Kubernetes 0-1 二進(jìn)制搭建K8S（三）部署Master

Run Rsyslog server in Kubernetes - ITNEXT

寫在前面

記錄和分享使用二進(jìn)制搭建K8S集群的詳細(xì)過(guò)程途乃，由于操作比較冗長(zhǎng)绍傲，大概會(huì)分四篇寫完：

  1. 機(jī)器準(zhǔn)備
  2. 部署etcd集群
  3. 部署Master
  4. 部署Node

我們已經(jīng)知道在K8S的Master上存在著kube-apiserver、kube-controller-manager耍共、kube-scheduler三大組件烫饼。本篇介紹在Master機(jī)器安裝這些組件，除此之外划提，如果想在Master機(jī)器上操作集群枫弟，還需要安裝kubectl工具。

安裝kubectl

kubernetes的安裝包里已經(jīng)將kubectl包含進(jìn)去了鹏往，部署很簡(jiǎn)單：

cd /root/kubernetes/resources/
tar -zxvf ./kubernetes-server-linux-amd64.tar.gz
cp kubernetes/server/bin/kubectl /usr/bin
kubectl api-versions

制作kubernetes證書

mkdir /root/kubernetes/resources/cert/kubernetes /etc/kubernetes/{ssl,bin} -p
cp kubernetes/server/bin/kube-apiserver kubernetes/server/bin/kube-controller-manager kubernetes/server/bin/kube-scheduler /etc/kubernetes/bin
cd /root/kubernetes/resources/cert/kubernetes

接下來(lái)都在Master機(jī)器上執(zhí)行淡诗，編輯ca-config.json

vim ca-config.json

寫入文件內(nèi)容如下：

{
  "signing": {
    "default": {
      "expiry": "87600h"
    },
    "profiles": {
      "kubernetes": {
         "expiry": "87600h",
         "usages": [
            "signing",
            "key encipherment",
            "server auth",
            "client auth"
        ]
      }
    }
  }
}

編輯ca-csr.json：

vim ca-csr.json

寫入文件內(nèi)容如下：

{
    "CN": "kubernetes",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "Hunan",
            "ST": "Changsha",            
            "O": "kubernetes",
            "OU": "System"
        }
    ]
}

生成ca證書和密鑰：

cfssl gencert -initca ca-csr.json | cfssljson -bare ca

制作kube-apiserver骇塘、kube-proxy、admin證書韩容，編輯kube-apiserver-csr.json：

vim kube-apiserver-csr.json

寫入文件內(nèi)容如下：

{
    "CN": "kubernetes",
    "hosts": [
        "10.0.0.1",
        "127.0.0.1",
        "kubernetes",
        "kubernetes.default",
        "kubernetes.default.svc",
        "kubernetes.default.svc.cluster",
        "kubernetes.default.svc.cluster.local",
        "192.168.115.131",
        "192.168.115.132",
        "192.168.115.133"
        ],
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "Hunan",
            "ST": "Changsha",
            "O": "kubernetes",
            "OU": "System"
        }
    ]
}

編輯kube-proxy-csr.json：

vim kube-proxy-csr.json

寫入文件內(nèi)容如下：

{
    "CN": "system:kube-proxy",
    "hosts": [],
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "Hunan",
            "ST": "Changsha",
            "O": "kubernetes",
            "OU": "System"
        }
    ]
}

編輯admin-csr.json：

vim admin-csr.json

寫入文件內(nèi)容如下：

{
    "CN": "admin",
    "hosts": [],
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "Hunan",
            "ST": "Changsha",
            "O": "system:masters",
            "OU": "System"
        }
    ]
}

