设为首页 收藏本站

运维网

 找回密码
 立即注册
查看: 1403|回复: 0

[经验分享] Kubernetes集群部署1-ZJ的记事本

[复制链接]
枫叶飞翔

尚未签到
发表于 2018-9-16 06:06:07 | 显示全部楼层 |阅读模式
　　1.规划
　　192.168.100.102------>Master[kube-apiserver、kube-controller-manager、kube-scheduler]
　　Node[kubelet、kube-proxy]
　　192.168.100.103------>Node1[kubelet、kube-proxy]
　　192.168.100.104------>Node2[kubelet、kube-proxy]
　　注:这里的集群我们使用 https 来部署。
　　2.配置互信
# vim /etc/hosts　　
192.168.100.102   Master
　　
192.168.100.103   Node1
　　
192.168.100.104   Node2
　　
# ssh-keygen -t rsa -P ''
　　
# ssh-copy-id -i .ssh/id_rsa.pub root@192.168.100.103
　　
# ssh-copy-id -i .ssh/id_rsa.pub root@192.168.100.104
　　3.安装Ansible
# yum -y install ansible　　
# cat /etc/ansible/hosts | grep -v ^# | grep -v ^$
　　
[node]
　　
192.168.100.103
　　
192.168.100.104
　　
# ansible node -m copy -a 'src=/etc/hosts dest=/etc/'
　　4.关闭 SELinux 和 Firewall
# sed -i "s/SELINUX=enforcing/SELINUX=disabled/g" /etc/selinux/config　　
# ansible node -m copy -a 'src=/etc/selinux/config dest=/etc/selinux/'
　　
# systemctl stop firewalld
　　
# systemctl disable firewalld
　　
# ansible node -a 'systemctl stop firewalld'
　　
# ansible node -a 'systemctl disable firewalld'
　　5.安装 docker
# yum install -y yum-utils device-mapper-persistent-data lvm2　　
# yum-config-manager --add-repo http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo
　　
# yum list docker-ce --showduplicates | sort -r
　　
# yum -y install docker-ce
　　
# docker --version
　　
Docker version 17.06.2-ce, build cec0b72
　　
# systemctl start docker
　　
# systemctl status docker
　　
# systemctl enable docker
　　
# ansible node -m yum -a "state=present name=yum-utils"
　　
# ansible node -m yum -a "state=present name=device-mapper-persistent-data"
　　
# ansible node -m yum -a "state=present name=lvm2"
　　
# ansible node -m copy -a 'src=/etc/yum.repos.d/docker-ce.repo dest=/etc/yum.repos.d/'
　　
# ansible node -m yum -a "state=present name=docker-ce"
　　
# ansible node -a 'systemctl start docker'
　　
# ansible node -a 'systemctl status docker'
　　
# ansible node -a 'systemctl enable docker'
　　
# ansible node -a 'docker --version'
　　
192.168.100.104 | SUCCESS | rc=0 >>
　　
Docker version 17.06.2-ce, build cec0b72
　　
192.168.100.103 | SUCCESS | rc=0 >>
　　
Docker version 17.06.2-ce, build cec0b72
　　6.安装开源PKI工具箱----CFSSL
# wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64　　
# wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64
　　
# wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64
　　
# chmod u+x cfssl*
　　
# mv cfssl_linux-amd64 /usr/local/bin/cfssl
　　
# mv cfssljson_linux-amd64 /usr/local/bin/cfssljson
　　
# mv cfssl-certinfo_linux-amd64 /usr/local/bin/cfssl-certinfo
　　
# cfssl version
　　
Version: 1.2.0
　　
Revision: dev
　　
Runtime: go1.6
　　7.安装 Etcd 键值存储系统
# curl -L https://storage.googleapis.com/etcd/v3.2.9/etcd-v3.2.9-linux-amd64.tar.gz -o /root/etcd-v3.2.9-linux-amd64.tar.gz　　
# tar -zxvf etcd-v3.2.9-linux-amd64.tar.gz
　　
# cp etcd-v3.2.9-linux-amd64/etcd* /usr/bin/
　　
# etcd --version
　　
etcd Version: 3.2.9
　　
Git SHA: f1d7dd8
　　
Go Version: go1.8.4
　　
Go OS/Arch: linux/amd64
　　
# etcdctl --version
　　
etcdctl version: 3.2.9
　　
API version: 2
　　
# ansible node -m copy -a 'src=etcd-v3.2.9-linux-amd64/etcd  dest=/usr/bin/ mode=755'
　　
# ansible node -m copy -a 'src=etcd-v3.2.9-linux-amd64/etcdctl dest=/usr/bin/ mode=755'
　　8.安装 Kubernetes 容器集群管理系统
# wget https://storage.googleapis.com/kubernetes-release/release/v1.8.2/kubernetes-server-linux-amd64.tar.gz　　
# tar -zxvf kubernetes-server-linux-amd64.tar.gz
　　
# cd kubernetes/server/bin/
　　
# cp kubectl kube-apiserver kube-controller-manager kube-scheduler kubelet kube-proxy /usr/bin/
　　
# kube-apiserver --version
　　
Kubernetes v1.8.2
