【云原生】k8s核心技术—集群安全机制 Ingress Helm 持久化存储-20230222

news2024/11/24 7:08:09

文章目录

    • 一、k8s集群安全机制
      • 1. 概述
      • 2. RBAC——基于角色的访问控制
    • 二、Ingress
    • 三、Helm
      • 1. 引入
      • 2. 使用功能Helm可以解决哪些问题
      • 3. 介绍
      • 4. 3个重要概念
      • 5. helm 版本变化
      • 6. helm安装及配置仓库
      • 7. 使用helm快速部署应用
      • 8. 自己创建chart
      • 9. 实现yaml高效复用
    • 四、持久化存储
      • 1.nfs—网络存储
      • 2. PV和PVC

一、k8s集群安全机制

1. 概述

（1）访问k8s集群的时候，需要经过三个步骤完成具体操作
第一步：认证
第二步：鉴权（授权）
第三步：准入控制
（2）进行访问的时候，过程中都需要经过apiserver，apiserver做统一协调，比如门卫。
访问过程中需要证书、token、或者用户名+密码
如果访问pod，需要serverAccount。
在这里插入图片描述

  • 第一步 认证 传输安全
    *传输安全：对外不暴露8080端口，只能内部访问，对外部使用端口6443
    *认证

客户端身份认证常用方式：

  • https证书认证，基于ca证书
  • http token认证，通过token识别用户
  • http基本认证，用户名+密码认证

第二步 鉴权（授权）

  • 基于RBAC进行鉴权操作
  • 基于角色访问控制

第三步 准入控制

  • 就是准入控制器的列表，如果列表有请求内容，通过，没有则拒绝

2. RBAC——基于角色的访问控制

  • 角色
    role：特定命名空间访问权限
    ClusterRole：所有命名空间访问权限
  • 角色绑定
    rolebinding：角色绑定到主体
    ClusterRoleBinding：集群角色绑定到主体
  • 主体
    user：用户
    group：用户组
    serviceAccount：服务账号
    在这里插入图片描述

例子：
在这里插入图片描述

二、Ingress

  1. 把端口号对外暴露，通过IP+端口号进行访问
    使用Service里面的NodePort实现

  2. NodePort缺陷

  • 在每个节点上都会启动一个端口，在访问的时候通过任何节点，通过节点IP+暴露端口号实现访问
  • 意味着每个端口只能使用一次，一个端口对应一个应用
  • 实际访问中都是用域名，根据不同域名跳转到不同端口服务中
  1. Ingerss和Pod关系
  • pod和ingress通过service关联的
  • ingress作为统一入口，由service关联一组pod
    在这里插入图片描述

  1. ingress工作流程
    在这里插入图片描述
    ingress不是k8s内置的，需要部署。

  2. 使用ingress——以nginx为例
    第一步 部署ingress Controller
    第二步 创建ingress规则

  3. 使用ingress对外暴露应用
    （1）创建nginx应用，对外暴露端口使用NodePort
    （2）部署ingress controller，详细yaml文件内容参考这篇文章
    在这里插入图片描述
    在这里插入图片描述
    （3）创建ingress规则
    在这里插入图片描述
    在这里插入图片描述

（4）在Windows系统hosts文件中添加域名访问规则
在这里插入图片描述

没看懂没关系，详细操作以及yaml文件参考文章通过域名访问服务

三、Helm

1. 引入

K8S上的应用对象，都是由特定的资源描述组成，包括 deployment、service 等。都保存各自文件中或者集中写到一个配置文件。然后 kubectl apply –f 部署。如果应用只由一个或几个这样的服务组成，上面部署方式足够了。而对于一个复杂的应用，会有很多类似上面的资源描述文件，例如微服务架构应用，组成应用的服务可能多达十个，几十个。如果有更新或回滚应用的需求，可能要修改和维护所涉及的大量资源文件，而这种组织和管理应用的方式就显得力不从心了。且由于缺少对发布过的应用版本管理和控制，使Kubernetes 上的应用维护和更新等面临诸多的挑战，主要面临以下问题：（1）如何将这些服务作为一个整体管理 （2）这些资源文件如何高效复用 （3）不支持应用级别的版本管理。

