盛世嫡妃凤轻小说,大主宰之灵路天蚕土豆,有声读物

新聞中心

這里有您想知道的互聯(lián)網(wǎng)營(yíng)銷解決方案

使用 Kube-vip 搭建高可用的 Kubernetes 集群(完整版)

作者：陽(yáng)明 2021-09-09 07:45:25

云計(jì)算前面我們課程中的集群是單 master 的集群，對(duì)于生產(chǎn)環(huán)境風(fēng)險(xiǎn)太大了，非常有必要做一個(gè)高可用的集群，這里的高可用主要是針對(duì)控制面板來(lái)說(shuō)的。

創(chuàng)新互聯(lián)公司擁有一支富有激情的企業(yè)網(wǎng)站制作團(tuán)隊(duì)，在互聯(lián)網(wǎng)網(wǎng)站建設(shè)行業(yè)深耕十余年，專業(yè)且經(jīng)驗(yàn)豐富。十余年網(wǎng)站優(yōu)化營(yíng)銷經(jīng)驗(yàn)，我們已為數(shù)千家中小企業(yè)提供了做網(wǎng)站、成都網(wǎng)站建設(shè)解決方案，定制網(wǎng)站建設(shè)，設(shè)計(jì)滿意，售后服務(wù)無(wú)憂。所有客戶皆提供一年免費(fèi)網(wǎng)站維護(hù)!

前面我們課程中的集群是單 master 的集群，對(duì)于生產(chǎn)環(huán)境風(fēng)險(xiǎn)太大了，非常有必要做一個(gè)高可用的集群，這里的高可用主要是針對(duì)控制面板來(lái)說(shuō)的，比如 kube-apiserver、etcd、kube-controller-manager、kube-scheduler 這幾個(gè)組件，其中 kube-controller-manager 于 kube-scheduler 組件是 Kubernetes 集群自己去實(shí)現(xiàn)的高可用，當(dāng)有多個(gè)組件存在的時(shí)候，會(huì)自動(dòng)選擇一個(gè)作為 Leader 提供服務(wù)，所以不需要我們手動(dòng)去實(shí)現(xiàn)高可用，apiserver 和 etcd 就需要手動(dòng)去搭建高可用的集群的。高可用的架構(gòu)有很多，比如典型的 haproxy + keepalived 架構(gòu)，或者使用 nginx 來(lái)做代理實(shí)現(xiàn)。

環(huán)境準(zhǔn)備

4個(gè)節(jié)點(diǎn)，都是 Centos 7.6 系統(tǒng)，內(nèi)核版本：3.10.0-1062.4.1.el7.x86_64，在每個(gè)節(jié)點(diǎn)上添加 hosts 信息：

  
 
 
    
  
  
    ~ cat /etc/hosts    
  
  
  192.168.31.10 api.k8s.local  # vip    
  
  
  192.168.31.31 master1    
  
  
  192.168.31.32 master2    
  
  
  192.168.31.33 master3    
  
  
  192.168.31.100 node1

其中 192.168.31.10 為 vip，使用域名 api.k8s.local 進(jìn)行映射。

節(jié)點(diǎn)的 hostname 必須使用標(biāo)準(zhǔn)的 DNS 命名，另外千萬(wàn)不用什么默認(rèn)的 localhost 的 hostname，會(huì)導(dǎo)致各種錯(cuò)誤出現(xiàn)的。在 Kubernetes 項(xiàng)目里，機(jī)器的名字以及一切存儲(chǔ)在 Etcd 中的 API 對(duì)象，都必須使用標(biāo)準(zhǔn)的 DNS 命名(RFC 1123)?？梢允褂妹?hostnamectl set-hostname node1 來(lái)修改 hostname。

禁用防火墻：

  
 
 
    
  
  
    ~ systemctl stop firewalld    
  
  
    ~ systemctl disable firewalld

禁用 SELINUX：

  
 
 
    
  
  
    ~ setenforce 0    
  
  
    ~ cat /etc/selinux/config    
  
  
  SELINUX=disabled

由于開(kāi)啟內(nèi)核 ipv4 轉(zhuǎn)發(fā)需要加載 br_netfilter 模塊，所以加載下該模塊：

  
 
 
    
  
  
    ~ modprobe br_netfilter

創(chuàng)建/etc/sysctl.d/k8s.conf文件，添加如下內(nèi)容：

  
 
 
    
  
  
  net.bridge.bridge-nf-call-ip6tables = 1    
  
  
  net.bridge.bridge-nf-call-iptables = 1    
  
  
  net.ipv4.ip_forward = 1

執(zhí)行如下命令使修改生效：

  
 
 
    
  
  
    ~ sysctl -p /etc/sysctl.d/k8s.conf

安裝 ipvs：

  
 
 
    
  
  
    ~ cat > /etc/sysconfig/modules/ipvs.modules <   
  
  
  
#!/bin/bash    
  
  
  modprobe -- ip_vs    
  
  
  modprobe -- ip_vs_rr    
  
  
  modprobe -- ip_vs_wrr    
  
  
  modprobe -- ip_vs_sh    
  
  
  modprobe -- nf_conntrack_ipv4    
  
  
  EOF    
  
  
    ~ chmod 755 /etc/sysconfig/modules/ipvs.modules && bash /etc/sysconfig/modules/ipvs.modules && lsmod | grep -e ip_vs -e nf_conntrack_ipv4