　　
# ansible node -m copy -a 'src=kubelet dest=/usr/bin/ mode=755'
　　
# ansible node -m copy -a 'src=kube-proxy dest=/usr/bin/ mode=755'
　　9.安装 flanneld[为容器提供网络服务]
# curl -L https://github.com/coreos/flannel/releases/download/v0.9.0/flannel-v0.9.0-linux-amd64.tar.gz -o flannel-v0.9.0-linux-amd64.tar.gz　　
# mkdir flannel
　　
# tar -zxvf flannel-v0.9.0-linux-amd64.tar.gz -C flannel
　　
# cp flannel/flanneld  /usr/bin
　　
# mkdir /usr/libexec/flannel/ && cp flannel/mk-docker-opts.sh /usr/libexec/flannel/
　　
# ansible node -m copy -a 'src=flannel/flanneld dest=/usr/bin/ mode=755'
　　
# ansible node -m copy -a 'src=flannel/mk-docker-opts.sh dest=/usr/libexec/flannel/ mode=755'
　　
# flanneld --version
　　
v0.9.0
　　10.创建 SSL 证书
　　A. 创建 CA(Certificate Authority)
　　a. 创建配置文件(注:这里证书签名为10年)
# mkdir ssl && cd ssl　　
# cat  ca_config.json
　　
{
　　
  "signing": {
　　
    "default": {
　　
      "expiry": "87600h"
　　
    },
　　
    "profiles": {
　　
      "kubernetes": {
　　
        "usages": [
　　
            "signing",
　　
            "key encipherment",
　　
            "server auth",
　　
            "client auth"
　　
        ],
　　
        "expiry": "87600h"
　　
      }
　　
    }
　　
  }
　　
}
　　
EOF
　　b. 创建 CA 证书签名请求
# cat  ca_csr.json　　
{
　　
  "CN": "kubernetes",
　　
  "key": {
　　
    "algo": "rsa",
　　
    "size": 2048
　　
  },
　　
  "names": [
　　
    {
　　
      "C": "CN",
　　
      "ST": "BeiJing",
　　
      "L": "BeiJing",
　　
      "O": "k8s",
　　
      "OU": "System"
　　
    }
　　
  ]
　　
}
　　
EOF
　　c. 生成 CA 证书和私钥
# cfssl gencert -initca ca_csr.json | cfssljson -bare ca　　
[INFO] generating a new CA key and certificate from CSR
　　
[INFO] generate received request
　　
[INFO] received CSR
　　
[INFO] generating key: rsa-2048
　　
[INFO] encoded CSR
　　
[INFO] signed certificate with serial number 364190696737289470871577587903292790301152267546
　　B. 创建 Kubernetes 证书
　　a.创建 Kubernetes 证书签名请求
# cat  kubernetes_csr.json　　
{
　　
    "CN": "kubernetes",
　　
    "hosts": [
　　
      "127.0.0.1",
　　
      "localhost",
　　
      "10.254.0.1",
　　
      "192.168.100.102",
　　
      "192.168.100.103",
　　
      "192.168.100.104",
　　
      "kubernetes",
　　
      "kubernetes.default",
　　
      "kubernetes.default.svc",
　　
      "kubernetes.default.svc.cluster",
　　
      "kubernetes.default.svc.cluster.local"
　　
    ],
　　
    "key": {
　　
        "algo": "rsa",
　　
        "size": 2048
　　
    },
　　
    "names": [
　　
        {
　　
            "C": "CN",
　　
            "ST": "BeiJing",
　　
            "L": "BeiJing",
　　
            "O": "k8s",
　　
            "OU": "System"
　　
        }
　　
    ]
　　
}
　　
EOF
　　b.生成 Kubernetes 证书和私钥
# cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca_config.json -profile=kubernetes kubernetes_csr.json | cfssljson -bare kubernetes　　
[INFO] generate received request
　　
[INFO] received CSR
　　
[INFO] generating key: rsa-2048
　　
[INFO] encoded CSR
　　
[INFO] signed certificate with serial number 562624490776452851974857846236319432028751121504
　　注:出现的 WARNING 是因为 hosts 字段未设置域名，这里我们就是要给kubernetes的IP生成证书，所以可以忽略该警告。
　　c.查看所生成的证书
# ls kubernetes*　　
kubernetes.csr  kubernetes_csr.json  kubernetes-key.pem  kubernetes.pem
　　C. 创建 Admin 证书
　　a.创建 Admin 证书签名请求
# cat  admin_csr.json　　
{
　　
    "CN": "admin",
　　
    "hosts": [],
　　
    "key": {
　　
        "algo": "rsa",
　　
        "size": 2048
　　
    },
　　
    "names": [
　　
        {
　　
            "C": "CN",
　　
            "ST": "BeiJing",
　　
            "L": "BeiJing",
　　
            "O": "system:masters",
　　
            "OU": "System"
　　
        }
　　
    ]
　　
}
　　
EOF
　　注:OU 指定该证书的 Group 为 system:masters，kubelet 使用该证书访问 kube-apiserver 时 ，由于证书被 CA 签名，所以认证通过，同时由于证书用户组为经过预授权的 system:masters，所以被授予访问所有 API 的权限。
