[TOC]
## 修改主機名
```shell
sudo hostnamectl set-hostname <HOSTNAME>
```
>[info] `<HOSTNAME>` 根據實際的填寫
## 停止防火墻
```shell
sudo systemctl stop firewalld && sudo systemctl disable firewalld
sudo setenforce 0
sudo sed -ri 's/^(SELINUX)=.*$/\1=disabled/' /etc/selinux/config
```
## 關閉swap分區
```shell
sudo swapoff -a
sudo sed -i '/ swap / s/^\(.*\)$/#\1/g' /etc/fstab
```
## 設置內核模塊
```shell
cat <<-EOF | sudo tee /etc/sysconfig/modules/ipvs.modules > /dev/null
#!/bin/bash
modprobe -- ip_vs
modprobe -- ip_vs_rr
modprobe -- ip_vs_wrr
modprobe -- ip_vs_sh
modprobe -- nf_conntrack
modprobe -- br_netfilter
modprobe -- ipip
EOF
sudo chmod 755 /etc/sysconfig/modules/ipvs.modules && sudo bash /etc/sysconfig/modules/ipvs.modules
```
## 設置的 sysctl 參數
```shell
cat <<-EOF | sudo tee /etc/sysctl.d/kubernetes.conf > /dev/null
# 二層的網橋在轉發包時也會被iptables的FORWARD規則所過濾
net.bridge.bridge-nf-call-iptables = 1
net.bridge.bridge-nf-call-ip6tables = 1
# kernel轉發功能
net.ipv4.ip_forward = 1
# 允許將TIME-WAIT sockets重新用于新的TCP連接,默認為0,表示關閉
net.ipv4.tcp_tw_reuse = 1
# TCP連接中TIME-WAIT sockets的快速回收, 默認是0,表示關閉。對于位于NAT設備(容器轉發)后面的Client來說,就是一場災難
net.ipv4.tcp_tw_recycle = 0
# 允許系統打開的端口范圍,即用于向外連接的端口范圍
net.ipv4.ip_local_port_range = 32768 65535
# kernel中最多存在的TIME_WAIT數量, 默認是4096
net.ipv4.tcp_max_tw_buckets = 65535
# 控制系統是否開啟對數據包源地址的校驗(0 不校驗)
net.ipv4.conf.all.rp_filter = 0
# 開啟ipv6路由轉發
net.ipv6.conf.all.forwarding = 1
# 開啟ipv4路由轉發
net.ipv4.conf.all.forwarding = 1
# FIN-WAIT-2狀態保持時間
net.ipv4.tcp_fin_timeout = 15
EOF
sudo sysctl -p /etc/sysctl.d/kubernetes.conf
```
## 安裝containerd
請參考博客園 [containerd安裝](https://www.cnblogs.com/jiaxzeng/p/16708491.html) 文章
## 添加 k8s 源
```shell
cat <<-EOF | sudo tee /etc/yum.repos.d/kubernetes.repo > /dev/null
[kubernetes]
name=Aliyun-kubernetes
baseurl=https://mirrors.aliyun.com/kubernetes/yum/repos/kubernetes-el7-x86_64/
enabled=1
gpgcheck=0
EOF
sudo yum clean all && sudo yum makecache
```
## 安裝軟件
```
sudo yum install -y kubelet-1.23.3-0.x86_64 kubeadm-1.23.3-0.x86_64 ipvsadm conntrack-tools
sudo systemctl enable kubelet.service
```
>[info] 查看 kubeadm 所有版本 `yum list kubeadm --showduplicates`
## 主機加入集群
>[info] 初始化集群時,有打印加入集群的相關命令。如果未保存加入集群命令的話,請參考下面步驟操作
### master節點
1. 創建引導令牌(集群內其中一個master節點執行)
```shell
$ kubeadm token create --print-join-command
kubeadm join 172.139.20.100:6443 --token xg1pus.an5hon6cfx97rfuu --discovery-token-ca-cert-hash sha256:37584a6ac155be6024504dab60c420bed392b40d1ab7d59f4f85f2ec6d8ed844
```
2. 創建控制平面證書(集群內其中一個master節點執行)
```shell
$ sudo kubeadm init phase upload-certs --upload-certs 2> /dev/null | tail -n1
d1fdb62b88827a0be9a40b90061f0d541a64a065c62c62a02d5844fcb115b3f4
```
3. 加入集群命令(待加入集群主機)
```shell
# 以下三行是第一條命令輸出結果
kubeadm join 172.139.20.100:6443 \
--token xg1pus.an5hon6cfx97rfuu \