生成證書和密鑰

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes kube-apiserver-csr.json | cfssljson -bare kube-apiserver
cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes kube-proxy-csr.json | cfssljson -bare kube-proxy
cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes admin-csr.json | cfssljson -bare admin
# 此時(shí)目錄下生成的文件
ll
-rw-r--r--. 1 root root 1001 May 28 00:32 admin.csr
-rw-r--r--. 1 root root  282 May 28 00:32 admin-csr.json
-rw-------. 1 root root 1679 May 28 00:32 admin-key.pem
-rw-r--r--. 1 root root 1407 May 28 00:32 admin.pem
-rw-r--r--. 1 root root  294 May 28 00:30 ca-config.json
-rw-r--r--. 1 root root 1013 May 28 00:31 ca.csr
-rw-r--r--. 1 root root  284 May 28 00:30 ca-csr.json
-rw-------. 1 root root 1675 May 28 00:31 ca-key.pem
-rw-r--r--. 1 root root 1383 May 28 00:31 ca.pem
-rw-r--r--. 1 root root 1273 May 28 00:32 kube-apiserver.csr
-rw-r--r--. 1 root root  597 May 28 00:31 kube-apiserver-csr.json
-rw-------. 1 root root 1679 May 28 00:32 kube-apiserver-key.pem
-rw-r--r--. 1 root root 1655 May 28 00:32 kube-apiserver.pem
-rw-r--r--. 1 root root 1009 May 28 00:32 kube-proxy.csr
-rw-r--r--. 1 root root  287 May 28 00:31 kube-proxy-csr.json
-rw-------. 1 root root 1679 May 28 00:32 kube-proxy-key.pem
-rw-r--r--. 1 root root 1411 May 28 00:32 kube-proxy.pem

將kube-proxy證書拷貝到Node：

前提款违，需要在Node機(jī)器創(chuàng)建目錄插爹，以下命令在Node機(jī)器上執(zhí)行：

mkdir /etc/kubernetes/ -p

然后再在Master機(jī)器執(zhí)行拷貝操作赠尾。

cp ca.pem ca-key.pem kube-apiserver.pem kube-apiserver-key.pem kube-proxy.pem kube-proxy-key.pem /etc/kubernetes/ssl
scp -r /etc/kubernetes/ssl 192.168.115.132:/etc/kubernetes
scp -r /etc/kubernetes/ssl 192.168.115.133:/etc/kubernetes

創(chuàng)建TLSBootstrapping Token

cd /etc/kubernetes
head -c 16 /dev/urandom | od -An -t x | tr -d ' '
# 執(zhí)行上一步會(huì)得到一個(gè)token气嫁，例如d5c5d767b64db39db132b433e9c45fbc寸宵，編輯文件token.csv時(shí)需要
vim token.csv

寫入文件內(nèi)容梯影，替換生成的token

d5c5d767b64db39db132b433e9c45fbc,kubelet-bootstrap,10001,"system:node-bootstrapper"

安裝kube-apiserver

準(zhǔn)備kube-apiserver配置文件

vim apiserver

執(zhí)行上行命令，寫入文件內(nèi)容如下：

KUBE_API_ARGS="--logtostderr=false \
--v=2 \
--log-dir=/var/log/kubernetes \
--etcd-servers=https://192.168.115.131:2379,https://192.168.115.132:2379,https://192.168.115.133:2379 \
--bind-address=192.168.115.131 \
--secure-port=6443 \
--advertise-address=192.168.115.131 \
--allow-privileged=true \
--service-cluster-ip-range=10.0.0.0/24 \
--enable-admission-plugins=NamespaceLifecycle,LimitRanger,ServiceAccount,ResourceQuota,NodeRestriction \
--authorization-mode=RBAC,Node \
--enable-bootstrap-token-auth=true \
--token-auth-file=/etc/kubernetes/token.csv \
--service-node-port-range=30000-32767 \
--kubelet-client-certificate=/etc/kubernetes/ssl/kube-apiserver.pem \
--kubelet-client-key=/etc/kubernetes/ssl/kube-apiserver-key.pem \
--tls-cert-file=/etc/kubernetes/ssl/kube-apiserver.pem  \
--tls-private-key-file=/etc/kubernetes/ssl/kube-apiserver-key.pem \
--client-ca-file=/etc/kubernetes/ssl/ca.pem \
--service-account-key-file=/etc/kubernetes/ssl/ca-key.pem \
--etcd-cafile=/etc/etcd/ssl/ca.pem \
--etcd-certfile=/etc/etcd/ssl/server.pem \
--etcd-keyfile=/etc/etcd/ssl/server-key.pem \
--audit-log-maxage=30 \
--audit-log-maxbackup=3 \
--audit-log-maxsize=100 \
--audit-log-path=/var/logs/kubernetes/k8s-audit.log"

