通过kube-apiserver组件作为代理访问集群上运行的服务

1、概述

在 Kubernetes 里，节点、Pod 和服务都有自己的 IP。许多情况下，集群上的节点 IP、Pod IP 和某些服务 IP 是路由不可达的，所以不能从集群之外访问它们，例如从你自己的台式机。有多种可选方式能够访问集群上运行的服务。

通过公网 IP 访问服务，一些常见的方法包括：
- NodePort服务：这种服务类型会在每个节点上监听一个固定的端口，并将流量转发到集群内部的服务。通过公网IP地址的任何节点上的该端口，可以访问服务。
- LoadBalancer服务：这种服务类型使用云提供商的负载均衡器（Load Balancer），自动将外部流量分配到集群内的服务。负载均衡器分配的公网IP地址和端口用于访问服务。
- Ingress资源：Ingress资源充当集群内部服务的外部入口。它们可以配置不同的路由规则和主机名，通过HTTP/HTTPS将流量转发到集群内的服务。Ingress需要配合Ingress控制器使用，并且通常需要在集群外部配置DNS来解析主机名。

通过 Proxy 访问服务、节点或者 Pod：
- 在访问远程服务之前，利用 API 服务器执行身份认证和鉴权。如果你的服务不够安全，无法暴露到因特网中，或者需要访问节点 IP 上的端口，又或者出于调试目的，可使用这种方式。
- 代理可能给某些应用带来麻烦。
- 此方式仅适用于 HTTP/HTTPS。

从集群中的一个节点或 Pod 访问：
- 运行一个 Pod，然后使用kubectl exec连接到它的 Shell。从那个 Shell 连接其他的节点、Pod 和服务。
- 某些集群可能允许你 SSH 到集群中的节点。你可能可以从那儿访问集群服务。这是一个非标准的方式，可能在一些集群上能工作，但在另一些上却不能。浏览器和其他工具可能已经安装也可能没有安装。集群 DNS 可能不会正常工作。

本文重点讲解第二种方式，通过代理访问集群上运行的服务。

2、通过kube-apiserver组件作为代理访问集群上运行的服务

2.1 发现集群内置服务

典型情况下，kube-system 名字空间中会启动集群的几个服务。使用 kubectl cluster-info 命令获取这些服务的列表：

kubectl cluster-info

输出类似于：

Kubernetes master is running at https://192.0.2.1
elasticsearch-logging is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy
kibana-logging is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/kibana-logging/proxy
kube-dns is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/kube-dns/proxy
grafana is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/monitoring-grafana/proxy
heapster is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/monitoring-heapster/proxy

这一输出显示了用 proxy 动词访问每个服务时可用的 URL。例如，此集群（使用 Elasticsearch）启用了集群层面的日志。如果提供合适的凭据，可以通过 https://192.0.2.1/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy/ 访问，或通过一个 kubectl proxy 来访问： http://localhost:8080/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy/。

2.2 手动构建 API 服务器代理 URLs

如前所述，你可以使用 kubectl cluster-info 命令取得服务的代理 URL。为了创建包含服务末端、后缀和参数的代理 URLs，你可以在服务的代理 URL 中添加： http://kubernetes_master_address/api/v1/namespaces/namespace_name/services/service_name[:port_name]/proxy

如果还没有为你的端口指定名称，你可以不用在 URL 中指定 port_name。对于命名和未命名端口，你还可以使用端口号代替 port_name。

默认情况下，API 服务器使用 HTTP 为你的服务提供代理。要使用 HTTPS，请在服务名称前加上 https:： http://<kubernetes_master_address>/api/v1/namespaces/<namespace_name>/services/<service_name>/proxy URL 的 <service_name> 段支持的格式为：

<service_name> - 使用 http 代理到默认或未命名端口
<service_name>:<port_name> - 使用 http 代理到指定的端口名称或端口号
https:<service_name>: - 使用 https 代理到默认或未命名端口（注意尾随冒号）
https:<service_name>:<port_name> - 使用 https 代理到指定的端口名称或端口号

示例：

（1）如要访问 Elasticsearch 服务末端 _search?q=user:kimchy，你可以使用以下地址：

http://192.0.2.1/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy/_search?q=user:kimchy

（2）如要访问 Elasticsearch 集群健康信息_cluster/health?pretty=true，你可以使用以下地址：

https://192.0.2.1/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy/_cluster/health?pretty=true

健康信息与下面的例子类似：

{
  "cluster_name" : "kubernetes_logging",
  "status" : "yellow",
  "timed_out" : false,
  "number_of_nodes" : 1,
  "number_of_data_nodes" : 1,
  "active_primary_shards" : 5,
  "active_shards" : 5,
  "relocating_shards" : 0,
  "initializing_shards" : 0,
  "unassigned_shards" : 5
}

（3）如要访问 https Elasticsearch 服务健康信息 _cluster/health?pretty=true，你可以使用以下地址：

https://192.0.2.1/api/v1/namespaces/kube-system/services/https:elasticsearch-logging:/proxy/_cluster/health?pretty=true

2.3 通过 Web 浏览器访问集群中运行的服务

你或许能够将 API 服务器代理的 URL 放入浏览器的地址栏，然而：

Web 服务器通常不能传递令牌，所以你可能需要使用基本（密码）认证。 API 服务器可以配置为接受基本认证，但你的集群可能并没有这样配置。
某些 Web 应用可能无法工作，特别是那些使用客户端 Javascript 构造 URL 的应用，所构造的 URL 可能并不支持代理路径前缀。

参考：Kubernetes 中的代理

参考：访问集群上运行的服务

posted @ 2024-02-28 21:34 人艰不拆_zmc 阅读(133) 评论(0) 编辑收藏举报

刷新页面返回顶部