啃K8s之快速入门，以及哭吧S（k8s）单节点部署

一：Kubernets概述

1.1：Kubernets是什么？

• Kubernets是Google在2014年开源的一个容器集群管理系统，Kubernets简称K8s

• K8s用于容器化应用程序的部署，扩展和管理

• K8s提供了容器编排，资源调度，弹性伸缩，部署管理，服务发现等一系列功能

• Kubernets目标是让部署容器化应用简单高效

• 官方网站：http://www.kubernets.io

1.2：Kubernets特性

• 自我修复

  • 在节点故障时重新启动失败的容器，替换和重新部署，保证预期的副本数量；杀死健康价差是把的容器，并且在未准备号之前不会处理客户端请求，确保线上服务不中断

• 弹性伸缩

  • 使用命令、UI或者基于CPU使用情况自动快速扩容和缩容应用程序实例，保证应用业务高峰并发时的高可用性；业务低峰时回收资源，以最小成本运行服务

• 自动部署和回滚

  • K8S采用滚动更新策略更新应用，一次更新一个Pod，而不是同时删除所有Pod，如果更新过程中出现问题，将会回滚更改，确保升级不受影响

• 服务发现和负载均衡

  • K8S为多个容器提供一个统一访问入口（内部IP地址和一个DNS名称），并且负载均衡关联的所有容器，使得用户无需考虑容器IP问题

• 机密和配置管理

  • 管理机密数据和应用程序配置，而不需要把敏感数据暴露在镜像里，提高敏感数据安全性。并可以将一些常用的配置存储在K8S中，方便应用程序使用

• 存储编排

  • 挂载外部存储系统，无论是来自本地存储，公有云（如AWS），还是网络存储（如NFS、GlusterFS、Ceph）都作为集群资源的一部分使用，极大提高存储使用灵活性

• 批处理

  • 提供一次性任务，定时任务；满足批量数据处理和分析的场景

1.3：Kubernets群集架构与组件

1.3.1：master组件

• kube-apiserver

kubernets API，集群的统一入口，各组件协调者，以RESTful API提供接口服务，所有对象资源的增删改查和监听操作都交给APIServer处理后再提交给Etcd存储

• kube-controller-manager

处理群集中常规后台任务，一个资源对应一个控制器，而ControllerManager就是负责管理这些控制器的

• kube-scheduler

根据调度算法为新创建的Pod选择一个Node节点，可以任意部署，可以部署在同一个节点上，也可以部署在不同的节点上

• etcd

分布式键值存储系统，用于保存集群状态数据，比如Pod、Service等对象信息

1.3.2：node组件

• kubelet

kubelet是Master在Node节点上的Agent，管理本机运行容器的生命周期，比如创建容器、Pod挂载数据卷、下载secret、获取容器和节点状态等工作。kubelet将每个Pod转换成一组容器

• kube-proxy

在node节点上实现Pod网络代理，维护网络规则和四层负载均衡工作

• docker或rocket

容器引擎，运行容器

1.3.3：etcd集群介绍：etcd集群在这里分布的部署到了三个节点上

• etcd是CoreOS团队于2013年6月发起的开源项目，基于go语言开发，目标是构建一个高可用的分布式键值（key-value）数据库。etcd内部采用raft协议作为一致性算法。

  etcd集群数据无中心化集群，有如下特点：

  1、简单：安装配置简单，而且提供了HTTP进行交互，使用也很简单

  2、安全：支持SSL证书验证

  3、快速：根据官方提供的benchmark数据，单实例支持每秒2k+读操作

  4、可靠：采用raft算法，实现分布式数据的可用性和一致性

二：Kubernets核心概念

2.1：Pod

• 最小部署单元
• 一组容器的集合
• 一个Pod中的容器共享网络命名空间
• Pod是短暂的

2.2：Controllers

• RelicaSet：确保预期的Pod副本数量
• Deployment：无状态应用部署
• StatefulSet：有状态应用部署
• DaemonSet：确保所有Node运行同一个Pod
• Job：一次性任务
• Cronjob：定时任务
• 更高级层次对象，部署和管理Pod

