美文网首页K8s
二进制安装-k8s高可用集群09-部署kube-controll

二进制安装-k8s高可用集群09-部署kube-controll

作者: Chris0Yang | 来源:发表于2021-08-30 17:58 被阅读0次

    本文档介绍部署高可用 kube-controller-manager 集群的步骤。

    该集群包含 3 个节点，启动后将通过竞争选举机制产生一个 leader 节点，其它节点为阻塞状态。当 leader 节点不可用后，剩余节点将再次进行选举产生新的 leader 节点，从而保证服务的可用性。

    本文档介绍部署高可用 kube-controller-manager 集群的步骤。

    该集群包含 3 个节点，启动后将通过竞争选举机制产生一个 leader 节点，其它节点为阻塞状态。当 leader 节点不可用后，剩余节点将再次进行选举产生新的 leader 节点，从而保证服务的可用性。

    为保证通信安全，本文档先生成 x509 证书和私钥，kube-controller-manager 在如下两种情况下使用该证书：

    1）与 kube-apiserver 的安全端口通信时;
    2）在安全端口 (https，10252) 输出 prometheus 格式的 metrics；
    配置之前需要先安装 kubelet,flannel 等组件，不过前边已经安装，现在直接进入配置。

    1、创建 kube-controller-manager 证书和私钥

    创建证书签名请求：

    cat > /data/cert/kube-controller-manager-csr.json <<EOF
{
    "CN": "system:kube-controller-manager",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "hosts": [
      "127.0.0.1",
      "172.68.96.101",
      "172.68.96.102",
      "172.68.96.103"
    ],
    "names": [
      {
        "C": "CN",
        "ST": "BeiJing",
        "L": "BeiJing",
        "O": "system:kube-controller-manager",
        "OU": "4Paradigm"
      }
    ]
}
EOF
    • hosts 列表包含所有 kube-controller-manager 节点 IP；
    • CN 为 system:kube-controller-manager、O 为 system:kube-controller-manager，kubernetes 内置的 ClusterRoleBindings system:kube-controller-manager 赋予 kube-controller-manager 工作所需的权限

    生成证书和私钥：

    [root@k8s-master data]#
cfssl gencert -ca=/etc/kubernetes/cert/ca.pem \
  -ca-key=/etc/kubernetes/cert/ca-key.pem \
  -config=/etc/kubernetes/cert/ca-config.json \
  -profile=kubernetes kube-controller-manager-csr.json | cfssljson -bare kube-controller-manager

    将生成的证书和私钥分发到所有 master 节点：

    cat > /data/scriptable/magic41_distribute_cert_All_service_.sh << "EOF"
#!/bin/bash
source /opt/k8s/bin/environment.sh
for node_ip in ${NODE_IPS[@]}
do
    echo ">>> ${node_ip}" 
    scp /data/cert/kube-controller-manager*.pem k8s@${node_ip}:/etc/kubernetes/cert/
done
EOF

    2、创建和分发 kubeconfig 文件

    kubeconfig 文件包含访问 apiserver 的所有信息，如 apiserver 地址、CA 证书和自身使用的证书；

    [root@k8s-master data]# source /opt/k8s/bin/environment.sh

kubectl config set-cluster kubernetes \
  --certificate-authority=/etc/kubernetes/cert/ca.pem \
  --embed-certs=true \
  --server=${KUBE_APISERVER} \
  --kubeconfig=kube-controller-manager.kubeconfig
kubectl config set-credentials system:kube-controller-manager \
  --client-certificate=kube-controller-manager.pem \
  --client-key=kube-controller-manager-key.pem \
  --embed-certs=true \
  --kubeconfig=kube-controller-manager.kubeconfig
kubectl config set-context system:kube-controller-manager \
  --cluster=kubernetes \
  --user=system:kube-controller-manager \
  --kubeconfig=kube-controller-manager.kubeconfig
kubectl config use-context system:kube-controller-manager --kubeconfig=kube-controller-manager.kubeconfig

