Kubernetes集群中从Dockershim迁移监控和安全代理的完整指南

Kubernetes集群中从Dockershim迁移监控和安全代理的完整指南

website Kubernetes website and documentation repo: 项目地址: https://gitcode.com/gh_mirrors/webs/website

概述

随着Kubernetes对Docker Engine直接集成的支持被弃用并最终移除，许多依赖Docker收集容器元数据、日志和指标的监控与安全代理需要进行迁移。本文将从技术角度深入分析这一迁移过程，帮助管理员顺利完成过渡。

为什么监控代理会依赖Docker Engine？

在Kubernetes早期架构中，Docker Engine是唯一的容器运行时。Kubernetes负责网络和调度，而容器(Pod内)的启动和运行则由Docker完成。这种历史原因导致：

1. 部分监控数据(如Pod名称)只能从Kubernetes组件获取
2. 容器指标等数据则不属于容器运行时的职责范围
3. 早期监控代理需要同时查询容器运行时和Kubernetes才能获得完整视图

随着Kubernetes支持多种容器运行时(通过CRI接口)，这种依赖关系变得不再必要。

识别依赖Docker Engine的DaemonSet

依赖Docker的Pod通常通过以下方式访问节点上的dockerd：

1. 挂载包含Docker守护进程特权套接字的文件系统作为Volume
2. 直接挂载Docker守护进程特权套接字的特定路径

例如在COS镜像中，Docker Unix域套接字位于/var/run/docker.sock，因此Pod规范会包含对该路径的hostPath挂载。

检测脚本

使用以下脚本可识别直接映射Docker套接字的Pod：

kubectl get pods --all-namespaces \
-o=jsonpath='{range .items[*]}{"\n"}{.metadata.namespace}{":\t"}{.metadata.name}{":\t"}{range .spec.volumes[*]}{.hostPath.path}{", "}{end}{end}' \
| sort \
| grep '/var/run/docker.sock'

注意：某些Pod可能通过挂载父目录(如/var/run)而非完整路径来访问Docker，这种情况需要额外检查。

主流监控/安全代理迁移方案

Aqua Security

迁移方案：无需任何更改，所有功能可在运行时切换后无缝工作

Datadog

迁移步骤：

1. 参考Datadog官方迁移文档
2. 检查名称包含以下关键词的Pod：
   • datadog-agent
   • datadog
   • dd-agent

Dynatrace

迁移步骤：

1. 从仅Docker迁移到通用容器指标
2. 已支持containerd和CRI-O运行时
3. 检查名称包含dynatrace-oneagent的Pod

Falco

迁移步骤：

1. Falco支持任何CRI兼容的运行时
2. 默认配置使用containerd
3. 检查名称包含falco的Pod

Prisma Cloud

迁移步骤：

1. 参考"在CRI(非Docker)集群上安装Prisma Cloud"文档
2. 检查类似twistlock-defender-ds名称的Pod

SignalFx (Splunk)

迁移步骤：

1. 从监控配置中移除docker-container-stats
2. 启用并配置kubelet-metrics监控器
3. 注意：指标集合将发生变化，需审查告警规则和仪表板
4. 检查类似signalfx-agent名称的Pod

Yahoo Kubectl Flame

当前状态：目前仅支持Docker运行时，不支持其他容器运行时

迁移注意事项

1. 指标变化：迁移后收集的指标可能有所不同，需更新告警和仪表板配置
2. 功能验证：在测试环境充分验证新配置后再应用于生产环境
3. 性能影响：监控方式的改变可能影响系统性能，需进行基准测试
4. 日志收集：确保日志收集管道在迁移后仍能正常工作

最佳实践

1. 分阶段迁移：先在部分节点测试，确认无误后再全面推广
2. 监控过渡期：设置过渡期监控，确保新旧系统数据一致性
3. 文档更新：更新内部运维文档，记录新的监控架构
4. 团队培训：对运维团队进行新监控系统的使用培训

通过遵循本指南，您可以顺利将监控和安全代理从Dockershim依赖迁移到支持多种容器运行时的通用解决方案，确保Kubernetes集群的稳定性和可观测性不受影响。

website Kubernetes website and documentation repo: 项目地址: https://gitcode.com/gh_mirrors/webs/website