上面腳本創(chuàng)建了的/etc/sysconfig/modules/ipvs.modules文件，保證在節(jié)點(diǎn)重啟后能自動(dòng)加載所需模塊。使用lsmod | grep -e ip_vs -e nf_conntrack_ipv4命令查看是否已經(jīng)正確加載所需的內(nèi)核模塊。

接下來(lái)還需要確保各個(gè)節(jié)點(diǎn)上已經(jīng)安裝了 ipset 軟件包：

  
 
 
    
  
  
    ~ yum install ipset

為了便于查看 ipvs 的代理規(guī)則，最好安裝一下管理工具 ipvsadm：

  
 
 
    
  
  
    ~ yum install ipvsadm

同步服務(wù)器時(shí)間

  
 
 
    
  
  
    ~ yum install chrony -y    
  
  
    ~ systemctl enable chronyd    
  
  
    ~ systemctl start chronyd    
  
  
    ~ chronyc sources    
  
  
  210 Number of sources = 4    
  
  
  MS Name/IP address         Stratum Poll Reach LastRx Last sample    
  
  
  ===============================================================================    
  
  
  ^+ sv1.ggsrv.de                  2   6    17    32   -823us[-1128us] +/-   98ms    
  
  
  ^- montreal.ca.logiplex.net      2   6    17    32    -17ms[  -17ms] +/-  179ms    
  
  
  ^- ntp6.flashdance.cx            2   6    17    32    -32ms[  -32ms] +/-  161ms    
  
  
  ^* 119.28.183.184                2   6    33    32   +661us[ +357us] +/-   38ms    
  
  
    ~ date    
  
  
  Tue Aug 31 14:36:14 CST 2021

關(guān)閉 swap 分區(qū)：

  
 
 
    
  
  
    ~ swapoff -a

修改/etc/fstab文件，注釋掉 SWAP 的自動(dòng)掛載，使用free -m確認(rèn) swap 已經(jīng)關(guān)閉。swappiness 參數(shù)調(diào)整，修改/etc/sysctl.d/k8s.conf添加下面一行：

  
 
 
    
  
  
  vm.swappiness=0

執(zhí)行 sysctl -p /etc/sysctl.d/k8s.conf 使修改生效。

安裝 Containerd

我們已經(jīng)了解過(guò)容器運(yùn)行時(shí) containerd 的一些基本使用，接下來(lái)在各個(gè)節(jié)點(diǎn)上安裝 Containerd。

由于 containerd 需要調(diào)用 runc，所以我們也需要先安裝 runc，不過(guò) containerd 提供了一個(gè)包含相關(guān)依賴的壓縮包 cri-containerd-cni-${VERSION}.${OS}-${ARCH}.tar.gz，可以直接使用這個(gè)包來(lái)進(jìn)行安裝。首先從 release 頁(yè)面下載最新版本的壓縮包，當(dāng)前為 1.5.5 版本：

  
 
 
    
  
  
    ~ wget https://github.com/containerd/containerd/releases/download/v1.5.5/cri-containerd-cni-1.5.5-linux-amd64.tar.gz    
  
  
  # 如果有限制，也可以替換成下面的 URL 加速下載    
  
  
  # wget https://download.fastgit.org/containerd/containerd/releases/download/v1.5.5/cri-containerd-cni-1.5.5-linux-amd64.tar.gz

直接將壓縮包解壓到系統(tǒng)的各個(gè)目錄中：

  
 
 
    
  
  
    ~ tar -C / -xzf cri-containerd-cni-1.5.5-linux-amd64.tar.gz

然后要將 /usr/local/bin 和 /usr/local/sbin 追加到 ~/.bashrc 文件的 PATH 環(huán)境變量中：

  
 
 
    
  
  
  export PATH=$PATH:/usr/local/bin:/usr/local/sbin

然后執(zhí)行下面的命令使其立即生效：

  
 
 
    
  
  
    ~ source ~/.bashrc

containerd 的默認(rèn)配置文件為 /etc/containerd/config.toml，我們可以通過(guò)如下所示的命令生成一個(gè)默認(rèn)的配置：

  
 
 
    
  
  
    ~ mkdir -p /etc/containerd    
  
  
    ~ containerd config default > /etc/containerd/config.toml

對(duì)于使用 systemd 作為 init system 的 Linux 的發(fā)行版，使用 systemd 作為容器的 cgroup driver 可以確保節(jié)點(diǎn)在資源緊張的情況更加穩(wěn)定，所以推薦將 containerd 的 cgroup driver 配置為 systemd。

修改前面生成的配置文件 /etc/containerd/config.toml，在 plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc.options 配置塊下面將 SystemdCgroup 設(shè)置為 true：

  
 
 
    
  
  
  [plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc]    
  
  
    ...    
  
  
    [plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc.options]    
  
  
      SystemdCgroup = true    
  
  
      ....

然后再為鏡像倉(cāng)庫(kù)配置一個(gè)加速器，需要在 cri 配置塊下面的 registry 配置塊下面進(jìn)行配置 registry.mirrors：

  
 
 
    
  
  
  [plugins."io.containerd.grpc.v1.cri"]    
  
  
    ...    
  
  
    # sandbox_image = "k8s.gcr.io/pause:3.5"    
  
  
    sandbox_image = "registry.aliyuncs.com/k8sxio/pause:3.5"    
  
  
    ...    
  