　　b.生成 Admin 证书和私钥
# cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca_config.json -profile=kubernetes admin_csr.json | cfssljson -bare admin　　
[INFO] generate received request
　　
[INFO] received CSR
　　
[INFO] generating key: rsa-2048
　　
[INFO] encoded CSR
　　
[INFO] signed certificate with serial number 98602736507310427106587925783522327459817057634
　　c.查看所生成的证书
# ls admin*　　
admin.csr  admin_csr.json  admin-key.pem  admin.pem
　　D. 创建 Kube-Proxy 证书
　　a.创建 kube-proxy 证书签名请求
# cat  kube-proxy_csr.json　　
{
　　
    "CN": "system:kube-proxy",
　　
    "hosts": [],
　　
    "key": {
　　
        "algo": "rsa",
　　
        "size": 2048
　　
    },
　　
    "names": [
　　
        {
　　
            "C": "CN",
　　
            "ST": "BeiJing",
　　
            "L": "BeiJing",
　　
            "O": "k8s",
　　
            "OU": "System"
　　
        }
　　
    ]
　　
}
　　
EOF
　　b.生成 kube-proxy 客户端证书和私钥
# cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca_config.json -profile=kubernetes  kube-proxy_csr.json | cfssljson -bare kube-proxy　　
[INFO] generate received request
　　
[INFO] received CSR
　　
[INFO] generating key: rsa-2048
　　
[INFO] encoded CSR
　　
[INFO] signed certificate with serial number 15961203695365328046366272691608837430729281180
　　c.查看所生成的证书
# ls kube-proxy*　　
kube-proxy.csr  kube-proxy_csr.json  kube-proxy-key.pem  kube-proxy.pem
　　E. 创建 etcd 证书
　　a. 创建 etcd 证书签名请求
# cat  etcd_csr.json　　
{
　　
    "CN": "etcd",
　　
    "hosts": [
　　
      "127.0.0.1",
　　
      "localhost",
　　
      "192.168.100.102",
　　
      "192.168.100.103",
　　
      "192.168.100.104"
　　
    ],
　　
    "key": {
　　
        "algo": "rsa",
　　
        "size": 2048
　　
    },
　　
    "names": [
　　
        {
　　
            "C": "CN",
　　
            "L": "BeiJing",
　　
            "ST": "BeiJing",
　　
            "O": "k8s",
　　
            "OU": "System"
　　
        }
　　
    ]
　　
}
　　
EOF
　　b.生成 etcd 客户端证书和私钥
# cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca_config.json -profile=kubernetes  etcd_csr.json | cfssljson -bare etcd　　
[INFO] generate received request
　　
[INFO] received CSR
　　
[INFO] generating key: rsa-2048
　　
[INFO] encoded CSR
　　
[INFO] signed certificate with serial number 168388022915225919243296361863710051151902347190
　　c.查看所生成的证书
# ls etcd*　　
etcd.csr  etcd_csr.json  etcd-key.pem  etcd.pem
　　F.查看、验证并分发证书
　　a.查看所生成的证书
# ls *.pem　　
admin-key.pem  admin.pem  ca-key.pem  ca.pem  etcd-key.pem  etcd.pem  kube-proxy-key.pem  kube-proxy.pem  kubernetes-key.pem  kubernetes.pem
　　b.校验证书
# openssl x509  -noout -text -in  kubernetes.pem　　
# cfssl-certinfo -cert kubernetes.pem
　　c.验证证书是否该CA签发
# openssl verify -CAfile ca.pem kubernetes.pem　　
kubernetes: OK
　　d.分发证书至所有 Node
# mkdir -p /etc/kubernetes/ssl　　
# cp *.pem /etc/kubernetes/ssl
　　
# ansible node -m file -a 'path=/etc/kubernetes/ssl state=directory'
　　
# ansible node -m copy -a 'src=/etc/kubernetes/ssl dest=/etc/kubernetes/'
　　e.配置使系统信任自签名证书
# yum -y install ca-certificates　　
# update-ca-trust force-enable
　　
# cp ca.pem /etc/pki/ca-trust/source/anchors/
　　
# update-ca-trust extract
　　
# ansible node -m yum -a "state=present name=ca-certificates"
　　
# ansible node -a "update-ca-trust force-enable"
　　
# ansible node -m copy -a 'src=ca.pem dest=/etc/pki/ca-trust/source/anchors/'
　　
# ansible node -a "update-ca-trust extract"
　　11.创建 kubeconfig 文件
　　A. 创建 TLS Bootstrapping Token
　　Token auth file:Token可以是任意的包涵128 bit的字符串，可使用安全的随机数发生器生成。
　　kubelet 首次启动时向 kube-apiserver 发送 TLS Bootstrapping 请求，kube-apiserver 验证 kubelet 请求中的 token 是否与它配置的 token 一致，如果一致则自动为 kubelet生成证书和秘钥。
# cd /etc/kubernetes/　　
# export BOOTSTRAP_TOKEN=$(head -c 16 /dev/urandom | od -An -t x | tr -d ' ')
　　
# cat > token.csv

