碼上歡樂
相關內容    簡體    繁體

k8s二進制單節點部署

本文轉載自   查看原文   2021-10-27 20:01   125    k8s

目錄

一、常見的k8s部署方式

1.Mini kube Minikube是一個工具，可以在本地快速運行一個單節點微型K8s，僅用於學習預覽K8s的一些特性使用 部署地址: https://kubernetes.io/docs/setup/minikube
2.Kubeadmin Kubeadmin也是一個工具，提供kubeadm init和kubeadm join，用於快速部署K8S集群，相對簡單 https://kubernetes.io/docs/reference/setup-tools/kubeadm/kubeadm/
3.二進制安裝部署 生產首選，從官方下載發行版的二進制包，手動部署每個組件和自簽TLS證書，組成K8s集群，新手推薦 https://github.com/kubernetes/kubernetes/releases

二、Kubernetes二進制部署（單節點）

2.1 環境准備

服務器 ip 組件
k8s集群master1 192.168.80.11 kube-apiserver、kube-controller-manager、kube-scheduler、etcd
k8s集群node1 192.168.80.12 kubelet、kube-proxy、docker、flannel
k8s集群node2 192.168.80.13 kubelet、kube-proxy、docker、flannel 
#關閉防火牆和安全功能
systemctl stop firewalld
systemctl disable firewalld
setenforce 0

#關閉swap
swapoff -a
sed -ir 's/.*swap.*/#&/' /etc/fstab

#設置主機名
hostnamectl set-hostname master01
hostnamectl set-hostname node01
hostnamectl set-hostname node02

#添加hosts
cat >> /etc/hosts << EOF
192.168.80.11 master01
192.168.80.12 node01
192.168.80.13 node02
EOF

#將橋接的ipv4流量傳遞到iptables的鏈
cat > /etc/sysctl.d/k8s.conf << EOF
net.bridge.bridge-nf-call-ip6tables = 1
net.bridge.bridge-nf-call-iptables = 1
EOF

sysctl --system

#時間同步
yum install ntpdate -y
ntpdate time.windows.com




2.2 部署etcd集群(這里就不在單獨的服務器上部署，直接部署在各節點上，節省資源)

1.etcd目前默認使用2379端口提供HTTP API服務，2380端口和peer通信(這兩個端口已經被TAMA(互聯網數字分配機構)官方預留給etced)。即etcd默認使用2379端口對外為客戶端提供通訊，使用端口2380來進行服務器間內部通訊
2.etcd在生產環境中一般推薦集群方式部署。由於etcd的leader選舉機制，要求至少為3台或以上的奇數台
3.etcd作為服務發現系統，有以下的特點:
• 簡單 安裝配置簡單，而且提供了HTTP API進行交互，使用也很簡單
• 安全: 支持SSL證書驗證
• 快速: 單實例支持每秒2k+讀操作
• 可靠: 采用raft算法實現分布式系統數據的可用性和一致性
==========================================================
##准備簽發證書環境
CFSSL是CloudFlare公司開源的一款PKI/TLS工具。CESSL 包含一個命令行工具和一個用於簽名、驗證和捆綁TLS證書的HTTP API服務。使用Go語言編寫。
CFSSL使用配置文件生成證書，因此自簽之前，需要生成它識別的json 格式的配置文件，CFSSL 提供了方便的命令行生成配置文件。
CFSSL用來為etcd提供TLS證書，它支持簽三種類型的證書:
1、client證書，服務端連接客戶端時攜帶的證書，用於客戶端驗證服務端身份，如kube-apiserver 訪問etcd;
2、server證書，客戶端連接服務端時攜帶的證書，用於服務端驗證客戶端身份，如etcd對外提供服務:
3、peer證書，相互之間連接時使用的證書，如etcd節點之間進行驗證和通信。
這里全部都使用同一套證書認證。

2.2.1 下載證書制作工具

curl -L https://pkg.cfssl.org/R1.2/cfssl_linux-amd64 -o /usr/local/bin/cfssl
curl -L https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64 -o /usr/local/bin/cfssljson
curl -L https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64 -o /usr/local/bin/cfssl-certinfo
chmod +x /usr/local/bin/cfssl /usr/local/bin/cfssljson /usr/local/bin/cfssl-certinfo

chmod +x /usr/local/bin/cfssl* 
==========================================================
cfssl: 證書簽發的工具命令
cfssljson: 將cfssl 生成的證書( json格式)變為文件承載式證書
cfssl-certinfo:驗證證書的信息
cfssl-certinfo -cert <證書名稱>
==========================================================

2.2.2 利用etcd-cert.sh生成CA證書、etcd服務器證書以及私鑰

1.創建k8s.工作目錄
mkdir /opt/k8s
cd /opt/k8s/

2.mkdir /opt/k8s/etcd-cert          #創建用於生成CA證書、etcd服務器證書以及私鑰的目錄
cd /opt/k8s/etcd-cert 
vim etcd-cert.sh
----------------------------------------------------------
cat > ca-config.json <<EOF			#CA證書配置文件
{
  "signing": {					#鍵名稱
    "default": {
      "expiry": "87600h"			#證書有效期（10年）
    },
    "profiles": {				#簡介
      "www": {					#名稱
         "expiry": "87600h",
         "usages": [				#使用方法
            "signing",				#鍵
            "key encipherment",			#密鑰驗證（密鑰驗證要設置在CA證書中）
            "server auth",			#服務器端驗證
            "client auth"			#客戶端驗證
        ]
      }
    }
  }
}
EOF
cat > ca-csr.json <<EOF				#CA簽名
{
    "CN": "etcd CA",				#CA簽名為etcd指定（三個節點均需要）
    "key": {
        "algo": "rsa",				#使用rsa非對稱密鑰的形式
        "size": 2048				#密鑰長度為2048
    },
    "names": [					#在證書中定義信息（標准格式）
        {
            "C": "CN",				#名稱
            "L": "Beijing",		
            "ST": "Beijing"		
        }
    ]
}
EOF
cfssl gencert -initca ca-csr.json | cfssljson -bare ca -
cat > server-csr.json <<EOF			#服務器端的簽名
{
    "CN": "etcd",
    "hosts": [					#定義三個節點的IP地址
    "192.168.80.11",
    "192.168.80.12",
    "192.168.80.13"
    ],
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "BeiJing",
            "ST": "BeiJing"
        }
    ]
}
EOF
cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=www server-csr.json | cfssljson -bare server     #cfssl 為證書制作工具
----------------------------------------------------------
chmod +x etcd-cert.sh 
./etcd-cert.sh

