热门标签
热门文章
- 1【物联网工程导论期末复习完整知识点】第四章物联网智能硬件与嵌入式
- 2DNS安全浅议、域名A记录(ANAME)，MX记录，CNAME记录 专题
- 3你怎么对待婚姻，婚姻就怎么对待你!_你怎么对婚姻 婚姻就怎么对你
- 4清华发布新版计算机学科推荐学术会议和期刊列表，IJCAI降级_《清华大学计算机学科推荐学术会议和期刊列表》
- 5关于Can‘t find model ‘en_core_web_sm‘. 错误解决
- 6云上战场：ToDesk云电脑、青椒云、顺网云全面对决_青椒云包月计时和包月的区别
- 7【Android Studio使用教程1】Android Studio导入项目的几种方法
- 8基于FPGA的IIC读写EEPROM_eeprom fpga
- 9【重点EI会议推荐】机器学习主题方向论文征稿：2021计算机、物联网与控制工程国际学术会议（CITCE 2021)...
- 10亚马逊云科技AIGC全家桶Bedrock炸裂登场，开放定制隐私拉满
当前位置: article > 正文
二进制部署K8s群集+Openebs+KubeSphere+Ceph群集_kubesphere openebs
作者：寸_铁 | 2024-07-11 23:19:36
赞
踩
kubesphere openebs
二进制K8s集群部署——版本为v1.20.4
https://www.cnblogs.com/lizexiong/p/14882419.html
K8s群集配置表
| 主机名 | IP地址 | 组件 | 系统 | 配置 |
|---|---|---|---|---|
| k8smaster1 | 192.168.10.101 | docker、etcd、kube-apiserver、kube-controller-manager、kube-scheduler、kubelet、kube-proxy、nginx、keepalived | Centos7.9 | 2C/2G |
| k8smaster2 | 192.168.10.102 | docker、etcd、kube-apiserver、kube-controller-manager、kube-scheduler、kubelet、kube-proxy、nginx、keepalived | Centos7.9 | 2C/2G |
| k8smaster* | … | … | Centos7.9 | 2C/2G |
| k8snode1 | 192.168.10.103 | docker、etcd、kubelet.service、kube-proxy.service | Centos7.9 | 2C/2G |
| k8snode2 | 192.168.10.104 | docker、etcd、kubelet.service、kube-proxy.service | Centos7.9 | 2C/2G |
| k8snode3 | 192.168.10.104 | docker、kubelet.service、kube-proxy.service | Centos7.9 | 2C/2G |
| k8snode* | … | … | Centos7.9 | 2C/2G |
| k8snode* | … | … | Centos7.9 | 2C/2G |
k8s集群——k8smaster节组件点部署
一、基础环境配置初始化所有集群主机——(所有主机k8s主机操作)
1、所有节点修改主机名
192.168.10.101主机
hostnamectl set-hostname k8smaster1
su
192.168.10.102主机
hostnamectl set-hostname k8smaster2
su
192.168.10.103主机
hostnamectl set-hostname k8snode1
su
192.168.10.104主机
hostnamectl set-hostname k8snode2
su
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
2、关闭放火墙、内核安全机制、swap交换分区
systemctl stop firewalld
systemctl disable firewalld
sed -i "s/.*SELINUX=.*/SELINUX=disabled/g" /etc/selinux/config
swapoff -a
sed -i '/swap/s/^\(.*\)$/#\1/g' /etc/fstab
- 1
- 2
- 3
- 4
- 5
- 6
- 7
3、添加hosts文件
cat >> /etc/hosts << EOF
192.168.10.101 k8smaster1
192.168.10.102 k8smaster2
192.168.10.103 k8snode1
192.168.10.104 k8snode2
EOF
- 1
- 2
- 3
- 4
- 5
- 6
4、将桥接的IPv4流量传递到iptables的链
cat > /etc/sysctl.d/k8s.conf << EOF
net.bridge.bridge-nf-call-ip6tables = 1
net.bridge.bridge-nf-call-iptables = 1
EOF
sysctl --system
- 1
- 2
- 3
- 4
- 5
- 6
5、配置国内yum和epel源
cd /etc/yum.repos.d/
wget http://mirrors.aliyun.com/repo/Centos-7.repo
mv aliyun.repo aliyun.repo.bak
mv Centos-7.repo CentOS-Base.repo
yum clean all
yum makecache
yum update
wget /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
6、配置时间同步
#安装chrony服务
yum -y install chrony
#启动chronyd服务
systemctl start chronyd
#设置为开机自启动
systemctl enable chronyd
#查看确认时间同步
chronyc sources -v
#或使用阿里云的时间同步服务
yum -y install ntpdate
ntpdate time1.aliyun.com
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
6、升级系统内核
