> 作者：石義峰
> 
> 來源：[恆生LIGHT雲社群](https://developer.hs.net/thread/1248 "恆生LIGHT雲社群")
# 安裝部署神器-Kubeadm

Kubeadm 是一個提供了 `kubeadm init` 和 `kubeadm join` 的工具， 作為建立 Kubernetes 叢集的 “快捷途徑” 的最佳實踐。

kubeadm 透過執行必要的操作來啟動和執行最小可用叢集。 按照設計，它只關注啟動引導，而非配置機器。同樣的， 安裝各種 “錦上添花” 的擴充套件，例如 Kubernetes Dashboard、 監控方案、以及特定雲平臺的擴充套件，都不在討論範圍內。

相反，我們希望在 kubeadm 之上構建更高階別以及更加合規的工具， 理想情況下，使用 kubeadm 作為所有部署工作的基準將會更加易於建立一致性叢集。

## 如何安裝

要安裝 kubeadm, 請參照 [【零基礎入門雲原生-k8s，輕鬆實戰】k8s實踐——安裝配置及執行](https://developer.hs.net/thread/1224).

## kubeadm常用命令

[kubeadm init](https://kubernetes.io/zh/docs/reference/setup-tools/kubeadm/kubeadm-init) 初始搭建控制平面節點

[kubeadm join]() 搭建工作節點並將其加入到叢集中

[kubeadm upgrade]() 升級 Kubernetes 叢集到新版本

[kubeadm config]() 配置叢集命令。如果使用 v1.7.x 或更低版本的 kubeadm ，初始化叢集時則使用 `kubeadm upgrade` 來配置你的叢集

[kubeadm token]() 用於管理 `kubeadm join` 使用的令牌

[kubeadm reset]() 用於恢復/回滾透過 `kubeadm init` 或者 `kubeadm join` 命令對節點進行的任何變更

[kubeadm certs]() 用於管理 Kubernetes 證書

[kubeadm kubeconfig]() 用於管理 kubeconfig 檔案

[kubeadm version]() 用於列印 kubeadm 的版本資訊

[kubeadm alpha]() 用於預覽一組可用於收集社群反饋的特性

# 命令列工具kubelet

kubelet 是在每個 Node 節點上執行的主要 “節點代理”。它可以使用以下之一向 apiserver 註冊： 主機名（hostname）；覆蓋主機名的引數；某雲驅動的特定邏輯。

kubelet 是基於 PodSpec 來工作的。每個 PodSpec 是一個描述 Pod 的 YAML 或 JSON 物件。 kubelet 接受透過各種機制（主要是透過 apiserver）提供的一組 PodSpec，並確保這些 PodSpec 中描述的容器處於執行狀態且執行狀況良好。 kubelet 不管理不是由 Kubernetes 建立的容器。

除了來自 apiserver 的 PodSpec 之外，還可以透過以下三種方式將容器清單（manifest）提供給 kubelet。

檔案（File）：利用命令列引數傳遞路徑。kubelet 週期性地監視此路徑下的檔案是否有更新。 監視週期預設為 20s，且可透過引數進行配置。

HTTP 端點（HTTP endpoint）：利用命令列引數指定 HTTP 端點。 此端點的監視週期預設為 20 秒，也可以使用引數進行配置。

HTTP 伺服器（HTTP server）：kubelet 還可以偵聽 HTTP 並響應簡單的 API （目前沒有完整規範）來提交新的清單。

# kube-apiserver

Kubernetes API 伺服器驗證並配置 API 物件的資料， 這些物件包括 pods、services、replicationcontrollers 等。 API 伺服器為 REST 操作提供服務，併為叢集的共享狀態提供前端， 所有其他元件都透過該前端進行互動。

# kube-controller-manager

Kubernetes 控制器管理器是一個守護程式，內嵌隨 Kubernetes 一起釋出的核心控制迴路。 在機器人和自動化的應用中，控制迴路是一個永不休止的迴圈，用於調節系統狀態。 在 Kubernetes 中，每個控制器是一個控制迴路，透過 API 伺服器監視叢集的共享狀態， 並嘗試進行更改以將當前狀態轉為期望狀態。 目前，Kubernetes 自帶的控制器例子包括副本控制器、節點控制器、名稱空間控制器和服務賬號控制器等。

# kube-proxy

Kubernetes 網路代理在每個節點上執行。網路代理反映了每個節點上 Kubernetes API 中定義的服務，並且可以執行簡單的 TCP、UDP 和 SCTP 流轉發，或者在一組後端進行 迴圈 TCP、UDP 和 SCTP 轉發。 當前可透過 Docker-links-compatible 環境變數找到服務叢集 IP 和埠， 這些環境變數指定了服務代理開啟的埠。 有一個可選的外掛，可以為這些叢集 IP 提供叢集 DNS。 使用者必須使用 apiserver API 建立服務才能配置代理。

# kube-scheduler

Kubernetes 排程器是一個控制面程式，負責將 Pods 指派到節點上。 排程器基於約束和可用資源為排程佇列中每個 Pod 確定其可合法放置的節點。 排程器之後對所有合法的節點進行排序，將 Pod 繫結到一個合適的節點。 在同一個叢集中可以使用多個不同的排程器；kube-scheduler 是其參考實現。

# Kubelet 認證/鑑權

kubelet 的 HTTPS 端點公開了 API， 這些 API 可以訪問敏感度不同的資料， 並允許你在節點上和容器內以不同級別的許可權執行操作。

本文件介紹瞭如何對 kubelet 的 HTTPS 端點的訪問進行認證和鑑權。

## Kubelet 身份認證

預設情況下，未被已配置的其他身份認證方法拒絕的對 kubelet 的 HTTPS 端點的請求會被視為匿名請求， 並被賦予 `system:anonymous` 使用者名稱和 `system:unauthenticated` 組。

