エフェメラルコンテナ

最近のコンテナは最小構成(distroless、scratch)で作られることが多く、シェルもpsもcurlもない。セキュリティ上は望ましいが、kubectl execで入って調べることができなくなる。そこでkubectl debugを使うと、使い慣れたツールを積んだ一時コンテナを稼働中のPodに注入でき、対象コンテナとプロセス名前空間を共有してプロセスやファイルシステムを調べられる。

Podの定義には痕跡が残らず、再起動もできない(だから「エフェメラル」)。本番環境で問題を起こしているコンテナを、変更や再起動なしに調べられるのが利点だ。Kubernetes 1.25で安定版となった。Podの設計の一部として常駐するサイドカーとは異なり、一回限りのデバッグ道具である。