服务器要公布的 IP 地址。

bindPort 设置 API 服务器要绑定到的安全端口。默认值为 6443。

timeoutForControlPlane 用来控制我们等待 API 服务器开始运行的超时时间。

token 用来在节点与控制面之间建立双向的信任关系。 在向集群中添加节点时使用。

description 设置一个对人友好的消息， 说明为什么此令牌会存在以及其目标用途，这样其他管理员能够知道其目的。

ttl 定义此令牌的声明周期。默认为 '24h'。 expires 和 ttl 是互斥的。

expires 设置此令牌过期的时间戳。 默认为在运行时基于ttl来决定。 expires和ttl是互斥的。

usages 描述此令牌的可能使用方式。默认情况下， 令牌可用于建立双向的信任关系；不过这里可以改变默认用途。

groups 设定此令牌被用于身份认证时对应的附加用户组。

token 用来验证从控制面获得的集群信息。

apiServerEndpoint 为 API 服务器的 IP 地址或者域名，从该端点可以获得集群信息。

: caCertHashes 设置一组在基于令牌来发现服务时要验证的公钥指纹。 发现过程中获得的根 CA 必须与这里的数值之一匹配。 设置为空集合意味着禁用根 CA 指纹，因而可能是不安全的。 每个哈希值的形式为 ":"，当前唯一支持的 type 为 "sha256"。 哈希值为主体公钥信息（Subject Public Key Info，SPKI）对象的 SHA-256 哈希值（十六进制编码），形式为 DER 编码的 ASN.1。 例如，这些哈希值可以使用 OpenSSL 来计算。

unsafeSkipCAVerification 允许在使用基于令牌的服务发现时不使用 caCertHashes 来执行 CA 验证。这会弱化 kubeadm 的安全性， 因为其他节点可以伪装成控制面。

extraArgs 是要传递给控制面组件的一组额外的参数标志。 此映射中的每个键对应命令行上使用的标志名称，只是没有其引导连字符。

extraVolumes 是一组额外被挂载到控制面组件中的主机卷。

type 定义要使用的 DNS 插件类型。

imageMeta 允许对 DNS 组件所使用的镜像作定制。

bootstrapToken 设置基于启动引导令牌的服务发现选项。 bootstrapToken 与 file 是互斥的。

tlsBootstrapToken 是 TLS 启动引导过程中使用的令牌。 如果设置了 bootstrapToken，则此字段默认值为 .bootstrapToken.token， 不过可以被重载。 如果设置了 file，此字段必须被设置，以防 kubeconfig 文件中不包含其他身份认证信息。

timeout 用来修改发现过程的超时时长。

local 提供配置本地 etcd 实例的选项。local 和 external 是互斥的。

external描述如何连接到外部的 etcd 集群。 local和external是互斥的。

endpoints 包含一组 etcd 成员的列表。

caFile 是一个 SSL 证书机构（CA）文件，用来加密 etcd 通信。 如果使用 TLS 连接，此字段为必需字段。

certFile 是一个 SSL 证书文件，用来加密 etcd 通信。 如果使用 TLS 连接，此字段为必需字段。

keyFile 是一个用来加密 etcd 通信的 SSL 秘钥文件。 此字段在使用 TLS 连接时为必填字段。

kubeConfigPath 用来指定一个文件或者 URL 路径，指向一个 kubeconfig 文件； 该配置文件可用来加载集群信息。

name 字段为卷在 Pod 模板中的名称。

hostPath 是要在 Pod 中挂载的卷在宿主系统上的路径。

mountPath 是 hostPath 在 Pod 内挂载的路径。

readOnly 控制卷的读写访问模式。

pathType 是 hostPath 的类型。

imageRepository 设置镜像拉取所用的容器仓库。 若未设置，则使用 ClusterConfiguration 中的 imageRepository。

imageTag 允许用户设置镜像的标签。 如果设置了此字段，则 kubeadm 不再在集群升级时自动更改组件的版本。

localAPIEndpoint 代表的是将在此节点上部署的 API 服务器实例的端点。

certificateKey 是在添加新的控制面节点时用来解密所下载的 Secret 中的证书的秘钥。对应的加密秘钥在 InitConfiguration 结构中。