準(zhǔn)備kube-apiserver服務(wù)配置文件

vim /usr/lib/systemd/system/kube-apiserver.service

執(zhí)行上行命令甲棍，寫入文件內(nèi)容如下：

[Unit]
Description=Kubernetes API Server
Documentation=https://github.com/GoogleCloudPlatform/kubernetes
After=etcd.service
Wants=etcd.service

[Service]
Type=notify
EnvironmentFile=/etc/kubernetes/apiserver
ExecStart=/etc/kubernetes/bin/kube-apiserver $KUBE_API_ARGS
Restart=on-failure
LimitNOFILE=65536

[Install]
WantedBy=multi-user.target

啟動(dòng)kube-apiserver:

systemctl daemon-reload
systemctl start kube-apiserver
systemctl enable kube-apiserver
systemctl status kube-apiserver

安裝kube-controller-manager

準(zhǔn)備kube-controller-manger配置文件

vim controller-manager

執(zhí)行上行命令，寫入文件內(nèi)容如下：

KUBE_CONTROLLER_MANAGER_ARGS="--logtostderr=false \
--v=2 \
--log-dir=/var/log/kubernetes \
--leader-elect=true \
--master=127.0.0.1:8080 \
--bind-address=127.0.0.1 \
--allocate-node-cidrs=true \
--cluster-cidr=10.244.0.0/16 \
--service-cluster-ip-range=10.0.0.0/24 \
--cluster-signing-cert-file=/etc/kubernetes/ssl/ca.pem \
--cluster-signing-key-file=/etc/kubernetes/ssl/ca-key.pem  \
--root-ca-file=/etc/kubernetes/ssl/ca.pem \
--service-account-private-key-file=/etc/kubernetes/ssl/ca-key.pem \
--experimental-cluster-signing-duration=87600h0m0s"

準(zhǔn)備kube-controller-manger服務(wù)配置文件

vim /usr/lib/systemd/system/kube-controller-manager.service

執(zhí)行上行命令唱遭，寫入文件內(nèi)容如下：

[Unit]
Description=Kubernetes Controller Manager
Documentation=https://github.com/GoogleCloudPlatform/kubernetes
After=kube-apiserver.service
Requires=kube-apiserver.service

[Service]
EnvironmentFile=/etc/kubernetes/controller-manager
ExecStart=/etc/kubernetes/bin/kube-controller-manager $KUBE_CONTROLLER_MANAGER_ARGS
Restart=on-failure
LimitNOFILE=65536

[Install]
WantedBy=multi-user.target

啟動(dòng)kube-controller-manager:

systemctl daemon-reload
systemctl start kube-controller-manager
systemctl enable kube-controller-manager
systemctl status kube-controller-manager

安裝kube-scheduler

準(zhǔn)備kube-scheduler配置文件

vim scheduler

執(zhí)行上行命令呈驶，寫入文件內(nèi)容如下：

KUBE_SCHEDULER_ARGS="--logtostderr=false \
--v=2 \
--log-dir=/var/log/kubernetes \
--master=127.0.0.1:8080 \
--leader-elect \
--bind-address=127.0.0.1"

準(zhǔn)備kube-scheduler服務(wù)配置文件

vim /usr/lib/systemd/system/kube-scheduler.service

執(zhí)行上行命令袖瞻，寫入文件內(nèi)容如下：

[Unit]
Description=Kubernetes Scheduler
Documentation=https://github.com/GoogleCloudPlatform/kubernetes
After=kube-apiserver.service
Requires=kube-apiserver.service

[Service]
EnvironmentFile=/etc/kubernetes/scheduler
ExecStart=/etc/kubernetes/bin/kube-scheduler $KUBE_SCHEDULER_ARGS
Restart=on-failure
LimitNOFILE=65536

[Install]
WantedBy=multi-user.target

啟動(dòng)kube-scheduler:

systemctl daemon-reload
systemctl start kube-scheduler
systemctl enable kube-scheduler
systemctl status kube-scheduler

kubelet-bootstrap授權(quán)

kubectl create clusterrolebinding kubelet-bootstrap \
--clusterrole=system:node-bootstrapper \
--user=kubelet-bootstrap

