一文学会Containerd配置和镜像加速

已于 2024-09-12 10:51:30 修改
阅读量534 收藏 11
点赞数 16
分类专栏： Kubernetes 文章标签： 容器 kubernetes 云计算 云原生
于 2024-09-12 09:00:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u013522701/article/details/142153885
版权

一文学会Containerd配置和镜像加速

❤️ 摘要: 本文介绍了 Containerd 的基本概念及其在 Kubernetes 中的作用，并详细说明了如何通过配置代理、使用国内镜像源或手动下载等方式加速镜像拉取。此外，还提供了针对不同场景的具体配置方法，包括通过环境变量、config.toml 文件和 hosts.toml 文件实现镜像加速的具体步骤。这些方法有助于提高容器镜像的拉取效率。通过这些详细的步骤和示例，读者可以更好地理解和掌握Containerd的使用方法。

目录

1 概念

在这里插入图片描述

1.1 什么是Containerd

前文《一文掌握Containerd配置Harbor私有仓库》已经简单介绍过Containerd以及其配置说明。

从 Kubernetes 1.20 版本开始，Containerd 被设置为默认的容器运行时接口（CRI）。Kubernetes 官方在此版本中逐步淘汰了 Docker 作为默认 CRI，转而推荐使用 Containerd 来处理容器管理任务。所以如果您正在使用Kubernetes，那么了解并掌握Containerd是必要的。

1.1.1 Containerd如何为Kubernetes服务？

Containerd 通常与Kubelet运行在同一节点上，而Containerd内置了一个cri插件，通过cri插件处理来自 Kubelet 的所有 CRI 服务请求，并使用 containerd 来管理完整的容器生命周期和容器镜像。

下图是Kubelet与Containerd的关系图:

在这里插入图片描述

1.1.2 创建单容器 pod 的工作原理

❔ 说明: 以创建单容器pod的例子解释kublet、Containerd的工作原理

  1. Kubelet 通过 CRI 运行时服务 API 调用cri插件来创建 pod；
  2. cri使用 CNI 创建并配置 pod 的网络命名空间；
  3. cri使用containerd内部创建并启动一个特殊的暂停容器(Pause)（沙箱容器），并将该容器放入pod的cgroup和命名空间中（为简洁起见，省略了步骤）；
  4. 随后Kubelet 通过 CRI 镜像服务 API 调用cri插件来拉取应用程序容器镜像；
  5. 如果节点上不存在镜像， cri会进一步使用 containerd 来拉取镜像；
  6. 然后，Kubelet 通过 CRI 运行时服务 API 调用cri ，使用拉取的容器镜像在 pod 内创建并启动应用程序容器；
  7. 最终cri插件使用containerd内部创建应用程序容器，将其放入pod的cgroup和命名空间中，然后启动pod的应用程序容器。经过这些步骤，一个 pod 及其对应的应用程序容器就被创建并运行了。
Kubelet CRI Plugin Containerd Pod CNI ①调用 CRI 运行时服务 API 创建 Pod ②使用 CNI 创建并配置网络命名空间 ③创建并启动 Pause 容器 ④将 Pause 容器放入 Pod 的 cgroup 和命名空间 ⑤调用 CRI 镜像服务 API 拉取应用程序镜像 ⑥检查镜像是否存在 ⑦镜像不存在，拉取镜像 ⑧镜像拉取完成 ⑨调用 CRI 运行时服务 API 创建并启动应用程序容器 ⑩使用镜像创建应用程序容器 ⑪将应用程序容器放入 Pod 的 cgroup 和命名空间 ⑫启动应用程序容器 Pod 及应用程序容器运行 Kubelet CRI Plugin Containerd Pod CNI

1.2 Containerd的镜像加速方式

❔ 说明：国内用户在拉取镜像时，往往会遇到过镜像拉取超时或者速度极慢的问题，那是因为 docker，Containerd 默认都是指向国外的镜像源(没有科学上网无法直接访问)， 如docker.io, gcr.io，ghcr.io，k8s.gcr.io，quay.io。