    分发 kubeconfig 到所有 master 节点：

    cat > /data/magic42_distribute_kubeconfig_all_Node_service.sh << "EOF"
#!/bin/bash
# 分发 kubeconfig 到所有 master 节点
source /opt/k8s/bin/environment.sh
for node_ip in ${NODE_IPS[@]}
do
    echo ">>> ${node_ip}" 
    scp /data/scriptable/kubeconfig/kube-controller-manager.kubeconfig k8s@${node_ip}:/etc/kubernetes/
done
EOF

    3、创建和分发 kube-controller-manager systemd unit 文件

    [root@k8s-master data]# source /opt/k8s/bin/environment.sh

cat > /data/service/kube-controller-manager.service <<EOF
[Unit]
Description=Kubernetes Controller Manager
Documentation=https://github.com/GoogleCloudPlatform/kubernetes
[Service]
ExecStart=/opt/k8s/bin/kube-controller-manager \\
  --port=0 \\
  --secure-port=10252 \\
  --bind-address=127.0.0.1 \\
  --kubeconfig=/etc/kubernetes/kube-controller-manager.kubeconfig \\
  --service-cluster-ip-range=${SERVICE_CIDR} \\
  --cluster-name=kubernetes \\
  --cluster-signing-cert-file=/etc/kubernetes/cert/ca.pem \\
  --cluster-signing-key-file=/etc/kubernetes/cert/ca-key.pem \\
  --experimental-cluster-signing-duration=8760h \\
  --root-ca-file=/etc/kubernetes/cert/ca.pem \\
  --service-account-private-key-file=/etc/kubernetes/cert/ca-key.pem \\
  --leader-elect=true \\
  --feature-gates=RotateKubeletServerCertificate=true \\
  --controllers=*,bootstrapsigner,tokencleaner \\
  --horizontal-pod-autoscaler-use-rest-clients=true \\
  --horizontal-pod-autoscaler-sync-period=10s \\
  --tls-cert-file=/etc/kubernetes/cert/kube-controller-manager.pem \\
  --tls-private-key-file=/etc/kubernetes/cert/kube-controller-manager-key.pem \\
  --use-service-account-credentials=true \\
  --alsologtostderr=true \\
  --logtostderr=false \\
  --log-dir=/var/log/kubernetes \\
  --v=2
Restart=on
Restart=on-failure
RestartSec=5
User=k8s
[Install]
WantedBy=multi-user.target
EOF
    • --port=0：关闭监听 http /metrics 的请求，同时 --address 参数无效，--bind-address 参数有效；
    • --secure-port=10252、--bind-address=0.0.0.0: 在所有网络接口监听 10252 端口的 https /metrics 请求；
    • --kubeconfig：指定 kubeconfig 文件路径，kube-controller-manager 使用它连接和验证 kube-apiserver；
    • --cluster-signing-*-file：签名 TLS Bootstrap 创建的证书；
    • --experimental-cluster-signing-duration：指定 TLS Bootstrap 证书的有效期；
    • --root-ca-file：放置到容器 ServiceAccount 中的 CA 证书，用来对 kube-apiserver 的证书进行校验；
    • --service-account-private-key-file：签名 ServiceAccount 中 Token 的私钥文件，必须和 kube-apiserver 的 --service-account-key-file 指定的公钥文件配对使用；
    • --service-cluster-ip-range ：指定 Service Cluster IP 网段，必须和 kube-apiserver 中的同名参数一致；
    • --leader-elect=true：集群运行模式，启用选举功能；被选为 leader 的节点负责处理工作，其它节点为阻塞状态；
    • --feature-gates=RotateKubeletServerCertificate=true：开启 kublet server 证书的自动更新特性；
    • --controllers=*,bootstrapsigner,tokencleaner：启用的控制器列表，tokencleaner 用于自动清理过期的 Bootstrap token；
    • --horizontal-pod-autoscaler-*：custom metrics 相关参数，支持 autoscaling/v2alpha1；
    • --tls-cert-file、--tls-private-key-file：使用 https 输出 metrics 时使用的 Server 证书和秘钥；
    • --use-service-account-credentials=true:
    • User=k8s：使用 k8s 账户运行；

    kube-controller-manager 不对请求 https metrics 的 Client 证书进行校验，故不需要指定 –tls-ca-file 参数，而且该参数已被淘汰

