Kubernetes - 实战：ETCD集群搭建及使用(https认证+数据备份恢复)

在 Kubernetes 环境中，etcd 是用于存储集群关键配置和服务状态的核心分布式键值存储系统。下面是一份简化的指南，指导如何搭建带有 HTTPS 认证的安全 etcd 集群并实现数据备份与恢复功能。

ETCD集群搭建（HTTPS认证）

1. 安装 etcd 并准备证书

• 下载并解压 etcd 的二进制包到所有集群节点上。

• 创建 CA 证书、etcd 服务器证书、etcd 客户端证书以及对应的私钥。这些证书应当包含所有集群节点的 DNS 名称和 IP 地址。例如，你可以使用 cfssl 或 OpenSSL 来生成这些证书。

• 将相应的证书和密钥分发到各个节点。

2. 配置 etcd 集群成员

在每个节点上编辑 etcd 的配置文件 etcd.conf.yaml（或 etcd.conf），至少包括以下内容：

name: <节点名称>
data-dir: /var/lib/etcd
listen-peer-urls: https://<节点IP>:2380
listen-client-urls: https://<节点IP>:2379
initial-advertise-peer-urls: https://<节点IP>:2380
advertise-client-urls: https://<节点IP>:2379

# SSL/TLS 配置
cert-file: /etc/etcd/ssl/server.crt
key-file: /etc/etcd/ssl/server.key
trusted-ca-file: /etc/etcd/ssl/ca.crt
client-cert-auth: true
peer-cert-file: /etc/etcd/ssl/peer.crt
peer-key-file: /etc/etcd/ssl/peer.key
peer-trusted-ca-file: /etc/etcd/ssl/ca.crt
peer-client-cert-auth: true

3. 初始化集群

选择一个节点初始化 etcd 集群：

ETCDCTL_API=3 etcdctl --endpoints=https://<初始节点IP>:2379 --cacert=/etc/etcd/ssl/ca.crt --cert=/etc/etcd/ssl/client.crt --key=/etc/etcd/ssl/client.key member add <新成员名称> --peer-urls=https://<新成员IP>:2380

重复此步骤添加其他成员。

4. 启动 etcd 服务

在每个节点上启动 etcd 服务：

sudo /usr/local/bin/etcd --config-file=/etc/etcd/etcd.conf.yaml

数据备份与恢复

数据备份

使用 etcdctl 工具备份整个数据：

ETCDCTL_API=3 etcdctl --endpoints=https://<任意节点IP>:2379 --cacert=/etc/etcd/ssl/ca.crt --cert=/etc/etcd/ssl/client.crt --key=/etc/etcd/ssl/client.key snapshot save /path/to/snapshot.db

数据恢复

如果需要恢复数据：

1. 关闭集群中的所有 etcd 服务。

2. 清理 etcd 数据目录（例如 /var/lib/etcd）。

3. 使用之前保存的快照文件恢复数据：

ETCDCTL_API=3 etcdctl snapshot restore /path/to/snapshot.db --data-dir=/new-data-dir

4. 修改 etcd 配置文件指向新的数据目录，并重新启动 etcd 服务。

注意：在实际操作中，尤其是生产环境中，你需要仔细遵循官方文档和最佳实践，同时考虑集群的安全性、网络隔离、故障转移策略等因素。此外，在进行数据备份和恢复时，要特别小心避免数据丢失或不一致。