目前实现镜像加速的方式有三种。

  1. 镜像代理或镜像同步
  2. 使用国内的镜像源
  3. 手动下载并上传到私有镜像仓库

在这里插入图片描述

1.2.1 镜像代理或镜像同步

  • 镜像代理：通过代理服务器加速镜像拉取，代理会将请求转发到目标镜像仓库，并在本地缓存镜像。常见的方案有 Docker 官方提供的镜像加速器或配置私有代理。
  • 镜像同步：使用代理服务器下载外部公共镜像再同步到本地镜像仓库，减少跨国下载的延迟，并确保镜像的稳定性和安全性。

1.2.2 使用国内的镜像源

使用国内的镜像源，如阿里云、网易云、华为云等提供的公共镜像加速服务，这些服务在国内多个地区都部署镜像官方仓库，大大减少网络传输延迟。

1.2.3 手动下载并上传到私有镜像仓库

手动从公共镜像仓库打包下载镜像，然后上传到本地或私有镜像仓库，确保本地有需要的镜像。

1.2.4 三种方式对比

方式优点缺点适用场景
镜像代理或镜像同步○ 速度提升：通过代理或同步，镜像从本地网络获取，避免跨国网络带来的延迟问题。
○ 高可用性：同步镜像可以确保即使外部仓库不可用，本地镜像仍可使用，增强容错性。
○ 自动化：镜像同步可通过自动任务（如 Harbor 的同步功能）定期更新，无需人工干预。		○ 复杂度：设置代理或镜像同步可能需要额外的网络配置或额外的基础设施（如网络代理，私有镜像仓库）。
○ 开销成本：部署代理服务需要额外的带宽费用，本地存储的镜像占用较多的磁盘空间。		○ 大规模集群或企业内部环境，希望加速镜像拉取并提高可用性。
○ 需要对镜像进行统一管理、保证安全性。
使用国内的镜像源○ 简单快捷：直接通过配置国内镜像源即可加速，无需复杂的网络设置。
○ 成本低：大多数国内镜像源是免费的。
○ 镜像同步及时：国内镜像源通常会快速同步官方仓库的镜像，更新速度较快。		○ 依赖第三方服务：依赖国内的镜像源，无法保证服务的稳定性和长期可用性。
○ 受限于公共镜像源的内容：如果某些镜像源未同步特定镜像，可能需要额外的处理步骤。		○ 小规模或个人用户，需要快速加速镜像拉取且不愿意搭建自有基础设施。
○ 对镜像源的稳定性和可用性要求较低的场景。
手动下载并上传到私有镜像仓库○ 完全自主：不依赖外部服务，镜像管理自主可控。
○ 安全性：镜像经过本地或私有仓库管理，确保镜像来源安全可控，适合企业的安全策略要求。		○ 手动维护：需要手动下载和上传镜像，耗时耗力，尤其在更新频繁时难以管理。
○ 复杂性高：需要私有镜像仓库和相关基础设施的支持，增加运维复杂度。
○ 存储成本：所有镜像都需要存储在私有仓库中，带来较大的存储和管理负担。		○ 需要严格管理镜像安全和来源的企业环境。
○ 需要确保离线环境中使用的镜像始终可用的场景。
○ 容器需求较小的场景，如学习或测试。

2 Containerd配置镜像加速

❔ 说明：本环境是Containerd版本： v1.6.4（systemd部署）； Kubernetes版本：V1.29.7（二进制部署）

2.1 未设置镜像加速

[root@k8s-master1 containerd.service.d]# time crictl pull gcr.io/google-containers/busybox:latest
E0911 19:34:59.050185   19189 remote_image.go:238] "PullImage from image service failed" err="rpc error: code = Unknown desc = failed to pull and unpack image \"gcr.io/google-containers/busybox:latest\": failed to resolve reference \"gcr.io/google-containers/busybox:latest\": failed to do request: Head \"https://gcr.io/v2/google-containers/busybox/manifests/latest\": dial tcp 108.177.97.82:443: i/o timeout" image="gcr.io/google-containers/busybox:latest"
FATA[0030] pulling image: rpc error: code = Unknown desc = failed to pull and unpack image "gcr.io/google-containers/busybox:latest": failed to resolve reference "gcr.io/google-containers/busybox:latest": failed to do request: Head "https://gcr.io/v2/google-containers/busybox/manifests/latest": dial tcp 108.177.97.82:443: i/o timeout
  • 这里拉取gcr.io的镜像肯定会超时。

