Phần 5 — Storage: Volume, PersistentVolume, PVC, StorageClass, CSI

Series Kubernetes Toàn Tập — 13 phần:

1. Phần 1 — Tổng quan và kiến trúc

2. Phần 2 — Cài đặt cluster

3. Phần 3 — Workloads

4. Phần 4 — Networking

5. Phần 5 — Storage ← bạn đang đọc

6. Phần 6 — Configuration

7. Phần 7 — Security

8. Phần 8 — Scheduling & Autoscaling

9. Phần 9 — Helm, Operator, CRD

10. Phần 10 — Production

11. Phần 11 — Service Mesh: Istio, Linkerd, Cilium

12. Phần 12 — Multi-tenancy & Multi-cluster

13. Phần 13 — Cluster API, FinOps, AI/ML

Mở đầu

Container chết là dữ liệu trong filesystem container biến mất. Đó là spec của Docker, K8s thừa hưởng. Để app cần persistent data — database, queue, file upload — sống được trên K8s, bạn cần hiểu mô hình storage của K8s.

Phần này phân tích ba lớp khái niệm:

• Volume — gắn vào pod, lifecycle theo pod.

• PersistentVolume / PersistentVolumeClaim — storage tách khỏi lifecycle pod.

• StorageClass / CSI — provisioning động.

1. Volume — lifecycle = lifecycle pod

Volume trong K8s được khai báo trong spec.volumes của pod, mount vào container qua volumeMounts. Khi pod chết, volume cũng kết thúc (trừ một số loại đặc biệt).

1.1 emptyDir — scratch space

apiVersion: v1
kind: Pod
metadata:
  name: cache-app
spec:
  containers:
  - name: app
    image: myapp:1.0
    volumeMounts:
    - name: cache
      mountPath: /var/cache
  volumes:
  - name: cache
    emptyDir:
      sizeLimit: 1Gi
      medium: ""        # "Memory" để dùng tmpfs (RAM)

• Tạo khi pod start, xoá khi pod chết.

• Dùng cho cache, temp file, hoặc share data giữa container trong cùng pod.

1.2 hostPath — mount thư mục trên node

volumes:
- name: docker-sock
  hostPath:
    path: /var/run/docker.sock
    type: Socket

Nguy hiểm trong production: pod có thể truy cập filesystem node. Chỉ dùng cho system DaemonSet (log agent, node-exporter).

1.3 configMap, secret — đã có file riêng

Sẽ nói kỹ ở Phần 6. Đây là cách inject config/secret vào pod như file.

1.4 projected — gộp nhiều source vào 1 thư mục

Cho phép mount nhiều source (ConfigMap, Secret, ServiceAccount token, downwardAPI) cùng một mount point. Đây là cách K8s 1.20+ inject SA token short-lived.

1.5 downwardAPI — pod tự biết về mình

volumes:
- name: podinfo
  downwardAPI:
    items:
    - path: "labels"
      fieldRef:
        fieldPath: metadata.labels
    - path: "namespace"
      fieldRef:
        fieldPath: metadata.namespace

2. PersistentVolume (PV) và PersistentVolumeClaim (PVC)

Đây là core abstraction của K8s storage. Ý tưởng: tách cung cấp storage (admin) khỏi tiêu thụ storage (developer).

Pod gắn vào PVC, K8s match PVC ↔ PV. Khi pod chết, PVC vẫn còn → pod mới mount lại được data cũ.

2.1 PV manual

apiVersion: v1
kind: PersistentVolume
metadata:
  name: pv-nfs-001
spec:
  capacity:
    storage: 100Gi
  accessModes:
  - ReadWriteMany
  persistentVolumeReclaimPolicy: Retain
  storageClassName: nfs
  nfs:
    server: 10.0.0.50
    path: /exports/data

2.2 PVC

apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: data
spec:
  accessModes:
  - ReadWriteOnce
  resources:
    requests:
      storage: 10Gi
  storageClassName: ssd

2.3 Pod gắn PVC

apiVersion: v1
kind: Pod
metadata:
  name: postgres
spec:
  containers:
  - name: pg
    image: postgres:16
    volumeMounts:
    - name: data
      mountPath: /var/lib/postgresql/data
  volumes:
  - name: data
    persistentVolumeClaim:
      claimName: data

3. Access Modes

Chú ý: không phải storage backend nào cũng support mọi mode. Block storage cloud (EBS, GCE PD, Azure Disk) thường chỉ RWO. Muốn RWX cần file storage (EFS, Filestore, NFS, CephFS).

4. Reclaim Policy

Khi PVC bị delete, PV xử lý thế nào?

• Retain — PV vẫn còn, status Released, admin phải tự cleanup. An toàn nhất cho data quan trọng.

• Delete — PV và underlying storage (EBS volume…) bị xoá. Mặc định của hầu hết dynamic provisioner cloud.

• Recycle — đã deprecated, không dùng.

Cài đặt Retain trên PVC chứa data sản xuất là cứu mạng khi ai đó accidentally kubectl delete pvc.

5. StorageClass và Dynamic Provisioning

Tạo PV thủ công mỗi lần app cần là không khả thi. StorageClass mô tả kiểu storage, và CSI driver tự sinh PV khi có PVC mới.

5.1 StorageClass

apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
  name: ssd
  annotations:
    storageclass.kubernetes.io/is-default-class: "true"
provisioner: ebs.csi.aws.com
parameters:
  type: gp3
  encrypted: "true"
reclaimPolicy: Retain
allowVolumeExpansion: true
volumeBindingMode: WaitForFirstConsumer

Các field quan trọng:

• provisioner — CSI driver dùng để tạo storage thực.

