Joohwan

K8s-集群安装认证API Server认证三大K8s API访问模式： 以Service Account方式访问K8s的内部服务进程 以匿名方式访问的进程 以证书方式访问的普通用户或进程，包括运维人员及kubectl、 kubelets等进程 K8s的用户认证方式： HTTPS证书认证：基于CA根证书前面的双向数字证书认证方式 HTTP Bearer Token认证：通过一个Bearer Token识别合法用户 OpenID Connect Token第三方认证：通过第三方OIDC协议进行认证 Webhook Token认证：通过外部Webhook服务进行认证 Authenticating Proxy认证：通过认证代理程序进行认证 HTTPS证书认证这里需要有一个CA证书，CA是PKI系统中通信双方都信任的实 体，被称为可信第三方（Trusted Third Party，TTP）。CA作为可信第三 方的重要条件之一，就是其行为具有非否认性。作为第三方而不是简单 的上级，就必须让信任者有追究自己责任的能力。CA通过证书证实他 人的公钥信息，在证书上有CA的签名。如果用户因为信任 ...

使用swagger-ui可视化K8s API文档背景需要进行K8s API开发的时候，不方便查看 具体实现# 启动代理kubectl proxy --port=8080# 获取到swagger.jsoncurl localhost:8080/openapi/v2 > k8s-swagger.json# docker启动swaggerdocker run \ --rm \ -d \ -p 8087:8080 \ -e SWAGGER_JSON=/k8s-swagger.json \ -v $(pwd)/k8s-swagger.json:/k8s-swagger.json \ swaggerapi/swagger-ui # 通过http://ip:8087

K8s-三大核心数据结构构成 Group：资源组，在K8s API Server称之为APIGroup Version：资源版本，在K8s API Server称为APIVersion Resource：资源，在K8s API Server称为APIResource Kind：资源种类，描述K8s种类，与Resource统一级别 K8s支持多Group,每个Group支持多Version，每个Version支持多Resource，部分资源还有自己的子资源（Sub Resource),比如Deployment的status 一般的，具体表示///，比如Deployment就是apps/v1/deploymets/status 不常见的deletecollection资源在支持delete的情况下，如果支持删除多个字眼，比如删除命名空间所有的Pod,那就算啥给予deletecollection # 查看所有kubectl api -resources --sort-by name -o wide 资源组Group资源组把不通 ...

K8s-Service的服务发现机制服务发现机制主要是K8s集群如何获取后端服务的访问地址。 K8s主要提供了俩种模式，环境变量方式和DNS方式 环境变量apiVersion: v1kind: Servicemetadata: name: kubiaspec: selector: app: kubia-service ports: - protocol: TCP port: 8080 targetPort: 8080 这个对应的Pod就会出现以下环境变量: KUBIA_SERVICE_HOST=10.10.122.234KUBIA_SERVICEPORT=8080KUBIA_PORT=tcp://10.10.122.234:8080KUBIA_PORT_8080_TCP=tcp://10.10.122.234:8080KUBIA_PORT_8080_TCP_PRORO=tcpKUBIA_PORT_8080_TCP_PORT=8080KUBIA_PORT_8080_TCP_ADDR=10.10.122.234 所以通过curl http://$& ...

K8s的五种代码生成器概述 代码生成器 说明 Conversion-gen 自动生成convert函数的代码是生成器，用于资源对象的版本转换函数 deepcopy-gen 自动生成deepcopy的函数代码生成器，用于资源对象的深复制函数 defaulter-gen 自动生成defaulter的函数代码生成器，用于资源对象的默认值函数 prerelese- lifecycle-gen 自动生成api-status.csv文件的工具 openapi-gen 自动生成openapi定义文件的代码生成器 除了上述之外，其实还支持很多，比如client-gen、lister-gen、informer-gen Conversion-gen自动生成convert函数的代码是生成器，用于资源对象的版本转换函数 常规引入tag+k8s:conversion-gen=<peer-pkg> 生成规则https://github.com/kubernetes/kubernetes/blob/master/staging/src/k8s.io/code-genera ...