uname -r 3.10.0-514.el7.x86_64 #下载kernel-ml-4.18.9.tar.gz相关版本的包，可根据情况访问http://193.49.22.109/elrepo/kernel/el7/x86_64/RPMS/自行下载上传到服务器中 tar xf kernel-ml-4.18.9.tar.gz cd kernel-ml-4.18.9 yum localinstall kernel-ml* #查看当前的内核 cat /boot/grub2/grub.cfg |grep ^menuentry menuentry 'CentOS Linux (4.18.9-1.el7.elrepo.x86_64) 7 (Core)' --class centos --class gnu-linux --class gnu --class os --unrestricted $menuentry_id_option 'gnulinux-3.10.0-1127.el7.x86_64-advanced-abb47b92-d268-4d8c-a9df-43bf44522cab' { menuentry 'CentOS Linux (3.10.0-1127.el7.x86_64) 7 (Core)' --class centos --class gnu-linux --class gnu --class os --unrestricted $menuentry_id_option 'gnulinux-3.10.0-1127.el7.x86_64-advanced-abb47b92-d268-4d8c-a9df-43bf44522cab' { menuentry 'CentOS Linux (0-rescue-63f20fbd07a048dc88574233e1ad966b) 7 (Core)' --class centos --class gnu-linux --class gnu --class os --unrestricted $menuentry_id_option 'gnulinux-0-rescue-63f20fbd07a048dc88574233e1ad966b-advanced-abb47b92-d268-4d8c-a9df-43bf44522cab' { #设置默认启动新内核，并重新生成grub2 grub2-set-default 0 或者 grub2-set-default 'CentOS Linux (4.18.9-1.el7.elrepo.x86_64) 7 (Core)' grub2-mkconfig -o /boot/grub2/grub.cfg #重启所有节点 reboot #再次查看内核 uname -r 4.18.9-1.el7.elrepo.x86_64
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
- 24
- 25
- 26
- 27
- 28
二、所有节点安装docker——(k8s所有节点操作)
1、下载docker的yum源并安装docker
wget https://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo -O /etc/yum.repos.d/docker-ce.repo
yum -y install docker-ce-19.03.9-3.el7
systemctl enable docker && systemctl start docker
docker --version
- 1
- 2
- 3
- 4
2、设置docker镜像仓库地址加速地址
mkdir -p /etc/docker
vim /etc/docker/daemon.json
{
"registry-mirrors": ["https://w2hvqdzg.mirror.aliyuncs.com"]
}
systemctl daemon-reload
systemctl restart docker
#到此所有节点初始化完成
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
三、部署etcd群集
1、为etcd准备自签证书——(k8smaser1节点操作)
k8s 所有组件都是 采用https加密通信的，这些组件一般有两套根证书生成：k8s 组件（apiserver）和etcd。
红色线：k8s 自建证书颁发机构（CA），需要携带有它生成的客户端证书访问apiserver。
蓝色线：etcd 自建证书颁发机构（CA），需要携带它颁发的客户端证书访问etcd。
准备 cfssl 证书生成工具
cfssl 是一个开源的证书管理工具， 使用 json 文件生成证书， 相比 openssl 更方便使用。
找任意一台服务器操作， 这里用 Master 节点。
#下载相关工具
wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64
wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64
wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64
chmod +x cfssl_linux-amd64 cfssljson_linux-amd64 cfssl-certinfo_linux-amd64
mv cfssl_linux-amd64 /usr/local/bin/cfssl
mv cfssljson_linux-amd64 /usr/local/bin/cfssljson
mv cfssl-certinfo_linux-amd64 /usr/bin/cfssl-certinfo
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
生成 Etcd 证书
创建自签证书颁发机构（CA）
#创建证书相关工作目录 mkdir -p ~/TLS/{ etcd,k8s} cd ~/TLS/etcd #创建ca自签机构的json配置文件 cat > ca-config.json<< EOF { "signing":{ "default":{ "expiry":"876000h" }, "profiles":{ "www":{ "expiry":"87600h", "usages":[ "signing", "key encipherment", "server auth", "client auth" ] } } } } EOF cat > ca-csr.json<< EOF { "CN":"etcd CA", "key":{ "algo":"rsa", "size":2048 }, "names":[ { "C":"CN", "L":"Beijing", "ST":"Beijing" } ] } EOF #初始化生成ca证书 cfssl gencert -initca ca-csr.json | cfssljson -bare ca - ls *.pem ca-key.pem ca.pem #使用自签 CA证书 签发 Etcd HTTPS 证书，创建https证书申请文件 { "CN":"etcd", "hosts":[ "192.168.10.101", "192.168.10.102", "192.168.10.103", "192.168.10.104" ], "key":{ "algo":"rsa", "size":2048 }, "names":[ { "C":"CN", "L":"BeiJing", "ST":"BeiJing" } ] } 注意：上述文件 hosts 字段中 IP 为所有 etcd 节点的集群内部通信 IP， 一个都不能少！ 为了方便后期扩容可以多写几个预留的 IP。 #生成https证书 cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=www server-csr.json | cfssljson -bare server #查看生成的https证书 ls server*pem server-key.pem server.pem
