kubernetes,是一个全新的基于容器技术的分布式架构领先方案,是谷歌严格保密十几年的秘密武器----Borg系统的一个开源版本,于2014年9月发布第一个版本,2015年7月发布第一个正式版本。
kubernetes的本质是一组服务器集群,它可以在集群的每个节点上运行特定的程序,来对节点中的容器进行管理。目的是实现资源管理的自动化,主要提供了如下的主要功能:
- 自我修复:一旦某一个容器崩溃,能够在1秒中左右迅速 启动新的容器
- 弹性伸缩:可以根据需要,自动对集群中正在运行的 容器数量进行调整
- 服务发现:服务可以通过自动发现的形式 找到它所依赖的服务
- 负载均衡:如果一个服务起动了多个容器,能够自动 实现请求的负载均衡
- 版本回退:如果发现新发布的程序版本有问题,可以立即 回退到原来的版本
- 存储编排:可以根据容器自身的需求 自动创建存储卷
一、概述
在前面已经提到,容器的生命周期可能很短,会被频繁地创建和销毁。那么容器在销毁时,保存在容器中的数据也会被清除。这种结果对用户来说,在某些情况下是不乐意看到的。为了持久化保存容器的数据,kubernetes引入了Volume的概念。
Volume是Pod中能够被多个容器访问的共享目录,它被定义在Pod上,然后被一个Pod里的多个容器挂载到具体的文件目录下,kubernetes通过Volume实现同一个Pod中不同容器之间的数据共享以及数据的持久化存储。Volume的生命容器不与Pod中单个容器的生命周期相关,当容器终止或者重启时,Volume中的数据也不会丢失。
kubernetes的Volume支持多种类型,比较常见的有下面几个:
- 简单存储:EmptyDir、HostPath、NFS
- 高级存储:PV、PVC
- 配置存储:ConfigMap、Secret
二、基本存储
2.1 EmptyDir
EmptyDir是最基础的Volume类型,一个EmptyDir就是Host上的一个空目录。即容器目录只是挂载在Pod上
EmptyDir是在Pod被分配到Node时创建的,它的初始内容为空,并且无须指定宿主机上对应的目录文件,因为kubernetes会自动分配一个目录,当Pod销毁时, EmptyDir中的数据也会被永久删除。 EmptyDir用途如下:
- 临时空间,例如用于某些应用程序运行时所需的临时目录,且无须永久保留
- 一个容器需要从另一个容器中获取数据的目录(多容器共享目录)
接下来,通过一个容器之间文件共享的案例来使用一下EmptyDir。
使用案例
在一个Pod中准备两个容器nginx和busybox,然后声明一个Volume分别挂在到两个容器的目录中,然后nginx容器负责向Volume中写日志,busybox中通过命令将日志内容读到控制台。
-
创建配置文件并使用配置文件创建Pod:volume-emptydir.yaml
apiVersion: v1 kind: Pod metadata: name: volume-emptydir namespace: test spec: containers: - name: nginx image: nginx:1.17.1 ports: - containerPort: 80 volumeMounts: # 将logs-volume挂在到nginx容器中, - name: logs-volume mountPath: /var/log/nginx # 对应的容器中的目录 - name: busybox image: busybox:1.30 command: ["/bin/sh","-c","tail -f /logs/access.log"] # 初始命令 volumeMounts: # 将logs-volume 挂在到busybox容器中 - name: logs-volume mountPath: /logs # 对应的容器中的目录 volumes: # 声明Pod的存储卷, name为logs-volume,类型为emptyDir - name: logs-volume emptyDir: {}
-
查看Pod详细信息
-
验证:访问nginx,查看busybox的是否有nginx的日志输出
通过kubectl logs命令查看指定容器的标准输出
[root@master ~]# kubectl logs -f volume-emptydir -n test -c busybox
2.2 HostPath
上节课提到,EmptyDir中数据不会被持久化,它会随着Pod的结束而销毁,如果想简单的将数据持久化到主机中,可以选择HostPath。
HostPath就是将Node主机中一个实际目录挂在到Pod中,以供容器使用,这样的设计就可以保证Pod销毁了,但是数据依据可以存在于Node主机上。即容器目录挂载在node节点上
但是一旦Node节点故障了,Pod如果转移到了别的节点,又会出现问题了
使用案例
-
创建配置文件并使用配置文件创建Pod,查看Pod所在节点:volume-hostpath.yaml
