K8s服务管理service、Dashboard、角色与授权

已于 2023-01-30 23:29:52 修改
阅读量383 收藏
点赞数
文章标签： docker 运维 linux
于 2023-01-14 13:02:46 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_73770890/article/details/128684174
版权

文章目录

Kubernetes

服务管理

Service

容器化带来的问题

自动调度：在Pod创建之前无法预知Pod所在的节点，以及Pod的IP地址

​ 一个已经存在的Pod在运行过程中，如果出现故障，Pod也会在新的节点上使用新的IP部署

​ 应用程序访问服务的时候，地址也不能经常变化

​ 多个相同的Pod如何访问他们上面的服务

Service就是解决这些问题的方法

服务的自动跟踪

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

自动注册域名

[root@master ~]# vim mysvc.yaml
---
kind: Service
apiVersion: v1
metadata:
  name: mysvc
spec:
  type: ClusterIP
  selector:
    app: web
  ports:
  - protocol: TCP
    port: 80
    targetPort: 80

[root@master ~]# kubectl apply -f mysvc.yaml 
service/mysvc created
[root@master ~]# kubectl get service
NAME         TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)   AGE
kubernetes   ClusterIP   10.245.0.1      <none>        443/TCP   2d18h
mysvc        ClusterIP   10.245.1.80     <none>        80/TCP    8s
[root@master ~]# yum install -y bind-utils
[root@master ~]# host mysvc.default.svc.cluster.local 10.245.0.10
Using domain server:
Name: 10.245.0.10
Address: 10.245.0.10#53
Aliases: 

mysvc.default.svc.cluster.local has address 10.245.1.80
后端Pod

[root@master ~]# vim myweb.yaml 
---
kind: Pod
apiVersion: v1
metadata:
  name: myweb
  labels:
    app: web
spec:
  terminationGracePeriodSeconds: 0
  restartPolicy: Always
  containers:
  - name: apache
    image: myos:httpd
    imagePullPolicy: IfNotPresent
    ports:
    - name: myhttp
      protocol: TCP
      containerPort: 80

[root@master ~]# sed 's,myweb,web1,' myweb.yaml |kubectl apply -f - 
pod/web1 created
[root@master ~]# curl http://10.245.1.80
Welcome to The Apache.

# service 靠标签寻找 Pod
[root@master ~]# kubectl label pod web1 app-
pod/web1 labeled
[root@master ~]# curl http://10.245.1.80
curl: (7) Failed connect to 10.245.1.80:80; Connection refused
[root@master ~]# kubectl label pod web1 app=web
pod/web1 labeled
[root@master ~]# curl http://10.245.1.80
Welcome to The Apache.
多个Pod负载均衡

[root@master ~]# sed 's,myweb,web2,' myweb.yaml |kubectl apply -f -
pod/web2 created
[root@master ~]# sed 's,myweb,web3,' myweb.yaml |kubectl apply -f -
pod/web3 created
[root@master ~]# curl -s http://10.245.1.80/info.php |grep php_host
php_host:       web1
[root@master ~]# curl -s http://10.245.1.80/info.php |grep php_host
php_host:       web2
[root@master ~]# curl -s http://10.245.1.80/info.php |grep php_host
php_host:       web3
为服务设置固定IP

[root@master ~]# vim mysvc.yaml 
---
kind: Service
apiVersion: v1
metadata:
  name: mysvc
spec:
  type: ClusterIP
  clusterIP: 10.245.1.80
  selector:
    app: web
  ports:
  - protocol: TCP
    port: 80
    targetPort: myhttp

[root@master ~]# kubectl delete -f mysvc.yaml 
service "mysvc" deleted
[root@master ~]# kubectl apply -f mysvc.yaml 
service/mysvc created
[root@master ~]# kubectl get service
NAME         TYPE        CLUSTER-IP    EXTERNAL-IP   PORT(S)   AGE
kubernetes   ClusterIP   10.245.0.1    <none>        443/TCP   2d18h
mysvc        ClusterIP   10.245.1.80   <none>        80/TCP    65s