运维网声明 1、欢迎大家加入本站运维交流群:群②:261659950 群⑤:202807635 群⑦870801961 群⑧679858003
2、本站所有主题由该帖子作者发表，该帖子作者与运维网享有帖子相关版权
3、所有作品的著作权均归原作者享有，请您和我们一样尊重他人的著作权等合法权益。如果您对作品感到满意，请购买正版
4、禁止制作、复制、发布和传播具有反动、淫秽、色情、暴力、凶杀等内容的信息，一经发现立即删除。若您因此触犯法律，一切后果自负，我们对此不承担任何责任
5、所有资源均系网友上传或者通过网络收集，我们仅提供一个展示、介绍、观摩学习的平台，我们不对其内容的准确性、可靠性、正当性、安全性、合法性等负责，亦不承担任何法律责任
6、所有作品仅供您个人学习、研究或欣赏，不得用于商业或者其他用途，否则，一切后果均由您自己承担，我们对此不承担任何法律责任
7、如涉及侵犯版权等问题，请您及时通知我们，我们将立即采取措施予以解决
8、联系人Email：admin@iyunv.com 网址：www.yunweiku.com

所有资源均系网友上传或者通过网络收集,我们仅提供一个展示、介绍、观摩学习的平台,我们不对其承担任何法律责任,如涉及侵犯版权等问题,请您及时通知我们,我们将立即处理,联系人Email:kefu@iyunv.com,QQ:1061981298 本贴地址：https://www.yunweiku.com/thread-584014-1-1.html 上篇帖子： Kubernetes对象之Pod详解(附安装部署方法) 下篇帖子： Kubernetes集群部署2-ZJ的记事本
回复

使用道具 举报

返回列表
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

扫码加入运维网微信交流群X

扫码加入运维网微信交流群

扫描二维码加入运维网微信交流群，最新一手资源尽在官方微信交流群！快快加入我们吧...

扫描微信二维码查看详情

客服 E-mail:iyunvcom@gmail.com

本站由青云提供云计算服务

运维网--中国最专业的运维工程师交流社区

豫ICP备20007574号-1 Copyright © 2012-2025

关于我们

发展历程

联系我们

关注我们

广告服务

广告案例

隐私条款

免责声明

用户登录

用户注册

版主守则

申请版主

手机版

金币获取

帮助中心

每日签到

Good Good

Study

Day Day

UP


客服E-mail:kefu@iyunv.com 客服QQ：1061981298


QQ群⑦：运维网交流群⑦ QQ群⑧：运维网交流群⑧ k8s群：运维网kubernetes交流群


提醒：禁止发布任何违反国家法律、法规的言论与图片等内容；本站内容均来自个人观点与网络等信息，非本站认同之观点.


本站大部分资源是网友从网上搜集分享而来，其版权均归原作者及其网站所有，我们尊重他人的合法权益，如有内容侵犯您的合法权益，请及时与我们联系进行核实删除！



合作伙伴: 青云cloud

快速回复 返回顶部 返回列表