apiVersion: v1 kind: Pod metadata: name: volume-hostpath namespace: test spec: containers: - name: nginx image: nginx:1.17.1 ports: - containerPort: 80 volumeMounts: - name: logs-volume mountPath: /var/log/nginx - name: busybox image: busybox:1.30 command: ["/bin/sh","-c","tail -f /logs/access.log"] volumeMounts: - name: logs-volume mountPath: /logs volumes: - name: logs-volume hostPath: path: /root/logs type: DirectoryOrCreate # 目录存在就使用,不存在就先创建后使用
关于type的值的一点说明: DirectoryOrCreate 目录存在就使用,不存在就先创建后使用 Directory 目录必须存在 FileOrCreate 文件存在就使用,不存在就先创建后使用 File 文件必须存在 Socket unix套接字必须存在 CharDevice 字符设备必须存在 BlockDevice 块设备必须存在
-
验证:查看Pod对应节点上是否存在相应的存储卷,且是否存储了nginx的日志信息
由第1步可只PodIP为:10.244.2.122,存储节点为:node1
[root@node1 ~]# ll /root/logs [root@node1 ~]# tail -f /root/logs/access.log [root@master ~]# curl 10.244.2.122:80
-
删除Pod
-
验证:判断节点上的存储卷是否会随Pod的删除而删除
[root@node1 ~]# ll /root/logs [root@node1 ~]# more /root/logs/access.log
2.3 NFS
HostPath可以解决数据持久化的问题,但是一旦Node节点故障了,Pod如果转移到了别的节点,又会出现问题了,此时需要准备单独的网络存储系统,比较常用的用NFS、CIFS。
NFS是一个网络文件存储系统,可以搭建一台NFS服务器,然后将Pod中的存储直接连接到NFS系统上,这样的话,无论Pod在节点上怎么转移,只要Node跟NFS的对接没问题,数据就可以成功访问。即容器目录挂载到NFS服务器上
使用案例
-
准备nfs的服务器,这里为了简单,直接是master节点做nfs服务器
# 在nfs上安装nfs服务 [root@master ~]# yum install nfs-utils -y # 准备一个共享目录 [root@master ~]# mkdir /root/data/nfs -pv # 将共享目录以读写权限暴露给192.168.5.0/24网段中的所有主机 [root@master ~]# vim /etc/exports # 启动nfs服务 [root@master ~]# systemctl restart nfs
-
在的每个node节点上都安装下nfs,这样的目的是为了node节点可以驱动nfs设备
注意:不需要启动
[root@node1 ~]# yum install nfs-utils -y
-
创建配置文件,使用配置文件创建Pod:volume-nfs.yaml
apiVersion: v1 kind: Pod metadata: name: volume-nfs namespace: test spec: containers: - name: nginx image: nginx:1.17.1 ports: - containerPort: 80 volumeMounts: - name: logs-volume mountPath: /var/log/nginx - name: busybox image: busybox:1.30 command: ["/bin/sh","-c","tail -f /logs/access.log"] volumeMounts: - name: logs-volume mountPath: /logs volumes: - name: logs-volume nfs: server: 192.168.100.100 #nfs服务器地址 path: /root/data/nfs #共享文件路径
-
验证:查看NFS服务器是否存在相应的存储卷,且是否存储了nginx的日志信息
由第3步可知:podIP为10.244.1.130,创建在node2上
[root@master ~]# ll /root/data/nfs/ [root@master ~]# tail -f /root/data/nfs/access.log [root@node2 ~]# curl 10.244.1.130
三、高级存储
3.1 引言
前面已经学习了使用NFS提供存储,此时就要求用户会搭建NFS系统,并且会在yaml配置nfs。由于kubernetes支持的存储系统有很多,要求客户全都掌握,显然不现实。为了能够屏蔽底层存储实现的细节,方便用户使用, kubernetes引入PV和PVC两种资源对象。
-