  
    [plugins."io.containerd.grpc.v1.cri".registry]    
  
  
      [plugins."io.containerd.grpc.v1.cri".registry.mirrors]    
  
  
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]    
  
  
          endpoint = ["https://bqr1dr1n.mirror.aliyuncs.com"]    
  
  
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."k8s.gcr.io"]    
  
  
          endpoint = ["https://registry.aliyuncs.com/k8sxio"]

由于上面我們下載的 containerd 壓縮包中包含一個(gè) etc/systemd/system/containerd.service 的文件，這樣我們就可以通過(guò) systemd 來(lái)配置 containerd 作為守護(hù)進(jìn)程運(yùn)行了，現(xiàn)在我們就可以啟動(dòng) containerd 了，直接執(zhí)行下面的命令即可：

  
 
 
    
  
  
    ~ systemctl daemon-reload    
  
  
    ~ systemctl enable containerd --now

啟動(dòng)完成后就可以使用 containerd 的本地 CLI 工具 ctr 和 crictl 了，比如查看版本：

  
 
 
    
  
  
    ~ ctr version    
  
  
  Client:    
  
  
    Version:  v1.5.5    
  
  
    Revision: 72cec4be58a9eb6b2910f5d10f1c01ca47d231c0    
  
  
    Go version: go1.16.6    
  
  
      
  
  
  Server:    
  
  
    Version:  v1.5.5    
  
  
    Revision: 72cec4be58a9eb6b2910f5d10f1c01ca47d231c0    
  
  
    UUID: cd2894ad-fd71-4ef7-a09f-5795c7eb4c3b    
  
  
    ~ crictl version    
  
  
  Version:  0.1.0    
  
  
  RuntimeName:  containerd    
  
  
  RuntimeVersion:  v1.5.5    
  
  
  RuntimeApiVersion:  v1alpha2

負(fù)載均衡器

為 apiserver 提供負(fù)載均衡器有很多方法，比如傳統(tǒng)的 haproxy+keepalived，或者使用 nginx 代理也可以，這里我們使用一個(gè)比較新穎的工具 kube-vip。

kube-vip(https://kube-vip.io/) 可以在你的控制平面節(jié)點(diǎn)上提供一個(gè) Kubernetes 原生的 HA 負(fù)載均衡，我們不需要再在外部設(shè)置 HAProxy 和 Keepalived 來(lái)實(shí)現(xiàn)集群的高可用了。

在以前我們?cè)谒接协h(huán)境下創(chuàng)建 Kubernetes 集群時(shí)，我們需要準(zhǔn)備一個(gè)硬件/軟件的負(fù)載均衡器來(lái)創(chuàng)建多控制面集群，更多的情況下我們會(huì)選擇使用 HAProxy + Keepalived 來(lái)實(shí)現(xiàn)這個(gè)功能。一般情況下我們創(chuàng)建2個(gè)負(fù)載均衡器的虛擬機(jī)，然后分配一個(gè) VIP，然后使用 VIP 為負(fù)載均衡器提供服務(wù)，通過(guò) VIP 將流量重定向到后端的某個(gè) Kubernetes 控制器平面節(jié)點(diǎn)上。

haproxy+keepalived

如果我們使用 kube-vip 的話會(huì)怎樣呢?

kube-vip

kube-vip 可以通過(guò)靜態(tài) pod 運(yùn)行在控制平面節(jié)點(diǎn)上，這些 pod 通過(guò) ARP 會(huì)話來(lái)識(shí)別每個(gè)節(jié)點(diǎn)上的其他主機(jī)，我們可以選擇 BGP 或 ARP 來(lái)設(shè)置負(fù)載平衡器，這與 Metal LB 比較類似。在 ARP 模式下，會(huì)選出一個(gè)領(lǐng)導(dǎo)者，這個(gè)節(jié)點(diǎn)將繼承虛擬 IP 并成為集群內(nèi)負(fù)載均衡的 Leader，而在 BGP 模式下，所有節(jié)點(diǎn)都會(huì)通知 VIP 地址。

集群中的 Leader 將分配 vip，并將其綁定到配置中聲明的選定接口上。當(dāng) Leader 改變時(shí)，它將首先撤銷 vip，或者在失敗的情況下，vip 將直接由下一個(gè)當(dāng)選的 Leader 分配。當(dāng) vip 從一個(gè)主機(jī)移動(dòng)到另一個(gè)主機(jī)時(shí)，任何使用 vip 的主機(jī)將保留以前的 vip <-> MAC 地址映射，直到 ARP 過(guò)期(通常是30秒)并檢索到一個(gè)新的 vip <-> MAC 映射，這可以通過(guò)使用無(wú)償?shù)?ARP 廣播來(lái)優(yōu)化。

kube-vip 可以被配置為廣播一個(gè)無(wú)償?shù)?arp(可選)，通常會(huì)立即通知所有本地主機(jī) vip <-> MAC 地址映射已經(jīng)改變。

要使用 kube-vip 來(lái)實(shí)現(xiàn)集群的高可用，首先在 master1 節(jié)點(diǎn)上生成基本的 Kubernetes 靜態(tài) Pod 資源清單文件：

  
 
 
    
  
  