2.2.3 利用etcd.sh啟動etcd

1）解壓etcd包

#etcd二進制包地址: https://github.com/etcd-io/etcd/releases
1.上傳etcd-v3.3.10-1inux-amd64.tar.gz 到/opt/k8s/目錄中，解壓etcd 壓縮包
2.cd /opt/k8s/
tar zxvf etcd-v3.3.10-linux-amd64.tar.gz
3.1s etcd-v3.3.10-linux-amd64
Documentation etcd etcdctl README-etcdctl.md README.md
READMEv2-etcdctl.md
==========================================================
etcd就是etcd服務的啟動命令，后面可跟各種啟動參數
etcdct1主要為etcd服務提供了命令行操作
==========================================================

2）創建用於存放etcd配置文件，命令文件，證書的目錄

mkdir -p /opt/etcd/{cfg,bin,ssl}
mv /opt/k8s/etcd-v3.3.10-linux-amd64/etcd /opt/etcd/bin/
mv /opt/k8s/etcd-v3.3.10-linux-amd64/etcdctl /opt/etcd/bin/
cp /opt/k8s/etcd-cert/*.pem /opt/etcd/ssl/


3）編寫etcd.sh啟動etcd（先起一台，再scp）

cd /opt/k8s
vim etcd.sh
----------------------------------------------------------
#!/bin/bash
#以下為使用格式：etcd名稱 當前etcd的IP地址+完整的集群名稱和地址
# example: ./etcd.sh etcd01 192.168.80.11 etcd02=https://192.168.80.12:2380,etcd03=https://192.168.80.13:2380
ETCD_NAME=$1						#位置變量1：etcd節點名稱
ETCD_IP=$2						#位置變量2：節點地址
ETCD_CLUSTER=$3						#位置變量3：集群
WORK_DIR=/opt/etcd					#指定工作目錄
cat <<EOF >$WORK_DIR/cfg/etcd				#在指定工作目錄創建ETCD的配置文件
#[Member]
ETCD_NAME="${ETCD_NAME}"				#etcd名稱
ETCD_DATA_DIR="/var/lib/etcd/default.etcd"
ETCD_LISTEN_PEER_URLS="https://${ETCD_IP}:2380"		#etcd IP地址：2380端口。用於集群之間通訊
ETCD_LISTEN_CLIENT_URLS="https://${ETCD_IP}:2379"	#etcd IP地址：2379端口，用於開放給外部客戶端通訊
#[Clustering]
ETCD_INITIAL_ADVERTISE_PEER_URLS="https://${ETCD_IP}:2380"
ETCD_ADVERTISE_CLIENT_URLS="https://${ETCD_IP}:2379"	#對外提供的url使用https的協議進行訪問
ETCD_INITIAL_CLUSTER="etcd01=https://${ETCD_IP}:2380,${ETCD_CLUSTER}"		#多路訪問
ETCD_INITIAL_CLUSTER_TOKEN="etcd-cluster"		#tokens 令牌環名稱：etcd-cluster
ETCD_INITIAL_CLUSTER_STATE="new"			#狀態，重新創建
EOF
cat <<EOF >/usr/lib/systemd/system/etcd.service		#定義ectd的啟動腳本
[Unit]								#基本項			
Description=Etcd Server					#類似為 etcd 服務
After=network.target					#vu癌症
After=network-online.target
Wants=network-online.target
[Service]						#服務項
Type=notify
EnvironmentFile=${WORK_DIR}/cfg/etcd	#etcd文件位置
ExecStart=${WORK_DIR}/bin/etcd \			#准啟動狀態及以下的參數
--name=\${ETCD_NAME} \
--data-dir=\${ETCD_DATA_DIR} \
--listen-peer-urls=\${ETCD_LISTEN_PEER_URLS} \
--listen-client-urls=\${ETCD_LISTEN_CLIENT_URLS},http://127.0.0.1:2379 \
--advertise-client-urls=\${ETCD_ADVERTISE_CLIENT_URLS} \ #以下為群集內部的設定
--initial-advertise-peer-urls=\${ETCD_INITIAL_ADVERTISE_PEER_URLS} \
--initial-cluster=\${ETCD_INITIAL_CLUSTER} \
--initial-cluster-token=\${ETCD_INITIAL_CLUSTER_TOKEN} \	#群集內部通信，也是使用的令牌，為了保證安全（防范中間人竊取）
--initial-cluster-state=new \
--cert-file=${WORK_DIR}/ssl/server.pem \		#證書相關參數
--key-file=${WORK_DIR}/ssl/server-key.pem \
--peer-cert-file=${WORK_DIR}/ssl/server.pem \
--peer-key-file=${WORK_DIR}/ssl/server-key.pem \
--trusted-ca-file=${WORK_DIR}/ssl/ca.pem \
--peer-trusted-ca-file=${WORK_DIR}/ssl/ca.pem
Restart=on-failure
LimitNOFILE=65536					#開放最多的端口號
[Install]
WantedBy=multi-user.target				#進行啟動
EOF
systemctl daemon-reload					#參數重載
systemctl enable etcd
systemctl restart etcd
----------------------------------------------------------
chmod +x etcd.sh
主機master01：./etcd.sh etcd01 192.168.80.11 etcd02=https://192.168.80.12:2380,etcd03=https://192.168.80.13:2380    #執行腳本

另外打開一個終端窗口查看etcd進程是否正常
ps -ef | grep etcd

//把etcd相關證書文件和命令文件全部拷貝到另外兩個etcd集群節點
scp -r /opt/etcd/ root@192.168.80.12:/opt/
scp -r /opt/etcd/ root@192.168.80.13:/opt/

//把etcd服務管理文件拷貝到另外兩個etcd集群節點
scp /usr/lib/systemd/system/etcd.service root@192.168.80.12:/usr/lib/systemd/system/
scp /usr/lib/systemd/system/etcd.service root@192.168.80.13:/usr/lib/systemd/system/

修改vim /opt/etcd/cfg/etcd文件，每一台主機都有自己的etc編號和ip，除了集群那行一致，其他都要修改成本機ip和etc編號

再次systemctl daemon-reload					#參數重載
systemctl enable etcd
systemctl restart etcd




2.2.4 在master01節點上測試健康檢查

1.ln -s /opt/etcd/bin/etcd* /usr/local/bin 
2.檢查etcd群集狀態
cd /opt/etcd/ssl
etcdctl \
--ca-file=ca.pem \
--cert-file=server.pem \
--key-file=server-key.pem \
--endpoints="https://192.168.80.11:2379,https://192.168.80.12:2379,https://192.168.80.13:2379" \
cluster-health
==========================================================
--cert-file:識別HTTPS端使用sSL證書文件
--key-file: 使用此SSL密鑰文件標識HTTPS客戶端
-ca-file:使用此CA證書驗證啟用https的服務器的證書
--endpoints:集群中以逗號分隔的機器地址列表
cluster-health:檢查etcd集群的運行狀況
==========================================================
3.切換到etcd3版本查看集群節點狀態和成員列表
export ETCDCTL_API=3
#v2和v3命令略有不同，etcd2 和etcd3也是不兼容的，默認是v2版本
etcdctl --write-out=table endpoint status
etcdctl --write-out=table member list
export ETCDCTL_API=2
#再切回v2版本