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
- 24
- 25
- 26
- 27
- 28
- 29
- 30
- 31
- 32
- 33
- 34
- 35
- 36
- 37
- 38
- 39
- 40
- 41
- 42
- 43
- 44
- 45
- 46
- 47
- 48
- 49
- 50
- 51
- 52
- 53
- 54
- 55
- 56
- 57
- 58
- 59
- 60
- 61
- 62
- 63
- 64
- 65
- 66
- 67
- 68
- 69
- 70
- 71
- 72
- 73
- 74
- 75
- 76
- 77
- 78
- 79
- 80
- 81
- 82
- 83
- 84
- 85
- 86
- 87
- 88
- 89
- 90
- 91
- 92
- 93
2、安装部署etcd——(k8smaster1节点操做)
Etcd 是一个分布式键值存储系统， Kubernetes 使用 Etcd 进行数据存储； 为解决 Etcd 单点故障， 在生产中采用集群方式部署，避免 Etcd 单点故障， 这里使用 4 台组建集群， 可容忍 1 台机器故障， 如果使用 5 台组建集群， 可容忍 2 台机器故障。生产环境建议单独服务器部署这些etcd节点。
#下载etcd安装包 wget https://github.com/etcd-io/etcd/releases/download/v3.4.9/etcd-v3.4.9-linux-amd64.tar.gz mkdir /opt/etcd/{ bin,cfg,ssl} -p tar zxvf etcd-v3.4.9-linux-amd64.tar.gz mv etcd-v3.4.9-linux-amd64/{ etcd,etcdctl} /opt/etcd/bin/ #把前面生成的证书拷贝到k8群集etcd证书文件存放路径 #是etcd的ca证书和https证书 cp ~/TLS/etcd/ca*pem ~/TLS/etcd/server*pem /opt/etcd/ssl/ #创建etcd配置文件 cat > /opt/etcd/cfg/etcd.conf << EOF #[Member] ETCD_NAME="etcd-1" ETCD_DATA_DIR="/var/lib/etcd/default.etcd" ETCD_LISTEN_PEER_URLS="https://192.168.10.101:2380" ETCD_LISTEN_CLIENT_URLS="https://192.168.10.101:2379" #[Clustering] ETCD_INITIAL_ADVERTISE_PEER_URLS="https://192.168.10.101:2380" ETCD_ADVERTISE_CLIENT_URLS="https://192.168.10.101:2379" ETCD_INITIAL_CLUSTER="etcd-1=https://192.168.10.101:2380,etcd-2=https://192.168.10.102:2380,etcd-3=https://192.168.10.103:2380,etcd-4=https://192.168.10.104:2380" ETCD_INITIAL_CLUSTER_TOKEN="etcd-cluster" ETCD_INITIAL_CLUSTER_STATE="new" EOF ETCD_NAME： etcd群集节点名称， 集群中唯一 ETCD_DATA_DIR： etcd数据存放目录 ETCD_LISTEN_PEER_URLS： 集群通信监听地址 ETCD_LISTEN_CLIENT_URLS： 客户端访问监听地址，也就是当前机器的ip地址， ETCD_INITIAL_ADVERTISE_PEER_URLS： 集群通告地址 ETCD_ADVERTISE_CLIENT_URLS： 客户端通告地址 ETCD_INITIAL_CLUSTER： 集群节点地址，需要将每个etcd节点的ip和端口都写上。 ETCD_INITIAL_CLUSTER_TOKEN： 集群 Token ETCD_INITIAL_CLUSTER_STATE： 加入集群的当前状态， new 是新集群， existing 表示加入已有集群
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
- 24
- 25
- 26
- 27
- 28
- 29
- 30
- 31
- 32
- 33
- 34
- 35
- 36
- 37
- 38
- 39
- 40
把当前节点的/opt/etcd目录上传到其他etcd集群节点的/opt/目录下
scp -r /opt/etcd/ root@192.168.10.102:/opt/
scp -r /opt/etcd/ root@192.168.10.103:/opt/
scp -r /opt/etcd/ root@192.168.10.104:/opt/
- 1
- 2
- 3
3、在其他etcd群集节点修改etcd相关配置文件——(Etcd群集节点操作)