    ~ mkdir -p /etc/kubernetes/manifests/    
  
  
  # 配置vip地址    
  
  
    ~ export VIP=192.168.31.10    
  
  
  # 設(shè)置網(wǎng)卡名稱    
  
  
    ~ export INTERFACE=ens33    
  
  
    ~ ctr image pull docker.io/plndr/kube-vip:v0.3.8    
  
  
  # 使用下面的容器輸出靜態(tài)Pod資源清單    
  
  
    ~ ctr run --rm --net-host docker.io/plndr/kube-vip:v0.3.8 vip \    
  
  
  /kube-vip manifest pod \    
  
  
  --interface $INTERFACE \    
  
  
  --vip $VIP \    
  
  
  --controlplane \    
  
  
  --services \    
  
  
  --arp \    
  
  
  --leaderElection | tee  /etc/kubernetes/manifests/kube-vip.yaml    
  
  
  apiVersion: v1    
  
  
  kind: Pod    
  
  
  metadata:    
  
  
    creationTimestamp: null    
  
  
    name: kube-vip    
  
  
    namespace: kube-system    
  
  
  spec:    
  
  
    containers:    
  
  
  - args:    
  
  
      - manager    
  
  
      env:    
  
  
      - name: vip_arp    
  
  
        value: "true"    
  
  
      - name: vip_interface    
  
  
        value: ens33    
  
  
      - name: port    
  
  
        value: "6443"    
  
  
      - name: vip_cidr    
  
  
        value: "32"    
  
  
      - name: cp_enable    
  
  
        value: "true"    
  
  
      - name: cp_namespace    
  
  
        value: kube-system    
  
  
      - name: vip_ddns    
  
  
        value: "false"    
  
  
      - name: svc_enable    
  
  
        value: "true"    
  
  
      - name: vip_leaderelection    
  
  
        value: "true"    
  
  
      - name: vip_leaseduration    
  
  
        value: "5"    
  
  
      - name: vip_renewdeadline    
  
  
        value: "3"    
  
  
      - name: vip_retryperiod    
  
  
        value: "1"    
  
  
      - name: vip_address    
  
  
        value: 192.168.31.10    
  
  
      image: ghcr.io/kube-vip/kube-vip:v0.3.8    
  
  
      imagePullPolicy: Always    
  
  
      name: kube-vip    
  
  
      resources: {}    
  
  
      securityContext:    
  
  
        capabilities:    
  
  
          add:    
  
  
          - NET_ADMIN    
  
  
          - NET_RAW    
  
  
          - SYS_TIME    
  
  
      volumeMounts:    
  
  
      - mountPath: /etc/kubernetes/admin.conf    
  
  
        name: kubeconfig    
  
  
    hostNetwork: true    
  
  
    volumes:    
  
  
  - hostPath:    
  
  
        path: /etc/kubernetes/admin.conf    
  
  
      name: kubeconfig    
  
  
  status: {}

這里我們將 vip 設(shè)置為 192.168.31.10，首先會(huì)將 master1 節(jié)點(diǎn)選舉為 Leader，然后接下來(lái)我們使用該 vip 來(lái)初始化控制器平臺(tái)。

初始化控制平面

上面的相關(guān)環(huán)境配置也完成了，現(xiàn)在我們就可以來(lái)安裝 Kubeadm 了，我們這里是通過(guò)指定 yum 源的方式來(lái)進(jìn)行安裝的：

  
 
 
    
  
  
    ~ cat < /etc/yum.repos.d/kubernetes.repo    
  
  
  [kubernetes]    
  
  
  name=Kubernetes    
  
  
  baseurl=https://packages.cloud.google.com/yum/repos/kubernetes-el7-x86_64    
  
  
  enabled=1    
  
  
  gpgcheck=1    
  
  
  repo_gpgcheck=1    
  
  
  gpgkey=https://packages.cloud.google.com/yum/doc/yum-key.gpg    
  
  
          https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg    
  
  
  EOF

當(dāng)然了，上面的 yum 源是需要科學(xué)上網(wǎng)的，如果不能科學(xué)上網(wǎng)的話，我們可以使用阿里云的源進(jìn)行安裝：

  
 
 
    
  
  
    ~ cat < /etc/yum.repos.d/kubernetes.repo    
  
  
  [kubernetes]    
  
  
  name=Kubernetes    
  
  
  baseurl=http://mirrors.aliyun.com/kubernetes/yum/repos/kubernetes-el7-x86_64    
  
  
  enabled=1    
  
  
  gpgcheck=0    
  
  
  repo_gpgcheck=0    
  
  
  gpgkey=http://mirrors.aliyun.com/kubernetes/yum/doc/yum-key.gpg    
  
  
          http://mirrors.aliyun.com/kubernetes/yum/doc/rpm-package-key.gpg    
  
  
  EOF

然后安裝 kubeadm、kubelet、kubectl：

  
 
 
    
  
  
  # --disableexcludes 禁掉除了kubernetes之外的別的倉(cāng)庫(kù)    
  
  
    ~ yum makecache fast    
  
  
    ~ yum install -y kubelet-1.22.1 kubeadm-1.22.1 kubectl-1.22.1 --disableexcludes=kubernetes    
  
  
    ~ kubeadm version    
  
  
  kubeadm version: &version.Info{Major:"1", Minor:"22", GitVersion:"v1.22.1", GitCommit:"632ed300f2c34f6d6d15ca4cef3d3c7073412212", GitTreeState:"clean", BuildDate:"2021-08-19T15:44:22Z", GoVersion:"go1.16.7", Compiler:"gc", Platform:"linux/amd64"}

可以看到我們這里安裝的是 v1.22.1 版本，然后將 master 節(jié)點(diǎn)的 kubelet 設(shè)置成開(kāi)機(jī)啟動(dòng)：

  
 
 
    
  
  