2.3：Service

• 防止Pod失联
• 定义一组Pod的访问策略

2.4：kubernets平台环境部署方式

• 官方提供的三种部署方式
  • minikube
    • Minikube是一个工具，可以在本地快速运营一个单点的kubernets，仅用于尝试kubernets或日常开发的用户使用
  • kubeadm
    • kubeadm也是一个工具，提供kubeadm init和kubeadm join，用于快速部署kubernets集群
  • 二进制包
    • 推荐，从官方下载发行版的二进制包，手动部署每个组件，组成kubernets集群。下载地址：https://gitgub.com/kubernetes/kubernetes/releases

三：单节点部署

• 环境

角色	IP地址	组件
master	20.0.0.51	kube-apiserver，kube-controller-manager，kube-schedule，etcd
node1	20.0.0.54	kubelet，kube-proxy，docker，fannel，etcd
node2	20.0.0.56	kubelet，kube-proxy，docker，fannel，etcd

• 修改主机名，清除防火墙规则

[root@localhost ~]# iptables -F
[root@localhost ~]# setenforce 0
[root@localhost ~]# hostnamectl set-hostname master
[root@localhost ~]# su
[root@master ~]# 

[root@localhost ~]# iptables -F
[root@localhost ~]# setenforce 0
[root@localhost ~]# hostnamectl set-hostname node1
[root@localhost ~]# su
[root@node1 ~]# 

[root@localhost ~]# iptables -F
[root@localhost ~]# setenforce 0
[root@localhost ~]# hostnamectl set-hostname node2
[root@localhost ~]# su
[root@node2 ~]# 

3.1：ETCD部署

• master主机创建k8s文件夹并上传etcd脚本，下载cffssl官方证书生成工具

[root@master ~]#  mkdir k8s
[root@master ~]# cd k8s
[root@master k8s]# rz -E	'上传etcd脚本'
rz waiting to receive.
[root@master k8s]# ls
etcd-cert.sh  etcd.sh
[root@master k8s]# mkdir etcd-cert
[root@master k8s]# mv etcd-cert.sh etcd-cert
'下载证书制作工具'
[root@master k8s]# vim cfssl.sh
curl -L https://pkg.cfssl.org/R1.2/cfssl_linux-amd64 -o /usr/local/bin/cfssl
curl -L https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64 -o /usr/local/bin/cfssljson
curl -L https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64 -o /usr/local/bin/cfssl-certinfo
chmod +x /usr/local/bin/cfssl /usr/local/bin/cfssljson /usr/local/bin/cfssl-certinfo
'下载cfssl官方包'
[root@master k8s]# bash cfssl.sh	'运行下载工具的脚本'
[root@master k8s]# ls /usr/local/bin/
cfssl  cfssl-certinfo  cfssljson	
'cfssl：生成证书工具、cfssljson：通过传入json文件生成证书、cfssl-certinfo查看证书信息'

• 开始制作证书

1.定义ca证书

[root@master k8s]# cd etcd-cert/
[root@master etcd-cert]# ls
etcd-cert.sh
[root@master etcd-cert]# cat > ca-config.json <<EOF
{
   
  "signing": {
   
    "default": {
   
      "expiry": "87600h"			'失效时间，10年'
    },
    "profiles": {
   
      "www": {
   
         "expiry": "87600h",
         "usages": [
            "signing",
            "key encipherment",
            "server auth",
            "client auth"     
        ]  
      } 
    }         
  }
}
EOF

2.实现证书签名

[root@master etcd-cert]# cat > ca-csr.json <<EOF 
{
      
    "CN": "etcd CA",
    "key": {
   
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
   
            "C": "CN",
            "L": "Beijing",
            "ST": "Beijing"
        }
    ]
}
EOF

3.生产证书，生成ca-key.pem和ca.pem

[root@master etcd-cert]# cfssl gencert -initca ca-csr.json | cfssljson -bare ca -

4.指定etcd三个节点之间的通信验证

[root@master etcd-cert]# cat > server-csr.json <<EOF
{
   
    "CN": "etcd",
    "hosts": [
    "20.0.0.51",
    "20.0.0.54",
    "20.0.0.56"
    ],
    "key": {
   