查看Master狀態(tài)

kubectl get cs

如果Master部署成功聋迎，應(yīng)該輸出：

NAME                 STATUS    MESSAGE             ERROR
scheduler            Healthy   ok                  
controller-manager   Healthy   ok                  
etcd-2               Healthy   {"health":"true"}   
etcd-1               Healthy   {"health":"true"}   
etcd-0               Healthy   {"health":"true"}

apiserver授權(quán)kubelet

準(zhǔn)備apiserver-to-kubelet-rbac.yaml文件

cd /root/kubernetes/resources
vim apiserver-to-kubelet-rbac.yaml

執(zhí)行上行命令霉晕，寫入文件內(nèi)容如下：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  annotations:
    rbac.authorization.kubernetes.io/autoupdate: "true"
  labels:
    kubernetes.io/bootstrapping: rbac-defaults
  name: system:kube-apiserver-to-kubelet
rules:
  - apiGroups:
      - ""
    resources:
      - nodes/proxy
      - nodes/stats
      - nodes/log
      - nodes/spec
      - nodes/metrics
      - pods/log
    verbs:
      - "*"
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: system:kube-apiserver
  namespace: ""
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: system:kube-apiserver-to-kubelet
subjects:
  - apiGroup: rbac.authorization.k8s.io
    kind: User
    name: kubernetes
    
# This role allows full access to the kubelet API
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: kubelet-api-admin
  labels:
    addonmanager.kubernetes.io/mode: Reconcile
rules:
- apiGroups:
  - ""
  resources:
  - nodes/proxy
  - nodes/log
  - nodes/stats
  - nodes/metrics
  - nodes/spec
  verbs:
  - "*"
# This binding gives the kube-apiserver user full access to the kubelet API
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: kube-apiserver-kubelet-api-admin
  labels:
    addonmanager.kubernetes.io/mode: Reconcile
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: kubelet-api-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: User
  name: kube-apiserver