2.3 部署docker引擎（node節點上部署）

yum install -y yum-utils device-mapper-persistent-data lvm2
yum-config-manager --add-repo https://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo
yum install -y docker-ce docker-ce-cli containerd.io

systemctl start docker.service
systemctl enable docker.service

2.4 flannel網絡配置

2.4.1 K8S中Pod網絡通信的方式

1.Pod內容器與容器之間的通信：
在同一個Pod內的容器(Pod內的容器是不會跨宿主機的)共享同一個網絡命令空間，相當於它們在網一台機器上一樣，可以用localhost地址訪間彼此的端口
2.同一個Node內Pod之間的通信：
每個Pod 都有一個真實的全局IP地址，同一個Node 內的不同Pod之間可以直接采用對方Pod的IP地址進行通信，Pod1與Pod2都是通過veth連接到同一個docker0網橋，網段相同，所以它們之間可以直接通信
3.不同Node上Pod之間的通信：
Pod地址與docker0在同一網段，dockor0網段與宿主機網卡是兩個不同的網段，且不同Nodo之間的通信貝能通過宿主機的物理網卡進行

2.4.2 不同Node上Pod之間的通信介紹

要想實現不同Node上Pod之間的通信，就必須想辦法通過主機的物理網卡IP地址進行尋址和通信。因此要滿足兩個條件:
1.Pod的IP不能沖突:
2.將Pod的IP和所在的Node的IP關聯起來，通過這個關聯讓不同Node上Pod之間直接通過內網IP地址通信。

1.Overlay Network:
疊加網絡，在二層或者三層基礎網絡上疊加的一種虛擬網絡技術模式，該網絡中的主機通過虛擬鏈路隧道連接起來(類似於VPN)
2.VXLAN:
將源數據包封裝到UDP中，並使用基礎網絡的IP/MAC作為外層報文頭進行封裝，然后在以太網上傳輸，到達目的地后由隧道端點解封裝並將數據發送給目標地址
3.Flannel:
Flannel的功能是讓集群中的不同節點主機創建的Docker容器都具有全集群唯一的虛擬IP地址,Flannel是Overlay 網絡的一種，也是將TCP 源數據包封裝在另一種網絡 包里而進行路由轉發和通信，目前己經支持UDP、VXLAN、AwS VPC等數據轉發方式
4.ETCD之Flannel提供說明:
存儲管理Flanne1可分配的IP地址段資源；監控ETCD中每個Pod 的實際地址，並在內存中建立維護Pod節點路由表

2.4.3 Flannel工作原理

node1上的pod1要和node2上的pod1進行通信

1.數據從node1上的Pod1源容器中發出，經由所在主機的docker0虛擬網卡轉發到flannel0虛擬網卡；
2.在flannel0網卡有個flanneld服務把podip封裝到udp中（里面封裝的是源pod IP和目的pod IP);
3.根據在etcd保存的路由表信息，通過物理網卡發送給目的node2節點，數據包到達目標node2節點會被flanneld服務來進行解封裝暴露出udp里的podIP;
4.最后根據目的podIP經flannel0虛擬網卡和docker0虛擬網卡轉發到目的pod中，最后完成通信

2.4.4 配置flannel網絡

1）master01節點上操作

//添加flannel網絡配置信息，寫入分配的子網段到etcd 中，供flannel使用
cd /opt/etcd/ssl
/opt/etcd/bin/etcdctl \
--ca-file=ca.pem \
--cert-file=server.pem \
--key-file=server-key.pem \
--endpoints="https://192.168.80.11:2379,https://192.168.80.12:2379,https://192.168.80.13:2379" \
set /coreos.com/network/config '{"Network": "172.17.0.0/16","Backend": {"Type": "vxlan"}}'

//查看寫入的信息
/opt/etcd/bin/etcdctl \
--ca-file=ca.pem \
--cert-file=server.pem \
--key-file=server-key.pem \
--endpoints="https://192.168.80.11:2379,https://192.168.80.12:2379,https://192.168.80.13:2379" \
get /coreos.com/network/config

---------------------------------------------------------
set /coreos.com/network/confiq添加一條網絡配置記求，這個配置將用於flannel分配給每個docker的虛擬IP地址段
get <ckey> 
got /coreos.com/octwork/config獲取網絡配置記錄，后面不用再跟參數了
Network:用於指定Flane1地址池
Backend:用於指定數據包以什么方式轉發，默認為udp模式，Backend為vxlan比起預設的udp性能相對好一些
--------------------------------------------------------

2）在所有node節點上操作

1.將flanne1-v0.10.0-1inux-amd64.tar.gz到/opt目錄中，解壓flannel壓縮包
cd /opt
tar zxvf flannel-v0.10.0-linux-amd64.tar.gz
flanneld         #flanneld為主要的執行文件
mk-docker-opts.sh   #mk-docker-opts.sh腳本用於生成Docker啟動參數
README.md


2.創建kubernetes工作目錄
mkdir -p /opt/kubernetes/{cfg,bin,ssl}
cd /opt
mv mk-docker-opts.sh flanneld /opt/kubernetes/bin/


3.利用腳本啟動flanneld服務，開啟flannel網絡功能
cd /opt
vim flannel.sh
==========================================================
==========================================================
#!/bin/bash
--------------定義etcd集群的端點IP地址和對外提供服務的2379端口
ETCD_ENDPOINTS=${1:-"http://127.0.0.1:2379"}   #${var:-string}：若變量var為空，則用在命令行中用string來替換；否則變量var不為空時>，則用變量var的值來替換，這里的1代表的是位置變量$1
--------------#創建flanneld配置文件
cat > /opt/kubernetes/cfg/flanneld <<EOF   
FLANNEL_OPTIONS="--etcd-endpoints=${ETCD_ENDPOINTS} \\
-etcd-cafile=/opt/etcd/ssl/ca.pem \\
-etcd-certfile=/opt/etcd/ssl/server.pem \\
-etcd-keyfile=/opt/etcd/ssl/server-key.pem"
EOF   #flanneld本應使用etcd客戶端TLS相關證書（client 證書），這里全部都使用同一套證書認證。
---------------#創建flanneld.service服務管理文件
cat > /usr/lib/systemd/system/flanneld.service <<EOF
[Unit]
Description=Flanneld overlay address etcd agent
After=network-online.target network.target
Before=docker.service