2.2 Containerd代理实现镜像加速

关于Linux系统代理，可以通过两种方法实现。

方法一： 如果你希望系统中所有应用都使用代理，可以直接在系统的环境变量中配置实现全局代理。（自行百度，这里不展开说明。）

方法二： 针对Containerd服务配置代理，进而实现镜像加速。

2.2.1 配置 Containerd 的环境变量

❔说明： 你需要提前部署代理服务器，并在Containerd服务器配置代理服务。（代理部署方法自行百度，这里不展开说明。）

查看Containerd的服务文件位置

[root@k8s-master1 ~]# systemctl cat containerd
# /usr/local/lib/systemd/system/containerd.service

编辑 /etc/systemd/system/containerd.service.d/http-proxy.conf 文件（如果文件不存在，则创建它）：

# 添加containerd.service链接
cd /etc/systemd/system/
ln -s /usr/local/lib/systemd/system/containerd.service  containerd.service 
# 创建containerd.service的代理配置
mkdir -p /etc/systemd/system/containerd.service.d
vim /etc/systemd/system/containerd.service.d/http-proxy.conf

添加以下内容（根据你的代理信息进行修改）：

[Service]
Environment="HTTP_PROXY=http://your-proxy-server:port"
Environment="HTTPS_PROXY=http://your-proxy-server:port"
Environment="NO_PROXY=localhost,127.0.0.1,::1,192.168.0.0/16,10.0.0.0/8,172.16.0.0/12,,.svc,.cluster.local"

❔ 参数说明：

  • HTTP_PROXY：设置 HTTP 请求的代理。
  • HTTPS_PROXY：设置 HTTPS 请求的代理。
  • NO_PROXY：设置不走代理的网段

⚠️ 在生产环境谨慎配置系统代理，否则可能会导致网络不通影响正常业务，建议 NO_PROXY 配置包括但不限以下网段：

  1. 本地地址和网段：localhost 和 127.0.0.1 或 127.0.0.0/8
  2. Kubernetes 的默认域名后缀：.svc 和 .cluster.local
  3. Kubernetes Node 的网段甚至所有应该不用 proxy 访问的 node 网段：<nodeCIDR>
  4. APIServer 的内部 URL: <APIServerInternalURL>
  5. Service Network: <serviceNetworkCIDRs>
  6. （如有）etcd 的 Discovery Domain: <etcdDiscoveryDomain>
  7. Cluster Network: <clusterNetworkCIDRs>
  8. 其他特定平台相关网段（如 DevOps, Git/制品仓库): <platformSpecific>
  9. 常用内网网段：
    1. 10.0.0.0/8
    2. 172.16.0.0/12
    3. 192.168.0.0/16

将代理配置为 Containerd 的服务环境变量后，重新加载并重启 Containerd 服务：

systemctl daemon-reload
systemctl restart containerd

2.2.2 测试拉取镜像

尝试拉取镜像

[root@k8s-master1 system]# time crictl pull gcr.io/google-containers/busybox:latest
Image is up to date for sha256:36a4dca0fe6fb2a5133dc11a6c8907a97aea122613fa3e98be033959a0821a1f

real    0m2.694s
user    0m0.011s
sys     0m0.007s
  • 发现拉取成功， 而且速度还不错。

2.3 Containerd的config.toml实现镜像加速

如果没有/etc/containerd/config.toml，执行以下命令生成默认配置

sudo containerd config default | sudo tee /etc/containerd/config.toml

编辑Containerd的配置文件，添加以下镜像配置

   # 找到mirrors配置处
      [plugins."io.containerd.grpc.v1.cri".registry.mirrors]
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
            endpoint = ["https://docker.io","https://6qxc6b6n.mirror.aliyuncs.com","https://docker.m.daocloud.io","https://dockerproxy.com/"]
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."gcr.io"]
            endpoint = ["https://gcr.m.daocloud.io","https://gcr.nju.edu.cn","https://gcr.dockerproxy.com"]
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."k8s.gcr.io"]
            endpoint = ["https://k8s-gcr.m.daocloud.io","https://gcr.nju.edu.cn/google-containers/","https://k8s.dockerproxy.com/"]
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."quay.io"]
            endpoint = ["https://quay.m.daocloud.io","https://quay.nju.edu.cn"]
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."registry.k8s.io"]
            endpoint = ["https://k8s.m.daocloud.io","https://k8s.nju.edu.cn"]
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.elastic.co"]
            endpoint = ["https://elastic.m.daocloud.io"]  
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."ghcr.io"]
            endpoint = ["https://ghcr.m.daocloud.io","https://ghcr.nju.edu.cn"]