vim /opt/etcd/cfg/etcd.conf #[Member] ETCD_NAME="etcd-1" #修改为当前节点名，节点 2 改为 etcd-2，节点 3 改为 etcd-3，节点4 改为 etcd-4，以此类推 ETCD_DATA_DIR="/var/lib/etcd/default.etcd" ETCD_LISTEN_PEER_URLS="https://192.168.10.101:2380" #修改为当前节点的IP地址 ETCD_LISTEN_CLIENT_URLS="https://192.168.10.101:2379" #修改为当前节点的IP地址 #[Clustering] ETCD_INITIAL_ADVERTISE_PEER_URLS="https://192.168.10.101:2380" #修改为当前节点的IP地址 ETCD_ADVERTISE_CLIENT_URLS="https://192.168.10.101:2379" #修改为当前节点的IP地址 ETCD_INITIAL_CLUSTER="etcd-1=https://192.168.10.101:2380,etcd-2=https://192.168.10.102:2380,etcd-3=https://192.168.10.103:2380,etcd-4=https://192.168.10.104:2380" ETCD_INITIAL_CLUSTER_TOKEN="etcd-cluster" ETCD_INITIAL_CLUSTER_STATE="new" #在所有etcd节点配置systemd系统命令控制etcd启停自启动等 cat > /usr/lib/systemd/system/etcd.service << EOF [Unit] Description=Etcd Server After=network.target After=network-online.target Wants=network-online.target [Service] Type=notify EnvironmentFile=/opt/etcd/cfg/etcd.conf ExecStart=/opt/etcd/bin/etcd \ --cert-file=/opt/etcd/ssl/server.pem \ --key-file=/opt/etcd/ssl/server-key.pem \ --peer-cert-file=/opt/etcd/ssl/server.pem \ --peer-key-file=/opt/etcd/ssl/server-key.pem \ --trusted-ca-file=/opt/etcd/ssl/ca.pem \ --peer-trusted-ca-file=/opt/etcd/ssl/ca.pem \ --logger=zap Restart=on-failure LimitNOFILE=65536 [Install] WantedBy=multi-user.target EOF #在所有etcd群集节点启动并设置etcd开机启动 systemctl daemon-reload systemctl start etcd systemctl enable etcd #查看集群状态 ETCDCTL_API=3 /opt/etcd/bin/etcdctl --cacert=/opt/etcd/ssl/ca.pem --cert=/opt/etcd/ssl/server.pem --key=/opt/etcd/ssl/server-key.pem --endpoints="https://192.168.10.101:2379,https://192.168.10.102:2379,https://192.168.10.103:2379,https://192.168.10.104:2379" endpoint health --write-out=table +-----------------------------+--------+-------------+-------+ | ENDPOINT | HEALTH | TOOK | ERROR | +-----------------------------+--------+-------------+-------+ | https://192.168.10.102:2379 | true | 18.673674ms | | | https://192.168.10.103:2379 | true | 17.055034ms | | | https://192.168.10.101:2379 | true | 20.266814ms | | | https://192.168.10.104:2379 | true | 21.71931ms | | +-----------------------------+--------+-------------+-------+ #当显示如上所示，则代表启动正常了。 #如果输出上面信息， 就说明集群部署成功。 如果有问题第一步先看日志：/var/log/message 或 journalctl -u etcd，或者journalctl -u etcd -f 实时查看日志。 #到此etcd集群部署成功
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
- 24
- 25
- 26
- 27
- 28
- 29
- 30
- 31
- 32
- 33
- 34
- 35
- 36
- 37
- 38
- 39
- 40
- 41
- 42
- 43
- 44
- 45
- 46
- 47
- 48
- 49
- 50
- 51
- 52
- 53
- 54
- 55
- 56
四、部署master节点组件（这里先部署一个主节点、剩余主节点我们后面加入）
部署kube-apiserver——(k8smaster1节点操作)
1、创建生成apiserver相关证书
安装apiserver，需要做一个自签证书，从而可以让apiserver通过https访问node节点。下面我们先生成apiserver的自签证书
#创建自签证书颁发机构（ca） cd /root/TLS/k8s cat > ca-config.json<< EOF { "signing":{ "default":{ "expiry":"876000h" }, "profiles":{ "kubernetes":{ "expiry":"87600h", "usages":[ "signing", "key encipherment", "server auth", "client auth" ] } } } } EOF cat > ca-csr.json<< EOF { "CN":"kubernetes", "key":{ "algo":"rsa", "size":2048 }, "names":[ { "C":"CN", "L":"Beijing", "ST":"Beijing", "O":"k8s", "OU":"System" } ] } EOF #生成ca证书 cfssl gencert -initca ca-csr.json | cfssljson -bare ca - ls *pem ca-key.pem ca.pem **使用自签CA证书签发 kube-apiserver HTTPS 证书** #创建https证书申请文件 为了方便我们后面将单master扩展为多master集群，我们在hosts 