Kubernetes（k8s）的API Server 组件原理与结合生产实战教程

最新推荐文章于 2025-05-02 18:51:47 发布

一个向上的运维者

最新推荐文章于 2025-05-02 18:51:47 发布

阅读量587

点赞数 21

分类专栏： K8S 文章标签： kubernetes 容器云原生

本文链接：https://blog.csdn.net/qq_43394776/article/details/147656444

版权

K8S 专栏收录该内容

4 篇文章

订阅专栏

一、API Server 架构深度解析

1. 核心架构设计

二、生产环境安全加固实战

1. 认证（Authentication）

2. 授权（Authorization）

3. 准入控制（Admission Control）

一、API Server 架构深度解析

1. 核心架构设计

API Server 采用 分层架构，包含以下核心模块：

HTTP 层：接收 RESTful 请求，处理 TLS 终止。
认证/授权层：集成多种插件（如 OIDC、Webhook、RBAC）。
准入控制层：动态修改请求（如 MutatingWebhook）或验证请求（如 ValidatingWebhook）。
Registry 层：资源对象的存储抽象（如 Pod、Deployment 的存储接口）。
etcd 代理层：将资源对象转换为 etcd 存储格式并持久化。

生产环境关注点：

高可用性：API Server 通常以多副本部署（3 或 5 个实例），通过负载均衡器（如云厂商的 LB 或 HAProxy）对外暴露。
性能瓶颈：大规模集群下，API Server 可能成为性能瓶颈（如频繁的 List/Watch 操作），需结合 --max-requests-inflight 和 --watch-cache 调优。

二、生产环境安全加固实战

1. 认证（Authentication）

场景：生产集群需对接企业身份系统（如 LDAP、OIDC）。
OIDC 配置示例（以 Keycloak 为例）：

#yaml文件示例
apiServer:
  extraArgs:
    oidc-issuer-url: "https://keycloak.example.com/auth/realms/kubernetes"
    oidc-client-id: "k8s-api-server"
    oidc-username-claim: "email"
    oidc-groups-claim: "groups"

证书管理：使用 kubeadm certs renew 定期更新 API Server 证书。

2. 授权（Authorization）

RBAC 高级策略：

#yaml文件配置示例
# 限制特定命名空间的 Pod 读取权限
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: production
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list", "watch"]

# 禁止删除关键资源
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: deny-delete
rules:
- apiGroups: ["*"]
  resources: ["*"]
  verbs: ["delete"]
  effect: Deny

3. 准入控制（Admission Control）

动态 Webhook 示例：
- 场景：强制为所有 Pod 注入 Sidecar（如 Istio）。
- MutatingWebhook 配置：

#yaml配置示例
apiVersion: admissionregistration.k8s.io/v1
kind: MutatingWebhookConfiguration
metadata:
  name: istio-sidecar-injector
webhooks:
- name: sidecar-injector.istio.io
  clientConfig:
    url: "https://istio-webhook.example.com/inject"
  rules:
  - operations: ["CREATE"]
    apiGroups: [""]
    apiVersions: ["v1"]
    resources: ["pods"]
  failurePolicy: Fail

三、性能优化与调参

1. 关键启动参数

# kube-apiserver 参数示例（生产环境建议）
apiServer:
  extraArgs:
    # 限制并发请求量
    max-requests-inflight: 2000
    max-mutating-requests-inflight: 1000
    # 缓存优化
    watch-cache: true
    watch-cache-sizes: "pods#1000,deployments#500"
    # 审计日志
    audit-log-path: /var/log/kubernetes/audit.log
    audit-policy-file: /etc/kubernetes/audit-policy.yaml
    # 请求超时
    request-timeout: "60s"

2. etcd 优化

分离 API Server 与 etcd 流量：为 etcd 使用专用网络。
存储配置：

# 使用高性能 SSD 存储
etcd:
  extraArgs:
    data-dir: /var/lib/etcd-ssd
  # 启用 etcd 自动压缩
    auto-compaction-retention: "8h"

四、生产环境请求流程图

五、生产环境故障排查

1. 常见问题与解决

问题 1：API Server 响应延迟高
- 检查点：
  - 使用 kubectl get --raw=/metrics 查看 apiserver_request_duration_seconds 指标。
  - 检查 etcd 性能（etcdctl check perf）。
- 解决：增加 --max-requests-inflight 或横向扩展 API Server。
问题 2：证书过期导致集群不可用
- 预防：配置证书自动续期（如使用 cert-manager）。
- 紧急恢复：