重启Containerd服务

systemctl restart containerd

尝试在节点上通过Containerd直接拉取镜像，验证是否成功：

[root@k8s-master1 containerd.service.d]# time crictl pull gcr.io/google-containers/busybox:latest
Image is up to date for sha256:36a4dca0fe6fb2a5133dc11a6c8907a97aea122613fa3e98be033959a0821a1f

real    0m5.123s
user    0m0.013s
sys     0m0.058s
  • 成功拉取镜像，速度也可以。

2.4 Containerd的hosts.toml实现镜像加速

❔ 说明：Containerd v1.5 版本以后新增了新的镜像仓库配置方式—主机配置(hosts.toml)，同时支持ctr（containerd 工具）、containerd 镜像服务客户端和 CRI 客户端（例如kubectl和crictl ）等客户端。

2.4.1 主机配置方式对比config.toml配置方式的区别

  • config.toml 是 Containerd 的核心配置文件，定义了 Containerd 的全局行为和设置。
  • hosts.toml是从config.toml全局配置中分离出来，专用于配置 Containerd 的镜像仓库相关信息。这个文件可以定义多个镜像仓库以及如何访问这些仓库，可以实现更细粒度管理。
  • hosts.toml最大于config.toml的优势是配置不需要重启即可生效，避免了修改配置出错导致Containerd无法起来和减小修改全局配置的风险。

2.4.2 通过主机配置方式配置

为Containerd配置注册表将通过在配置目录中为每个所需的注册表主机指定（可选） hosts.toml文件来完成。注意：此目录下的更新不需要重新启动containerd守护进程。

配置全局配置文件/etc/containerd/config.toml，指定主机配置主目录，配置如下：

version = 2

[plugins."io.containerd.grpc.v1.cri".registry]
   config_path = "/etc/containerd/certs.d"

⚠️ 注意：同时将之前config.toml关于容器仓库的配置都要注释掉， 否则会冲突。

    [plugins."io.containerd.grpc.v1.cri".registry]
      config_path = "/etc/containerd/certs.d"
      
      [plugins."io.containerd.grpc.v1.cri".registry.auths]

      [plugins."io.containerd.grpc.v1.cri".registry.configs]
      #  [plugins."io.containerd.grpc.v1.cri".registry.configs."harbor.zx".auth]
      #    username = "admin"
      #    password = "admin12345"
      #
      #  [plugins."io.containerd.grpc.v1.cri".registry.configs."harbor.zx".tls]
      #    insecure_skip_verify = false
      #    ca_file = "/etc/containerd/certs.d/harbor.zx/ca.crt"
      #    cert_file = "/etc/containerd/certs.d/harbor.zx/client.cert"
      #    key_file = "/etc/containerd/certs.d/harbor.zx/client.key"

      [plugins."io.containerd.grpc.v1.cri".registry.headers]

      [plugins."io.containerd.grpc.v1.cri".registry.mirrors]
        #[plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
        #    endpoint = ["https://6qxc6b6n.mirror.aliyuncs.com","https://docker.m.daocloud.io","https://dockerproxy.com/"]
        #[plugins."io.containerd.grpc.v1.cri".registry.mirrors."gcr.io"]
        #    endpoint = ["https://gcr.m.daocloud.io","https://gcr.nju.edu.cn","https://gcr.dockerproxy.com"]
        #[plugins."io.containerd.grpc.v1.cri".registry.mirrors."k8s.gcr.io"]
        #    endpoint = ["https://k8s-gcr.m.daocloud.io","https://gcr.nju.edu.cn/google-containers/","https://k8s.dockerproxy.com/"]
        #[plugins."io.containerd.grpc.v1.cri".registry.mirrors."quay.io"]
        #    endpoint = ["https://quay.m.daocloud.io","https://quay.nju.edu.cn"]
        #[plugins."io.containerd.grpc.v1.cri".registry.mirrors."registry.k8s.io"]
        #    endpoint = ["https://k8s.m.daocloud.io","https://k8s.nju.edu.cn"]
        #[plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.elastic.co"]
        #    endpoint = ["https://elastic.m.daocloud.io"]
        #[plugins."io.containerd.grpc.v1.cri".registry.mirrors."ghcr.io"]
        #    endpoint = ["https://ghcr.m.daocloud.io","https://ghcr.nju.edu.cn"]
        #[plugins."io.containerd.grpc.v1.cri".registry.mirrors."harbor.zx"]
        #    endpoint = ["https://harbor.zx"]