对外发布应用

服务类型

发布服务

ClusterIP服务可以解决集群内应用互访的问题，但外部的应用无法访问集群内部的资源，我们就需要对外发布服务

服务类型

K8S的ServiceTypes允许指定不同的Service类型，以满足不同的需求，有效的类型有：ClusterIP、NodePort、LoadBalancer、ExternalName

ClusterIP：默认类型，只能在集群内部使用，可以实现Pod的自动跟踪和负载均衡，是最核心的服务类型

NodePort：将真实的节点的端口映射到ClusterIP服务上，来对外暴露服务的类型

LoadBalancer：使用云供应商的负载均衡服务器，通过外部路由将流量转发到NodePort和ClusterIP服务上

ExternalName：通过CNAME和对应值，可以将外部服务映射到ExternalName字段的内容

对外发布服务
  • 使用基于端口映射（默认值：30000-32767）的NodePort对外发布服务，可以发布任意服务（四层）
  • 使用Ingress控制器（一般由Nginx或HAProxy构成），用来发布http、https服务（七层）
  • LoadBalancer：使用外部云服务或ExternalIPs（需要特定的服务或付费支持）
NodePort
[root@master ~]# vim mysvc.yaml
---
kind: Service
apiVersion: v1
metadata:
  name: mysvc
spec:
  type: NodePort
  clusterIP: 10.245.1.80
  selector:
    app: web
  ports:
  - protocol: TCP
    port: 80
    nodePort: 30080
    targetPort: myhttp

[root@master ~]# kubectl apply -f mysvc.yaml 
service/mysvc configured
[root@master ~]# kubectl get service
NAME         TYPE        CLUSTER-IP    EXTERNAL-IP   PORT(S)        AGE
kubernetes   ClusterIP   10.245.0.1    <none>        443/TCP        5d18h
mysvc        NodePort    10.245.1.80   <none>        80:30080/TCP   17m

[root@master ~]# curl http://node-0001:30080
Welcome to The Apache.
[root@master ~]# curl http://node-0002:30080
Welcome to The Apache.
[root@master ~]# curl http://node-0003:30080
Welcome to The Apache.
Ingress

在这里插入图片描述

安装控制器
第五阶段/kubernetes/plugins/ingress

[root@master ingress]# docker load -i ingress.tar.xz
[root@master ingress]# docker images|while read i t _;do
    [[ "${t}" == "TAG" ]] && continue
    [[ "${i}" =~ ^"registry:5000/".+ ]] && continue
    docker tag ${i}:${t} registry:5000/plugins/${i##*/}:${t}
    docker push registry:5000/plugins/${i##*/}:${t}
    docker rmi ${i}:${t} registry:5000/plugins/${i##*/}:${t}
done
[root@master ingress]# sed 's,\(image: \).*/\(.*\),\1registry:5000/plugins/\2,' -i deploy.yaml
328:    image: registry:5000/plugins/controller:v1.1.0
609:    image: registry:5000/plugins/kube-webhook-certgen:v1.1.1
661:    image: registry:5000/plugins/kube-webhook-certgen:v1.1.1

[root@master ingress]# kubectl apply -f deploy.yaml
[root@master ingress]# kubectl -n ingress-nginx get pods
NAME                                        READY   STATUS      RESTARTS   AGE
ingress-nginx-admission-create--1-lm52c     0/1     Completed   0          29s
ingress-nginx-admission-patch--1-sj2lz      0/1     Completed   0          29s
ingress-nginx-controller-5664857866-tql24   0/1     Running     0          29s
创建后端服务
[root@master ~]# vim mysvc.yaml 
---
kind: Service
apiVersion: v1
metadata:
  name: mysvc
spec:
  type: ClusterIP
  clusterIP: 10.245.1.80
  selector:
    app: web
  ports:
  - protocol: TCP
    port: 80
    targetPort: 80