  • 之前方式部署应用基本过程
  1. 编写yaml文件
    1.1 deployment
    1.2 service
    1.3 ingress

缺陷：

  • 如果使用之前方式部署单一应用，少数服务的应用，比较合适
  • 比如部署微服务项目，可能有几十个服务，每个服务都有一套yaml文件，需要维护大量yaml文件，版本管理特别不方便

2. 使用功能Helm可以解决哪些问题

（1）使用helm可以把这些yaml作为一个整体管理
（2）实现yaml高效复用
（3）使用helm实现应用级别的版本管理

3. 介绍

Helm 是一个 Kubernetes 的包管理工具，就像 Linux 下的包管理器，如 yum / apt 等，可以很方便的将之前打包好的 yaml 文件部署到 kubernetes 上。

4. 3个重要概念

（1）helm：一个命令行客户端工具，主要用于 Kubernetes 应用 chart 的创建、打包、发布和管理。
（2）Chart：应用描述，一系列用于描述 k8s 资源相关文件的集合。（把yaml打包，是yaml的集合）
（3）Release：基于 Chart 的部署实体，一个 chart 被 Helm 运行后将会生成对应的一个release；将在 k8s 中创建出真实运行的资源对象。（基于chart 部署实体，应用级别的版本管理）

5. helm 版本变化

2019年11月13 日，Helm 团队发布 Helm v3 的第一个稳定版本。
本主要变化如下：
（1）V3版本删除Tiller
（2）Release 名称可以在不同命名空间重用
（3）支持将 Chart 推送至 Docker 镜像仓库中
在这里插入图片描述

6. helm安装及配置仓库

  1. helm安装
    第一步：下载helm安装压缩文件，上传到Linux系统中
    第二步：解压helm压缩文件，把解压后的linux-amd64/helm目录移动到/usr/bin/ 目录下
    在这里插入图片描述
    在这里插入图片描述

  2. 配置helm仓库

微软仓库（http://mirror.azure.cn/kubernetes/charts）这个仓库推荐，基本上官网有的 chart 这里都有。
阿里云仓库（https://kubernetes.oss-cn-hangzhou.aliyuncs.com/charts ）
官方仓库（https://hub.kubeapps.com/charts/incubator）官方 chart 仓库，国内有点不好使。

（1）添加仓库
helm repo add 仓库名称 仓库地址
helm repo add stable http://mirror.azure.cn/kubernetes/charts
helm repo add aliyun https://kubernetes.oss-cn-hangzhou.aliyuncs.com/charts
在这里插入图片描述

（2）更新仓库地址
helm repo update
在这里插入图片描述

（3）删除仓库
helm repo remove aliyun
在这里插入图片描述

7. 使用helm快速部署应用

第一步：使用命令搜索应用
helm search repo 名称 （weave）
在这里插入图片描述
第二步：根据搜索内容选择安装
helm install 安装之后的名称 搜索之后的应用名称
在这里插入图片描述

  • 查看安装之后状态
    helm list 或 helm status +安装之后名称
    在这里插入图片描述
    在这里插入图片描述
    从下图可以看到，目前ui-weave-scope并没有对外暴露端口，需要修改service类型为“NodePort”
    在这里插入图片描述

** 修改service的yaml文件，type改为NodePort

kubectl get svc
kubectl edit svc + 名称

在这里插入图片描述
再次查看，既可以看到对外暴露的端口号。
在这里插入图片描述

8. 自己创建chart

  1. 使用命令创建Chart
    helm create chart名称
    在这里插入图片描述
    在这里插入图片描述
  • Chart.yaml：用于描述这个 Chart 的基本信息，包括名字、描述信息以及版本等。
  • values.yaml ：用于存储 templates 目录中模板文件中用到变量的值（全局变量）。
  • Templates： 目录里面存放所有 yaml 模板文件。
  • charts：目录里存放这个 chart
  1. 在 templates 文件夹创建2个yaml文件
  • deployment.yaml
  • service.yaml
kubectl create deployment web1 --image=nginx --dry-run -o yaml > deployment.yaml

kubectl expose deployment web1 --port=80 --target-port=80 --type=NodePort --dry-run -o yaml > service.yaml