PV(Persistent Volume)是持久化卷的意思,是对底层的共享存储的一种抽象。一般情况下PV由kubernetes管理员进行创建和配置,它与底层具体的共享存储技术有关,并通过插件完成与共享存储的对接。
-
PVC(Persistent Volume Claim)是持久卷声明的意思,是用户对于存储需求的一种声明。换句话说,PVC其实就是用户向kubernetes系统发出的一种资源需求申请。
使用了PV和PVC之后,工作可以得到进一步的细分:
- 存储:存储工程师维护
- PV: kubernetes管理员维护
- PVC:kubernetes用户维护
3.2 PV 配置文件
PV是存储资源的抽象,用来声明可获得的存储资源
配置文件
apiVersion: v1
kind: PersistentVolume
metadata:
name: pv2
spec:
nfs: # 存储类型,与底层真正存储对应
capacity: # 存储能力,目前只支持存储空间的设置
storage: 2Gi
accessModes: # 访问模式
storageClassName: # 存储类别
persistentVolumeReclaimPolicy: # 回收策略
PV 的关键配置参数说明:
-
存储类型
底层实际存储的类型,kubernetes支持多种存储类型,每种存储类型的配置都有所差异
-
存储能力(capacity)
目前只支持存储空间的设置( storage=1Gi ),不过未来可能会加入IOPS、吞吐量等指标的配置
-
访问模式(accessModes)
用于描述用户应用对存储资源的访问权限,访问权限包括下面几种方式:
- ReadWriteOnce(RWO):读写权限,但是只能被单个节点挂载
- ReadOnlyMany(ROX): 只读权限,可以被多个节点挂载
- ReadWriteMany(RWX):读写权限,可以被多个节点挂载
需要注意的是,底层不同的存储类型可能支持的访问模式不同
-
回收策略(persistentVolumeReclaimPolicy)
当PV不再被使用了之后,对其的处理方式。目前支持三种策略:
- Retain (保留) 保留数据,需要管理员手工清理数据
- Recycle(回收) 清除 PV 中的数据,效果相当于执行 rm -rf /thevolume/*
- Delete (删除) 与 PV 相连的后端存储完成 volume 的删除操作,当然这常见于云服务商的存储服务
需要注意的是,底层不同的存储类型可能支持的回收策略不同
-
存储类别
PV可以通过storageClassName参数指定一个存储类别
- 具有特定类别的PV只能与请求了该类别的PVC进行绑定
- 未设定类别的PV则只能与不请求任何类别的PVC进行绑定
-
状态(status)
一个 PV 的生命周期中,可能会处于4中不同的阶段:
- Available(可用): 表示可用状态,还未被任何 PVC 绑定
- Bound(已绑定): 表示 PV 已经被 PVC 绑定
- Released(已释放): 表示 PVC 被删除,但是资源还未被集群重新声明
- Failed(失败): 表示该 PV 的自动回收失败
3.3 PVC 配置文件
PVC是资源的申请,用来声明对存储空间、访问模式、存储类别需求信息。
配置文件
apiVersion: v1
kind: PersistentVolumeClaim
metadata:
name: pvc
namespace: test
spec:
accessModes: # 访问模式
selector: # 采用标签对PV选择
storageClassName: # 存储类别
resources: # 请求空间
requests:
storage: 5Gi
PVC 的关键配置参数说明:
- 访问模式(accessModes)
用于描述用户应用对存储资源的访问权限
-
选择条件(selector)
通过Label Selector的设置,可使PVC对于系统中己存在的PV进行筛选
-
存储类别(storageClassName)
PVC在定义时可以设定需要的后端存储的类别,只有设置了该class的pv才能被系统选出
-
资源请求(Resources )
描述对存储资源的请求
3.4 实验案例
第一步:使用NFS作为存储,来演示PV的使用,创建3个PV,对应NFS中的3个暴露的路径。
第二步:创建3个PVC,匹配对应的PV:2个PVC可获得、1个PVC等待匹配合适的PV
第三步:创建2个POD,使用可获得的2个PVC
第一步
-
准备NFS环境
# 创建目录 [root@master ~]# mkdir /root/data/{pv1,pv2,pv3} -pv # 暴露目录 [root@master ~]# vim /etc/exports /root/data/pv1 192.168.100.0/24(rw,no_root_squash) /root/data/pv2 192.168.100.0/24(rw,no_root_squash) /root/data/pv3 192.168.100.0/24(rw,no_root_squash) # 重启服务 [root@master ~]# systemctl restart nfs
-
