【從零開始安裝kubernetes-1.7.3】1.環境說明以及etcd配置（CA認證）

Gilbertat 發布于2019-07-01 16:34 / 2589人閱讀

摘要：所有主機關閉防火墻關閉所有節點主機防火墻關閉防火墻開機自啟動關閉防火墻啟動驗證集群狀態晚上回去更新第二篇從零開始安裝以及的配置以及作用

1.環境說明

主機名	ip	說明
master-123(復用node)	192.168.116.123	etcd flannel kube-apiserver kube-controller-manager kube-scheduler kubelet kube-proxy
node-124	192.168.116.124	flannel kubelet kube-proxy

由于目前只有2臺機器，etcd集群由于競選原因至少需要奇數臺機器才能穩定運行，所以目前暫時使用1臺機器安裝etcd。

2.初始化環境（修改主機名）

192.168.116.123執行：hostnamectl --static set-hostname master-123
192.168.116.124執行：hostnamectl --static set-hostname node-124

編輯 /etc/hosts文件，配置hostname通信

vi /etc/hosts

127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6
192.168.116.123 master-123
192.168.116.124 node-124

3.使用cfssl創建CA證書并分發證書 3.1 安裝cfssl

wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64 
chmod +x cfssl_linux-amd64 
sudo mv cfssl_linux-amd64 /usr/local/bin/cfssl 
wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64 
chmod +x cfssljson_linux-amd64 
sudo mv cfssljson_linux-amd64 /usr/local/bin/cfssljson 
wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64 
chmod +x cfssl-certinfo_linux-amd64 
sudo mv cfssl-certinfo_linux-amd64 /usr/local/bin/cfssl-certinfo

3.2 CA證書配置

配置config.json文件

{
"signing": {
    "default": {
        "expiry": "87600h"
    },
    "profiles": {
        "kubernetes": {
            "usages": [
                "signing",
                "key encipherment",
                "server auth",
                "client auth"
            ],
            "expiry": "87600h"
        }
    }
}
}

配置csr.json文件

{
"CN": "kubernetes",
"key": {
    "algo": "rsa",
    "size": 2048
},
"names": [
    {
        "C": "CN",
        "ST": "ShangHai",
        "L": "ShangHai",
        "O": "k8s",
        "OU": "System"
    }
]
}

3.3 生成CA證書以及私鑰

mkdir –p /opt/ssl
cd /opt/ssl

執行：cfssl gencert -initca csr.json | cfssljson -bare ca

[root@localhost ssl]# ls -ltr
total 20
-rw-r--r--. 1 root root  387 Jul 27 15:01 config.json
-rw-r--r--. 1 root root  267 Jul 27 15:04 csr.json
-rw-r--r--. 1 root root 1363 Jul 27 15:07 ca.pem
-rw-------. 1 root root 1675 Jul 27 15:07 ca-key.pem
-rw-r--r--. 1 root root 1005 Jul 27 15:07 ca.csr

3.4 分發證書

創建證書目錄

mkdir -p /etc/kubernetes/ssl

拷貝所有文件至目錄下

cp * /etc/kubernetes/ssl/

將文件拷貝至所有k8s機器上

scp * root@192.168.116.124:/etc/kubernetes/ssl/

4.安裝etcd并配置CA認證

etcd作為一個高可用鍵值存儲系統，天生就是為集群化而設計的。由于Raft算法在做決策時需要多數節點的投票，所以etcd一般部署集群推薦奇數個節點，推薦的數量為3、5或者7個節點構成一個集群。

上傳文件：etcd-3.1.7-1.el7.x86_64.rpm
執行命令：rpm -ivh etcd-3.1.7-1.el7.x86_64.rpm
下載地址：http://www.rpmfind.net/linux/...

4.1 安裝etcd證書

現在只在單matser上創建etcd，之后etcd會添加2個節點

cd /opt/ssl
vi etcd-csr.json
{
  "CN": "etcd",
  "hosts": [
    "127.0.0.1",
    "192.168.116.123",
    "192.168.116.124",
    "192.168.116.120",
    "192.168.116.123",
    "192.168.116.124",
    "192.168.116.125",
    "192.168.116.120"
  ],
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "ST": "ShangHai",
      "L": "ShangHai",
      "O": "k8s",
      "OU": "System"
    }
  ]
}

上面配置文件的ip盡量包括所有etcd節點的ip，否則需要重新分發證書
生成etcd密鑰

cfssl gencert -ca=/opt/ssl/ca.pem 
  -ca-key=/opt/ssl/ca-key.pem 
  -config=/opt/ssl/config.json 
  -profile=kubernetes etcd-csr.json | cfssljson -bare etcd

查看生成

[root@localhost ssl]# ls -ltr etcd*
-rw-r--r--. 1 root root  295 Jul 27 15:22 etcd-csr.json
-rw-r--r--. 1 root root 1440 Jul 27 15:24 etcd.pem
-rw-------. 1 root root 1679 Jul 27 15:24 etcd-key.pem
-rw-r--r--. 1 root root 1066 Jul 27 15:24 etcd.csr

拷貝到etcd服務器

cp etcd* /etc/kubernetes/ssl/
scp etcd* root@198.15.5.28:/etc/kubernetes/ssl
scp etcd* root@198.15.5.29:/etc/kubernetes/ssl