    ~ systemctl enable --now kubelet

到這里為止上面所有的操作都需要在所有節(jié)點(diǎn)執(zhí)行配置。

當(dāng)我們執(zhí)行 kubelet --help 命令的時(shí)候可以看到原來(lái)大部分命令行參數(shù)都被 DEPRECATED了，這是因?yàn)楣俜酵扑]我們使用 --config 來(lái)指定配置文件，在配置文件中指定原來(lái)這些參數(shù)的配置，可以通過(guò)官方文檔 Set Kubelet parameters via a config file 了解更多相關(guān)信息，這樣 Kubernetes 就可以支持動(dòng)態(tài) Kubelet 配置(Dynamic Kubelet Configuration)了，參考 Reconfigure a Node’s Kubelet in a Live Cluster。

然后我們可以通過(guò)下面的命令在 master1 節(jié)點(diǎn)上輸出集群初始化默認(rèn)使用的配置：

  
 
 
    
  
  
    ~ kubeadm config print init-defaults --component-configs KubeletConfiguration > kubeadm.yaml

然后根據(jù)我們自己的需求修改配置，比如修改 imageRepository 指定集群初始化時(shí)拉取 Kubernetes 所需鏡像的地址，kube-proxy 的模式為 ipvs，另外需要注意的是我們這里是準(zhǔn)備安裝 flannel 網(wǎng)絡(luò)插件的，需要將 networking.podSubnet 設(shè)置為10.244.0.0/16：

  
 
 
    
  
  
  # kubeadm.yaml    
  
  
  apiVersion: kubeadm.k8s.io/v1beta3    
  
  
  bootstrapTokens:    
  
  
  - groups:    
  
  
    - system:bootstrappers:kubeadm:default-node-token    
  
  
    token: abcdef.0123456789abcdef    
  
  
    ttl: 24h0m0s    
  
  
    usages:    
  
  
    - signing    
  
  
    - authentication    
  
  
  kind: InitConfiguration    
  
  
  localAPIEndpoint:    
  
  
    advertiseAddress: 192.168.31.31  # 指定當(dāng)前節(jié)點(diǎn)內(nèi)網(wǎng)IP    
  
  
    bindPort: 6443    
  
  
  nodeRegistration:    
  
  
    criSocket: /run/containerd/containerd.sock  # 使用 containerd的Unix socket 地址    
  
  
    imagePullPolicy: IfNotPresent    
  
  
    name: master1    
  
  
    taints:  # 給master添加污點(diǎn)，master節(jié)點(diǎn)不能調(diào)度應(yīng)用    
  
  
    - effect: "NoSchedule"    
  
  
      key: "node-role.kubernetes.io/master"    
  
  
  ---    
  
  
  apiVersion: kubeproxy.config.k8s.io/v1alpha1    
  
  
  kind: KubeProxyConfiguration    
  
  
  mode: ipvs  # kube-proxy 模式    
  
  
  ---    
  
  
  apiVersion: kubeadm.k8s.io/v1beta3    
  
  
  certificatesDir: /etc/kubernetes/pki    
  
  
  clusterName: kubernetes    
  
  
  controllerManager: {}    
  
  
  dns: {}    
  
  
  etcd:    
  
  
    local:    
  
  
      dataDir: /var/lib/etcd    
  
  
  imageRepository: registry.aliyuncs.com/k8sxio    
  
  
  kind: ClusterConfiguration    
  
  
  kubernetesVersion: 1.22.1    
  
  
  controlPlaneEndpoint: api.k8s.local:6443  # 設(shè)置控制平面Endpoint地址    
  
  
  apiServer:    
  
  
    extraArgs:    
  
  
      authorization-mode: Node,RBAC    
  
  
    timeoutForControlPlane: 4m0s    
  
  
    certSANs:  # 添加其他master節(jié)點(diǎn)的相關(guān)信息    
  
  
    - api.k8s.local    
  
  
    - master1    
  
  
    - master2    
  
  
    - master3    
  
  
    - 192.168.31.30    
  
  
    - 192.168.31.31    
  
  
    - 192.168.31.32    
  
  
  networking:    
  
  
    dnsDomain: cluster.local    
  
  
    serviceSubnet: 10.96.0.0/12    
  
  
    podSubnet: 10.244.0.0/16  # 指定 pod 子網(wǎng)    
  
  
  scheduler: {}    
  
  
  ---    
  
  
  apiVersion: kubelet.config.k8s.io/v1beta1    
  
  
  authentication:    
  
  
    anonymous:    
  
  
      enabled: false    
  
  
    webhook:    
  
  
      cacheTTL: 0s    
  
  
      enabled: true    
  
  
    x509:    
  
  
      clientCAFile: /etc/kubernetes/pki/ca.crt    
  
  
  authorization:    
  
  
    mode: Webhook    
  
  
    webhook:    
  
  
      cacheAuthorizedTTL: 0s    
  
  
      cacheUnauthorizedTTL: 0s    
  
  
  clusterDNS:    
  