创建PV配置文件,使用配置文件创建PV,查看PV:pv.yaml
[root@master ~]# kubectl get pv -o wide
apiVersion: v1 kind: PersistentVolume metadata: name: pv1 spec: capacity: # 存储能力 storage: 1Gi accessModes: # 访问模式 - ReadWriteMany persistentVolumeReclaimPolicy: Retain # 回收策略 nfs: # 存储类型 path: /root/data/pv1 # NFS目录 server: 192.168.100.100 # NFS服务器地址 --- apiVersion: v1 kind: PersistentVolume metadata: name: pv2 spec: capacity: storage: 2Gi accessModes: - ReadWriteMany persistentVolumeReclaimPolicy: Retain nfs: path: /root/data/pv2 server: 192.168.100.100 --- apiVersion: v1 kind: PersistentVolume metadata: name: pv3 spec: capacity: storage: 3Gi accessModes: - ReadWriteMany persistentVolumeReclaimPolicy: Retain nfs: path: /root/data/pv3 server: 192.168.100.100
第二步
-
创建 PVC 配置文件,使用配置文件创建 PVC 并申请PV:pvc.yaml
apiVersion: v1 kind: PersistentVolumeClaim metadata: name: pvc1 namespace: test spec: accessModes: # 访问模式 - ReadWriteMany resources: # 想要获得的存储资源需求 requests: storage: 1Gi --- apiVersion: v1 kind: PersistentVolumeClaim metadata: name: pvc2 namespace: test spec: accessModes: - ReadWriteMany resources: requests: storage: 2Gi --- apiVersion: v1 kind: PersistentVolumeClaim metadata: name: pvc3 namespace: test spec: accessModes: - ReadWriteMany resources: requests: storage: 5Gi
-
查看 pv、pvc 状态
#查看pv状态 [root@master ~]# kubectl get pv #查看pvc状态 [root@master ~]# kubectl get pvc -n test
第三步
-
创建pod配置文件,使用配置文件创建创建pod:pods.yaml
让Pod使用相应的pvc
apiVersion: v1 kind: Pod metadata: name: pod1 namespace: test spec: containers: - name: busybox image: busybox:1.30 command: ["/bin/sh","-c","while true;do echo pod1 >> /root/out.txt; sleep 10; done;"] volumeMounts: - name: volume mountPath: /root/ volumes: - name: volume persistentVolumeClaim: # 使用pvc1 claimName: pvc1 readOnly: false --- apiVersion: v1 kind: Pod metadata: name: pod2 namespace: test spec: containers: - name: busybox image: busybox:1.30 command: ["/bin/sh","-c","while true;do echo pod2 >> /root/out.txt; sleep 10; done;"] volumeMounts: - name: volume mountPath: /root/ volumes: - name: volume persistentVolumeClaim: # 使用pvc2 claimName: pvc2 readOnly: false
-
验证:pod挂载的相应路径上的输出是否存在nfs文件系统对应的目录上
[root@master ~]# ll /root/data/pv1/ [root@master ~]# tail -f /root/data/pv1/out.txt
3.5 生命周期