数组中添加几个IP作为备用如下所示多余的就是备用IP地址，其中包含以后扩展的k8smaster、k8snode节点和群集漂移VIP地址 注意：记得不要忘记里面的node节点IP地址，不然无法和node节点进行通讯 cat > server-csr.json<< EOF { "CN":"kubernetes", "hosts":[ "10.0.0.1", #集群IP "127.0.0.1", #自己本身地址 "192.168.10.101", "192.168.10.102", "192.168.10.103", "192.168.10.104", "192.168.10.105", "192.168.10.106", "192.168.10.107", "192.168.10.244", #集群虚拟漂移VIP地址 "kubernetes", "kubernetes.default", "kubernetes.default.svc", "kubernetes.default.svc.cluster", "kubernetes.default.svc.cluster.local" ], "key":{ "algo":"rsa", "size":2048 }, "names":[ { "C":"CN", "L":"BeiJing", "ST":"BeiJing", "O":"k8s", "OU":"System" } ] } EOF 注意：创建https证书文件中的hosts地址框中除了集群IP、127.0.0.1、集群中其他节点IP、还要包含集群虚拟漂移VIP地址 如果没有集群虚拟漂移VIP地址的话后面在添加其他k8smaster节点和k8snode节点时，因为会修改某些配置文件中向apiserver通讯的https 地址为集群虚拟漂移VIP地址，如果没集群虚拟漂移VIP地址会发生各个组件无法和apiserver进行通讯导致集群一直处在NotReady状态 #生成证书 cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes server-csr.json | cfssljson -bare server #查看生产的证书 ls server*pem server-key.pem server.pem
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
- 24
- 25
- 26
- 27
- 28
- 29
- 30
- 31
- 32
- 33
- 34
- 35
- 36
- 37
- 38
- 39
- 40
- 41
- 42
- 43
- 44
- 45
- 46
- 47
- 48
- 49
- 50
- 51
- 52
- 53
- 54
- 55
- 56
- 57
- 58
- 59
- 60
- 61
- 62
- 63
- 64
- 65
- 66
- 67
- 68
- 69
- 70
- 71
- 72
- 73
- 74
- 75
- 76
- 77
- 78
- 79
- 80
- 81
- 82
- 83
- 84
- 85
- 86
- 87
- 88
- 89
- 90
- 91
- 92
- 93
- 94
- 95
- 96
- 97
- 98
- 99
- 100
- 101
- 102
- 103
- 104
- 105
- 106
- 107
- 108
- 109
- 110
- 111
- 112
- 113
- 114
2、下载k8s群集安装包
访问https://github.com/kubernetes/kubernetes/tree/master/CHANGELOG可以查询k8s 的各个版本
我们今天主要以K8s-v1.20.4版本为例演示
#下面的类型根据自己系统类型选择
3、上传并解压安装包——k8smaser1节点操作
#然后将下载的kubernetes-server-linux-amd64.tar.gz 包上传到k8smaster1节点中
#解压安装包
tar -zxvf kubernetes-server-linux-amd64.tar.gz
#解压包的所有文件都在/server/bin 路径下
cd kubernetes/server/bin
- 1
- 2
- 3
- 4
- 5
- 6
- 7
部署master主要需要这些文件，kube-apiserver，kube-controller-manager，kubectl，kube-scheduler。
4、创建k8smaster1节点安装文件夹
#创建k8smaster节点安装的相关文件夹 mkdir -p /opt/kubernetes/{ bin,cfg,ssl,logs} #将k8smaster1节点的相关执行文件拷贝到对应目录 cp kube-apiserver kube-scheduler kube-controller-manager /opt/kubernetes/bin cp kubectl /usr/bin/ **安装kube-apiserver** #拷贝前面生成apiserver认证的证书 cp ~/TLS/k8s/ca*pem ~/TLS/k8s/server*pem /opt/kubernetes/ssl/ #创建apiserver配置文件 cat > /opt/kubernetes/cfg/kube-apiserver.conf << EOF KUBE_APISERVER_OPTS="--logtostderr=false \\ --v=2 \\ --log-dir=/opt/kubernetes/logs \\ --etcd-servers=https://192.168.10.101:2379,https://192.168.10.102:2379,https://192.168.10.103:2379,https://192.168.10.104:2379 \\ --bind-address=192.168.10.101 \\ --secure-port=6443 \\ --advertise-address=192.168.10.101 \\ --allow-privileged=true \\ --service-cluster-ip-range=10.0.0.0/24 \\ --enable-admission-plugins=NamespaceLifecycle,LimitRanger,ServiceAccount,ResourceQuota,NodeRestriction \\ --authorization-mode=RBAC,Node \\ --enable-bootstrap-token-auth=true \\ --token-auth-file=/opt/kubernetes/cfg/token.csv \\ --service-node-port-range=20000-32767 \\ --kubelet-client-certificate=/opt/kubernetes/ssl/server.pem \\ --kubelet-client-key=/opt/kubernetes/ssl/server-key.pem \\ --tls-cert-file=/opt/kubernetes/ssl/server.pem \\ --tls-private-key-file=/opt/kubernetes/ssl/server-key.pem \\ --client-ca-file=/opt/kubernetes/ssl/ca.pem \\ --service-account-key-file=/opt/kubernetes/ssl/ca-key.pem \\ --service-account-issuer=api \\ --service-account-signing-key-file=/opt/kubernetes/ssl/server-key.pem \\ --etcd-cafile=/opt/etcd/ssl/ca.pem \\ --etcd-certfile=/opt/etcd/ssl/server.pem \\ --etcd-keyfile=/opt/etcd/ssl/server-key.pem \\ --requestheader-client-ca-file=/opt/kubernetes/ssl/ca.pem \\ --proxy-client-cert-file=/opt/kubernetes/ssl/server.pem \\ --proxy-client-key-file=/opt/kubernetes/ssl/server-key.pem \\ --requestheader-allowed-names=kubernetes \\ --requestheader-extra-headers-prefix=X-Remote-Extra- \\ --requestheader-group-headers=X-Remote-Group \\ --requestheader-username-headers=X-Remote-User \\ --enable-aggregator-routing=true \\ --audit-log-maxage=30 \\ --audit-log-maxbackup=3 \\ --audit-log-maxsize=100 \\ --audit-log-path=/opt/kubernetes/logs/k8s-audit.log" EOF 注： 上面两个\ 第一个是转义符， 第二个是换行符， 使用转义符是为了使用 EOF 保留换行符。 • --logtostderr：启用日志 • —v：日志等级 • --log-dir：日志目录 • --etcd-servers：etcd集群地址 • --bind-address：监听地址 • --secure-port：https安全端口 • --advertise-address：集群通告地址 • --allow-privileged：启用授权 • --service-cluster-ip-range：Service虚拟IP地址段 • --enable-admission-plugins：准入控制模块 • --authorization-mode：认证授权，启用RBAC授权和节点自管理 • --enable-bootstrap-token-auth： **启用TLS bootstrap机制下面会配置生成token验证文件** • --token-auth-file：bootstrap token文件 • --service-node-port-range：Service nodeport类型默认分配端口范围 • --kubelet-client-xxx：apiserver访问kubelet客户端证书 • --tls-xxx-file：apiserver https证书 • 1.20版本必须加的参数：–service-account-issuer，–service-account-signing-key-file • --etcd-xxxfile：连接Etcd集群证书 • --audit-log-xxx：审计日志 启动聚合层相关配置： • –requestheader-client-ca-file • –proxy-client-cert-file • –proxy-client-key-file • –requestheader-allowed-names • –requestheader-extra-headers-prefix • –requestheader-group-headers • –requestheader-username-headers • –enable-aggregator-routin
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
- 24
- 25
- 26
- 27
- 28
- 29
- 30
- 31
- 32
- 33
- 34
- 35
- 36
- 37
- 38
- 39
- 40
- 41
- 42
- 43
- 44
- 45
- 46
- 47
- 48
- 49
- 50
- 51
- 52
- 53
- 54
- 55
- 56
- 57
- 58
- 59
- 60
- 61
- 62
- 63
- 64
- 65
- 66
- 67
- 68
- 69
- 70
- 71
- 72
- 73
- 74
- 75
- 76
- 77
- 78
- 79
- 80
- 81
- 82
- 83
- 84
启用 TLS Bootstrapping 机制
TLS Bootstraping： Master apiserver 启用 TLS 认证后， Node 节点 kubelet 和 kubeproxy 要与 kube-apiserver 进行通信， 必须使用 CA 签发的有效证书才可以， 当 Node节点很多时， 这种客户端证书颁发需要大量工作， 同样也会增加集群扩展复杂度。 为了简化流程， Kubernetes 引入了 TLS bootstraping 机制来自动颁发客户端证书， kubelet会以一个低权限用户自动向 apiserver 申请证书， kubelet 的证书由 apiserver 动态签署。
所以强烈建议在 Node 上使用这种方式， 目前主要用于 kubelet， kube-proxy 还是由我们统一颁发一个证书。
TLS bootstraping 工作流程：
5、创建token文件
#创建上述配置文件中 token 文件
cat > /opt/kubernetes/cfg/token.csv << EOF
fb69c54a1cbcd419b668cf8418c3b8cd,kubelet-bootstrap,10001,"system:node-bootstrapper"
EOF
格式： token， 用户名， UID， 用户组