  
  - 10.96.0.10    
  
  
  clusterDomain: cluster.local    
  
  
  cpuManagerReconcilePeriod: 0s    
  
  
  evictionPressureTransitionPeriod: 0s    
  
  
  fileCheckFrequency: 0s    
  
  
  healthzBindAddress: 127.0.0.1    
  
  
  healthzPort: 10248    
  
  
  httpCheckFrequency: 0s    
  
  
  imageMinimumGCAge: 0s    
  
  
  kind: KubeletConfiguration    
  
  
  cgroupDriver: systemd  # 配置 cgroup driver    
  
  
  logging: {}    
  
  
  memorySwap: {}    
  
  
  nodeStatusReportFrequency: 0s    
  
  
  nodeStatusUpdateFrequency: 0s    
  
  
  rotateCertificates: true    
  
  
  runtimeRequestTimeout: 0s    
  
  
  shutdownGracePeriod: 0s    
  
  
  shutdownGracePeriodCriticalPods: 0s    
  
  
  staticPodPath: /etc/kubernetes/manifests    
  
  
  streamingConnectionIdleTimeout: 0s    
  
  
  syncFrequency: 0s    
  
  
  volumeStatsAggPeriod: 0s

對(duì)于上面的資源清單的文檔比較雜，要想完整了解上面的資源對(duì)象對(duì)應(yīng)的屬性，可以查看對(duì)應(yīng)的 godoc 文檔，地址: https://godoc.org/k8s.io/kubernetes/cmd/kubeadm/app/apis/kubeadm/v1beta3。

這里需要注意的是我們?cè)?ClusterConfiguration 塊的配置中新增了控制平面的地址以及將 api.k8s.local 這個(gè)域名加入到了證書(shū)簽名中，該域名將映射到 vip：

  
 
 
    
  
  
  controlPlaneEndpoint: api.k8s.local:6443  # 設(shè)置控制平面Endpoint地址    
  
  
  apiServer:    
  
  
    extraArgs:    
  
  
      authorization-mode: Node,RBAC    
  
  
    timeoutForControlPlane: 4m0s    
  
  
    certSANs:  # 添加其他master節(jié)點(diǎn)的相關(guān)信息    
  
  
    - api.k8s.local    
  
  
    - master1    
  
  
    - master2    
  
  
    - master3    
  
  
    - 192.168.31.30    
  
  
    - 192.168.31.31    
  
  
    - 192.168.31.32

在開(kāi)始初始化集群之前可以使用 kubeadm config images pull --config kubeadm.yaml 預(yù)先在各個(gè)服務(wù)器節(jié)點(diǎn)上拉取所k8s需要的容器鏡像。

配置文件準(zhǔn)備好過(guò)后，可以使用如下命令先將相關(guān)鏡像 pull 下面：

  
 
 
    
  
  
    ~ kubeadm config images pull --config kubeadm.yaml    
  
  
  [config/images] Pulled registry.aliyuncs.com/k8sxio/kube-apiserver:v1.22.1    
  
  
  [config/images] Pulled registry.aliyuncs.com/k8sxio/kube-controller-manager:v1.22.1    
  
  
  [config/images] Pulled registry.aliyuncs.com/k8sxio/kube-scheduler:v1.22.1    
  
  
  [config/images] Pulled registry.aliyuncs.com/k8sxio/kube-proxy:v1.22.1    
  
  
  [config/images] Pulled registry.aliyuncs.com/k8sxio/pause:3.5    
  
  
  [config/images] Pulled registry.aliyuncs.com/k8sxio/etcd:3.5.0-0    
  
  
  failed to pull image "registry.aliyuncs.com/k8sxio/coredns:v1.8.4": output: time="2021-08-31T15:09:13+08:00" level=fatal msg="pulling image: rpc error: code = NotFound desc = failed to pull and unpack image \"registry.aliyuncs.com/k8sxio/coredns:v1.8.4\": failed to resolve reference \"registry.aliyuncs.com/k8sxio/coredns:v1.8.4\": registry.aliyuncs.com/k8sxio/coredns:v1.8.4: not found"    
  
  
  , error: exit status 1    
  
  
  To see the stack trace of this error execute with --v=5 or higher

上面在拉取 coredns 鏡像的時(shí)候出錯(cuò)了，沒(méi)有找到這個(gè)鏡像，我們可以手動(dòng) pull 該鏡像，然后重新 tag 下鏡像地址即可：

  
 
 
    
  
  
    ~ ctr -n k8s.io i pull docker.io/coredns/coredns:1.8.4    
  
  
    ~ ctr -n k8s.io i tag docker.io/coredns/coredns:1.8.4 registry.aliyuncs.com/k8sxio/coredns:v1.8.4

然后就可以使用上面的配置文件在 master1 節(jié)點(diǎn)上進(jìn)行初始化：

  
 
 
    
  
  
    ~ kubeadm init --upload-certs --config kubeadm.yaml    
  
  
  [init] Using Kubernetes version: v1.22.1    
  
  
  [preflight] Running pre-flight checks    
  
  
  [preflight] Pulling images required for setting up a Kubernetes cluster    
  
  
  ......    
  
  
      
  
  
  Your Kubernetes control-plane has initialized successfully!    
  
  
      
  
  
  To start using your cluster, you need to run the following as a regular user:    
  
  
      
  
  
    mkdir -p $HOME/.kube    
  
  
    sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config    
  
  
    sudo chown $(id -u):$(id -g) $HOME/.kube/config    
  
  
      
  
  
  Alternatively, if you are the root user, you can run:    
  
  
      
  
  
    export KUBECONFIG=/etc/kubernetes/admin.conf    
  
  
      
  
  
  You should now deploy a pod network to the cluster.    
  
  
  Run "kubectl apply -f [podnetwork].yaml" with one of the options listed at:    
  
  
    https://kubernetes.io/docs/concepts/cluster-administration/addons/    
  
  
      
  
  
  You can now join any number of the control-plane node running the following command on each as root:    
  
  
      
  
  
    kubeadm join api.k8s.local:6443 --token abcdef.0123456789abcdef \    
  
  
   --discovery-token-ca-cert-hash sha256:435fbc28490d1f897337923c19ec27bcf3639e9fe84e8448177777d23cae4176 \    
  
  
   --control-plane --certificate-key 7892cd62c5ab60b28b462af32c7e49aa73d5fd4f723352f3af6546a74e465abc    
  
  
      
  
  
  Please note that the certificate-key gives access to cluster sensitive data, keep it secret!    
  