在这里插入图片描述

  1. 安装mychart
    安装前删除已存在的nginx：kubectl delete deployment pod名称
kubectl install web1 mychart

kubectl get svc

在这里插入图片描述

  1. 应用升级
    helm upgrade chart名称 目录
helm upgrade web1 mychart/

在这里插入图片描述

9. 实现yaml高效复用

通过传递参数，动态渲染模板，yaml内容动态传入参数生成。
在chart里有一个values.yaml文件，定义yaml文件全局变量。

yaml 文件大体有几个地方不同

  • image
  • tag
  • label
  • port
  • replicas

  1. 在values.yaml定义变量和值
    在这里插入图片描述

  2. 在templates的yaml文件使用values.yaml定义变量的值
    通过表达式形式使用全局变量：{{ .Values.变量名称}} 或 {{ .Release.Name}}
    在这里插入图片描述

四、持久化存储

数据卷 emptydir，是本地存储，pod重启，数据不存在了，需要对数据持久化存储。

1.nfs—网络存储

pod 重启，数据仍然存在

  • 第一步：找一台服务器nfs服务端

（1）安装nfs
yum install -y nfs-utils
（2）设置挂载路径
vim /etc/exports

/data/nfs *{rw.no_root_squash}

在这里插入图片描述

（3）挂载路径需要创建出来，这里的挂在路径为：/data/nfs
在这里插入图片描述

  • 第二步：在k8s集群node节点安装nfs，所有节点都要装
    yum install -y nfs-utils

  • 第三步：在nfs服务器启动nfs服务
    systemctl start nfs
    ps -ef | grep nfs
    在这里插入图片描述

  • 第四步：在k8s集群部署应用使用nfs持久网络存储
    ①在pv目录下创建nfs-nginx.yaml文件，将下述代码复制进去：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-dep1
spec:
  replicas: 1
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx
        volumeMounts:
        - name: wwwroot
          mountPath: /usr/share/nginx/html
        ports:
        - containerPort: 80
      volumes:
        - name: wwwroot
          nfs:
            server: 192.168.2.6  ## nfs服务器IP
            path: /data/nfs   ## nfs服务器挂在路径

②运行yaml文件

kubevtl apply -f nfs-nginx.yaml

③查看

kubectl get pods

在这里插入图片描述
④在nfs服务器中，目录/data/nfs/下创建index.yaml文件，编辑内容
在这里插入图片描述
⑤进入master中创建的pod中，查看index.yaml文件存在，查看内容

kubectl exec -it [pod 名称] bash

在这里插入图片描述
⑥暴露端口号

kubectl expose deployment nginx-dep1 --port=80 --target-port=80 --type=NodePort

⑦访问nginx显示编辑的内容
在这里插入图片描述

2. PV和PVC

  1. PV：持久化存储，对存储资源进行抽象，对外提供可以调用的地方（生产者）

  2. PVC：用于调用，不需要关心内部实现细节（消费者）

  3. 实现流程
    在这里插入图片描述
    pv相当于物理主机，pvc相当于电脑中的C盘D盘等存储磁盘，必须依赖于主机存在，类似于pvc必须要绑定pv

  4. 步骤
    ①在pv目录下创建两个yaml文件，pv.yaml和pvc.yaml，分别将下述内容复制到对应yaml文件中：
    pv.yaml内容：

apiVersion: v1
kind: PersistentVolume
metadata:
  name: my-pv
spec:
  capacity:
    storage: 5Gi
  accessModes:
    - ReadWriteMany
  nfs:
    path: /data/nfs     ## nfs服务器中挂在路径
    server: 192.168.2.6   ## nfs服务器IP

pvc.yaml内容：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-dep1
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx
        volumeMounts:
        - name: wwwroot
          mountPath: /usr/share/nginx/html
        ports:
        - containerPort: 80
      volumes:
      - name: wwwroot
        persistentVolumeClaim:
          claimName: my-pvc

---

apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: my-pvc
spec:
  accessModes:
    - ReadWriteMany
  resources:
    requests:
      storage: 5Gi