[Service]
Type=notify
EnvironmentFile=/opt/kubernetes/cfg/flanneld
ExecStart=/opt/kubernetes/bin/flanneld --ip-masq \$FLANNEL_OPTIONS
ExecStartPost=/opt/kubernetes/bin/mk-docker-opts.sh -k DOCKER_NETWORK_OPTIONS -d /run/flannel/subnet.env
Restart=on-failure

[Install]
WantedBy=multi-user.target

EOF

#flanneld啟動后會使用 mk-docker-opts.sh 腳本生成 docker 網絡相關配置信息
#mk-docker-opts.sh -k DOCKER_NETWORK_OPTIONS：將組合選項鍵設置為環境變量DOCKER_NETWORK_OPTIONS，docker啟動時將使用此變量
#mk-docker-opts.sh -d /run/flannel/subnet.env：指定要生成的docker網絡相關信息配置>文件的路徑，docker啟動時候引用此配置

---------------啟動flanneld服務
systemctl daemon-reload
systemctl enable flanneld
systemctl restart flanneld
==========================================================
==========================================================
chmod +x flannel.sh
./flannel.sh https://192.168.80.11:2379,https://192.168.80.12:2379,https://192.168.80.13:2379


4.查看 cat /run/flannel/subnet.env
flanne1啟動后會生成一個docker網絡相關信息配置文件/run/flannel/subnet.env，包含了docker要使用flannel通訊的相關參數
cat /run/flannel/subnet.env
DOCKER_OPT_BIP="--bip=172.17.85.1/24"
DOCKER_OPT_IPMASQ="--ip-masq= false"
DOCKER_OPT_MTU="--mtu=1450"
DOCKER_NETWORK_OPTIONS=" --bip=172.17.85.1/24 --ip-masq=false --mtu=1450"
------------------------------------------------
--bi: 指定docker 啟動時的子網
--ip-masq: 設置ipmasq=false 關閉snat 偽裝策略
--mtu=1450:mtu要留出50字節給外層的vxlan封包的額外開銷使用
Flannel啟動過程解析:
1、從etcd中獲取network的配置信息
2、划分subnet， 並在etcd中進行注冊
3、將子網信息記錄到/run/flannel/subnet.env中
------------------------------------------------


5.修改docker服務管理文件，配置docker連接flannel
vim /lib/systemd/system/docker.service
[Service]
Type=notify
# the default is not to use systemd for cgroups because the delegate issues stillt
# exists and systemd currently dges not support the cgroup feature set requi red 
# for containers run by docker
EnvironmentFile=/run/flannel/subnet.env      #添加
ExecStart=/usr/bin/dockerd $DOCKER_NETWORK_OPTIONS -H fd:// --containerd=/run/containerd/containerd.sock
#修改
ExecReload=/bin/kill -s HUP $MAINPID
TimeoutSec=0
RestartSec=2
Restart=always 


6.重啟docker服務
systemctl daemon-reload
systemctl restart docker

ifconfig #查看flannel網絡



7.測試ping通對方docker0網卡 證明flannel起到路由作用
ping 172.17.38.1  

docker run -it centos:7 /bin/bash     #node1和node2都運行該命令
 
yum install net-tools -y       #node1和node2都運行該命令

ifconfig  //再次測試ping通兩個node中的centos:7容器



2.5 部署master組件（apiserver、scheduler、controller-manager）

2.5.1 上傳master.zip和k8s-cert.sh到/opt/k8s目錄中，解壓master.zip壓縮包

cd /opt/k8s/
unzip master.zip
apiserver.sh
scheduler.sh
controller-manager.sh

chmod +x * .sh

2.5.2 創建kubernetes工作目錄

mkdir -p /opt/kubernetes/{cfg,bin,ssl}

2.5.3 創建用於生成CA證書、相關組件的證書和私鑰的目錄

mkdir /opt/k8s/k8s-cert
mv /opt/k8s/k8s-cert.sh /opt/k8s/k8s-cert
cd /opt/k8s/k8s-cert/
vim k8s-cert.sh
==========================================================
#!/bin/bash
#配置證書生成策略，讓 CA 軟件知道頒發有什么功能的證書，生成用來簽發其他組件證書的根證書
cat > ca-config.json <<EOF
{
  "signing": {
    "default": {
      "expiry": "87600h"
    },
    "profiles": {
      "kubernetes": {
         "expiry": "87600h",
         "usages": [
            "signing",
            "key encipherment",
            "server auth",
            "client auth"
        ]
      }
    }
  }
}
EOF

#生成CA證書和私鑰（根證書和私鑰）
cat > ca-csr.json <<EOF
{
    "CN": "kubernetes",
    "key": {
      "algo": "rsa",
      "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "Beijing",
            "ST": "Beijing",
            "O": "k8s",
            "OU": "System"
        }
    ]
}
EOF

cfssl gencert -initca ca-csr.json | cfssljson -bare ca -


#-----------------------
#生成 apiserver 的證書和私鑰（apiserver和其它k8s組件通信使用）
#hosts中將所有可能作為 apiserver 的 ip 添加進去，后面 keepalived 使用的 VIP 也要加入
cat > apiserver-csr.json <<EOF
{
    "CN": "kubernetes",
    "hosts": [
      "10.0.0.1",
      "127.0.0.1",
      "192.168.80.11",          #master01
      "192.168.80.16",          #master02
      "192.168.80.100",         #vip，后面 keepalived 使用
      "kubernetes",
      "kubernetes.default",
      "kubernetes.default.svc",
      "kubernetes.default.svc.cluster",
      "kubernetes.default.svc.cluster.local"
    ],
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "BeiJing",
            "ST": "BeiJing",
            "O": "k8s",
            "OU": "System"
        }
    ]
}
EOF

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes apiserver-csr.json | cfssljson -bare apiserver


#-----------------------
#生成 kubectl 的證書和私鑰，具有admin權限
cat > admin-csr.json <<EOF
{
  "CN": "admin",
  "hosts": [],
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "L": "BeiJing",
      "ST": "BeiJing",
      "O": "system:masters",
      "OU": "System"
    }
  ]
}
EOF

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes admin-csr.json | cfssljson -bare admin