重启Containerd服务

systemctl restart containerd

如docker.io 的示例，其主机目录结构以下：

# 创建命名空间
mkdir -p /etc/containerd/certs.d/docker.io

# 创建主机配置
touch /etc/containerd/certs.d/docker.io/hosts.toml

# 目录结构
$ tree /etc/containerd/certs.d
/etc/containerd/certs.d
└── docker.io                 #  命名空间名称与镜像仓库域名一致
    └── hosts.toml         #  该镜像仓库的配置文件

❔ 目录结构说明：

  • 主机配置主目录为/etc/containerd/certs.d
  • 官方文档提出了三个概念： 注册表主机（registry host）、注册表镜像（registry mirror）、注册表主机命名空间（registry host namespace ）
    • 注册表主机, 例如，docker.io、quay.io和 ghcr.io, 即容器镜像的仓库，一般以http/https协议提供对对服务；
    • 注册表镜像是registry host 的缓存或加速代理，类似于CDN加速；
    • 注册表主机命名空间即是主机配置主目录下的子目录，如docker.io， 格式可以是[registry_host_name|IP address][:port]

2.4.3 为所有注册表设置默认镜像

如果没有其他命名空间匹配，则可以选择将_default注册表主机命名空间用作后备。

$ tree /etc/containerd/certs.d
/etc/containerd/certs.d
└── _default
    └── hosts.toml

$ cat /etc/containerd/certs.d/_default/hosts.toml
[host."https://registry.example.com"]
  capabilities = ["pull", "resolve"]

2.4.4 hosts.toml 内容详细说明

对于容器仓库config_path中的每个容器仓库命名空间目录，您可以包含一个hosts.toml配置文件。以下根级别 toml 字段适用于容器仓库命名空间：

⚠️ 注意： hosts.toml文件中指定的所有路径可以是绝对路径，也可以是相对于hosts.toml文件的相对路径。

2.4.4.1 公共仓库案例

下面以docker.io作为配置案例：

编写hosts.toml

server = "https://docker.io"

[host."https://docker.m.daocloud.io"]
  capabilities = ["pull", "resolve"]
[host."https://dockerproxy.com/"]
  capabilities = ["pull", "resolve"]

❔ 参数说明：

字段说明可能值
server指定此注册表主机命名空间的默认服务器1) 如果仅配置server，没有配置host，则访问server地址；
2）如果配置一个或多个主机，则按顺序尝试访问所有host ，则server将用作后备；
3）如果没有server和host，则以命名空间来访问
host指定此注册表主机终端节点，可以有一个或多个主机。可以是域名或者是IP地址，类似于CNAME；
capabilities是一个可选设置，用于指定主机能够执行哪些操作。1）push是指向镜像仓库推送镜像；
2）pull是向镜像仓库拉取镜像；
3）resolve是将镜像（image：tag）翻译成唯一标识的 digest（哈希值）

测试拉取镜像

[root@k8s-master1 certs.d]# crictl pull docker.io/library/busybox
Image is up to date for sha256:87ff76f62d367950186bde563642e39208c0e2b4afc833b4b3b01b8fef60ae9e
2.4.4.2 私有仓库案例

以harbor私有仓库为例：

创建主机配置目录

mkdir -p /etc/containerd/certs.d/harbor.zx/

编辑hosts.toml文件

server = "https://harbor.zx"

[host."https://harbor.zx"]
  capabilities = ["pull", "resolve", "push"]
  skip_verify = true
  #
  ca = "/etc/containerd/certs.d/harbor.zx/ca.crt"
  #双向认证配置客户端证书
  #client = ["/etc/certs/client.cert", "/etc/certs/client.key"]

❔参数说明：

  • skip_verify：是否跳过对注册表的证书链和主机名的验证。这只能用于测试或与其他验证连接的方法结合使用。 （默认为false ）
  • ca：ca （证书颁发机构认证）可以设置为一个路径或一组路径，每个路径都指向一个 ca 文件，用于通过注册表命名空间进行身份验证。
  • client: client证书配置, 如果是双向认证需要配置客户端证书。