[root@master ~]# kubectl apply -f mysvc.yaml 
service/mysvc configured
[root@master ~]# kubectl get service
NAME         TYPE        CLUSTER-IP    EXTERNAL-IP   PORT(S)   AGE
kubernetes   ClusterIP   10.245.0.1    <none>        443/TCP   5d19h
mysvc        ClusterIP   10.245.1.80   <none>        80/TCP    36m
[root@master ~]# kubectl get pods -l app=web --show-labels 
NAME   READY   STATUS    RESTARTS   AGE   LABELS
web1   1/1     Running   0          36m   app=web
web2   1/1     Running   0          34m   app=web
web3   1/1     Running   0          34m   app=web
[root@master ~]# curl http://10.245.1.80
Welcome to The Apache.
对外发布服务
[root@master ~]# kubectl get ingressclasses.networking.k8s.io 
NAME    CONTROLLER             PARAMETERS   AGE
nginx   k8s.io/ingress-nginx   <none>       5m7s
[root@master ~]# vim mying.yaml
---
kind: Ingress	#资源对象类型
apiVersion: networking.k8s.io/v1	#资源对象版本
metadata:	#元数据
  name: mying	#资源对象名称
spec:	#资源对象定义
  ingressClassName: nginx	#使用的类名称
  rules:	#Ingress规则定义
  - host: nsd.tedu.cn	#域名定义，没有可以不写
    http:	#协议
      paths:	#访问路径定义
      - backend:	#后端服务
          service:	#服务声明
            name: mysvc	#服务名称
            port:	#端口号声明
              number: 80	#访问服务的端口号
        path: /	#访问的URL路径
        pathType: Prefix	#路径的类型

[root@master ~]# kubectl apply -f mying.yaml 
ingress.networking.k8s.io/mying created
[root@master ~]# kubectl get ingress
NAME    CLASS   HOSTS         ADDRESS        PORTS   AGE
mying   nginx   nsd.tedu.cn   192.168.1.51   80      70s
[root@master ~]# curl -H "Host: nsd.tedu.cn" http://192.168.1.51
Welcome to The Apache.

WED管理工具

Dashboard

Dashboard是什么？

Dashboard是基于页面的kubernetes用户界面

展现了kubernetes集群中的资源状态信息和所有报错信息

可以使用Dashboard将应用部署到集群中，也可以对容器应用排错，还能管理集群资源。例如，你可以对应用弹性伸缩，发起滚动升级、重启等。

安装Dashboard
安装Dashboard
第五阶段/kubernetes/plugins/dashboard

[root@master dashboard]# docker load -i dashboard.tar.xz
[root@master dashboard]# docker images|while read i t _;do
    [[ "${t}" == "TAG" ]] && continue
    [[ "${i}" =~ ^"registry:5000/".+ ]] && continue
    docker tag ${i}:${t} registry:5000/plugins/${i##*/}:${t}
    docker push registry:5000/plugins/${i##*/}:${t}
    docker rmi ${i}:${t} registry:5000/plugins/${i##*/}:${t}
done
[root@master dashboard]# sed 's,\(image: \).*/\(.*\),\1registry:5000/plugins/\2,' -i recommended.yaml
190:    image: registry:5000/plugins/dashboard:v2.4.0
275:    image: registry:5000/plugins/metrics-scraper:v1.0.7
[root@master dashboard]# kubectl apply -f recommended.yaml
[root@master dashboard]# kubectl -n kubernetes-dashboard get pods
NAME                                         READY   STATUS    RESTARTS   AGE
dashboard-metrics-scraper-844d8585c9-w26m4   1/1     Running   0          10s
kubernetes-dashboard-6c58946f65-4bdtb        1/1     Running   0          10s
[root@master dashboard]# kubectl -n kubernetes-dashboard get service
NAME                        TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)    AGE
dashboard-metrics-scraper   ClusterIP   10.245.205.236   <none>        8000/TCP   13s
kubernetes-dashboard        ClusterIP   10.245.215.40    <none>        443/TCP    14s
发布Dashboard服务
[root@master dashboard]# sed -n '30,45p' recommended.yaml |tee dashboard-svc.yaml
[root@master dashboard]# vim dashboard-svc.yaml
---
kind: Service
apiVersion: v1
metadata:
  labels:
    k8s-app: kubernetes-dashboard
  name: kubernetes-dashboard
  namespace: kubernetes-dashboard
spec:
  type: NodePort
  ports:
    - port: 443
      nodePort: 30443
      targetPort: 8443
  selector:
    k8s-app: kubernetes-dashboard