#token 也可自行生成替换
head -c 16 /dev/urandom | od -An -t x | tr -d ' '
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
6、配置systemd 管理 apiserver
cat > /usr/lib/systemd/system/kube-apiserver.service << EOF [Unit] Description=Kubernetes API Server Documentation=https://github.com/kubernetes/kubernetes [Service] EnvironmentFile=/opt/kubernetes/cfg/kube-apiserver.conf ExecStart=/opt/kubernetes/bin/kube-apiserver \$KUBE_APISERVER_OPTS Restart=on-failure [Install] WantedBy=multi-user.target EOF #kube-apiserver启动并设置开机启动 systemctl daemon-reload systemctl start kube-apiserver systemctl enable kube-apiserver 到此apiserver安装完成。接下来我们来部署scheduler和controller-manager
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
通过上图，我们可以了解到，scheduler和controller-manager 也是借助https链接apiserver的的6443 端口，scheduler和controller-manager 链接apiserver的时候，需要有一个身份：kubeconfig。也就是说scheduler和controller-manager 是通过kubeconfig 文件来链接apiserver的。同样的，kubelet和kube-proxy也是通过kubeconfig来链接apiserver的。
备注：kubeconfig是链接k8s 集群的一个配置文件，需要我们手动生成的。
我们先配置scheduler和controller-manager程序
然后在配置kubeconfig文件。
五、部署kube-controller-manager——(k8smaser1节点操作)
1、创建kube-controller-manager 的配置文件
cat > /opt/kubernetes/cfg/kube-controller-manager.conf << EOF KUBE_CONTROLLER_MANAGER_OPTS="--logtostderr=false \\ --v=2 \\ --log-dir=/opt/kubernetes/logs \\ --leader-elect=true \\ --kubeconfig=/opt/kubernetes/cfg/kube-controller-manager.kubeconfig \\ --bind-address=127.0.0.1 \\ --allocate-node-cidrs=true \\ --cluster-cidr=10.244.0.0/16 \\ --service-cluster-ip-range=10.0.0.0/24 \\ --cluster-signing-cert-file=/opt/kubernetes/ssl/ca.pem \\ --cluster-signing-key-file=/opt/kubernetes/ssl/ca-key.pem \\ --root-ca-file=/opt/kubernetes/ssl/ca.pem \\ --service-account-private-key-file=/opt/kubernetes/ssl/ca-key.pem \\ --experimental-cluster-signing-duration=876000h0m0s" EOF – kubeconfi：链接apiserver的配置文件 – leader-elect： 当该组件启动多个时， 自动选举（ HA） – cluster-signing-cert-file – cluster-signing-key-file： 自动为 kubelet 颁发证书的 CA， 与 apiserver 保持一致
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
2、生成kube-controller-manager.kubeconfig文件
cd /root/TLS/k8s/ #创建证书请求文件 cat > kube-controller-manager-csr.json << EOF { "CN": "system:kube-controller-manager", "hosts": [], "key": { "algo": "rsa", "size": 2048 }, "names": [ { "C": "CN", "L": "BeiJing", "ST": "BeiJing", "O": "system:masters", "OU": "System" } ] } EOF #生成证书 cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes kube-controller-manager-csr.json | cfssljson -bare kube-controller-manager ls kube-controller-manager* -rw-r--r-- 1 root root 1045 3月 27 13:12 kube-controller-manager.csr -rw-r--r-- 1 root root 255 3月 27 13:11 kube-controller-manager-csr.json -rw------- 1 root root 1679 3月 27 13:12 kube-controller-manager-key.pem -rw-r--r-- 1 root root 1440 3月 27 13:12 kube-controller-manager.pem
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
- 24
- 25
- 26
- 27
- 28
- 29
- 30
- 31
- 32
- 33
- 34
生成kubeconfig 文件
