零基礎入門(mén)云原生-k8s工具介紹～

> 作者：石義峰 > > 來(lái)源：[恒生LIGHT云社區](https://developer.hs.net/thread/1248 "恒生LIGHT云社區") # 安裝部署神器-Kubeadm Kubeadm 是一個(gè)提供了 `kubeadm init` 和 `kubeadm join` 的工具， 作為創(chuàng )建 Kubernetes 集群的 “快捷途徑” 的最佳實(shí)踐。 kubeadm 通過(guò)執行必要的操作來(lái)啟動(dòng)和運行最小可用集群。 按照設計，它只關(guān)注啟動(dòng)引導，而非配置機器。同樣的， 安裝各種 “錦上添花” 的擴展，例如 Kubernetes Dashboard、 監控方案、以及特定云平臺的擴展，都不在討論范圍內。 相反，我們希望在 kubeadm 之上構建更高級別以及更加合規的工具， 理想情況下，使用 kubeadm 作為所有部署工作的基準將會(huì )更加易于創(chuàng )建一致性集群。 ## 如何安裝 要安裝 kubeadm, 請參照 [【零基礎入門(mén)云原生-k8s，輕松實(shí)戰】k8s實(shí)踐——安裝配置及運行](https://developer.hs.net/thread/1224). ## kubeadm常用命令 [kubeadm init](https://kubernetes.io/zh/docs/reference/setup-tools/kubeadm/kubeadm-init) 初始搭建控制平面節點(diǎn) [kubeadm join]() 搭建工作節點(diǎn)并將其加入到集群中 [kubeadm upgrade]() 升級 Kubernetes 集群到新版本 [kubeadm config]() 配置集群命令。如果使用 v1.7.x 或更低版本的 kubeadm ，初始化集群時(shí)則使用 `kubeadm upgrade` 來(lái)配置你的集群 [kubeadm token]() 用于管理 `kubeadm join` 使用的令牌 [kubeadm reset]() 用于恢復/回滾通過(guò) `kubeadm init` 或者 `kubeadm join` 命令對節點(diǎn)進(jìn)行的任何變更 [kubeadm certs]() 用于管理 Kubernetes <a href='http://wap.friendlycc.com.cn/<a href='http://wap.friendlycc.com.cn/ssl/' target='_blank'><u>ssl</u></a>/' target='_blank'><u>證書(shū)</u></a> [kubeadm kubeconfig]() 用于管理 kubeconfig 文件 [kubeadm version]() 用于打印 kubeadm 的版本信息 [kubeadm alpha]() 用于預覽一組可用于收集社區反饋的特性 # 命令行工具kubelet kubelet 是在每個(gè) Node 節點(diǎn)上運行的主要 “節點(diǎn)代理”。它可以使用以下之一向 apiserver 注冊： <a href='http://wap.friendlycc.com.cn/' target='_blank'><u>主機</u></a>名（hostname）；覆蓋主機名的參數；某云驅動(dòng)的特定邏輯。 kubelet 是基于 PodSpec 來(lái)工作的。每個(gè) PodSpec 是一個(gè)描述 Pod 的 YAML 或 JSON 對象。 kubelet 接受通過(guò)各種機制（主要是通過(guò) apiserver）提供的一組 PodSpec，并確保這些 PodSpec 中描述的容器處于運行狀態(tài)且運行狀況良好。 kubelet 不管理不是由 Kubernetes 創(chuàng )建的容器。 除了來(lái)自 apiserver 的 PodSpec 之外，還可以通過(guò)以下三種方式將容器清單（manifest）提供給 kubelet。 文件（File）：利用命令行參數傳遞路徑。kubelet 周期性地監視此路徑下的文件是否有更新。 監視周期默認為 20s，且可通過(guò)參數進(jìn)行配置。 HTTP 端點(diǎn)（HTTP endpoint）：利用命令行參數指定 HTTP 端點(diǎn)。 此端點(diǎn)的監視周期默認為 20 秒，也可以使用參數進(jìn)行配置。 HTTP <a href='http://wap.friendlycc.com.cn/serverlease/' target='_blank'><u>服務(wù)器</u></a>（HTTP server）：kubelet 還可以偵聽(tīng) HTTP 并響應簡(jiǎn)單的 API （目前沒(méi)有完整規范）來(lái)提交新的清單。 # kube-apiserver Kubernetes API 服務(wù)器驗證并配置 API 對象的<a href='http://wap.friendlycc.com.cn/database/mysql/' target='_blank'><u>數據</u></a>， 這些對象包括 pods、services、replicationcontrollers 等。 