[root@master dashboard]# kubectl apply -f dashboard-svc.yaml 
service/kubernetes-dashboard configured
[root@master dashboard]# kubectl -n kubernetes-dashboard get service
NAME                        TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)         AGE
dashboard-metrics-scraper   ClusterIP   10.245.205.236   <none>        8000/TCP        5m50s
kubernetes-dashboard        NodePort    10.245.215.40    <none>        443:30443/TCP   5m51s
通过浏览器访问 Dashboard 登录页面

登录Dashboard界面需要获取授权账号的token

认证与授权

ServiceAccount

用户认证

所有kubernetes集群都有两类用户：由kubernetes管理的服务账号和普通账号

普通用户是以证书或密钥形式签发，主要用途是认证和鉴权，集群中并不包含用来代表普通用户账号的对象，普通用户的信息无法调用和查询

服务账号是kubernetesAPI所管理的用户，它们被绑定到特定的名称空间，与一组Secret凭据相关联，供Pod调用以获得相应的授权

创建ServiceAccount
[root@master ~]# vim admin-user.yaml
---
kind: ServiceAccount
apiVersion: v1
metadata:
  name: dashboard-admin
  namespace: kubernetes-dashboard

[root@master ~]# kubectl apply -f admin-user.yaml 
serviceaccount/dashboard-admin created
[root@master ~]# kubectl -n kubernetes-dashboard get serviceaccounts 
NAME                   SECRETS   AGE
dashboard-admin        1         61s
default                1         79m
kubernetes-dashboard   1         79m
[root@master ~]# kubectl -n kubernetes-dashboard describe serviceaccounts dashboard-admin 
Name:                dashboard-admin
Namespace:           kubernetes-dashboard
Labels:              <none>
Annotations:         <none>
Image pull secrets:  <none>
Mountable secrets:   dashboard-admin-token-6kf8l
Tokens:              dashboard-admin-token-6kf8l
Events:              <none>
[root@master ~]# kubectl -n kubernetes-dashboard describe secrets dashboard-admin-token-6kf8l 
Name:         dashboard-admin-token-6kf8l
Namespace:    kubernetes-dashboard
Labels:       <none>
Annotations:  kubernetes.io/service-account.name: dashboard-admin
              kubernetes.io/service-account.uid: 0cfe4f55-8cc3-42fd-b88b-84f49604ae56

Type:  kubernetes.io/service-account-token

Data
====
ca.crt:     1099 bytes
namespace:  20 bytes
token:      <Base64 编码的令牌数据>

角色与授权

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

[root@master ~]# grep authorization-mode /etc/kubernetes/manifests/kube-apiserver.yaml 
    - --authorization-mode=Node,RBAC
 
[root@master ~]# vim myrole.yaml 
---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: myrole
rules:
- apiGroups:
  - ""
  resources:
  - pods
  verbs:
  - get
  - list

---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: dashboard-admin
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: myrole
subjects:
- kind: ServiceAccount
  name: dashboard-admin
  namespace: kubernetes-dashboard

[root@master ~]# kubectl apply -f myrole.yaml 
role.rbac.authorization.k8s.io/myrole created
rolebinding.rbac.authorization.k8s.io/dashboard-admin created

[root@master ~]# kubectl delete -f myrole.yaml 
role.rbac.authorization.k8s.io "myrole" deleted
rolebinding.rbac.authorization.k8s.io "dashboard-admin" deleted
使用ClusterRole授管理员权限

[root@master ~]# kubectl get clusterrole
NAME                              CREATED AT
admin                             2022-06-24T08:11:17Z
cluster-admin                     2022-06-24T08:11:17Z
... ...