②运行两个yaml文件

kubectl apply -f pv.yaml
kubectl apply -f pvc.yaml

③查看

kubectl get pods
kubectl get pv,pvc

在这里插入图片描述
④进入任意一个创建的pod中，由于副本数为3，所以我们随便进一个，就会有和nfs服务器一样的index.html文件

kubectl exec -it nginx-dep1-58b7bf955f-7s8hp  bash

在这里插入图片描述
在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/374030.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

ArXiv简介以及论文提交

ArXiv简介以及论文提交

arXiv网站简介 arXiv是一个收集物理学、数学、计算机科学、生物学与数理经济学的论文预印本的网站。其中arXiv发音同“archive”，因为“X”代表希腊字母 ，国际音标为[kai]。它于1991年8月14日成立，现由美国康奈尔大学维护。 ——维基百科 对…
阅读更多...
在Angular项目中引入NG-ZORRO

在Angular项目中引入NG-ZORRO

在Angular项目中引入NG-ZORRO1.前置2.安装NG-ZORRO并进行初始化配置3.引入样式4.引入组件1.前置 首先创建一个angular项目：angular创建一个新项目的步骤 这是我项目的结构： 2.安装NG-ZORRO并进行初始化配置 安装NG-ZORRO：cd 到当前项目位…
阅读更多...
微信小程序、小游戏的流量主一般可以赚多少钱？

微信小程序、小游戏的流量主一般可以赚多少钱？

本篇文章主要科普小程序、小游戏流量主一般赚钱的实际情况，通过在下长期运营的经验汇总而成。 日期：2023年2月26日 作者：任聪聪 小程序、小程序满1000用户后即可开通流量主，但实际上很多人并没有传说中的那种日赚几千的流量收入的…
阅读更多...
学习笔记之Vuex（五）

学习笔记之Vuex（五）

Vuex（五）Vuex一、什么是Vuex二、Vuex工作原理三、搭建Vuex环境四、求和案例分析4.1 求和案例——vue实现4.2 求和案例——vuex实现（五）Vuex 一、什么是Vuex 1.概念 在Vue中实现集中式状态（数据）管理的一…
阅读更多...
第二节类型转换、运算符

第二节类型转换、运算符

类型转换 自动类型转换： 类型小的变量可以赋值给大的类型变量。 表达式的自动类型转换： byte short char在表达式中是当做 int计算的。 强制类型转换： 大类型的变量转化为小类型的变量。 注：浮点型转换为整数是直接丢掉小数部…
阅读更多...
nacos config

nacos config

https://github.com/alibaba/spring-cloud-alibaba/wiki/Nacos-config 必须在 bootstrap.properties 配置 nacos server 的地址 data id : 对应一个微服务 namespace : 对应环境 dev prod 默认 public group : 对应一个项目，，默认 DEFUALT_GROUP 当你…
阅读更多...
神经网络 线性回归从0开始实现的代码分析 --跟李沐学AI

神经网络 线性回归从0开始实现的代码分析 --跟李沐学AI

3.2. 线性回归的从零开始实现 — 动手学深度学习 2.0.0 documentation 分析了好几天才懂,个人水平有限 如果有错请指出 1.导包 %matplotlib inline import random import torch from d2l import torch as d2ldef synthetic_data(w, b, num_examples): #save""&quo…
阅读更多...
spring integration使用：消息转换器

spring integration使用：消息转换器

系列文章目录 …TODO spring integration开篇：说明 …TODO spring integration使用：消息路由 spring integration使用：消息转换器 spring integration使用：消息转换器系列文章目录前言消息转换器（或者叫翻译器&#x…
阅读更多...
SQLserver 语句查询当前数据库版本型号

SQLserver 语句查询当前数据库版本型号

SQL执行语句select serverproperty(productversion) as 产品版本号,serverproperty(productlevel) as 产品层次,serverproperty(edition) as 版本SQL执行历史记录：select version as 版本号select serverproperty(productversion) as 产品版本号,serverproperty(pro…
阅读更多...
【Redis】一文搞懂 Redis 中的缓存穿透、缓存击穿、缓存雪崩及其解决方案