#-----------------------
#生成 kube-proxy 的證書和私鑰
cat > kube-proxy-csr.json <<EOF
{
  "CN": "system:kube-proxy",
  "hosts": [],
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "L": "BeiJing",
      "ST": "BeiJing",
      "O": "k8s",
      "OU": "System"
    }
  ]
}
EOF

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes kube-proxy-csr.json | cfssljson -bare kube-proxy
==========================================================
./k8s-cert.sh

//controller-manager和kube-scheduler設置為只調用當前機器的apiserver, 使用127.0.0.1:8080 通信，因此不需要簽發證書


2.5.4 復制CA證書、apiserver相關證書和私鑰到kubernetes工作目錄的ssl子目錄中

cp ca*pem apiserver*pem /opt/kubernetes/ssl/

2.5.5 上傳kubernetes-server-linux-amd64.tar.gz到/opt/k8s/目錄中，解壓包

cd /opt/k8s/
tar zxvf kubernetes-server-linux-amd64.tar.gz

2.5.6 復制master組件的關鍵命令文件到kubernetes工作目錄的bin子目錄中

cd /opt/k8s/kubernetes/server/bin
cp kube-apiserver kubectl kube-controller-manager kube-scheduler /opt/kubernetes/bin/
ln -s /opt/kubernetes/bin/* /usr/local/bin/

2.5.7 創建bootstrap token認證文件，apiserver啟動時會調用

相當於在集群內創建了一個這個用戶，接下來就可以用RBAC
給他授權

1.head -c 16 /dev/urandom | od -An -t x | tr -d ' '   #獲取隨機數前16個字節內容，以十六進制格式輸出，並刪除其中空格
結果是：0f5bcf92ea0419148ac450d7a0e87c2a

2.cd /opt/k8s/
vim token.sh
==========================================================
#!/bin/bash

#生成token.csv 文件，按照Token序列號,用戶名,UID,用戶組的格式生成
cat > /opt/kubernetes/cfg/token.csv <<EOF
0f5bcf92ea0419148ac450d7a0e87c2a,kubelet-bootstrap,10001,"system: kubelet-bootstrap"
EOF
==========================================================
chmod +x token.sh
./token.sh

cat /opt/kubernetes/cfg/token.csv



2.5.8 開啟apiserver服務，檢查進程是否啟動成功

二進制文件、token、證書都准備好
cd /opt/k8s/
./apiserver.sh 192.168.80.11 https://192.168.80.11:2379,https://192.168.80.12:2379,https://192.168.80.13:2379   #開啟apiserver服務

ps aux | grep kube-apiserver

2.5.9 查看6443、8080兩個端口和版本信息

k8s通過kube- apiserver這個進程提供服務，該進程運行在單個master節點上。默認有兩個端口6443和8080
//安全端口6443用於接收HTTPS請求，用於基於Token文件或客戶端證書等認證
netstat -natp | grep 6443

//本地端口8080用於接收HTTP請求，非認證或授權的HTTP請求通過該端口訪問APIServer
netstat -natp | grep 8080

//查看版本信息(必須保證apiserver啟動正常，不然無法查詢到server的版本信息)
kubectl version


2.5.10 啟動scheduler和controller-manager

1.啟動scheduler服務
cd /opt/k8s/
vim scheduler.sh
==========================================================
!/bin/bash
#創建 kube-scheduler 啟動參數配置文件
MASTER_ADDRESS=$1

cat >/opt/kubernetes/cfg/kube-scheduler <<EOF
KUBE_SCHEDULER_OPTS="--logtostderr=true \\
--v=4 \\
--master=${MASTER_ADDRESS}:8080 \\
--leader-elect=true"
EOF

#--master：監聽 apiserver 的地址和8080端口
#--leader-elect=true：啟動 leader 選舉
#k8s中Controller-Manager和Scheduler的選主邏輯：k8s中的etcd是整個集群所有狀態信息的存儲，>涉及數據的讀寫和多個etcd之間數據的同步，對數據的一致性要求嚴格，所以使用較復雜的 raft 算>法來選擇用於提交數據的主節點。而 apiserver 作為集群入口，本身是無狀態的web服務器，多個 apiserver 服務之間直接負載請求並不需要做選主。Controller-Manager 和 Scheduler 作為任務類型>的組件，比如 controller-manager 內置的 k8s 各種資源對象的控制器實時的 watch apiserver 獲>取對象最新的變化事件做期望狀態和實際狀態調整，調度器watch未綁定節點的pod做節點選擇，顯然>多個這些任務同時工作是完全沒有必要的，所以 controller-manager 和 scheduler 也是需要選主的
，但是選主邏輯和 etcd 不一樣的，這里只需要保證從多個 controller-manager 和 scheduler 之間
選出一個 leader 進入工作狀態即可，而無需考慮它們之間的數據一致和同步。


#創建 kube-scheduler.service 服務管理文件
cat >/usr/lib/systemd/system/kube-scheduler.service <<EOF
[Unit]
Description=Kubernetes Scheduler
Documentation=https://github.com/kubernetes/kubernetes

[Service]
EnvironmentFile=-/opt/kubernetes/cfg/kube-scheduler
ExecStart=/opt/kubernetes/bin/kube-scheduler \$KUBE_SCHEDULER_OPTS
Restart=on-failure

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable kube-scheduler
systemctl restart kube-scheduler
==========================================================
./scheduler.sh 127.0.0.1

ps aux | grep kube-scheduler

2.啟動controller-manager服務
cd /opt/k8s/
vim controller-manager.sh
==========================================================
#!/bin/bash
#創建 kube-controller-manager 啟動參數配置文件
MASTER_ADDRESS=$1

cat >/opt/kubernetes/cfg/kube-controller-manager <<EOF
KUBE_CONTROLLER_MANAGER_OPTS="--logtostderr=true \\
--v=4 \\
--master=${MASTER_ADDRESS}:8080 \\
--leader-elect=true \\
--address=127.0.0.1 \\
--service-cluster-ip-range=10.0.0.0/24 \\
--cluster-name=kubernetes \\
--cluster-signing-cert-file=/opt/kubernetes/ssl/ca.pem \\
--cluster-signing-key-file=/opt/kubernetes/ssl/ca-key.pem  \\
--root-ca-file=/opt/kubernetes/ssl/ca.pem \\
--service-account-private-key-file=/opt/kubernetes/ssl/ca-key.pem \\
--experimental-cluster-signing-duration=87600h0m0s"
EOF

