#### 為什么需要k8s ``` 一個容器集群管理系統，高效（擴容，縮容，部署） ``` #### 中文文檔 ``` https://kubernetes.io/zh/docs/home/ ``` #### 功能 ``` 容器編排工具，是谷歌內部系統Borg的開源實現 以服務為中心，自動化，以Docker為標準，實現了分布式架構 ``` #### 局限 ``` 在 v1.19 版本中， Kubernetes 支持的最大節點數為 5000。更具體地說，我們支持滿足以下_所有_條件的配置： * 節點數不超過 5000 * Pod 總數不超過 150000 * 容器總數不超過 300000 * 每個節點的 pod 數量不超過 100 ``` #### K8s對象 ``` # Pod K8s中的最小對象，可以擁有多個容器，容器間共享網絡 會有一個Pause容器 # Pause容器 鏈接Pod中其他容器，對容器進行健康檢查，報告Pod # ReplicaSet(RS) 副本集 管理應用會有幾個副本集，并負責維持副本數量（重建Pod） # Deployment（部署容器） 部署、更新容器 # Labes（標簽） 便于選擇、配置、管理 # Service（管理） 通過標簽管理服務，客戶端通過ClusterIP來進行管理 ``` #### K8s架構  ``` # Master 管理Work節點 # API Server 對外提供接口，管理K8s集群，負責和Etcd交互 # Scheduler調度器 命令的調度系統，收集Work資源信息，通過預審和優選策略，通過API Server通知Etcd # ControllerManager 負責管理集群中的各個對象，有不同的Manager工具，通過API Server獲取集群內對象的變化 # Work 運行具體服務 # Kubelet 每個Work都存在，維護Pod的聲明周期、Volume、網絡等，調用本地Docker，運行Pod # Etcd 分布式鍵值配置管理 ``` #### 加密算法基礎 對稱加密 ``` 基于標準算法或密鑰進行加密和解密 ``` 非對稱加密 ``` 公鑰加密，私鑰解密 1. 服務端發布公鑰 2. 客戶端用公鑰加密數據，發送到服務端 ``` SSL/TSL協議 ``` 1. 客戶端用服務端的公鑰，加密的對稱加密的密鑰，發送到服務端 1.1 客戶端那到服務端公鑰后，去CA進行認證，來判斷是否可信 2. 服務端用私鑰解密，獲得對稱加密密鑰 3. 使用對稱加密進行通訊 ``` CA證書 ``` 避免SSL/TSL步驟1發送公鑰過程中的公鑰偽造，通過CA證書認證機構，對證書進行認證，防止數據傳輸過程中被篡改 ``` #### K8s認證 認證方式 ``` CA證書（k8s自有） BearerToken(強密鑰) ServiceAccount（k8s和容器認證） - namespace - token - ca ``` 鑒權機制 ``` # ABAC # WebHook # RBAC(Role Based Access Control 1.16后支持) ``` #### RBAC詳解 user分類 ``` User ServiceAccount ``` Role ``` name resource verbs ``` Authority ``` Resource Verbs：CURD ``` 定義對NameSpace的授權 ``` # Role默認只屬于一個namespace RoleBinding 保存用戶和規則的關系，將Role放到RoleBinding中，可多個 ``` 如果權限是整個集群 ``` ClusterRole ClusterRoleBinding ``` #### 準入控制(AdmisionControl) ``` ``` 客戶端證書認證（TLS雙向認證） ``` kubectl->APIServer->K8s集群 ``` 滾動升級 ``` 由Deployment負責發起創建新版本容器，調整一個舊版本的Pod路由到新版本，并刪除一個舊版本，循環至所有舊版本都被替換 ``` #### Kubernetes Master功能 ``` # API 通過UI和CLI進行控制 # Scheduler # Controller 容器的實際控制 # Etcd 存儲K8s的集群的狀態和配置 ``` #### Kubernetes Node功能 ``` # Pod 容器中的最小調度單位，具有相同namespace的容器組合 # Kubelet Master節點控制容器的管理 # Kube-proxy 容器的代理、負載均衡、轉發 # Fluentd 日志采集、存儲、查詢 # Image Registry 容器鏡像倉庫 # Optional（插件） DNS UI etc ``` #### 快速搭建k8s集群 ``` # minikube 單節點k8s，適合測試 https://minikube.sigs.k8s.io/docs/start/windows/ # kubeadm 多節點k8s集群，適合測試 # kops 云上的k8s集群 # Tectonic 小于10節點免費 # Play with Kubernetes 平臺測試，2節點，4小時自動銷毀，類似Play with Docker ```