[root@master ~]# cat admin-user.yaml 
---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: dashboard-admin
  namespace: kubernetes-dashboard

---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: dashboard-admin
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- kind: ServiceAccount
  name: dashboard-admin
  namespace: kubernetes-dashboard

[root@master ~]# kubectl apply -f admin-user.yaml 
serviceaccount/dashboard-admin unchanged
clusterrolebinding.rbac.authorization.k8s.io/dashboard-admin created
故辞运维
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
K8S(06)的web管理方式-dashboard
weixin_43315023的博客
08-06 541
K8S(06)的web管理方式-dashboard
k8s-安装dashboard
河静
08-10 469
k8s-安装dashboard 1.下载recommended.yaml vi /etc/hosts 添加如下内容： # GitHub Start 192.30.253.112 github.com 192.30.253.119 gist.github.com 151.101.100.133 assets-cdn.github.com 151.101.100.133 raw.githubusercontent.com 151.101.100.133 gist.githubusercontent.c
k8s service管理之WEB管理工具Dashboard
m0_67252568的博客
07-06 836
k8s service管理之WEB管理工具Dashboard
k8s dashboard安装部署实战详细手册
少说，多做
11-25 6711
k8s采用的是基于角色的访问控制策略，Role-Based Access Control, 即”RBAC”，使用”rbac.authorization.k8s.io” API Group实现授权决策，涉及到ServiceAccount，Role，ClusterRole，RoleBinding，ClusterRoleBinding，Secret等概念。复制最后的token字符串到登录界面，点击登录，可以看到dashboard首页。k8s提供两种登录机制，本文采用Token访问机制进行登录。
使用DashBoard管理k8s集群
小毕超博客
08-25 4437
一、DashBoard 之前在kubernetes中完成的所有操作都是通过命令行工具kubectl完成的。其实，为了提供更丰富的用户体验，kubernetes还开发了一个基于web的用户界面（Dashboard）。用户可以使用Dashboard部署容器化的应用，还可以监控应用的状态，执行故障排查以及管理kubernetes中各种资源。 功能特性 组件支持多类型独立资源 组件支持报表、统计图、JSP等多种类型资源， 同一面板中组件数据可以来自不同的地方，组件作为资源在平台中存放，可进行增删改查。 丰富的组件
十六、K8s安全管理与资源限制
tushanpeipei的博客
07-12 1993
实验环境： 按照图示部署好了K8s集群，一个Master，两个worker nodes。 访问控制概述： apiserver作为k8s集群系统的网关，是访问及管理资源对象的唯一入口，余下所有需要访问集群资源的组件，包括kube-controller-manager、kube-scheduler、kubelet和kube-proxy等集群基础组件、CoreDNS等集群的附加组件以及此前使用的kubectl命令等都要经由此网关进行集群访问和管理。这些客户端均要经由apiserver访问或改变集群状态并完成数据
从零开始搭建K8S--搭建K8S Dashboard
热门推荐
Mr.zhao
08-29 4万+
一、K8S Dashboard简介 简单的说，K8S Dashboard是官方的一个基于WEB的用户界面，专门用来管理K8S集群，并可展示集群的状态。K8S集群安装好后默认没有包含Dashboard，我们需要额外创建它。 Dashboard的搭建过程中，会遇到一些坑。现在开始，咱们一步一步踩来，走你! 二、RABC简介 还是那句话，官方文档是最重要的参考资料：https://kuberne...
