etcd高负载导致APIServer无法及时读写：磁盘IO延迟飙升、WAL写入阻塞、CPU打满或网络RTT超500ms，直接拖垮控制面。
当kubectl命令卡住十几秒后报etcdserver: request timed out，说明APIServer无法在限定时间内完成对etcd的读写请求，最常见原因就是etcd高负载——磁盘IO延迟飙升、WAL写入阻塞、CPU打满或网络RTT超500ms，直接拖垮整个控制面。
确认APIServer是否真的卡在etcd通信上
执行kubectl get cs，若看到etcd-0状态为Unknown或Healthy但消息为空，不能说明etcd健康；这个API已被v1.19+弃用，返回结果不可信。
直接检查APIServer日志中最关键的一行：journalctl -u kubelet -n 200 --no-pager | grep -i "etcd.*timeout\|context deadline"。只要出现etcdserver: request timed out或context deadline exceeded，就【100%确认是etcd响应慢导致APIServer无响应】，无需再查网络或证书。
这一步必须做，否则可能把问题误判为kubelet故障或证书过期。
快速定位etcd高负载来源
方法一：查etcd节点实时资源占用
登录任意master节点，运行top -b -n1 | grep etcd看CPU占用；运行iostat -x 1 3 | grep nvme\|sda（根据实际磁盘名调整）观察%util和await——若await > 20ms且%util > 95%，说明磁盘已饱和，etcd WAL写入被堵死。
方法二：用etcdctl诊断端点健康与延迟
执行以下命令（注意替换证书路径和endpoints）：
ETCDCTL_API=3 etcdctl --endpoints=https://10.0.1.10:2379 --cacert=/etc/kubernetes/pki/etcd/ca.crt --cert=/etc/kubernetes/pki/etcd/peer.crt --key=/etc/kubernetes/pki/etcd/peer.key endpoint health --write-out=table
重点关注Health列是否为true，以及Latency列数值。若显示Latency: 1.2s或更高，说明单次请求已严重超时——etcd自身处理能力已崩，不是网络问题。
方法三：检查是否有客户端疯狂刷API
启用kube-apiserver的审计日志后，在Log Analytics中筛选verb="list" AND objectRef.resource="pods" AND responseStatus.code="200"，按sourceIPs分组统计调用频次。若某个IP每秒发起超50次list pods，基本就是它把etcd打挂了。
立即缓解高负载的三个操作
第一步：临时限流恶意客户端
找到问题源IP后，在apiserver启动参数中追加--max-requests-inflight=300 --max-mutating-requests-inflight=100，然后重启kubelet。这能防止新请求继续压垮etcd，但【不解决根本负载，仅争取排查时间】。
第二步：停止非关键控制器
执行kubectl scale deploy -n kube-system kube-controller-manager --replicas=0和kubectl scale deploy -n kube-system kube-scheduler --replicas=0。控制器暂停后，etcd写压力骤降，APIServer响应会立刻恢复——这是验证“确实是etcd写入瓶颈”的最快方式。
第三步：强制清理etcd碎片并压缩历史
在一台etcd节点上执行：
ETCDCTL_API=3 etcdctl --endpoints=https://127.0.0.1:2379 --cacert=/etc/kubernetes/pki/etcd/ca.crt --cert=/etc/kubernetes/pki/etcd/peer.crt --key=/etc/kubernetes/pki/etcd/peer.key compact $(ETCDCTL_API=3 etcdctl --endpoints=https://127.0.0.1:2379 --cacert=/etc/kubernetes/pki/etcd/ca.crt --cert=/etc/kubernetes/pki/etcd/peer.crt --key=/etc/kubernetes/pki/etcd/peer.key endpoint status --write-out=json | jq -r '.[0].dbSize') && ETCDCTL_API=3 etcdctl --endpoints=https://127.0.0.1:2379 --cacert=/etc/kubernetes/pki/etcd/ca.crt --cert=/etc/kubernetes/pki/etcd/peer.crt --key=/etc/kubernetes/pki/etcd/peer.key defrag
这一步必须在etcd集群健康状态下执行，否则可能引发数据不一致。压缩前确保已备份快照：ETCDCTL_API=3 etcdctl snapshot save /tmp/etcd-before-compaction.db。