#--cluster-name=kubernetes：集群名稱，與CA證書里的CN匹配
#--cluster-signing-cert-file：指定簽名的CA機構根證書，用來簽名為 TLS BootStrapping 創建的
證書和私鑰
#--root-ca-file：指定根CA證書文件路徑，用來對 kube-apiserver 證書進行校驗，指定該參數后，
才會在 Pod 容器的 ServiceAccount 中放置該 CA 證書文件
#--experimental-cluster-signing-duration：設置為 TLS BootStrapping 簽署的證書有效時間為10年，默認為1年

#創建 kube-controller-manager.service 服務管理文件
cat >/usr/lib/systemd/system/kube-controller-manager.service <<EOF
[Unit]
Description=Kubernetes Controller Manager
Documentation=https://github.com/kubernetes/kubernetes

[Service]
EnvironmentFile=-/opt/kubernetes/cfg/kube-controller-manager
ExecStart=/opt/kubernetes/bin/kube-controller-manager \$KUBE_CONTROLLER_MANAGER_OPTS
Restart=on-failure

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable kube-controller-manager
systemctl restart kube-controller-manager
==========================================================
./controller-manager.sh 127.0.0.1

3.查看節點狀態
kubectl get cs



2.6 部署node組件（kubelet、kube-proxy）

2.6.1 將主節點上kubelet、kube-proxy拷貝到node節點

======在master1 節點上操作======
//把kubelet、 kube-proxy拷貝到node 節點
cd /opt/k8s/kubernetes/server/bin
scp kubelet kube-proxy root0192.168.80.12:/opt/kubernetes/bin/
scp kubelet kube-proxy root@192.168.80.13:/opt/kubernetes/bin/


2.6.2 在node01節點上操作

//上傳node.zip到/opt目錄中，解壓node.zip壓縮包，獲得kubelet.sh、proxy.sh
cd /opt/
unzip node.zip

2.6.3 在master1節點上操作

1）創建用於生成kubelet的配置文件的目錄

mkdir /opt/k8s/kubeconfig

2）利用kubeconfig.sh文件到/opt/k8s/kubeconfig目錄中

#kubeconfig.sh文件包含集群參數(CA證書、API Server地址)，客戶端參數(上面生成的證書和私鑰)，集群context上下文參數(集群名稱、用戶名)。Kubenetes組件(如kubelet、kube-proxy) 通過啟動時指定不同的kubeconfig文件可以切換到不同的集群，連接到apiserver
cd /opt/k8s/kubeconfig
vim kubeconfig.sh
==========================================================
#!/bin/bash
#example: kubeconfig 192.168.80.10 /opt/k8s/k8s-cert/
#創建bootstrap.kubeconfig文件
#該文件中內置了 token.csv 中用戶的 Token，以及 apiserver CA 證書；kubelet 首次啟動會加載>此文件，使用 apiserver CA 證書建立與 apiserver 的 TLS 通訊，使用其中的用戶 Token 作為身份
標識向 apiserver 發起 CSR 請求

BOOTSTRAP_TOKEN=$(awk -F ',' '{print $1}' /opt/kubernetes/cfg/token.csv)
APISERVER=$1
SSL_DIR=$2

export KUBE_APISERVER="https://$APISERVER:6443"

# 設置集群參數
kubectl config set-cluster kubernetes \
  --certificate-authority=$SSL_DIR/ca.pem \
  --embed-certs=true \
  --server=${KUBE_APISERVER} \
  --kubeconfig=bootstrap.kubeconfig
#--embed-certs=true：表示將ca.pem證書寫入到生成的bootstrap.kubeconfig文件中

# 設置客戶端認證參數，kubelet 使用 bootstrap token 認證
kubectl config set-credentials kubelet-bootstrap \
  --token=${BOOTSTRAP_TOKEN} \
  --kubeconfig=bootstrap.kubeconfig

# 設置上下文參數
kubectl config set-context default \
  --cluster=kubernetes \
  --user=kubelet-bootstrap \
  --kubeconfig=bootstrap.kubeconfig

# 使用上下文參數生成 bootstrap.kubeconfig 文件
kubectl config use-context default --kubeconfig=bootstrap.kubeconfig

#----------------------

#創建kube-proxy.kubeconfig文件
# 設置集群參數
kubectl config set-cluster kubernetes \
  --certificate-authority=$SSL_DIR/ca.pem \
  --embed-certs=true \
  --server=${KUBE_APISERVER} \
  --kubeconfig=kube-proxy.kubeconfig

# 設置客戶端認證參數，kube-proxy 使用 TLS 證書認證
kubectl config set-credentials kube-proxy \
  --client-certificate=$SSL_DIR/kube-proxy.pem \
  --client-key=$SSL_DIR/kube-proxy-key.pem \
  --embed-certs=true \
  --kubeconfig=kube-proxy.kubeconfig
# 設置上下文參數
kubectl config set-context default \
  --cluster=kubernetes \
  --user=kube-proxy \
  --kubeconfig=kube-proxy.kubeconfig

# 使用上下文參數生成 kube-proxy.kubeconfig 文件
kubectl config use-context default --kubeconfig=kube-proxy.kubeconfig
==========================================================
chmod +x kubeconfig.sh

3）執行腳本生成kubelet的配置文件

cd /opt/k8a/kubeconfig
./kubeconfig.sh 192.168.80.11 /opt/k8s/k8s-cert/

4）把配置文件bootstrap.kubeconfig、kube-proxy.kubeconfig拷貝到node節點

cd /opt/k8s/kubeconfig
scp bootstrap.kubeconfig kube-proxy.kubeconfig root@192.168.80.12:/opt/kubernetes/cfg/
scp bootstrap.kubeconfig kube-proxy.kubeconfig root@192.168.80.13:/opt/kubernetes/cfg/

5）RBAC授權

RBAC授權，將預設用戶kubelet-bootatrap 與內置的ClusterRole system:node-bootatrapper 綁定到一起，使其能夠發起CSR請求

命令：kubectl create clusterrolebinding kubelet-bootstrap --clusterrole=system:node-bootstrapper --user=kubelet-bootstrap
----------------------------------------------------------
kubelet采用TLS Bootstrapping 機制，自 動完成到kube -apiserver的注冊，在node節點量較大或者后期自動擴容時非常有用。
Master apiserver 啟用TLS 認證后，node 節點kubelet 組件想要加入集群，必須使用CA簽發的有效證書才能與apiserver 通信，當node節點很多時，簽署證書是一件很繁瑣的事情。因此Kubernetes 引入了TLS bootstraping 機制來自動頒發客戶端證書，kubelet會以一個低權限用戶自動向apiserver 申請證書，kubelet 的證書由apiserver 動態簽署。

kubelet首次啟動通過加載bootstrap.kubeconfig中的用戶Token 和apiserver CA證書發起首次CSR請求，這個Token被預先內置在apiserver 節點的token.csv 中，其身份為kubelet-bootstrap 用戶和system: kubelet- bootstrap用戶組:想要首次CSR請求能成功(即不會被apiserver 401拒絕)，則需要先創建一個ClusterRoleBinding， 將kubelet-bootstrap 用戶和system:node - bootstrapper內置ClusterRole 綁定(通過kubectl get clusterroles 可查詢)，使其能夠發起CSR認證請求。