執(zhí)行以下命令：

kubectl apply -f apiserver-to-kubelet-rbac.yaml

第三段落部署Master順利結(jié)束拄轻。

?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請(qǐng)聯(lián)系作者
  • 人面猴
    序言：七十年代末，一起剝皮案震驚了整個(gè)濱河市院促，隨后出現(xiàn)的幾起案子常拓，更是在濱河造成了極大的恐慌辉浦，老刑警劉巖，帶你破解...
    沈念sama閱讀 221,430評(píng)論 6贊 515
  • 死咒
    序言：濱河連續(xù)發(fā)生了三起死亡事件，死亡現(xiàn)場(chǎng)離奇詭異废膘，居然都是意外死亡丐黄，警方通過(guò)查閱死者的電腦和手機(jī)孔飒，發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 94,406評(píng)論 3贊 398
  • 救了他兩次的神仙讓他今天三更去死
    文/潘曉璐 我一進(jìn)店門坏瞄，熙熙樓的掌柜王于貴愁眉苦臉地迎上來(lái)，“玉大人蕉斜，你說(shuō)我怎么就攤上這事缀棍。” “怎么了父腕？”我有些...
    開(kāi)封第一講書人閱讀 167,834評(píng)論 0贊 360
  • 道士緝兇錄：失蹤的賣姜人
    文/不壞的土叔 我叫張陵璧亮，是天一觀的道長(zhǎng)杜顺。 經(jīng)常有香客問(wèn)我，道長(zhǎng)躬络，這世上最難降的妖魔是什么穷当？ 我笑而不...
    開(kāi)封第一講書人閱讀 59,543評(píng)論 1贊 296
  • ?港島之戀（遺憾婚禮）
    正文 為了忘掉前任馁菜，我火速辦了婚禮，結(jié)果婚禮上峭火，老公的妹妹穿的比我還像新娘智嚷。我一直安慰自己，他們只是感情好稍浆，可當(dāng)我...
    茶點(diǎn)故事閱讀 68,547評(píng)論 6贊 397
  • 惡毒庶女頂嫁案：這布局不是一般人想出來(lái)的
    文/花漫 我一把揭開(kāi)白布衅枫。 她就那樣靜靜地躺著朗伶，像睡著了一般。 火紅的嫁衣襯著肌膚如雪孤钦。 梳的紋絲不亂的頭發(fā)上纯丸，一...
    開(kāi)封第一講書人閱讀 52,196評(píng)論 1贊 308
  • 城市分裂傳說(shuō)
    那天觉鼻，我揣著相機(jī)與錄音，去河邊找鬼萨惑。 笑死，一個(gè)胖子當(dāng)著我的面吹牛解总，可吹牛的內(nèi)容都是我干的姐仅。 我是一名探鬼主播掏膏，決...
    沈念sama閱讀 40,776評(píng)論 3贊 421
  • 雙鴛鴦連環(huán)套：你想象不到人心有多黑
    文/蒼蘭香墨 我猛地睜開(kāi)眼馒疹，長(zhǎng)吁一口氣：“原來(lái)是場(chǎng)噩夢(mèng)啊……” “哼佳簸！你這毒婦竟也來(lái)了生均？” 一聲冷哼從身側(cè)響起疯特，我...
    開(kāi)封第一講書人閱讀 39,671評(píng)論 0贊 276
  • 萬(wàn)榮殺人案實(shí)錄
    序言：老撾萬(wàn)榮一對(duì)情侶失蹤，失蹤者是張志新（化名）和其女友劉穎朽色，沒(méi)想到半個(gè)月后组题，有當(dāng)?shù)厝嗽跇?shù)林里發(fā)現(xiàn)了一具尸體，經(jīng)...
    沈念sama閱讀 46,221評(píng)論 1贊 320
  • ?護(hù)林員之死
    正文 獨(dú)居荒郊野嶺守林人離奇死亡梢褐，尸身上長(zhǎng)有42處帶血的膿包…… 初始之章·張勛 以下內(nèi)容為張勛視角 年9月15日...
    茶點(diǎn)故事閱讀 38,303評(píng)論 3贊 340
  • ?白月光啟示錄
    正文 我和宋清朗相戀三年，在試婚紗的時(shí)候發(fā)現(xiàn)自己被綠了边翼。 大學(xué)時(shí)的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片。...
    茶點(diǎn)故事閱讀 40,444評(píng)論 1贊 352
  • 活死人
    序言：一個(gè)原本活蹦亂跳的男人離奇死亡丈积，死狀恐怖，靈堂內(nèi)的尸體忽然破棺而出铛纬，到底是詐尸還是另有隱情唬滑，我是刑警寧澤间雀，帶...
    沈念sama閱讀 36,134評(píng)論 5贊 350
  • ?日本核電站爆炸內(nèi)幕
    正文 年R本政府宣布茄螃，位于F島的核電站连锯，受9級(jí)特大地震影響运怖，放射性物質(zhì)發(fā)生泄漏摇展。R本人自食惡果不足惜，卻給世界環(huán)境...
    茶點(diǎn)故事閱讀 41,810評(píng)論 3贊 333
  • 男人毒藥：我在死后第九天來(lái)索命
    文/蒙蒙 一盯孙、第九天 我趴在偏房一處隱蔽的房頂上張望振惰。 院中可真熱鬧骑晶，春花似錦草慧、人聲如沸。這莊子的主人今日做“春日...
    開(kāi)封第一講書人閱讀 32,285評(píng)論 0贊 24
  • 一樁弒父案，背后竟有這般陰謀
    文/蒼蘭香墨 我抬頭看了看天上的太陽(yáng)识窿。三九已至，卻和暖如春脑融，著一層夾襖步出監(jiān)牢的瞬間喻频，已是汗流浹背。 一陣腳步聲響...
    開(kāi)封第一講書人閱讀 33,399評(píng)論 1贊 272
  • 情欲美人皮
    我被黑心中介騙來(lái)泰國(guó)打工肘迎， 沒(méi)想到剛下飛機(jī)就差點(diǎn)兒被人妖公主榨干…… 1. 我叫王不留甥温，地道東北人。 一個(gè)月前我還...
    沈念sama閱讀 48,837評(píng)論 3贊 376
  • 代替公主和親
    正文 我出身青樓妓布，卻偏偏與公主長(zhǎng)得像姻蚓，于是被迫代替她去往敵國(guó)和親。 傳聞我的和親對(duì)象是個(gè)殘疾皇子匣沼，可洞房花燭夜當(dāng)晚...
    茶點(diǎn)故事閱讀 45,455評(píng)論 2贊 359