kubernetes单Master集群部署--Master节点部署组件(5)

作者：@skyflask
转载本文请注明出处：https://www.cnblogs.com/skyflask/articles/11357327.html

---

目录

1、生成apiserver证书
2、部署apiserver组件
3、部署scheduler组件

在部署Kubernetes之前一定要确保etcd、flannel、docker是正常工作的，否则先解决问题再继续。

1、生成apiserver证书

创建CA证书，CA为颁发证书的权威机构，创建认证中心。（权威机构建立）

# cat ca-config.json

?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18

{   "signing": {     "default": {       "expiry": "87600h"     },     "profiles": {       "kubernetes": {          "expiry": "87600h",          "usages": [             "signing",             "key encipherment",             "server auth",             "client auth"         ]       }     }   } }

　

 证书签名请求：向证书颁发机构（CA）申请证书的材料。（权威机构建立需要的材料）

# cat ca-csr.json

?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16

{     "CN": "kubernetes",     "key": {         "algo": "rsa",         "size": 2048     },     "names": [         {             "C": "CN",             "L": "Beijing",             "ST": "Beijing",             "O": "k8s",             "OU": "System"         }     ] }

　　

 

# cfssl gencert -initca ca-csr.json | cfssljson -bare ca -

生成ca.pem（ca根证书公钥）和ca-key.pem（ca私钥），任何人向CA机构申请证书时，使用ca.pem根证书签名，使用ca-key.pem私钥加密。

 

生成apiserver证书：

# cat server-csr.json

?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31

{     "CN": "kubernetes",     "hosts": [       "10.0.0.1",       "127.0.0.1",       "10.11.97.191",       "10.11.97.192",       "10.11.97.193",       "10.11.97.71",       "10.11.97.181",       "10.11.97.187",       "kubernetes",       "kubernetes.default",       "kubernetes.default.svc",       "kubernetes.default.svc.cluster",       "kubernetes.default.svc.cluster.local"     ],     "key": {         "algo": "rsa",         "size": 2048     },     "names": [         {             "C": "CN",             "L": "BeiJing",             "ST": "BeiJing",             "O": "k8s",             "OU": "System"         }     ] }

　　注意：这里要规划好将来需要加入的Master ServerIP。

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes server-csr.json | cfssljson -bare server

生成kube-proxy证书：

# cat kube-proxy-csr.json

?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17

{   "CN": "system:kube-proxy",   "hosts": [],   "key": {     "algo": "rsa",     "size": 2048   },   "names": [     {       "C": "CN",       "L": "BeiJing",       "ST": "BeiJing",       "O": "k8s",       "OU": "System"     }   ] }

　

# cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes kube-proxy-csr.json | cfssljson -bare kube-proxy

最终生成以下证书文件：

 

2、部署apiserver组件

下载二进制包：https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG-1.12.md
下载这个包（kubernetes-server-linux-amd64.tar.gz）就够了，包含了所需的所有组件。

# mkdir /opt/kubernetes/{bin,cfg,ssl} -p

# tar zxvf kubernetes-server-linux-amd64.tar.gz

# cd kubernetes/server/bin

# cp kube-apiserver kube-scheduler kube-controller-manager kubectl /opt/kubernetes/bin

二进文件从二进制包中解压出来即可。

 

创建token文件，用途后面会讲到：

# cat /opt/kubernetes/cfg/token.csv

674c457d4dcf2eefe4920d7dbb6b0ddc,kubelet-bootstrap,10001,"system:kubelet-bootstrap"

第一列：随机字符串，自己可生成
第二列：用户名
第三列：UID
第四列：用户组

创建apiserver配置文件：

# cat /opt/kubernetes/cfg/kube-apiserver

?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21

KUBE_APISERVER_OPTS="--logtostderr=true \ --v=4 \ --etcd-servers=https://10.11.97.191:2379,https://10.11.97.192:2379,https://10.11.97.71:2379 \ --bind-address=10.11.97.191 \ --secure-port=6443 \ --advertise-address=10.11.97.191 \ --allow-privileged=true \ --service-cluster-ip-range=10.0.0.0/24 \ --enable-admission-plugins=NamespaceLifecycle,LimitRanger,ServiceAccount,ResourceQuota,NodeRestriction \ --authorization-mode=RBAC,Node \ --kubelet-https=true \ --enable-bootstrap-token-auth \ --token-auth-file=/opt/kubernetes/cfg/token.csv \ --service-node-port-range=30000-50000 \ --tls-cert-file=/opt/kubernetes/ssl/server.pem  \ --tls-private-key-file=/opt/kubernetes/ssl/server-key.pem \ --client-ca-file=/opt/kubernetes/ssl/ca.pem \ --service-account-key-file=/opt/kubernetes/ssl/ca-key.pem \ --etcd-cafile=/opt/etcd/ssl/ca.pem \ --etcd-certfile=/opt/etcd/ssl/server.pem \ --etcd-keyfile=/opt/etcd/ssl/server-key.pem"