#切换到刚才生成kube-controller-manager证书地方 cd /root/TLS/k8s/ #设置环境变量KUBE_CONFIG KUBE_CONFIG="/opt/kubernetes/cfg/kube-controller-manager.kubeconfig" #设置环境变量KUBE_APISERVER KUBE_APISERVER="https://192.168.10.101:6443" # apiserver IP:PORT kubectl config set-cluster kubernetes \ --certificate-authority=/opt/kubernetes/ssl/ca.pem \ --embed-certs=true \ --server=${ KUBE_APISERVER} \ --kubeconfig=${ KUBE_CONFIG} kubectl config set-credentials kube-controller-manager \ --client-certificate=./kube-controller-manager.pem \ --client-key=./kube-controller-manager-key.pem \ --embed-certs=true \ --kubeconfig=${ KUBE_CONFIG} kubectl config set-context default \ --cluster=kubernetes \ --user=kube-controller-manager \ --kubeconfig=${ KUBE_CONFIG} kubectl config use-context default --kubeconfig=${ KUBE_CONFIG} #通过命令查看kube-controller-manager.kubeconfig是否生成成功 ll /opt/kubernetes/cfg/kube-controller-manager.kubeconfig -rw------- 1 root root 6348 3月 27 13:15 /opt/kubernetes/cfg/kube-controller-manager.kubeconfig
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
- 24
- 25
- 26
- 27
- 28
- 29
- 30
- 31
- 32
- 33
- 34
- 35
- 36
- 37
3、配置systemd 管理 controller-manager
cat > /usr/lib/systemd/system/kube-controller-manager.service << EOF [Unit] Description=Kubernetes Controller Manager Documentation=https://github.com/kubernetes/kubernetes [Service] EnvironmentFile=/opt/kubernetes/cfg/kube-controller-manager.conf ExecStart=/opt/kubernetes/bin/kube-controller-manager \$KUBE_CONTROLLER_MANAGER_OPTS Restart=on-failure [Install] WantedBy=multi-user.target EOF #启动controller-manager，并设置开机自启动 systemctl daemon-reload systemctl start kube-controller-manager systemctl enable kube-controller-manager systemctl status kube-controller-manager
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
六、部署kube-scheduler——(k8smaser1节点操作)
1、创建kube-scheduler配置文件
cat > /opt/kubernetes/cfg/kube-scheduler.conf << EOF
KUBE_SCHEDULER_OPTS="--logtostderr=false \
--v=2 \
--log-dir=/opt/kubernetes/logs \
--leader-elect \
--kubeconfig=/opt/kubernetes/cfg/kube-scheduler.kubeconfig \\
--bind-address=127.0.0.1"
EOF
– leader-elect： 当该组件启动多个时， 自动选举（ HA）
– kubeconfi：链接apiserver的配置文件
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
2、生成kube-scheduler.kubeconfig文件
#切换目录 cd /root/TLS/k8s/ #创建证书请求文件 cat > kube-scheduler-csr.json << EOF { "CN": "system:kube-scheduler", "hosts": [], "key": { "algo": "rsa", "size": 2048 }, "names": [ { "C": "CN", "L": "BeiJing", "ST": "BeiJing", "O": "system:masters", "OU": "System" } ] } EOF #生成证书 cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes kube-scheduler-csr.json | cfssljson -bare kube-scheduler ll kube-scheduler* -rw-r--r-- 1 root root 1029 3月 27 13:19 kube-scheduler.csr -rw-r--r-- 1 root root 245 3月 27 13:17 kube-scheduler-csr.json -rw------- 1 root root 1675 3月 27 13:19 kube-scheduler-key.pem -rw-r--r-- 1 root root 1424 3月 27 13:19 kube-scheduler.pem **
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
- 24
- 25
- 26
- 27
- 28
- 29
- 30
- 31
- 32
- 33
- 34
- 35
- 36
- 37
- 38
声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/寸_铁/article/detail/811869
推荐阅读
相关标签