k8s部署dashboard
ApexPredator的博客
05-22 739
k8s部署dashboard
K8S 部署和访问 Kubernetes 仪表板（Dashboard）
laker的博客
04-25 1583
你可以使用 Dashboard 将容器应用部署到 Kubernetes 集群中，也可以对容器应用排错，还能管理集群资源。你可以使用 Dashboard 获取运行在集群中的应用的概览信息，也可以创建或者修改 Kubernetes 资源 （如 Deployment、Job、DaemonSet 等等）。例如，你可以对 Deployment 实现弹性伸缩、发起滚动升级、重启 Pod 或者使用向导创建新的应用。Dashboard 同时展示了 Kubernetes 集群中的资源状态信息和所有报错信息。
5-k8s部署之Dashboard1
08-08
- 虽然 `cluster-admin` 角色提供了极大便利，但过度授权可能带来安全风险。生产环境中，应考虑使用更细粒度的 RBAC 规则，仅授予 Dashboard 执行必要操作的权限。 - 考虑使用 ingress 或者其他反向代理来增加额外...
k8s kubernetes dashboard dns 配置文件 yaml
06-26
在Kubernetes（k8s）集群环境中，配置和管理各个组件是系统运维的关键部分。这里我们聚焦于Kubernetes Dashboard、DNS服务以及相关的YAML配置文件。YAML是一种常用的语言，用于编写Kubernetes的资源定义，它简洁且...
dashboard.zip
01-26
"dashboard.zip" 文件是一个与 Kubernetes（简称 k8s）相关的压缩包，很可能包含了 Kubernetes Dashboard 的部署资源或相关配置。Kubernetes Dashboard 是一个图形用户界面（GUI），它允许用户通过直观的交互方式...
Go-KubernetesDashboard是一个基于Web的Kubernetes集群管理UI
08-13
Go-Kubernetes Dashboard是使用Go语言开发的一款强大的基于Web的工具，专门设计用于管理和监控Kubernetes（K8s）集群。Kubernetes，作为业界领先的容器编排平台，为开发者和运维人员提供了自动化部署、扩展和管理...
kubernetes学习笔记.docx
09-26
1. **API Server**：API Server 是 Kubernetes 集群的中心，提供了 RESTful API 接口，允许管理员和其他组件与集群进行交互。它处理所有的读写操作，包括资源对象（如 Pod、Service）的创建、更新和删除。API Server...
Docker+consul容器服务的更新与发现
最新发布
zx52306的博客
07-23 794
【代码】Docker+consul容器服务的更新与发现。
docker文件挂载和宿主主机文件的关系
JAVA领域优质创作者，基于分片网络查询方法专利发明者。
07-23 1275
在排查docker日志时发现在读取docker的文件时找不到文件，在宿主主机上可以查到对应的文件。这里就要理解docker文件目录和宿主主机上的文件的关系。
docker略览
whyeahu的博客
07-23 637
使用 Docker Compose 可以将多个 Docker 容器组合成一个应用程序，并定义它们之间的关系和依赖。它使用一个 YAML 文件来配置应用程序的服务、网络和卷等，并使用一条命令启动、停止和管理整个应用程序的容器。使用 Dockerfile，你可以定义所需的基础镜像、安装软件包、复制文件、设置环境变量、运行命令等一系列操作，最终生成一个包含应用程序和其依赖的可运行镜像。在 Docker 中，你可以创建自定义网络，或者使用默认的网络。Docker 网络类型。
如何将Python应用容器化到Docker中
2402_84885073的博客
07-23 410
将Python应用容器化到Docker中是一个常见且有用的做法，它可以帮助你轻松地在不同的环境中部署和运行你的应用，无需担心环境差异带来的问题。
k8s管理工具dashboard
08-18
Kubernetes Dashboard是一个开源的Web用户界面，用于管理Kubernetes集群。它提供了一个直观的界面，可以方便地查看和管理集群中的资源，如Pods、Deployments、Services等。 使用Kubernetes Dashboard，您可以轻松地...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

故辞运维

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值