--discovery-token-ca-cert-hash sha256:37584a6ac155be6024504dab60c420bed392b40d1ab7d59f4f85f2ec6d8ed844 \
# certificate-key值:第二條命令輸出結果
--certificate-key d1fdb62b88827a0be9a40b90061f0d541a64a065c62c62a02d5844fcb115b3f4 \
# 指定該節點為控制平面
--control-plane \
# cri sock的位置
--cri-socket /run/containerd/containerd.sock \
# 節點名稱
--node-name 待加入集群IP地址
```
### node節點
1. 前兩步與master節點一致
2. 拼接命令并加入集群(待加入集群主機)
```shell
# 以下三行是第一條命令輸出結果
kubeadm join 172.139.20.100:6443 \
--token xg1pus.an5hon6cfx97rfuu \
--discovery-token-ca-cert-hash sha256:37584a6ac155be6024504dab60c420bed392b40d1ab7d59f4f85f2ec6d8ed844 \
# certificate-key值:第二條命令輸出結果
--certificate-key d1fdb62b88827a0be9a40b90061f0d541a64a065c62c62a02d5844fcb115b3f4 \
# cri sock的位置
--cri-socket /run/containerd/containerd.sock \
# 節點名稱
--node-name 待加入集群IP地址
```
> 【說明】與加入master節點,少一個 `--control-plane` 參數。
- 前言
- 架構
- 部署
- kubeadm部署
- kubeadm擴容節點
- 二進制安裝基礎組件
- 添加master節點
- 添加工作節點
- 選裝插件安裝
- Kubernetes使用
- k8s與dockerfile啟動參數
- hostPort與hostNetwork異同
- 應用上下線最佳實踐
- 進入容器命名空間
- 主機與pod之間拷貝
- events排序問題
- k8s會話保持
- 容器root特權
- CNI插件
- calico
- calicoctl安裝
- calico網絡通信
- calico更改pod地址范圍
- 新增節點網卡名不一致
- 修改calico模式
- calico數據存儲遷移
- 啟用 kubectl 來管理 Calico
- calico卸載
- cilium
- cilium架構
- cilium/hubble安裝
- cilium網絡路由
- IP地址管理(IPAM)
- Cilium替換KubeProxy
- NodePort運行DSR模式
- IP地址偽裝
- ingress使用
- nginx-ingress
- ingress安裝
- ingress高可用
- helm方式安裝
- 基本使用
- Rewrite配置
- tls安全路由
- ingress發布管理
- 代理k8s集群外的web應用
- ingress自定義日志
- ingress記錄真實IP地址
- 自定義參數
- traefik-ingress
- traefik名詞概念
- traefik安裝
- traefik初次使用
- traefik路由(IngressRoute)
- traefik中間件(middlewares)
- traefik記錄真實IP地址
- cert-manager
- 安裝教程
- 頒布者CA
- 創建證書
- 外部存儲
- 對接NFS
- 對接ceph-rbd
- 對接cephfs
- 監控平臺
- Prometheus
- Prometheus安裝
- grafana安裝
- Prometheus配置文件
- node_exporter安裝
- kube-state-metrics安裝
- Prometheus黑盒監控
- Prometheus告警
- grafana儀表盤設置
- 常用監控配置文件
- thanos
- Prometheus
- Sidecar組件
- Store Gateway組件
- Querier組件
- Compactor組件
- Prometheus監控項
- grafana
- Querier對接grafana
- alertmanager
- Prometheus對接alertmanager
- 日志中心
- filebeat安裝
- kafka安裝
- logstash安裝
- elasticsearch安裝
- elasticsearch索引生命周期管理
- kibana安裝
- event事件收集
- 資源預留
- 節點資源預留
- imagefs與nodefs驗證
- 資源預留 vs 驅逐 vs OOM
- scheduler調度原理
- Helm
- Helm安裝
- Helm基本使用
- 安全
- apiserver審計日志
- RBAC鑒權
- namespace資源限制
- 加密Secret數據
- 服務網格
- 備份恢復
- Velero安裝
- 備份與恢復
- 常用維護操作
- container runtime
- 拉取私有倉庫鏡像配置
- 拉取公網鏡像加速配置
- runtime網絡代理
- overlay2目錄占用過大
- 更改Docker的數據目錄
- Harbor
- 重置Harbor密碼
- 問題處理
- 關閉或開啟Harbor的認證
- 固定harbor的IP地址范圍
- ETCD
- ETCD擴縮容
- ETCD常用命令
- ETCD數據空間壓縮清理
- ingress
- ingress-nginx header配置
- kubernetes
- 驗證yaml合法性
- 切換KubeProxy模式
- 容器解析域名
- 刪除節點
- 修改鏡像倉庫
- 修改node名稱
- 升級k8s集群
- 切換容器運行時
- apiserver接口
- 其他
- 升級內核
- k8s組件性能分析
- ETCD
- calico
- calico健康檢查失敗
- Harbor
- harbor同步失敗
- Kubernetes
- 資源Terminating狀態
- 啟動容器報錯