  
  As a safeguard, uploaded-certs will be deleted in two hours; If necessary, you can use    
  
  
  "kubeadm init phase upload-certs --upload-certs" to reload certs afterward.    
  
  
      
  
  
  Then you can join any number of worker nodes by running the following on each as root:    
  
  
      
  
  
  kubeadm join api.k8s.local:6443 --token abcdef.0123456789abcdef \    
  
  
   --discovery-token-ca-cert-hash sha256:435fbc28490d1f897337923c19ec27bcf3639e9fe84e8448177777d23cae4176

這里初始化的 --upload-certs 標(biāo)志用來(lái)將在所有控制平面實(shí)例之間的共享證書(shū)上傳到集群。然后根據(jù)安裝提示拷貝 kubeconfig 文件：

  
 
 
    
  
  
    ~ mkdir -p $HOME/.kube    
  
  
    ~ sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config    
  
  
    ~ sudo chown $(id -u):$(id -g) $HOME/.kube/config

接著我們可以根據(jù)上面的提示添加其他的控制平面節(jié)點(diǎn)。

添加控制平面

對(duì)于每個(gè)其他控制平面節(jié)點(diǎn)，執(zhí)行先前在第一個(gè)節(jié)點(diǎn) master1 上的 kubeadm init 輸出提供的 join 命令來(lái)添加控制平面節(jié)點(diǎn)：

  
 
 
    
  
  
    ~ kubeadm join api.k8s.local:6443 --token abcdef.0123456789abcdef --discovery-token-ca-cert-hash sha256:435fbc28490d1f897337923c19ec27bcf3639e9fe84e8448177777d23cae4176 --control-plane --certificate-key 7892cd62c5ab60b28b462af32c7e49aa73d5fd4f723352f3af6546a74e465abc    
  
  
  [preflight] Running pre-flight checks    
  
  
  [preflight] Reading configuration from the cluster...    
  
  
  [preflight] FYI: You can look at this config file with 'kubectl -n kube-system get cm kubeadm-config -o yaml'    
  
  
  [preflight] Running pre-flight checks before initializing the new control plane instance    
  
  
  ......    
  
  
  This node has joined the cluster and a new control plane instance was created:    
  
  
      
  
  
  * Certificate signing request was sent to apiserver and approval was received.    
  
  
  * The Kubelet was informed of the new secure connection details.    
  
  
  * Control plane (master) label and taint were applied to the new node.    
  
  
  * The Kubernetes control plane instances scaled up.    
  
  
  * A new etcd member was added to the local/stacked etcd cluster.    
  
  
      
  
  
  To start administering your cluster from this node, you need to run the following as a regular user:    
  
  
      
  
  
   mkdir -p $HOME/.kube    
  
  
   sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config    
  
  
   sudo chown $(id -u):$(id -g) $HOME/.kube/config    
  
  
      
  
  
  Run 'kubectl get nodes' to see this node join the cluster.

需要注意需要在另外兩個(gè)節(jié)點(diǎn) master2 和 master3 都執(zhí)行上面的 join 命令，上面的命令中的 --control-plane 就是通知 kubeadm join 創(chuàng)建一個(gè)新的控制平面，--certificate-key 會(huì)從集群中的 kubeadm-certs Secret 下載控制平面證書(shū)并使用給定的密鑰進(jìn)行解密。

當(dāng)這兩個(gè)節(jié)點(diǎn)被添加到集群后，我們接下來(lái)也需要在節(jié)點(diǎn)上運(yùn)行 kube-vip，將當(dāng)前節(jié)點(diǎn)作為 kube-vip 的成員，同樣執(zhí)行下面的命令即可：

  
 
 
    
  
  
  # 配置vip地址    
  
  
    ~ export VIP=192.168.31.10    
  
  
  # 設(shè)置網(wǎng)卡名稱    
  
  
    ~ export INTERFACE=ens33    
  
  
    ~ ctr image pull docker.io/plndr/kube-vip:v0.3.8    
  
  
  # 使用下面的容器輸出靜態(tài)Pod資源清單    
  
  
    ~ ctr run --rm --net-host docker.io/plndr/kube-vip:v0.3.8 vip \    
  
  
  /kube-vip manifest pod \    
  
  
  --interface $INTERFACE \    
  
  
  --vip $VIP \    
  
  
  --controlplane \    
  
  
  --services \    
  
  
  --arp \    
  
  
  --leaderElection | tee  /etc/kubernetes/manifests/kube-vip.yaml

當(dāng) kube-vip 的靜態(tài) Pod 清單創(chuàng)建完成后，正常將能夠看到 kube-vip 的 Pod 會(huì)按預(yù)期啟動(dòng)并運(yùn)行：

  
 
 
    
  
  
    ~ kubectl get pods -A | grep vip    
  
  
  kube-system   kube-vip-master1                  1/1     Running             1                7m42s    
  
  
  kube-system   kube-vip-master2                  1/1     Running             0                4m24s    
  
  
  kube-system   kube-vip-master3                  1/1     Running             0                14s

這個(gè)時(shí)候控制平面節(jié)點(diǎn)就都準(zhǔn)備好了：

  
 
 
    
  
  