API 服務(wù)器為 REST 操作提供服務(wù)，并為集群的共享狀態(tài)提供前端， 所有其他組件都通過(guò)該前端進(jìn)行交互。 # kube-controller-manager Kubernetes 控制器管理器是一個(gè)守護進(jìn)程，內嵌隨 Kubernetes 一起發(fā)布的核心控制回路。 在機器人和自動(dòng)化的應用中，控制回路是一個(gè)永不休止的循環(huán)，用于調節系統狀態(tài)。 在 Kubernetes 中，每個(gè)控制器是一個(gè)控制回路，通過(guò) API 服務(wù)器監視集群的共享狀態(tài)， 并嘗試進(jìn)行更改以將當前狀態(tài)轉為期望狀態(tài)。 目前，Kubernetes 自帶的控制器例子包括副本控制器、節點(diǎn)控制器、命名空間控制器和服務(wù)賬號控制器等。 # kube-proxy Kubernetes 網(wǎng)絡(luò )代理在每個(gè)節點(diǎn)上運行。網(wǎng)絡(luò )代理反映了每個(gè)節點(diǎn)上 Kubernetes API 中定義的服務(wù)，并且可以執行簡(jiǎn)單的 TCP、UDP 和 SCTP 流轉發(fā)，或者在一組后端進(jìn)行 循環(huán) TCP、UDP 和 SCTP 轉發(fā)。 當前可通過(guò) Docker-links-compatible 環(huán)境變量找到服務(wù)集群 IP 和端口， 這些環(huán)境變量指定了服務(wù)代理打開(kāi)的端口。 有一個(gè)可選的插件，可以為這些集群 IP 提供集群 DNS。 用戶(hù)必須使用 apiserver API 創(chuàng )建服務(wù)才能配置代理。 # kube-scheduler Kubernetes 調度器是一個(gè)控制面進(jìn)程，負責將 Pods 指派到節點(diǎn)上。 調度器基于約束和可用資源為調度隊列中每個(gè) Pod 確定其可合法放置的節點(diǎn)。 調度器之后對所有合法的節點(diǎn)進(jìn)行排序，將 Pod 綁定到一個(gè)合適的節點(diǎn)。 在同一個(gè)集群中可以使用多個(gè)不同的調度器；kube-scheduler 是其參考實(shí)現。 # Kubelet 認證/鑒權 kubelet 的 HTTPS 端點(diǎn)公開(kāi)了 API， 這些 API 可以訪(fǎng)問(wèn)敏感度不同的數據， 并允許你在節點(diǎn)上和容器內以不同級別的權限執行操作。 本文檔介紹了如何對 kubelet 的 HTTPS 端點(diǎn)的訪(fǎng)問(wèn)進(jìn)行認證和鑒權。 ## Kubelet 身份認證 默認情況下，未被已配置的其他身份認證方法拒絕的對 kubelet 的 HTTPS 端點(diǎn)的請求會(huì )被視為匿名請求， 并被賦予 `system:anonymous` 用戶(hù)名和 `system:unauthenticated` 組。 要禁用匿名訪(fǎng)問(wèn)并向未經(jīng)身份認證的請求發(fā)送 `401 Unauthorized` 響應，請執行以下操作： * 帶`--anonymous-auth=false` 標志啟動(dòng) kubelet 要對 kubelet 的 HTTPS 端點(diǎn)啟用 X509 客戶(hù)端證書(shū)認證： * 帶`--client-ca-file` 標志啟動(dòng) kubelet，提供一個(gè) CA 證書(shū)包以供驗證客戶(hù)端證書(shū) * 帶`--kubelet-client-certificate` 和`--kubelet-client-key` 標志啟動(dòng) apiserver 要啟用 API 持有者令牌（包括服務(wù)帳戶(hù)令牌）以對 kubelet 的 HTTPS 端點(diǎn)進(jìn)行身份驗證，請執行以下操作： * 確保在 API 服務(wù)器中啟用了`authentication.k8s.io/v1beta1` API 組 * 帶`--authentication-token-webhook` 和`--kubeconfig` 標志啟動(dòng) kubelet * kubelet 調用已配置的 API 服務(wù)器上的`TokenReview` API，以根據持有者令牌確定用戶(hù)信息 ## Kubelet 鑒權 任何成功通過(guò)身份驗證的請求（包括匿名請求）之后都會(huì )被鑒權。 默認的鑒權模式為 `AlwaysAllow`，它允許所有請求。 細分對 kubelet API 的訪(fǎng)問(wèn)權限可能有多種原因： * 啟用了匿名身份驗證，但是應限制匿名用戶(hù)調用 kubelet API 的能力 * 啟用了持有者令牌認證，但應限制任意 API 用戶(hù)（如服務(wù)帳戶(hù)）調用 kubelet API 的能力 * 啟用了客戶(hù)端證書(shū)身份驗證，但僅應允許已配置的 CA 簽名的某些客戶(hù)端證書(shū)使用 kubelet API 要細分對 kubelet API 的訪(fǎng)問(wèn)權限，請將鑒權委派給 API 服務(wù)器： * 確保在 API 服務(wù)器中啟用了`authorization.k8s.io/v1beta1` API 組 * 帶`--authorization-mode=Webhook` 和`--kubeconfig` 標志啟動(dòng) kubelet * kubelet 調用已配置的 API 服務(wù)器上的`SubjectAccessReview` API， 以確定每個(gè)請求是否得到鑒權 kubelet 使用與 apiserver 相同的請求屬性方法對 API 請求執行鑒權。 