如果 etcd 非 root 用戶，讀取證書會提示沒權限
在每一臺ETCD節點上運行

chmod 644 /etc/kubernetes/ssl/etcd-key.pem

4.2 配置etcd服務

vi /usr/lib/systemd/system/etcd.service

[Unit]
Description=Etcd Server
After=network.target
After=network-online.target
Wants=network-online.target

[Service]
Type=notify
WorkingDirectory=/var/lib/etcd/
User=etcd
# set GOMAXPROCS to number of processors
ExecStart=/usr/bin/etcd 
  --name=etcd1 
  --cert-file=/etc/kubernetes/ssl/etcd.pem 
  --key-file=/etc/kubernetes/ssl/etcd-key.pem 
  --peer-cert-file=/etc/kubernetes/ssl/etcd.pem 
  --peer-key-file=/etc/kubernetes/ssl/etcd-key.pem 
  --trusted-ca-file=/etc/kubernetes/ssl/ca.pem 
  --peer-trusted-ca-file=/etc/kubernetes/ssl/ca.pem 
  --initial-advertise-peer-urls=https://192.168.116.123:2380 
  --listen-peer-urls=https://192.168.116.123:2380 
  --listen-client-urls=https://192.168.116.123:2379,http://127.0.0.1:2379 
  --advertise-client-urls=https://192.168.116.123:2379 
  --initial-cluster-token=k8s-etcd-cluster 
  --initial-cluster=etcd1=https://192.168.116.123:2380 
  --initial-cluster-state=new 
  --data-dir=/var/lib/etcd
Restart=on-failure
RestartSec=5
LimitNOFILE=65536

[Install]
WantedBy=multi-user.target

如果是多臺etcd，應根據各節點ip的不同修改ip，--initial-cluster=etcd1=https://192.168.116.123:2380應該為所有節點而不是單個節點。

4.3 所有主機關閉防火墻

關閉所有節點主機防火墻
關閉防火墻開機自啟動：systemctl disable firewalld
關閉防火墻： systemctl stop firewalld

啟動etcd：

systemctl daemon-reload
systemctl enable etcd
systemctl start etcd
systemctl status etcd

4.4 驗證etcd集群狀態

etcdctl --endpoints=https://192.168.116.123:2379 
        --cert-file=/etc/kubernetes/ssl/etcd.pem 
        --ca-file=/etc/kubernetes/ssl/ca.pem 
        --key-file=/etc/kubernetes/ssl/etcd-key.pem 
        cluster-health

etcdctl --endpoints=https://192.168.116.123:2379 
    --cert-file=/etc/kubernetes/ssl/etcd.pem 
    --ca-file=/etc/kubernetes/ssl/ca.pem 
    --key-file=/etc/kubernetes/ssl/etcd-key.pem 
    member list

晚上回去更新第二篇：

【從零開始安裝kubernetes-1.7.3】2.flannel、docker以及Harbor的配置以及作用

GPU云服務器云服務器從零開始 linux從零開始 python從零開始從零開始php

文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。

轉載請注明本文地址：http://specialneedsforspecialkids.com/yun/32581.html

【從零開始安裝kubernetes-1.7.3】1.環境說明以及etcd配置（CA認證）

摘要：所有主機關閉防火墻關閉所有節點主機防火墻關閉防火墻開機自啟動關閉防火墻啟動驗證集群狀態晚上回去更新第二篇從零開始安裝以及的配置以及作用 1.環境說明主機名 ip 說明 master-123(復用node) 192.168.116.123 etcd flannel kube-apiserver kube-controller-manager kube-scheduler ku...

Doyle 2019-06-28 15:55 評論0 收藏0
【從零開始安裝kubernetes-1.7.3】3.安裝MASTER與NODE組件（CA配置）

摘要：拷貝到目錄拷貝到其他配置首次啟動時向發送請求，驗證請求中的是否與它配置的一致，如果一致則自動為生成證書和秘鑰。緊接上一章 8. MASTER節點配置 8.1 安裝組件上傳kubernetes-server-linux-amd64.tar.gz tar -xzvf kubernetes-server-linux-amd64.tar.gz cd kubernetes cp -r ser...

xiangchaobin 2019-07-01 16:34 評論0 收藏0
【從零開始安裝kubernetes-1.7.3】3.安裝MASTER與NODE組件（CA配置）

摘要：拷貝到目錄拷貝到其他配置首次啟動時向發送請求，驗證請求中的是否與它配置的一致，如果一致則自動為生成證書和秘鑰。緊接上一章 8. MASTER節點配置 8.1 安裝組件上傳kubernetes-server-linux-amd64.tar.gz tar -xzvf kubernetes-server-linux-amd64.tar.gz cd kubernetes cp -r ser...

Shisui 2019-06-28 15:57 評論0 收藏0
【從零開始安裝kubernetes-1.7.3】2.flannel、docker以及Harbor的配

摘要：安裝配置安裝上傳安裝如果缺少依賴，注解是由于沒使用，所以必須在里配置這個參數，才能訪問。但是由于國內對國外網絡訪問的不可靠以及為了速度上的優化和管理上的方便，我們選擇自己搭建一個私有的倉庫，也就是。 5 Flannel網絡 5.1 準備工作上傳二進制文件 tar -zxvf flannel-v0.8.0-rc1-linux-amd64.tar.gz cp flanneld...

shaonbean 2019-07-01 16:34 評論0 收藏0