    ~ kubectl get nodes    
  
  
  NAME      STATUS   ROLES                  AGE     VERSION    
  
  
  master1   Ready    control-plane,master   9m18s   v1.22.1    
  
  
  master2   Ready    control-plane,master   7m11s   v1.22.1    
  
  
  master3   Ready    control-plane,master   5m9s    v1.22.1

添加工作節(jié)點(diǎn)

接下來(lái)我們可以將 node1 工作節(jié)點(diǎn)加入到集群中，同樣使用在 master1 上初始化后的提示 join 命令，記得將 master1 節(jié)點(diǎn)上面的 $HOME/.kube/config 文件拷貝到 node 節(jié)點(diǎn)對(duì)應(yīng)的文件中，安裝 kubeadm、kubelet、kubectl(可選)，然后執(zhí)行上面初始化完成后提示的 join 命令即可：

  
 
 
    
  
  
    ~ kubeadm join api.k8s.local:6443 --token abcdef.0123456789abcdef \    
  
  
  > --discovery-token-ca-cert-hash sha256:435fbc28490d1f897337923c19ec27bcf3639e9fe84e8448177777d23cae4176    
  
  
  [preflight] Running pre-flight checks    
  
  
  [preflight] Reading configuration from the cluster...    
  
  
  [preflight] FYI: You can look at this config file with 'kubectl -n kube-system get cm kubeadm-config -o yaml'    
  
  
  [kubelet-start] Writing kubelet configuration to file "/var/lib/kubelet/config.yaml"    
  
  
  [kubelet-start] Writing kubelet environment file with flags to file "/var/lib/kubelet/kubeadm-flags.env"    
  
  
  [kubelet-start] Starting the kubelet    
  
  
  [kubelet-start] Waiting for the kubelet to perform the TLS Bootstrap...    
  
  
      
  
  
  This node has joined the cluster:    
  
  
  * Certificate signing request was sent to apiserver and a response was received.    
  
  
  * The Kubelet was informed of the new secure connection details.    
  
  
      
  
  
  Run 'kubectl get nodes' on the control-plane to see this node join the cluster.

如果忘記了上面的 join 命令可以使用命令 kubeadm token create --print-join-command 重新獲取。

執(zhí)行成功后運(yùn)行 get nodes 命令：

  
 
 
    
  
  
    ~ kubectl get nodes    
  
  
  NAME      STATUS   ROLES                  AGE     VERSION    
  
  
  master1   Ready    control-plane,master   9m18s   v1.22.1    
  
  
  master2   Ready    control-plane,master   7m11s   v1.22.1    
  
  
  master3   Ready    control-plane,master   5m9s    v1.22.1    
  
  
  node1     NotReady                  24s     v1.22.1

可以看到是 NotReady 狀態(tài)，這是因?yàn)檫€沒(méi)有安裝網(wǎng)絡(luò)插件，接下來(lái)安裝網(wǎng)絡(luò)插件，可以在文檔 https://kubernetes.io/docs/setup/production-environment/tools/kubeadm/create-cluster-kubeadm/ 中選擇我們自己的網(wǎng)絡(luò)插件，這里我們安裝 flannel:

  
 
 
    
  
  
    ~ wget https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml    
  
  
  # 如果有節(jié)點(diǎn)是多網(wǎng)卡，則需要在資源清單文件中指定內(nèi)網(wǎng)網(wǎng)卡    
  
  
  # 搜索到名為 kube-flannel-ds 的 DaemonSet，在kube-flannel容器下面    
  
  
    ~ vi kube-flannel.yml    
  
  
  ......    
  
  
  containers:    
  
  
  - name: kube-flannel    
  
  
    image: quay.io/coreos/flannel:v0.14.0    
  
  
    command:    
  
  
    - /opt/bin/flanneld    
  
  
    args:    
  
  
    - --ip-masq    
  
  
    - --kube-subnet-mgr    
  
  
    - --iface=eth0  # 如果是多網(wǎng)卡的話，指定內(nèi)網(wǎng)網(wǎng)卡的名稱    
  
  
  ......    
  
  
    ~ kubectl apply -f kube-flannel.yml  # 安裝 flannel 網(wǎng)絡(luò)插件

隔一會(huì)兒查看 Pod 運(yùn)行狀態(tài)：

  
 
 
    
  
  
    ~ kubectl get pods -n kube-system    
  
  
  NAME                              READY   STATUS    RESTARTS       AGE    
  
  
  coredns-7568f67dbd-lvcd5          1/1     Running   0              30m    
  
  
  coredns-7568f67dbd-shfrk          1/1     Running   0              30m    
  
  
  etcd-master1                      1/1     Running   0              45m    
  
  
  etcd-master2                      1/1     Running   0              45m    
  
  
  etcd-master3                      1/1     Running   1 (46m ago)    54m    
  
  
  kube-apiserver-master1            1/1     Running   4 (45m ago)    58m    
  
  
  kube-apiserver-master2            1/1     Running   2 (45m ago)    56m    
  
  
  kube-apiserver-master3            1/1     Running   1 (46m ago)    54m    
  
  
  kube-controller-manager-master1   1/1     Running   15 (48m ago)   58m    
  
  
  kube-controller-manager-master2   1/1     Running   1 (47m ago)    56m    
                                                

                                                分享名稱：使用 Kube-vip 搭建高可用的 Kubernetes 集群(完整版)                                                

                                                網(wǎng)頁(yè)鏈接：http://m.fisionsoft.com.cn/article/cdhjede.html