    分发 systemd unit 文件到所有 master 节点：

    cat > magic43_distribute_all_Node_servier.sh << "EOF"
#!/bin/bash
# 分发 systemd unit 文件到所有 master 节点
source /opt/k8s/bin/environment.sh
for node_ip in ${NODE_IPS[@]}
do
    echo ">>> ${node_ip}" 
    scp /data/service/kube-controller-manager.service root@${node_ip}:/etc/systemd/system/
done
EOF

    4、kube-controller-manager 的权限

    ClusteRole: system:kube-controller-manager 的权限很小，只能创建 secret、serviceaccount 等资源对象，各 controller 的权限分散到 ClusterRole system:controller:XXX 中。

    需要在 kube-controller-manager 的启动参数中添加 、–use-service-account-credentials=true 参数，这样 main controller 会为各 controller 创建对应的 ServiceAccount XXX-controller。

    内置的 ClusterRoleBinding system:controller:XXX 将赋予各 XXX-controller ServiceAccount 对应的 ClusterRole system:controller:XXX 权限

    5、启动 kube-controller-manager 服务

    cat > magic44_start_kube-controller-manager_service.sh << "EOF"
#!/bin/bash
# 启动 kube-controller-manager 服务
source /opt/k8s/bin/environment.sh
for node_ip in ${NODE_IPS[@]}
do
    echo ">>> ${node_ip}" 
    ssh root@${node_ip} "mkdir -p /var/log/kubernetes && chown -R k8s /var/log/kubernetes"
    ssh root@${node_ip} "systemctl daemon-reload && systemctl enable kube-controller-manager && systemctl start kube-controller-manager"
done
EOF

    6、检查服务运行状态

    cat > magic45_check_kube-controller-manager_service.sh << "EOF"
#!/bin/bash
# 检查服务运行状态
source /opt/k8s/bin/environment.sh
for node_ip in ${NODE_IPS[@]}
do
    echo ">>> ${node_ip}" 
    ssh k8s@${node_ip} "systemctl status kube-controller-manager|grep Active"
done
EOF

    输出如下内容：

    [root@k8s-master scriptable]# bash magic.sh
>>> 172.68.96.101
   Active: active (running) since Fri XXXXX  CST; Xh ago
>>> 172.68.96.102
   Active: active (running) since Fri XXXXX  CST; Xh ago
>>> 172.68.96.103
   Active: active (running) since Fri XXXXX  CST; Xh ago

    则为正常，否则，查看日志：

    journalctl -xu kube-controller-manager

    7、查看输出的 metric

    注意：以下命令在 kube-controller-manager 节点上执行
    kube-controller-manager 监听 10252 端口，接收 https 请求：

    [root@k8s-master data]# sudo netstat -lnpt|grep kube-controll
tcp        0      0 127.0.0.1:10252         0.0.0.0:*               LISTEN      14858/kube-controll

    [root@k8s-master data]# curl -s --cacert /etc/kubernetes/cert/ca.pem https://127.0.0.1:10252/metrics |head
# HELP ClusterRoleAggregator_adds Total number of adds handled by workqueue: ClusterRoleAggregator
# TYPE ClusterRoleAggregator_adds counter
ClusterRoleAggregator_adds 17
# HELP ClusterRoleAggregator_depth Current depth of workqueue: ClusterRoleAggregator
# TYPE ClusterRoleAggregator_depth gauge
ClusterRoleAggregator_depth 0
# HELP ClusterRoleAggregator_queue_latency How long an item stays in workqueueClusterRoleAggregator before being requested.
# TYPE ClusterRoleAggregator_queue_latency summary
ClusterRoleAggregator_queue_latency{quantile="0.5"} NaN
ClusterRoleAggregator_queue_latency{quantile="0.9"} NaN
    • curl --cacert CA 证书用来验证 kube-controller-manager https server 证书；