TLS bootstrapping 時的證書實際是由kube-controller-manager組件來簽署的，也就是說證書有效期是kube-controller-manager組件控制的; kube-controller-manager 組件提供了一個--experimental-cluster-signing-duration
參數來設置簽署的證書有效時間:默認為8760h0m0s， 將其改為87600h0m0s， 即10年后再進行TLS bootstrapping 簽署證書即可。

也就是說kubelet 首次訪問API Server 時，是使用token 做認證，通過后，Controller Manager 會為kubelet生成一個證書，以后的訪問都是用證書做認證了。
----------------------------------------------------------

6）查看角色和已授權的角色

//查看角色:
kubectl get clusterroles | grep system:node-bootstrapper

//查看已授權的角色:
kubectl get clusterrolebinding

2.6.4 在node1節點上操作

1）使用kubelet.sh腳本啟動kubelet服務

cd /opt/
vim kubelet.sh 
==========================================================
#!/bin/bash

NODE_ADDRESS=$1
DNS_SERVER_IP=${2:-"10.0.0.2"}

#創建 kubelet 啟動參數配置文件
cat >/opt/kubernetes/cfg/kubelet <<EOF
KUBELET_OPTS="--logtostderr=true \\
--v=4 \\
--hostname-override=${NODE_ADDRESS} \\
--kubeconfig=/opt/kubernetes/cfg/kubelet.kubeconfig \\
--bootstrap-kubeconfig=/opt/kubernetes/cfg/bootstrap.kubeconfig \\
--config=/opt/kubernetes/cfg/kubelet.config \\
--cert-dir=/opt/kubernetes/ssl \\
--pod-infra-container-image=registry.cn-hangzhou.aliyuncs.com/google-containers/pause-amd64:3.0"
EOF

#--hostname-override：指定kubelet節點在集群中顯示的主機名或IP地址，默認使用主機hostname；kube-proxy和kubelet的此項參數設置必須完全一致
#--kubeconfig：指定kubelet.kubeconfig文件位置，用於如何連接到apiserver，里面含有kubelet證書，master授權完成后會在node節點上生成 kubelet.kubeconfig 文件
#--bootstrap-kubeconfig：指定連接 apiserver 的 bootstrap.kubeconfig 文件
#--config：指定kubelet配置文件的路徑，啟動kubelet時將從此文件加載其配置
#--cert-dir：指定master頒發的客戶端證書和密鑰保存位置
#--pod-infra-container-image：指定Pod基礎容器（Pause容器）的鏡像。Pod啟動的時候都>會啟動一個這樣的容器，每個pod之間相互通信需要Pause的支持，啟動Pause需要Pause基礎鏡像

#----------------------
#創建kubelet配置文件（該文件實際上就是一個yml文件，語法非常嚴格，不能出現tab鍵，冒
號后面必須要有空格，每行結尾也不能有空格）
cat >/opt/kubernetes/cfg/kubelet.config <<EOF
kind: KubeletConfiguration
apiVersion: kubelet.config.k8s.io/v1beta1
address: ${NODE_ADDRESS}
port: 10250
readOnlyPort: 10255
cgroupDriver: cgroupfs
clusterDNS:
- ${DNS_SERVER_IP} 
clusterDomain: cluster.local.
failSwapOn: false
authentication:
  anonymous:
    enabled: true
EOF

#PS：當命令行參數與此配置文件（kubelet.config）有相同的值時，就會覆蓋配置文件中的>該值。


#----------------------
#創建 kubelet.service 服務管理文件
cat >/usr/lib/systemd/system/kubelet.service <<EOF
[Unit]
Description=Kubernetes Kubelet
After=docker.service
Requires=docker.service

[Service]
EnvironmentFile=/opt/kubernetes/cfg/kubelet
ExecStart=/opt/kubernetes/bin/kubelet \$KUBELET_OPTS
Restart=on-failure
KillMode=process

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable kubelet
systemctl restart kubelet
==========================================================
chmod +x kubelet.sh 
./kubelet.sh 192.168.80.12

2）檢查kubelet服務啟動和有無生成證書

1.檢查kubelet服務啟動
ps aux | grep kubelet
2.此時還沒有生成證書
ls /opt/kubernetes/ssl/

2.6.5 在master1節點上操作

1）檢查到node1節點的kubelet發起的CSR請求

#Pending表示等待集群給該節點簽發證書
命令：kubectl get csr

2）通過CSR請求

命令：kubectl certificate approve 具體NAME

kubectl certificate approve node-csr-RouehCYPboEYvsNQDEzv-IGJyrAbZlRTkTqklqj2v8Y

kubectl get csr #再次查看CSR請求狀態，Approved, Issued表示已授權CSR請求並簽發證書

3）查看群集節點狀態，成功加入node1節點

kubectl get nodes

2.6.6 在切回node1節點上操作

1）查看有無生成證書和kubelet.kubeconfig文件

ls /opt/kubernetes/cfg/kubelet.kubeconfig
ls /opt/kubernetes/ssl/

2）加載ip_vs模塊

for i in $(ls /usr/lib/modules/$(uname -r)/kernel/net/netfilter/ipvs|grep -o "^[^.]*");do echo $i; /sbin/modinfo -F filename $i >/dev/null 2>&1 && /sbin/modprobe $i;done

3）使用proxy.sh腳本啟動proxy服務

cd /opt/
vim proxy.sh 
==========================================================
#!/bin/bash

NODE_ADDRESS=$1

#創建 kube-proxy 啟動參數配置文件
cat >/opt/kubernetes/cfg/kube-proxy <<EOF
KUBE_PROXY_OPTS="--logtostderr=true \\
--v=4 \\
--hostname-override=${NODE_ADDRESS} \\
--cluster-cidr=172.17.0.0/16 \\
--proxy-mode=ipvs \\
--kubeconfig=/opt/kubernetes/cfg/kube-proxy.kubeconfig"
EOF