　　

配置好前面生成的证书，确保能连接etcd。

参数说明：

• --logtostderr 启用日志
• ---v 日志等级
• --etcd-servers etcd集群地址
• --bind-address 监听地址
• --secure-port https安全端口
• --advertise-address 集群通告地址
• --allow-privileged 启用授权
• --service-cluster-ip-range Service虚拟IP地址段
• --enable-admission-plugins 准入控制模块
• --authorization-mode 认证授权，启用RBAC授权和节点自管理
• --enable-bootstrap-token-auth 启用TLS bootstrap功能，后面会讲到
• --token-auth-file token文件
• --service-node-port-range Service Node类型默认分配端口范围

systemd管理apiserver：

# cat /usr/lib/systemd/system/kube-apiserver.service

?

1 2 3 4 5 6 7 8 9 10 11

[Unit] Description=Kubernetes API Server Documentation=https://github.com/kubernetes/kubernetes   [Service] EnvironmentFile=-/opt/kubernetes/cfg/kube-apiserver ExecStart=/opt/kubernetes/bin/kube-apiserver $KUBE_APISERVER_OPTS Restart=on-failure   [Install] WantedBy=multi-user.target

　　

启动：

# systemctl daemon-reload

# systemctl enable kube-apiserver

# systemctl restart kube-apiserver

 

3、部署scheduler组件

创建schduler配置文件：

# cat /opt/kubernetes/cfg/kube-scheduler

?

1 2 3 4

KUBE_SCHEDULER_OPTS="--logtostderr=true \ --v=4 \ --master=127.0.0.1:8080 \ --leader-elect"

　　

参数说明：

• --master 连接本地apiserver
• --leader-elect 当该组件启动多个时，自动选举（HA）

systemd管理schduler组件：

 

# cat /usr/lib/systemd/system/kube-scheduler.service

?

1 2 3 4 5 6 7 8 9 10 11

[Unit] Description=Kubernetes Scheduler Documentation=https://github.com/kubernetes/kubernetes   [Service] EnvironmentFile=-/opt/kubernetes/cfg/kube-scheduler ExecStart=/opt/kubernetes/bin/kube-scheduler $KUBE_SCHEDULER_OPTS Restart=on-failure   [Install] WantedBy=multi-user.target

　　

启动：

# systemctl daemon-reload

# systemctl enable kube-scheduler

# systemctl restart kube-scheduler

 

4、部署controller-manager组件

创建controller-manager配置文件：

# cat /opt/kubernetes/cfg/kube-controller-manager

 

?

1 2 3 4 5 6 7 8 9 10 11 12

KUBE_CONTROLLER_MANAGER_OPTS="--logtostderr=true \ --v=4 \ --master=127.0.0.1:8080 \ --leader-elect=true \ --address=127.0.0.1 \ --service-cluster-ip-range=10.0.0.0/24 \ --cluster-name=kubernetes \ --cluster-signing-cert-file=/opt/kubernetes/ssl/ca.pem \ --cluster-signing-key-file=/opt/kubernetes/ssl/ca-key.pem  \ --root-ca-file=/opt/kubernetes/ssl/ca.pem \ --service-account-private-key-file=/opt/kubernetes/ssl/ca-key.pem \ --experimental-cluster-signing-duration=87600h0m0s"

　　

systemd管理controller-manager组件：

# cat /usr/lib/systemd/system/kube-controller-manager.service

?

1 2 3 4 5 6 7 8 9 10 11

[Unit] Description=Kubernetes Controller Manager Documentation=https://github.com/kubernetes/kubernetes   [Service] EnvironmentFile=-/opt/kubernetes/cfg/kube-controller-manager ExecStart=/opt/kubernetes/bin/kube-controller-manager $KUBE_CONTROLLER_MANAGER_OPTS Restart=on-failure   [Install] WantedBy=multi-user.target

　　

启动：

# systemctl daemon-reload

# systemctl enable kube-controller-manager

# systemctl restart kube-controller-manager

所有组件都已经启动成功，通过kubectl工具查看当前集群组件状态：

# /opt/kubernetes/bin/kubectl get cs

如上输出说明组件都正常。