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
   
            "C": "CN",
            "L": "BeiJing",
            "ST": "BeiJing"
        }
    ]
}
EOF

5.生成ETCD证书，server-key.pem和server.pem

[root@master etcd-cert]# cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=www server-csr.json | cfssljson -bare server
[root@master etcd-cert]# ls
ca-config.json  ca-csr.json  ca.pem        server.csr       server-key.pem
ca.csr          ca-key.pem   etcd-cert.sh  server-csr.json  server.pem

• 下载并解压ETCD二进制包，下载地址：https://github.com/etcd-io/etcd/releases

[root@master etcd-cert]# cd ..
[root@master k8s]# rz -E		'我已经下载好了，直接上传，和kubernetes-server的软件也一起上传'
rz waiting to receive.
[root@master k8s]# ls
etcd-cert  etcd.sh  etcd-v3.3.10-linux-amd64.tar.gz
[root@master k8s]# tar zxvf etcd-v3.3.10-linux-amd64.tar.gz 
[root@master k8s]# ls etcd-v3.3.10-linux-amd64
Documentation  etcd  etcdctl  README-etcdctl.md  README.md  READMEv2-etcdctl.md

• 创建配置文件，命令文件和证书文件夹，并移动相应文件到相应目录

[root@master k8s]# mkdir /opt/etcd/{
   cfg,bin,ssl} -p
[root@master k8s]# ls /opt/etcd/
bin  cfg  ssl
[root@master k8s]# mv etcd-v3.3.10-linux-amd64/etcd etcd-v3.3.10-linux-amd64/etcdctl /opt/etcd/bin/		'移动命令到刚刚创建的 bin目录'
[root@master k8s]# ls /opt/etcd/bin/
etcd  etcdctl
[root@master k8s]# cp etcd-cert/*.pem /opt/etcd/ssl	'将证书文件复制到刚刚创建的ssl目录'
[root@master k8s]# ls /opt/etcd/ssl
ca-key.pem  ca.pem  server-key.pem  server.pem
[root@master k8s]# vim etcd.sh	        			'查看配置文件'
    ...省略内容
ETCD_LISTEN_PEER_URLS="https://${ETCD_IP}:2380"		'2380端口是etcd内部通信端口'
ETCD_LISTEN_CLIENT_URLS="https://${ETCD_IP}:2379"	'2379是单个etcd对外提供的端口'
 ...省略内容

• 进入卡住状态等待其他节点加入

'主节点执行脚本并声明本地节点名称和地址，此时会进入监控状态，等待其他节点加入，等待时间2分钟'
[root@master k8s]# ls /opt/etcd/cfg/	'此时查看这个目录是没有文件的'
[root@master k8s]# bash etcd.sh etcd01 20.0.0.51 etcd02=https://20.0.0.54:2380,etcd03=https://20.0.0.56:2380	'执行命令进入监控状态'
Created symlink from /etc/systemd/system/multi-user.target.wants/etcd.service to /usr/lib/systemd/system/etcd.service.
[root@master k8s]# ls /opt/etcd/cfg/	'此时重新打开终端，发现已经生成了文件'
etcd

• 拷贝证书和启动脚本到两个工作节点

[root@master ~]# scp -r /opt/etcd/ root@20.0.0.54:/opt
[root@master ~]# scp -r /opt/etcd/ root@20.0.0.56:/opt
[root@master ~]# scp /usr/lib/systemd/system/etcd.service root@20.0.0.54:/usr/lib/systemd/system/
[root@master ~]# scp /usr/lib/systemd/system/etcd.service root@20.0.0.56:/usr/lib/systemd/system/

• node1和node2两个工作节点修改修改etcd配置文件，修改相应的名称和IP地址

[root@node1 ~]# vim /opt/etcd/cfg/etcd 
#[Member]
ETCD_NAME="etcd02"			'修改为etcd02'
ETCD_DATA_DIR="/var/lib/etcd/default.etcd"
ETCD_LISTEN_PEER_URLS="https://20.0.0.54:2380"		'从这行开始的四行指向自己的IP地址'
ETCD_LISTEN_CLIENT_URLS="https://20