• parameters — params chuyển cho provisioner.

• reclaimPolicy — Retain hay Delete (mặc định Delete).

• allowVolumeExpansion — cho resize PVC tăng dung lượng online.

• volumeBindingMode:

  • Immediate — bind ngay khi tạo PVC.

  • WaitForFirstConsumer — chờ đến khi pod được schedule rồi mới tạo PV ở zone phù hợp. Nên dùng cho cloud multi-AZ để tránh case PV ở zone-a, pod schedule ở zone-b.

5.2 Quy trình dynamic provisioning

1. Developer apply PVC với storageClassName: ssd.

2. Provisioner watch PVC → tạo disk thật (vd. EBS gp3 10Gi) → tạo PV mô tả disk đó.

3. K8s bind PVC ↔ PV.

4. Pod schedule, kubelet gọi CSI để attach + mount.

5.3 Default StorageClass

Khi PVC không khai báo storageClassName, K8s dùng class có annotation is-default-class: "true". Mỗi cluster nên có đúng 1 default class.

6. CSI — Container Storage Interface

Trước K8s 1.20, mọi storage plugin (in-tree) phải nằm trong source code Kubernetes — không scale với số nhà cung cấp. CSI là spec chuẩn cho mọi storage vendor implement driver out-of-tree. Hôm nay 100% storage K8s đều qua CSI.

CSI driver thường gồm:

• Controller plugin — chạy như StatefulSet hoặc Deployment, gọi cloud API tạo/xoá volume.

• Node plugin — chạy DaemonSet trên mọi node, gọi mount/unmount.

6.1 Một số CSI driver phổ biến

6.2 Volume snapshot

CSI cho phép snapshot online qua VolumeSnapshotClass + VolumeSnapshot:

apiVersion: snapshot.storage.k8s.io/v1
kind: VolumeSnapshot
metadata:
  name: snap-2026-05-11
spec:
  volumeSnapshotClassName: csi-aws-vsc
  source:
    persistentVolumeClaimName: data

Restore bằng cách tạo PVC mới với dataSource trỏ về snapshot:

apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: data-restored
spec:
  storageClassName: ssd
  dataSource:
    name: snap-2026-05-11
    kind: VolumeSnapshot
    apiGroup: snapshot.storage.k8s.io
  accessModes: [ReadWriteOnce]
  resources:
    requests:
      storage: 10Gi

6.3 Volume expansion

StorageClass có allowVolumeExpansion: true, edit PVC tăng dung lượng:

kubectl patch pvc data -p '{"spec":{"resources":{"requests":{"storage":"20Gi"}}}}'

Driver sẽ resize disk; tuỳ filesystem, có thể cần restart pod (XFS) hoặc không (ext4 online resize). Không giảm dung lượng được.

7. Lựa chọn storage theo workload

Nguyên tắc: chỉ data thực sự cần block/file POSIX mới dùng PV. Mọi thứ khác đưa lên object storage — vận hành đơn giản hơn nhiều.

8. Generic Ephemeral Volume

K8s 1.23+ cho phép declare PVC inline trong pod, lifecycle theo pod. Tốt cho scratch lớn không vừa emptyDir:

spec:
  containers:
  - name: app
    volumeMounts:
    - name: scratch
      mountPath: /scratch
  volumes:
  - name: scratch
    ephemeral:
      volumeClaimTemplate:
        spec:
          accessModes: [ReadWriteOnce]
          storageClassName: ssd
          resources:
            requests:
              storage: 100Gi

9. Best practices

• Reclaim policy = Retain cho data sản xuất. Mất 1 phút để admin clean PV cũ; mất 1 PVC = mất database.

• Volume snapshot định kỳ bằng VolumeSnapshot hoặc Velero. Snapshot chỉ là backup nhanh; vẫn cần off-site backup ngoài cluster.

• WaitForFirstConsumer cho cloud multi-AZ.

• Đừng dùng hostPath trừ system workload — pod khác có thể dùng path đó.

• Đo IOPS trước khi promote DB lên K8s. EBS gp3 baseline thấp hơn nhiều người tưởng.

• StatefulSet + volumeClaimTemplates, không dùng cùng 1 PVC cho nhiều replica.

• Backup test restore. Snapshot chưa từng restore = không có backup.

• Đừng share filesystem giữa 2 process write nếu không phải distributed FS. NFS share giữa nhiều pod write file riêng OK. Hai pod cùng ghi cùng file = corrupt.

10. Debug storage

# PVC stuck Pending?
kubectl describe pvc data
# Event sẽ nói: no PV match, hoặc provisioner không chạy

# Pod stuck ContainerCreating, lỗi mount?
kubectl describe pod <name>
# Tìm event 'FailedMount', 'AttachVolume failed'

# CSI driver pod chết?
kubectl get pods -n kube-system | grep csi
kubectl logs -n kube-system <csi-controller-pod> -c csi-provisioner

# Xem PV và PVC binding
kubectl get pv,pvc -A

# Disk usage trong container
kubectl exec -it <pod> -- df -h

11. Tóm tắt

• Volume — lifecycle theo pod, dùng cho cache/scratch.

• PV + PVC — storage tách lifecycle, dùng cho data lâu dài.

• StorageClass + CSI — provisioning động, không phải tạo PV tay.

• Chọn access mode đúng workload (RWO cho block, RWX cho file share).

• Reclaim Retain cho data quan trọng, snapshot định kỳ, test restore.

• Object storage cho blob, không nhồi lên PVC.

Phần 6 sẽ nói về cách inject config và secret vào workload mà không phải rebuild image.

← Phần 4 | Phần 6: ConfigMap, Secret, projected volumes →