ImageMeta 允许用户为 etcd 定制要使用的容器。

dataDir 是 etcd 用来存放数据的目录。 默认值为 "/var/lib/etcd"。

extraArgs 是为 etcd 可执行文件提供的额外参数，用于在静态 pod 中运行 etcd。映射中的每一个键对应命令行上的一个标志参数，只是去掉了前置的连字符。

serverCertSANs 为 etcd 服务器的签名证书设置额外的主体替代名 （Subject Alternative Names，SAN）。

peerCertSANs 为 etcd 的对等端签名证书设置额外的主体替代名 （Subject Alternative Names，SAN）。

serviceSubnet 是 kubernetes 服务所使用的子网。 默认值为 "10.96.0.0/12"。

podSubnet 为 Pod 所使用的子网。

dnsDomain 是 kubernetes 服务所使用的 DNS 域名。 默认值为 "cluster.local"。

name 是 Node API 对象的 .Metadata.Name 字段值； 该 API 对象会在此 kubeadm init 或 kubeadm join 操作期间创建。 在提交给 API 服务器的 kubelet 客户端证书中，此字段也用作其 CommonName。 如果未指定则默认为节点的主机名。

criSocket 用来读取容器运行时的信息。 此信息会被以注解的方式添加到 Node API 对象之上，用于后续用途。

taints 设定 Node API 对象被注册时要附带的污点。 若未设置此字段（即字段值为 null），在 kubeadm init 期间，默认为控制平面节点添加控制平面污点。 如果你不想污染你的控制平面节点，可以将此字段设置为空列表（即 YAML 文件中的 taints: []）， 这个字段只用于节点注册。

kubeletExtraArgs 用来向 kubelet 传递额外参数。 这里的参数会通过 kubeadm 在运行时写入的、由 kubelet 来读取的环境文件来传递给 kubelet 命令行。 这里的设置会覆盖掉 'kubelet-config-1.X' ConfigMap 中包含的一般性的配置。 命令行标志在解析时优先级更高。 这里的设置值仅作用于 kubeadm 运行所在的节点。 映射中的每个键对应命令行中的一个标志参数，只是去掉了前置的连字符。

ignorePreflightErrors 提供一组在当前节点被注册时可以忽略掉的预检错误。

etcd 中包含 etcd 服务的配置。

networking 字段包含集群的网络拓扑配置。

kubernetesVersion 设置控制面的目标版本。

controlPlaneEndpoint 为控制面设置一个稳定的 IP 地址或 DNS 名称。 取值可以是一个合法的 IP 地址或者 RFC-1123 形式的 DNS 子域名，二者均可以带一个 可选的 TCP 端口号。 如果 controlPlaneEndpoint 未设置，则使用 advertiseAddress + bindPort。 如果设置了 controlPlaneEndpoint，但未指定 TCP 端口号，则使用 bindPort。

apiServer 包含 API 服务器的一些额外配置。

controllerManager 中包含控制器管理器的额外配置。

scheduler 包含调度器的额外配置。

dns 定义在集群中安装的 DNS 插件的选项。

certificatesDir 设置在何处存放或者查找所需证书。

imageRepository 设置用来拉取镜像的容器仓库。 如果此字段为空，默认使用 k8s.gcr.io。 当 Kubernetes 用来执行 CI 构造时（Kubernetes 版本以 ci/ 开头）， 将默认使用 gcr.io/k8s-staging-ci-images 来拉取控制面组件镜像， 而使用 k8s.gcr.io 来拉取所有其他镜像。

featureGates 包含用户所启用的特性门控。

集群名称。

bootstrapTokens 在 kubeadm init 执行时会被用到， 其中描述了一组要创建的启动引导令牌（Bootstrap Tokens）。 这里的信息不会被上传到 kubeadm 在集群中保存的 ConfigMap 中，部分原因是由于信息 本身比较敏感。