要禁用匿名訪問並向未經身份認證的請求傳送 `401 Unauthorized` 響應，請執行以下操作：

* 帶`--anonymous-auth=false` 標誌啟動 kubelet

要對 kubelet 的 HTTPS 端點啟用 X509 客戶端證書認證：

* 帶`--client-ca-file` 標誌啟動 kubelet，提供一個 CA 證書包以供驗證客戶端證書
* 帶`--kubelet-client-certificate` 和`--kubelet-client-key` 標誌啟動 apiserver

要啟用 API 持有者令牌（包括服務帳戶令牌）以對 kubelet 的 HTTPS 端點進行身份驗證，請執行以下操作：

* 確保在 API 伺服器中啟用了`authentication.k8s.io/v1beta1` API 組
* 帶`--authentication-token-webhook` 和`--kubeconfig` 標誌啟動 kubelet
* kubelet 呼叫已配置的 API 伺服器上的`TokenReview` API，以根據持有者令牌確定使用者資訊

## Kubelet 鑑權

任何成功透過身份驗證的請求（包括匿名請求）之後都會被鑑權。 預設的鑑權模式為 `AlwaysAllow`，它允許所有請求。

細分對 kubelet API 的訪問許可權可能有多種原因：

* 啟用了匿名身份驗證，但是應限制匿名使用者呼叫 kubelet API 的能力
* 啟用了持有者令牌認證，但應限制任意 API 使用者（如服務帳戶）呼叫 kubelet API 的能力
* 啟用了客戶端證書身份驗證，但僅應允許已配置的 CA 簽名的某些客戶端證書使用 kubelet API

要細分對 kubelet API 的訪問許可權，請將鑑權委派給 API 伺服器：

* 確保在 API 伺服器中啟用了`authorization.k8s.io/v1beta1` API 組
* 帶`--authorization-mode=Webhook` 和`--kubeconfig` 標誌啟動 kubelet
* kubelet 呼叫已配置的 API 伺服器上的`SubjectAccessReview` API， 以確定每個請求是否得到鑑權

kubelet 使用與 apiserver 相同的請求屬性方法對 API 請求執行鑑權。

請求的動詞根據傳入請求的 HTTP 動詞確定：

| HTTP 動詞 | 請求動詞 |
| --------- | -------- |
| POST      | create   |
| GET, HEAD | get      |
| PUT       | update   |
| PATCH     | patch    |
| DELETE    | delete   |

資源和子資源是根據傳入請求的路徑確定的：

| Kubelet API  | 資源  | 子資源  |
| ------------ | ----- | ------- |
| /stats/*     | nodes | stats   |
| /metrics/*   | nodes | metrics |
| /logs/*      | nodes | log     |
| /spec/*      | nodes | spec    |
| *其它所有* | nodes | proxy   |

名字空間和 API 組屬性始終是空字串， 資源名稱始終是 kubelet 的 `Node` API 物件的名稱。

在此模式下執行時，請確保傳遞給 apiserver 的由 `--kubelet-client-certificate` 和 `--kubelet-client-key` 標誌標識的使用者具有以下屬性的鑑權：

* verb=*, resource=nodes, subresource=proxy
* verb=*, resource=nodes, subresource=stats
* verb=*, resource=nodes, subresource=log
* verb=*, resource=nodes, subresource=spec
* verb=*, resource=nodes, subresource=metrics

# TLS 啟動引導

在一個 Kubernetes 叢集中，工作節點上的元件（kubelet 和 kube-proxy）需要與 Kubernetes 主控元件通訊，尤其是 kube-apiserver。 為了確保通訊本身是私密的、不被干擾，並且確保叢集的每個元件都在與另一個 可信的元件通訊，我們強烈建議使用節點上的客戶端 TLS 證書。

啟動引導這些元件的正常過程，尤其是需要證書來與 kube-apiserver 安全通訊的 工作節點，可能會是一個具有挑戰性的過程，因為這一過程通常不受 Kubernetes 控制， 需要不少額外工作。 這也使得初始化或者擴縮一個叢集的操作變得具有挑戰性。

為了簡化這一過程，從 1.4 版本開始，Kubernetes 引入了一個證書請求和簽名 API 以便簡化此過程。

# 內建工具

## Minikube

[`minikube`]() 是在工作站上本地執行單節點 Kubernetes 叢集的工具，用於開發和測試。

## 儀表盤

[`Dashboard`]()， 基於 Web 的 Kubernetes 使用者介面， 允許透過使用者介面將容器化的應用程式部署到 Kubernetes 叢集， 對它們進行故障排查，並管理叢集及其資源本身。

## Helm

[`Kubernetes Helm`]() 是一個用於管理預配置 Kubernetes 資源包的工具，也就是 Kubernetes 圖表。

Helm 功能/作用：

* 查詢和使用打包為 Kubernetes 圖表的流行軟體
* 將自己的應用程式共享為 Kubernetes 圖表
* 為Kubernetes 應用程式建立可重現的構建
* 智慧管理Kubernetes 清單檔案
* 管理 Helm 包的釋出

## Kompose[ ](https://kubernetes.io/zh/docs/reference/tools/#kompose)

[`Kompose`](https://github.com/kubernetes/kompose) 幫助使用 Docker Compose的使用者遷移到 Kubernetes 的工具。

Kompose功能/作用：

* 將 Docker Compose 檔案翻譯成 Kubernetes 物件
* 從本地 Docker 開發轉到透過 Kubernetes 管理應用程式
* 轉換 Docker Compose v1 或 v2 版本的`yaml` 檔案或分散式應用程式包

零基礎入門雲原生-k8s工具介紹～

相關文章