Go 语言通过 client-go 调用 Kubernetes API 管理 DaemonSet，需正确配置、指定命名空间、匹配 selector 与 labels、设置 RBAC 权限，并优先使用 Informer 监听变更而非轮询。
Go 语言本身不直接“管理” DaemonSet，而是通过 client-go 调用 Kubernetes API 实现增删查改、监听与控制——这是生产环境唯一可靠的方式。
用 client-go 列出和获取 DaemonSet
必须先构建配置（rest.InClusterConfig() 或 clientcmd.BuildConfigFromFlags()），再初始化 AppsV1().DaemonSets(namespace) 客户端。常见错误是忽略命名空间作用域：不指定 namespace 时传空字符串 "" 表示所有命名空间（需 RBAC 权限），但多数场景应明确传 "kube-system" 或 "default"。
示例关键代码片段：
dsClient := clientset.AppsV1().DaemonSets("kube-system")
list, err := dsClient.List(context.TODO(), metav1.ListOptions{})
if err != nil {
// 注意：403 错误大概率是 ServiceAccount 缺少 rbac.authorization.k8s.io/v1 ClusterRoleBinding
}
for _, ds := range list.Items {
fmt.Printf("Name: %s, Desired: %d, Current: %d\n",
ds.Name,
*ds.Status.DesiredNumberScheduled,
ds.Status.CurrentNumberScheduled)
}
- 检查
ds.Status.NumberAvailable才能知道是否真正就绪，CurrentNumberScheduled只表示已调度，不代表 Pod Running - 若用
List()遍历大量 DaemonSet，建议加Limit和Continue分页，避免 apiserver OOM - 不推荐在循环里对每个 DaemonSet 单独
Get()，性能差且易触发 rate limit
创建或更新 DaemonSet 的 YAML 结构要点
Go 中构造 v1.DaemonSet 对象时，最容易漏掉的是 spec.selector 和 spec.template.metadata.labels 必须严格匹配——Kubernetes 不允许 selector 无法覆盖 template label 的 DaemonSet 创建，报错为 invalid spec.selector: invalid label selector。
立即学习“go语言免费学习笔记（深入）”；
另一个高频坑是 nodeSelector、tolerations、affinity 写错字段名或嵌套层级，比如把 operator: "Exists" 写成 operator: "Exist"，会导致 Pod 永远 Pending。
-
spec.updateStrategy.type默认是"RollingUpdate"，但若设为"OnDelete"，后续调用Update()不会触发任何 Pod 替换 - 更新时不要手动修改
resourceVersion字段；Update()调用失败常因 resourceVersion 过期，应捕获errors.IsConflict()并重试 - 若需强制替换（如镜像变更但 label 未变），必须调用
Replace()或先Delete()再Create()，不能只改template.spec.containers[0].image后Update()
监听 DaemonSet 变更用 Informer 而不是轮询
直接调用 List()/Get() 做轮询既低效又难处理事件时序。正确做法是用 cache.NewSharedIndexInformer() + AppsV1().DaemonSets("").Informer()。Informer 自动处理连接断开、watch 重连、本地缓存同步，且支持 AddFunc/UpdateFunc/DeleteFunc 注册回调。
注意：Informer 的 ResyncPeriod 默认为 0（不 resync），若需定期校验状态（例如检测是否有节点漏掉 DaemonSet Pod），应显式设置非零值，比如 30 * time.Second。
- Informer 的
EventHandler回调中禁止做耗时操作（如 HTTP 请求、写磁盘），否则阻塞整个 shared informer queue - 若只关心某几个命名空间，用
cache.NewNamespaceKeyedIndexerAndStore()+cache.WithNamespace()限定范围，减少内存占用 - 首次
Sync完成前，HasSynced()返回 false，此时不应依赖本地缓存数据
RBAC 权限和运行环境适配是上线前必验项
本地调试用 kubeconfig 文件没问题，但部署到集群内作为 Operator 时，必须用 rest.InClusterConfig()，且对应的 ServiceAccount 需绑定含 daemonsets 资源的 ClusterRole。最小权限示例：
apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole rules: - apiGroups: ["apps"] resources: ["daemonsets"] verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]
没配 watch 权限时，Informer 会静默失败；没配 patch 权限时，Update() 报 403；而 deletecollection 权限通常不需要，DaemonSet 不支持按 label 删除多个实例。
- 开发阶段用
minikube或kind测试时，记得kubectl create clusterrolebinding绑定默认 SA，否则连 InClusterConfig 都拿不到 token - 若 DaemonSet 模板里用了
hostPath或privileged: true，对应 Pod 必须有securityContext.privileged和allowPrivilegeEscalation，这些字段在 Go struct 中是 pointer 类型，需用boolPtr(true)显式赋值 - Controller 运行在 master 节点时，注意
node-role.kubernetes.io/control-plane:NoScheduletoleration 是否已加，否则 Pod 会被调度器拒收
DaemonSet 的核心约束不在 Go 代码逻辑里，而在其控制器行为与节点生命周期强绑定——你写的 Go 程序只是 API 的使用者，真正决定“哪个节点跑哪个 Pod”的是 kube-scheduler 和 DaemonSet controller 的协同。别试图绕过 selector/tolerations 去硬编码节点名，那会破坏声明式语义。