3 参考资料

[1] Containerd 如何配置 Proxy

[2]主流可用Docker镜像加速站列表汇总

[3]docker proxy官方文档

[4]Registry Configuration - Introduction

[5] Configure Image Registry

StevenZeng学堂
关注
  • 16
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
Conda Channel 介绍与配置
Laurence的技术博客
10-13 7773
简单讲：Conda 的 Channel 就是 Repo，与 Yum 和 Maven 中的 Repository 是一样的，用于存放各种 Python 包的公共库。以下几个 Channel 是 Conda 中最为常见的，简单介绍一下. Default Channel：顾名思义，默认的 Channel，它由 Anaconda 公司维护 Anaconda Channel：是由社区维护的，通常比默认 Channel 包含更多的包，更新也更快
Docker复习工具手册，一文彻底回顾所有知识点
Wyatt_zhai
07-28 824
对Docker涉及的概念和命令进行实践，对原理进行分析
只要 8 个步骤，学会这个 Docker 命令终极教程！
CSDN云计算
03-24 5745
作者 |Timothy Mugayi译者 | 弯月责编 | 徐威龙封图|CSDN 下载于视觉中国Docker容器已经从一种锦上添花的技术转变成了部...
go技术文章梳理（2018）
NicolasLearner的博客
03-02 8万+
gocn_news_2018-12-31 1. Go 入门简介：http://t.cn/EbjzeSt 2. Go GraphQL 新手指南： https://tutorialedge.net/golang/go-graphql-beginners-tutorial/ 3. 你需要 Go web 框架吗：https://medium.com/@tusharsoni/do-you-need-a-web-framework-for-go-51171bb0ea8c 4. OpenEdge：开放的边缘计算平
go技术文章精选（2019）
热门推荐
韩亚军的博客
01-03 10万+
gocn_news_set_2019 gocn_news_2019-12-31 Go 系列教程：https://dev.to/digitalocean/how-to-code-in-go-32p0 Go modules：最小版本选择 https://tonybai.com/2019/12/21/go-modules-minimal-version-selection/ 部署服...
【一文配置好Python开发环境】Python创建虚拟环境，一键更换国内镜像源
04-20
【一文配置好Python开发环境】Python创建虚拟环境，一键更换国内镜像源
一文带你了解containerd方案
qq_26016969的博客
08-18 395
一文带你了解containerd方案
Docker常用指令和镜像操作详解一文速学+实例代码_docker运行镜像的命令
2401_84181309的博客
04-21 1791
这里参数十分丰富，以后将独自写一期docker bulid来详细介绍该功能的使用，属于制作镜像一块的，是比较大的一块docker内容。各大互联网大厂面试真题。从基础到入阶乃至原理刨析类面试题 应有尽有，赶快来装备自己吧！助你面试稳操胜券，solo全场面试官。可以通过–help查看每一个Image命令的详细信息。很多学Python伙伴问题有没有体系的面试题？仅输出image的IMAGE ID。显示所有镜像（默认隐藏中间图像）创建一个新的容器并运行一个命令。
k8s中的层级结构，及节点组件的作用
2401_84019227的博客
09-06 2421
这五个是资源文件里面的顶级字段，最后一个status状态大部分情况下可以不写，在创建资源的时候。有各个被管理k8s集群的名称，管理用户，集群的证书cacert，客户端的证书cert，客户端的密钥key，等这些信息。这个配置文件里面有client主机想kubectl config操作的k8s集群的信息。controller-manager可以认为是一些程序的集合，也有对应的配置文件。控制器的作用也是为了实现k8s集群的各个品类的功能的需求的满足。那么这些api资源都是为了让k8s更好的提供容器化服务的工具。
k8s API资源对象
巧克力人生的博客
09-06 660
如果想直接通过k8s节点的IP直接访问到service对应的资源，可以使用NodePort，Nodeport对应的端口范围:30000-32767。这种方式，需要配合公有云资源比如阿里云、亚马逊云来实现，这里需要一个公网IP作为入口，然后来负载均衡所有的Pod。该方式为默认类型，即，不定义type字段时（如上面service的示例），就是该类型。说明：Taint叫做污点，如果某一个节点上有污点，则不会被调度运行pod。使用yaml文件来配置、部署资源对象。作用：对外提供访问端口。
