文章目录
前言:
- 本篇博客基于二进制集群部署的环境,继续部署单master集群,前文链接为:ETCD集群+flannel网络部署
一、环境介绍
1.1 单master集群架构图
- 前文环境中最后部署了flannel网络组件,并实现了容器间的通信,本次实验,首先需要部署Master组件,也是核心组件:
- ① kube-apiserver
- 作用:集群的统一入口,各组件协调者,所有对象资源的增删改查和监听操作都交给 APIServer 处理后再提交给 Etcd 存储
- ② kube-controller-manager
- 作用:处理群集中常规后台任务,一个资源对应一个控制器,而 controller-manager 负责管理这些控制器
- ③ kub-scheduler
- 作用:只要不是人为指定,则均由调度器根据调度算法为新创建的 Pod 选择一个 Node 节点,可以任意部署,可以部署在同一个节点上,也可以部署在不同节点上。
- 配置思路:配置文件----》systemd管理组件—》启动
1.2 master节点apiserver 启动流程
- kubelet :基础的命令
- ① 我们在使用此命令的时,例如 kubelet get nodes 查看节点信息时首先会经过master 节点查看各个node点的业务信息,过程中需要bootstrap的授权(bootstrap.kubeconfig权限配置)
- ② 当有了以上的权限配置且通过以上权限许可之后才会去找apiserver进行操作
- ③ apiserver 首先会验证node节点中的令牌(token)
- 如果验证成功,则令牌会释放出其中的证书,将证书再次进行身份验证(CA验证),身份验证就需要通过csr的签名,签名成功之后,再给与对应的证书颁发,颁发许可之后才会启动apiserver、授权给与请求命令相对于的服务。(最终授权给bootstrap)
- 如果在以上的验证中有一部失败,apiserver则不会进行启动
- ④ Api会最终授权给bootstrap,而命令请求过来之后,必须要有bootstarp的授权才能进行,否则无法输出结果
- 我们在本次实例中,就需要生成apiserver的token、证书和签名,最后要将证书制作出来
二、部署master组件
2.1 master节点 生成证书
创建k8s工作目录和apiserver的证书目录
[root@localhost k8s]# mkdir /opt/kubernetes/{
cfg,bin,ssl} -p
[root@localhost k8s]# mkdir k8s-cert
- 生成证书
#制作k8s-cert.sh 脚本
[root@localhost k8s]# cd k8s-cert
[root@localhost k8s-cert]# ls
k8s-cert.sh
#脚本内容
[root@localhost k8s-cert]# cat k8s-cert.sh
cat > ca-config.json <<EOF
{
"signing": {
"default": {
"expiry": "87600h"
},
"profiles": {
"kubernetes": {
"expiry": "87600h",
"usages": [
"signing",
"key encipherment",
"server auth",
"client auth"
]
}
}
}
}
EOF
cat > ca-csr.json <<EOF
{
"CN": "kubernetes",
"key": {
"algo": "rsa",
"size": 2048
},
"names": [
{
"C": "CN",
"L": "Beijing",
"ST": "Beijing",
"O": "k8s",
"OU": "System"
}
]
}
EOF
cfssl gencert -initca ca-csr.json | cfssljson -bare ca -
#-----------------------
cat > server-csr.json <<EOF
{
"CN": "kubernetes",
"hosts": [
"10.0.0.1",
"127.0.0.1",
"192.168.226.128", #master1节点
"192.168.226.137", #master2节点(为之后做多节点做准备)
"192.168.226.100", #VIP飘逸地址
"192.168.226.148", #nginx1负载均衡地址(主)
"192.168.226.167", #nginx2负载均衡地址(备)
"kubernetes",
"kubernetes.default",
"kubernetes.default.svc",
"kubernetes.default.svc.cluster",
"kubernetes.default.svc.cluster.local"
],
"key": {
"algo": "rsa",
"size": 2048
},
"names": [
{
"C": "CN",
"L": "BeiJing",
"ST": "BeiJing",
"O": "k8s",
"OU": "System"
}
]
}
EOF
cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes server-csr.json | cfssljson -bare server
#-----------------------
cat > admin-csr.json <<EOF
{
"CN": "admin",
"hosts": [],
"key": {
"algo": "rsa",
"size": 2048
},
"names": [
{
"C": "CN",
"L": "BeiJing",
"ST": "BeiJing",
"O": "system:masters",
"OU": "System"
}
]
}
EOF
cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes admin-csr.json | cfssljson -bare admin
#-----------------------
cat > kube-proxy-csr.json <<EOF
{
"CN": "system:kube-proxy",
"hosts": [],
"key": {
"algo": "rsa",
"size": 2048
},
"names": [
{
"C": "CN",
"L": "BeiJing",
"ST"