nodeRegistration 中包含与向集群中注册新的控制面节点相关的字段。

localAPIEndpoint 所代表的的是在此控制面节点上要部署的 API 服务器 的端点。在高可用（HA）配置中，此字段与 ClusterConfiguration.controlPlaneEndpoint 的取值不同：后者代表的是整个集群的全局端点，该端点上的请求会被负载均衡到每个 API 服务器。 此配置对象允许你定制本地 API 服务器所公布的、可访问的 IP/DNS 名称和端口。 默认情况下，kubeadm 会尝试自动检测默认接口上的 IP 并使用该地址。 不过，如果这种检测失败，你可以在此字段中直接设置所期望的值。

certificateKey 用来设置一个秘钥，该秘钥将对 uploadcerts init 阶段上传到集群中某 Secret 内的秘钥和证书加密。

skipPhases 是命令执行过程中药略过的阶段（Phases）。 通过执行命令 kubeadm init --help 可以获得阶段的列表。 参数标志 "--skip-phases" 优先于此字段的设置。

patches 包含与 kubeadm init 阶段 kubeadm 所部署 的组件上要应用的补丁相关的信息。

nodeRegistration 包含与向集群注册控制面节点相关的字段。

caCertPath 是指向 SSL 证书机构的路径，该证书包用来加密 节点与控制面之间的通信。默认值为 "/etc/kubernetes/pki/ca.crt"。

discovery 设置 TLS 引导过程中 kubelet 要使用的选项。

controlPlane 定义要在正被加入到集群中的节点上部署的额外 控制面实例。此字段为 null 时，不会再上面部署额外的控制面实例。

此字段包含在命令执行过程中要略过的阶段。通过 kubeadm join --help 命令可以查看阶段的列表。参数 --skip-phases 优先于此字段。

此字段包含 kubeadm join 阶段向 kubeadm 所部署的组件打补丁 的选项。

advertiseAddress 设置 API 服务器要公布的 IP 地址。

bindPort 设置 API 服务器要绑定到的安全端口。默认值为 6443。

certSANs 设置 API 服务器签署证书所用的额外主题替代名（Subject Alternative Name，SAN）。

timeoutForControlPlane 用来控制我们等待 API 服务器开始运行的超时时间。

token 用来验证从控制面获得的集群信息。

apiServerEndpoint

caCertHashes 设置一组在基于令牌来发现服务时要验证的公钥指纹。 发现过程中获得的根 CA 必须与这里的数值之一匹配。 设置为空集合意味着禁用根 CA 指纹，因而可能是不安全的。 每个哈希值的形式为 "<type>:<value>"，当前唯一支持的 type 为 "sha256"。 哈希值为主体公钥信息（Subject Public Key Info，SPKI）对象的 SHA-256 哈希值（十六进制编码），形式为 DER 编码的 ASN.1。 例如，这些哈希值可以使用 OpenSSL 来计算。

unsafeSkipCAVerification 允许在使用基于令牌的服务发现时 不使用 caCertHashes 来执行 CA 验证。这会弱化 kubeadm 的安全性， 因为其他节点可以伪装成控制面。

extraArgs 是要传递给控制面组件的一组额外的参数标志。 此映射中的每个键对应命令行上使用的标志名称，只是没有其引导连字符。

extraVolumes 是一组额外的主机卷，需要挂载到控制面组件中。

imageMeta 允许对 DNS 组件所使用的的镜像作定制。

bootstrapToken 设置基于启动引导令牌的服务发现选项。 bootstrapToken 与 file 是互斥的。

用来设置一个文件或者 URL 路径，指向一个 kubeconfig 文件；该配置文件 中包含集群信息。 bootstrapToken 与 file 是互斥的。

tlsBootstrapToken 是 TLS 启动引导过程中使用的令牌。 如果设置了 bootstrapToken，则此字段默认值为 .bootstrapToken.token，不过可以被重载。 如果设置了 file，此字段必须被设置，以防 kubeconfig 文件 中不包含其他身份认证信息。

timeout 用来修改发现过程的超时时长。

local 提供配置本地 etcd 实例的选项。local 和 external 是互斥的。

external 描述如何连接到外部的 etcd 集群。 external 是互斥的。