PVC和PV是一一对应的,PV和PVC之间的相互作用遵循以下生命周期:
-
资源供应:管理员手动创建底层存储和PV
-
资源绑定:用户创建PVC,kubernetes负责根据PVC的声明去寻找PV,并绑定
在用户定义好PVC之后,系统将根据PVC对存储资源的请求在已存在的PV中选择一个满足条件的
- 一旦找到,就将该PV与用户定义的PVC进行绑定,用户的应用就可以使用这个PVC了
- 如果找不到,PVC则会无限期处于Pending状态,直到等到系统管理员创建了一个符合其要求的PV
PV一旦绑定到某个PVC上,就会被这个PVC独占,不能再与其他PVC进行绑定了
-
资源使用:用户可在pod中像volume一样使用pvc
Pod使用Volume的定义,将PVC挂载到容器内的某个路径进行使用。
-
资源释放:用户删除pvc来释放pv
当存储资源使用完毕后,用户可以删除PVC,与该PVC绑定的PV将会被标记为“已释放”,但还不能立刻与其他PVC进行绑定。通过之前PVC写入的数据可能还被留在存储设备上,只有在清除之后该PV才能再次使用。
-
资源回收:kubernetes根据pv设置的回收策略进行资源的回收
对于PV,管理员可以设定回收策略,用于设置与之绑定的PVC释放资源之后如何处理遗留数据的问题。只有PV的存储空间完成回收,才能供新的PVC绑定和使用
四、配置存储
4.1 ConfigMap
ConfigMap是一种比较特殊的存储卷,它的主要作用是用来存储配置信息的。
-
创建 ConfigMap 配置文件,使用配置文件创建 ConfigMap:configmap.yaml
apiVersion: v1 kind: ConfigMap metadata: name: configmap namespace: test data: info: | username:admin password:123456
-
查看 configmap详情
[root@master ~]# kubectl describe cm configmap -n test
-
创建一个Pod配置文件,将上面创建的configmap挂载进去:pod-configmap.yaml
apiVersion: v1 kind: Pod metadata: name: pod-configmap namespace: test spec: containers: - name: nginx image: nginx:1.17.1 volumeMounts: # 将configmap挂载到目录 - name: config mountPath: /configmap/config volumes: # 引用configmap - name: config configMap: name: configmap
-
验证:进入容器查看挂载情况
更新configmap的内容, 容器中的值也会动态更新
[root@master ~]# kubectl exec -it pod-configmap -n test /bin/sh # cd /configmap/config # ls # more info
4.2 Secret
在kubernetes中,还存在一种和ConfigMap非常类似的对象,称为Secret对象。它主要用于存储敏感信息,例如密码、秘钥、证书等等。
-
使用base64对数据进行编码
[root@master ~]# echo -n 'admin' | base64 YWRtaW4= [root@master ~]# echo -n '123' | base64 MTIz
-
创建 secret 配置文件,创建并查看 secret:secret.yaml
[root@master ~]# kubectl describe secret -n test
apiVersion: v1 kind: Secret metadata: name: secret namespace: test type: Opaque data: username: YWRtaW4= password: MTIz
-
创建pod配置文件,创建Pod并将上面创建的secret挂载进去:pod-secret.yaml
apiVersion: v1 kind: Pod metadata: name: pod-secret namespace: test spec: containers: - name: nginx image: nginx:1.17.1 volumeMounts: # 将secret挂载到目录 - name: config mountPath: /secret/config volumes: - name: config secret: secretName: secret
-
验证:进入容器查看挂载情况
[root@master ~]# kubectl exec -it pod-secret /bin/sh -n test # ls /secret/config/ password username # more /secret/config/username admin # more /secret/config/password 123 #
至此,已经实现了利用secret实现了信息的编码。