    8、查看当前的 leader

    [root@k8s-master data]# kubectl get endpoints kube-controller-manager --namespace=kube-system  -o yaml
apiVersion: v1
kind: Endpoints
metadata:
  annotations:
    control-plane.alpha.kubernetes.io/leader: '{"holderIdentity":"kube-node1_XXXXXXXXXXXXXXX","leaseDurationSeconds":15,"acquireTime":"XXXXXXXXXXXXXXX","renewTime":"XXXXXXXXXXXXXXX","leaderTransitions":0}'
  creationTimestamp: XXXX-XX-XX
  name: kube-controller-manager
  namespace: kube-system
  resourceVersion: "29655"
  selfLink: /api/v1/namespaces/kube-system/endpoints/kube-controller-manager
  uid: XXXXXXXXXXXXXXX

    可见，当前的 leader 为 kube-node1 节点

    9、测试 kube-controller-manager 集群的高可用

    停掉一个或两个节点的 kube-controller-manager 服务，观察其它节点的日志，看是否获取了 leader 权限。

    现在停掉 kube-node1 上的 kube-controller-manager

    [root@k8s-master data]# systemctl stop kube-controller-manager
[root@k8s-master data]# systemctl status kube-controller-manager |grep Active
   Active: inactive (dead) since Sat XXXXXXXXX CST; XXs ago

    再查看一下当前的 leader：

    [root@k8s-master data]# kubectl get endpoints kube-controller-manager --namespace=kube-system  -o yaml
apiVersion: v1
kind: Endpoints
metadata:
  annotations:
    control-plane.alpha.kubernetes.io/leader: '{"holderIdentity":"XXXXXXXXX4","leaseDurationSeconds":15,"acquireTime":"kube-node3_XXXXXXXXX","renewTime":"XXXXXXXXX","leaderTransitions":1}'
  creationTimestamp: XXXXXXXXX
  name: kube-controller-manager
  namespace: kube-system
  resourceVersion: "29971"
  selfLink: /api/v1/namespaces/kube-system/endpoints/kube-controller-manager
  uid: XXXXXXXXX

    可以看到已经自动漂移到 kube-node3 上去了

    10，参考资料

    1）关于 controller 权限和 use-service-account-credentials 参数：https://github.com/kubernetes/kubernetes/issues/48208
    2）kublet 认证和授权：https://kubernetes.io/docs/admin/kubelet-authentication-authorization/#kubelet-authorization

    相关文章

      网友评论

        本文标题：二进制安装-k8s高可用集群09-部署kube-controll

        本文链接：https://www.haomeiwen.com/subject/qvsoiltx.html

        延伸阅读

        深度阅读

        • 您也可以注册成为美文阅读网的作者，发表您的原创作品、分享您的心情！

        栏目导航

        热点阅读

        K8s

        关于我们|服务条款|联系我们|二进制安装-k8s高可用集群09-部署kube-controll|投稿指南|网站地图|RSS订阅|排版工具|手机版

        提供经典美文摘抄,优美散文欣赏,现代诗歌精选,短篇小说,心情随笔,表白情书范文,故事会在线阅读欣赏

        Copyright © 2014-2023 Haomeiwen.com All Rights Reserved. 好美文阅读网 版权所有

        备案信息：桂公网安备 45052102000051号 · 桂ICP备13007215号-3

        本站所收录作品、热点评论等信息部分来源互联网，目的只是为了系统归纳学习和传递资讯

        所有作品版权归原创作者所有，与本站立场无关，如不慎侵犯了你的权益，请联系我们告知，我们将做删除处理！