K8s-Service的负载均衡机制Service对象通过关联转发到PodI实现负载均衡，每个Node的kube-proxy负责实现。 kube-proxy的代理模式通过启动参数–proxy-mode设 置 userspace模式（x）用户空间模式，由kube-proxy完成的代理模式，效率低，不再推荐 iptables模式kube-proxy通过设置Linux Kernel的iptables规则， 实现从Service到后端Endpoint列表的负载分发规则，效率很高。但是， 如果某个后端Endpoint在转发时不可用，此次客户端请求就会得到失败 的响应，相对于userspace模式来说更不可靠。 此时应该通过为Pod设置 readinessprobe（服务可用性健康检查）来保证只有达到ready状态的 Endpoint才会被设置为Service的后端Endpoint。 ipvs模式在Kubernetes 1.11版本中达到Stable阶段，kubeproxy通过设置Linux Kernel的netlink接口设置IPVS规则，转发效率和支 持的吞吐率都是最高的。ipvs模式要求Li ...

K8s-Pod的扩容背景在实际生产系统中，我们经常会遇到某个服务需要扩容的场景，也 可能会遇到由于资源紧张或者工作负载降低而需要减少服务实例数量的 场景。此时可以利用Deployment/RC的Scale机制来完成这些工作。 手动扩容 通过kubectl scale deployment $nginx-deploymenr --replicas 5 本质上是通过修改replicas 实现的 自动扩容HPAPod的HPA 从K8s1.1版本，添加了HPA（Horizontal Pod Autoscaler），其基于Master的的kube-controller-manager服务启动 参数–horizontal-pod-autoscaler-sync-period定义的探测周期（默认值为 15s），周期性地监测目标Pod的资源性能指标，并与HPA资源对象中的 扩缩容条件进行对比，在满足条件时对Pod副本数量进行调整。 工作原理HPA控制器给予Metrics Server的API指标，基于扩容规则实现进行计算，得到Pod副本数量。 然后HPA—>给副本控制器发起scal ...

K8s-Service端点切片和服务拓扑背景Service背后指向了一组Endpoint列表，当集群规范增大时，kube-proxy负载迅速上升，同时Service对Endpoint的CRUD操作成本是上升。 所以在K8s 1.16引入了端点切片（Endpoint Slices）机制，包括一个新的EndpointSlice资源对象和新的EndpointSlice控制器。 在K8s 1.17进入beta阶段，其原理是对Endpoint进行分片管理，实现降低Master和Node之间的网络传输数据量和提供整体性能。 默认：EndpointSlice控制器创建Endpoint为100，需要修改需要设置kube-controller-manager –max- endpoint-per-slice设置，但是最大上限不能超过1000 什么是EndpointSlice#地址类型 包括 IPV4 IPV6 FQDNaddressType: IPv4apiVersion: discovery.k8s.io/v1# endpoint列表endpoints:- addresses: - 10.10.10 ...

Homebrew共存arm和X86背景部分包支持arm，部分支持x86，主要是x86和arm的包的位置不一样 arm安装# 切换到/opt目录cd /opt # 创建homebrew目录sudo mkdir homebrew# 修改目录所属用户sudo chown -R $(whoami) /opt/homebrew # 安装Arm版Homebrewcurl -L https://github.com/Homebrew/brew/tarball/master | tar xz --strip 1 -C homebrew x86 安装arch -x86_64 /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/master/install.sh)" 区分二个版本的brew# x86export PATH="/usr/local/bin:$PATH"alias abrew='arch -x86_64 /usr/local/bin/b ...

解读Kubeadm源码kubeadm init过程官网教程：https://kubernetes.io/zh-cn/docs/reference/setup-tools/kubeadm/kubeadm-init/ 1. Node环境检查（pre-fight-check) https://github.com/kubernetes/kubernetes/blob/b43b95aa5741e55b433e785be1df9558b3841091/cmd/kubeadm/app/preflight/checks.go#L896 生成的checks列表的对象，都实现了check接口，通过调用Check()进行 通过与prefight前检查独立存在 检查mainfestDir目录，K8s默认组件使用static pod NumCPUCheck检查CPU 最低2C，可以通过--ignore-prefight-errors=NumCPU进行忽略 MemCheck检查检查，最低2G 进行kubectl、kubelet的版本匹配检查 检查FirewaldCheck检查防火墙 端口检查 …… 同时还有 ...