請求的動(dòng)詞根據傳入請求的 HTTP 動(dòng)詞確定： | HTTP 動(dòng)詞 | 請求動(dòng)詞 | | --------- | -------- | | POST | create | | GET, HEAD | get | | PUT | update | | PATCH | patch | | DELETE | delete | 資源和子資源是根據傳入請求的路徑確定的： | Kubelet API | 資源 | 子資源 | | ------------ | ----- | ------- | | /stats/* | nodes | stats | | /metrics/* | nodes | metrics | | /logs/* | nodes | log | | /spec/* | nodes | spec | | *其它所有* | nodes | proxy | 名字空間和 API 組屬性始終是空字符串， 資源名稱(chēng)始終是 kubelet 的 `Node` API 對象的名稱(chēng)。 在此模式下運行時(shí)，請確保傳遞給 apiserver 的由 `--kubelet-client-certificate` 和 `--kubelet-client-key` 標志標識的用戶(hù)具有以下屬性的鑒權： * verb=*, resource=nodes, subresource=proxy * verb=*, resource=nodes, subresource=stats * verb=*, resource=nodes, subresource=log * verb=*, resource=nodes, subresource=spec * verb=*, resource=nodes, subresource=metrics # TLS 啟動(dòng)引導 在一個(gè) Kubernetes 集群中，工作節點(diǎn)上的組件（kubelet 和 kube-proxy）需要與 Kubernetes 主控組件通信，尤其是 kube-apiserver。 為了確保通信本身是私密的、不被干擾，并且確保集群的每個(gè)組件都在與另一個(gè) 可信的組件通信，我們強烈建議使用節點(diǎn)上的客戶(hù)端 TLS 證書(shū)。 啟動(dòng)引導這些組件的正常過(guò)程，尤其是需要證書(shū)來(lái)與 kube-apiserver <a href='http://wap.friendlycc.com.cn/firewall/' target='_blank'><u>安全</u></a>通信的 工作節點(diǎn)，可能會(huì )是一個(gè)具有挑戰性的過(guò)程，因為這一過(guò)程通常不受 Kubernetes 控制， 需要不少額外工作。 這也使得初始化或者擴縮一個(gè)集群的操作變得具有挑戰性。 為了簡(jiǎn)化這一過(guò)程，從 1.4 版本開(kāi)始，Kubernetes 引入了一個(gè)證書(shū)請求和簽名 API 以便簡(jiǎn)化此過(guò)程。 # 內置工具 ## Minikube [`minikube`]() 是在工作站上本地運行單節點(diǎn) Kubernetes 集群的工具，用于開(kāi)發(fā)和測試。 ## 儀表盤(pán) [`Dashboard`]()， 基于 Web 的 Kubernetes 用戶(hù)界面， 允許通過(guò)用戶(hù)界面將容器化的應用程序部署到 Kubernetes 集群， 對它們進(jìn)行故障排查，并管理集群及其資源本身。 ## Helm [`Kubernetes Helm`]() 是一個(gè)用于管理預配置 Kubernetes 資源包的工具，也就是 Kubernetes 圖表。 Helm 功能/作用： * 查找和使用打包為 Kubernetes 圖表的流行軟件 * 將自己的應用程序共享為 Kubernetes 圖表 * 為Kubernetes 應用程序創(chuàng )建可重現的構建 * 智能管理Kubernetes 清單文件 * 管理 Helm 包的發(fā)布 ## Kompose[ ](https://kubernetes.io/zh/docs/reference/tools/#kompose) [`Kompose`](https://github.com/kubernetes/kompose) 幫助使用 Docker Compose的用戶(hù)遷移到 Kubernetes 的工具。 Kompose功能/作用： * 將 Docker Compose 文件翻譯成 Kubernetes 對象 * 從本地 Docker 開(kāi)發(fā)轉到通過(guò) Kubernetes 管理應用程序 * 轉換 Docker Compose v1 或 v2 版本的`yaml` 文件或分布式應用程序包