【Redis】一文搞懂 Redis 中的缓存穿透、缓存击穿、缓存雪崩及其解决方案

一文搞懂 Redis 中的缓存穿透、缓存击穿、缓存雪崩及其解决方案1. 缓存穿透1.1 什么是缓存穿透1.2 缓存穿透的解决方案1.2.1 缓存空对象1.2.2 布隆过滤器布隆过滤器工作原理Redis 使用布隆过滤器2. 缓存击穿1.1 什么是缓存击穿1.2 缓存击穿的解决方案1.2.1 设置热点数据永不过期…
阅读更多...
【无限思维画布】制作思维导图第三步，节点移动与编辑

【无限思维画布】制作思维导图第三步，节点移动与编辑

正在为无限词典制作单词思维导图功能，实现无限单词导图，无限思维画布。目前制作到第三步，实现节点移动与编辑： 节点移动与编辑Details 第一步，搜索 github。 一个是比较完善的，基于普通dom，用…
阅读更多...
Random（二）什么是伪共享？@sun.misc.Contended注解

Random（二）什么是伪共享？@sun.misc.Contended注解

目录1.背景简介2.伪共享问题3.问题解决4.JDK使用示例1.背景简介 我们知道，CPU 是不能直接访问内存的，数据都是从高速缓存中加载到寄存器的，高速缓存又有 L1，L2，L3 等层级。在这里，我们先简化这些复杂的层级…
阅读更多...
对象创建的过程

对象创建的过程

对象创建的过程 在语言层面上，创建对象通常仅仅是一个new关键字而已（例外：复制、反序列化）； 而在虚拟机中，对象的创建又是怎样一个过程呢？（文中讨论的对象限于普通Java对象&#xff…
阅读更多...
Jetpack Compose 深入探索系列一：Composable 函数

Jetpack Compose 深入探索系列一：Composable 函数

Composable 函数的含义 如果我们只专注于简单的语法，任何标准的Kotlin函数都可以成为一个可组合函数，只需将其注解为Composable: 通过这样做，我们实际上是在告诉编译器，该函数打算将一些数据转换为一个Node节点，以便注…
阅读更多...
Simulink建模：如何学习Simulink建模

Simulink建模：如何学习Simulink建模

本文介绍博主自己学习Simulink建模的方法。后续博客都会按照本文中的思路来记录博主学习的过程。 文章目录1 Simulink建模的分类1.1 连续模型建模1.2 物理模型建模1.3 控制算法建模2 控制算法建模的基本知识2.1 控制算法与电控软件架构2.2 控制算法与周期调度2.3 控制算法与其他…
阅读更多...
分布式-分布式缓存笔记

分布式-分布式缓存笔记

分布式系统缓存 缓存分类 前端缓存 前端缓存包括页面和浏览器缓存，如果是 App，那么在 App 端也会有缓存。当你打开商品详情页，除了首次打开以外，后面重复刷新时，页面上加载的信息来自多种缓存。 页面缓存属于客户端…
阅读更多...
61 - 进程互斥锁的详细设计

61 - 进程互斥锁的详细设计

---- 整理自狄泰软件唐佐林老师课程 文章目录1. 问题1.1 生活中的示例1.1.1 吃饭问题1.1.2 十字路口1.1.3 洗手间1.1.4 生产消费者问题1.2 结论2. 接下来的问题2.1 临界资源（Critical Resource）2.2 临界区（Critical Section）2.3 任…
阅读更多...
【C3】cpu_wtd_sysfs

【C3】cpu_wtd_sysfs

文章目录2.cpu_wtd_sysfs：switchboard.c （fpga下i2c访问Switch CPLD1，Switch CPLD2 ：CPLD, FPGA , QSFP）scriptbmc_wtd：syscpld.c中wd_en和wd_kick节点对应寄存器，crontab，FUNCNAMEA…
阅读更多...
Spring事务的隔离级别

Spring事务的隔离级别

事务的特性: 隔离性:多个事务在并发执行的时候，多个事务执行的一个行为模式，当一个事务执行的时候，另一个事务执行的一个行为模式是什么？ 1)A，原子性，一个事务中的所有操作，要么全部执行成功&am…
阅读更多...
I2C误码了怎么处理

I2C误码了怎么处理

我相信不少人有遇到I2C设备识别不到，或者概率性误码。 我相信大部分工程师的做法如下： 1.调整上拉电阻的大小，然后重新老化测试； 2.降低I2C速率，然后老化测试； 3.软件加入一定判断条件，将能…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023