#--hostnameOverride: 參數值必須與 kubelet 的值一致，否則 kube-proxy 啟動后會找不到
該 Node，從而不會創建任何 ipvs 規則
#--cluster-cidr：指定 Pod 網絡使用的聚合網段，Pod 使用的網段和 apiserver 中指定的 service 的 cluster ip 網段不是同一個網段。 kube-proxy 根據 --cluster-cidr 判斷集群
內部和外部流量，指定 --cluster-cidr 選項后 kube-proxy 才會對訪問 Service IP 的請求
做 SNAT，即來自非 Pod 網絡的流量被當成外部流量，訪問 Service 時需要做 SNAT。
#--proxy-mode：指定流量調度模式為 ipvs 模式
#--kubeconfig: 指定連接 apiserver 的 kubeconfig 文件  

#----------------------
#創建 kube-proxy.service 服務管理文件
cat >/usr/lib/systemd/system/kube-proxy.service <<EOF
[Unit]
Description=Kubernetes Proxy
After=network.target

[Service]
EnvironmentFile=-/opt/kubernetes/cfg/kube-proxy
ExecStart=/opt/kubernetes/bin/kube-proxy \$KUBE_PROXY_OPTS
Restart=on-failure

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable kube-proxy
systemctl restart kube-proxy
==========================================================
chmod +x proxy.sh 
./proxy.sh 192.168.80.12

2.6.7 node2節點部署

1.在node1節點上將kubelet.sh、proxy.sh文件拷貝到node2節點
cd /opt/
scp kubelet.sh proxy.sh root@192.168.80.12:/opt/


2.使用kubelet.sh腳本啟動kubelet服務
cd /opt/
chmod +x kubelet.sh 
./kubelet.sh 192.168.80.13


3.在master1節點上操作,檢查到node2節點的kubelet 發起的CSR請求，Pending 表示等待集群給該節點簽發證書.
kubectl get csr


4.通過CSR請求
kubectl certificate approve node-csr-QRmSFoLh1q2SWX5XDBdR9AC2i5T9FZLoA8QiMd0y_no 

kubectl get csr  #再次查看CSR請求狀態，Approved, Issued表示已授權CSR請求並簽發證書


5.查看群集節點狀態，成功加入node2節點
kubectl get nodes


6.在node2節點加載ip_vs模塊
for i in $(ls /usr/lib/modules/$(uname -r)/kernel/net/netfilter/ipvs|grep -o "^[^.]*");do echo $i; /sbin/modinfo -F  filename $i >/dev/null 2>&1 && /sbin/modprobe $i;done


7.使用proxy.sh腳本啟動proxy服務
cd /opt/
chmod +x proxy.sh 
./proxy.sh 192.168.80.13

systemctl status kube-proxy.service

2.7 創建pod測試

================在master01主節點創建pod===================
1.創建nginx的pod
kubectl create deployment nginx --image=nginx
2.獲取所有創建的pod
kubectl get pod
3.查看某個pod
kubectl describe pod +具體pod名字
4..查看具體某個pod
kubectl get pod -o wide
================在node1節點上測試pod的ip==================
命令：curl pod的ip




2.8 編寫admin.sh腳本使得k8s具有管理員權限

vim admin.sh    #在主節點上編寫
==========================================================
#!/bin/bash
mkdir /root/.kube
KUBE_CONFIG="/root/.kube/config"
KUBE_APISERVER="https://192.168.80.11:6443"

cd /opt/k8s/k8s-cert/

kubectl config set-cluster kubernetes \
  --certificate-authority=/opt/kubernetes/ssl/ca.pem \
  --embed-certs=true \
  --server=${KUBE_APISERVER} \
  --kubeconfig=${KUBE_CONFIG}
kubectl config set-credentials cluster-admin \
  --client-certificate=./admin.pem \
  --client-key=./admin-key.pem \
  --embed-certs=true \
  --kubeconfig=${KUBE_CONFIG}
kubectl config set-context default \
  --cluster=kubernetes \
  --user=cluster-admin \
  --kubeconfig=${KUBE_CONFIG}
kubectl config use-context default --kubeconfig=${KUBE_CONFIG}
=========================================================
chmod +x admin.sh
./admin

三、總結

3.1 k8s集群單節點搭建：

1.etcd
2.flannel
3.master（apiserver、scheduler、controller-manager）
4.node（kubelet、kube-proxy）

3.2 etcd

1.准備cfssl證書生成工具 
2.生成證書 
3.准備etcd二進制包 
4.生成etcd的配置文件和服務管理文件 
5.啟動etcd 
6.把etcd1的配置文件，可執行文件，證書，etcd服務管理文件復制到 etcd2、etcd3節點上 
7.etcd2、etcd3修改配置文件 
8.啟動etcd，加入集群 
9.驗證etcd集群狀態

3.3 flannel

1.使用etcdctl 
2.在etcd中添加flannel的網段和轉發模式upd、vxlan 
3.准備flannel安裝包 
4.生成docker網絡配置參數並啟動flannel服務 
5.修改docker啟動參數，使docker0網卡和flannel網卡保持在一個網段里
6.驗證node之間的容器通信是否正常 
==========================================================
1.組件之間的通信，端口內部2380，外部2379 
2.master:apiserver <—> controller-manager、scheduler 同一個節點上，127.0.0.1:8080不需要證書(http) 
3.node:kubelet、kube-proxy <----> apiserver(https 6443)

3.4 master

1.創建工作目錄 
2.生成證書 
3.准備k8s軟件包 
4.生成bootstrap token認證文件 
5.啟動apiserver
6.啟動controller-manager、scheduler 
7.驗證master組件狀態

3.5 node

1.在master節點上准備kubelet和kube-proxy加入k8s群集所要使用的 kubeconfig文件，並傳給nodes節點 
2.kubeconfig加入k8s集群需要的ca證書，tls證書和私有，bootstrap 的token信息 ，master的 apiserver IP+端口（6443） 
3.node節點啟動 kubelet ，node節點的kubelet會向master的apiserver發起CSR認證請求 在master節點上通過CSR 認證，node會自動生成證書，以后的node的kubelet訪問都會通過這個證書做認證 
4.node節點上加載ipvs模塊
5.啟動kube-proxy


免責聲明！

本站轉載的文章為個人學習借鑒使用，本站對版權不負任何法律責任。如果侵犯了您的隱私權益，請聯系本站郵箱yoyou2525@163.com刪除。



猜您在找 二進制方式部署k8s的work節點 二進制部署K8S 二進制部署k8s K8S二進制部署 K8S集群部署-二進制部署 二進制部署k8s集群 k8s之二進制部署 二進制部署k8s 1.18.14（高可用） k8s二進制部署(高可用) k8s 二進制安裝
 
粵ICP備18138465號   © 2018-2025 CODEPRJ.COM