9.11-kubeadm方式安装k8s
最新发布
qq_70752758的博客
09-11 312
配置pod的yaml文件和docker-compose.uaml文件相似。
【Kubernetes】K8s 的鉴权管理（二）：基于属性 / 节点 / Webhook 的访问控制
书山有路，学海无涯。记录成长，追逐梦想
09-10 1147
基于属性的访问控制（Attribute-Based Access Control，ABAC）通过将属性组合在一起来定义用户可以访问的范围。其策略文件是一个具有多行 JSON 格式的文件，该文件中的每一行都是一个策略（即一个 JSON 对象）。
【从问题中去学习k8s】k8s中的常见面试题（夯实理论基础）（二十九）
zerotoall的博客
09-11 189
思考一下问题： 97、您认为公司如何处理服务器及其安装？ 考虑一家拼车公司希望通过同时扩展其平台来增加服务器数量。 您认为公司如何处理服务器及其安装？ 参考答案：
k8s防火墙networkPolicy，其他规则和端口规则ports的匹配顺序，进站策略ingress和出站策略egress中，ports规则的常用方法。
2401_84019227的博客
09-11 298
有了这个先后顺序，相对就容易理解其他规则和ports规则的匹配关系。看ip报文里面封装的TCP/UDP报文中的端口号。因为端口信息是在打开ip包之后才能看到的。如果不接收，就不会有检测端口号的操作，端口策略和其他策略的顺序关系是什么。ports这个策略，和前面三个不同。ingress.from进站策略中。如果要求，只能访问什么端口，就是与。而是说，能访问所有主机的什么端口。egress.to出站策略中。如果没有强调只能访问什么端口。B接收到数据包是先看ip。各个规则和端口号的关系。各个规则和端口号的关系。
k8s防火墙networkPolicy，的核心是“自己”
2401_84019227的博客
09-11 568
xxx.xxx.xx.x/32 # 允许某个网段，但除了这个ip。2. 从哪个名称空间进来的，就设置namespaceSelector，k8s的防火墙，考虑如何配置，就是从“自己”出发，去看待流量的流向。4. 从哪些标签的pod来的，就设置podSelector。是允许哪些流量来访问我，就是ingress from，1. 从哪个端口进来的，就设置ports，3. 从哪些ip来的，就设置ipBlock。那么，没有说明的，就是不让ingress。写了规则的，是允许进入和出去的流量。
培训第九周（部署k8s基础环境）
weixin_70693880的博客
09-07 1414
添加sandbox_image = "registry.cn-hangzhou.aliyuncs.com/google_containers/pause:3.9"（第128行）之前采⽤初始化安装⽅式，所有的系统组件均以容器的⽅式运⾏ 并且在 kube-system 命名空间内，此时可以查看 Pod（容器 组）状态。overlay # ⽤于⽀持Overlay⽹络⽂件系统的模块，它可以在现有的⽂件系统之上创建叠加层，以实现虚拟化、隔离和管理等功能。设置为0表示不产⽣panic，设置为1表示产⽣panic。
k8s HPA
巧克力人生的博客
09-07 569
HPA可以基于CPU利用率对replication controller、deployment和replicaset中的pod数量进行自动扩缩容（除了CPU利用率，也可以基于其他应用程序提供的度量指标custom metrics进行自动扩缩容）。将image: k8s.gcr.io/metrics-server/metrics-server:v0.6.2 修改为 image: aminglinux/metrics-server:v0.6.2。pod自动缩放不适用于无法缩放的对象，比如daemonsets。
k8s环境搭建
qq_69920145的博客
09-11 456
imageRepository: registry.cn-hangzhou.aliyuncs.com/google_containers # 指定了Kubernetes使用的镜像仓库的地址，阿里云的镜像仓库。使用model主机克隆三台新的主机，名称分别为k8s_master，k8s_node01，k8s_node02，运行环境脚本，设置ip地址和名称，IP地址分别为66、77、88，并设置免密登录。net.ipv4.conf.all.route_localnet = 1 # 允许本地网络上的路由。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

StevenZeng学堂

🎉 每笔打赏都是我分享的动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值