CRI-O容器运行时安装与配置完全指南

CRI-O容器运行时安装与配置完全指南

cri-o 项目地址: https://gitcode.com/gh_mirrors/cri/cri-o

什么是CRI-O

CRI-O是一个专为Kubernetes设计的轻量级容器运行时实现，它遵循Open Container Initiative(OCI)标准，实现了Kubernetes容器运行时接口(CRI)。相比其他容器运行时，CRI-O更加专注于Kubernetes的集成需求，具有以下特点：

• 专为Kubernetes优化，去除了不必要的组件
• 支持OCI兼容的运行时如runc、Clear Containers等
• 采用模块化设计，易于维护和扩展
• 安全性高，默认启用seccomp、SELinux等安全特性

系统要求

在开始安装前，请确保您的系统满足以下基本要求：

1. Linux操作系统（推荐使用主流发行版）
2. 内核版本3.10或更高
3. 至少2GB内存（生产环境建议4GB以上）
4. 足够的磁盘空间（建议20GB以上）

安装方法选择

CRI-O提供两种安装方式：

1. 包管理器安装：适合大多数用户，简单快捷
2. 源码编译安装：适合需要自定义功能或特定版本的用户

一、通过包管理器安装

1. 版本选择

CRI-O遵循Kubernetes的版本支持策略，通常支持最新的三个次要版本。安装前需要确定要安装的版本号：

export VERSION=1.28  # 示例版本号

2. 各发行版安装命令

Fedora系统

sudo dnf module enable cri-o:$VERSION
sudo dnf install cri-o

openSUSE系统

sudo zypper install cri-o

CentOS/RHEL系统

根据具体版本设置OS变量后执行：

# CentOS 7示例
export OS=CentOS_7
curl -L -o /etc/yum.repos.d/devel:kubic:libcontainers:stable.repo https://download.opensuse.org/repositories/devel:/kubic:/libcontainers:/stable/$OS/devel:kubic:libcontainers:stable.repo
curl -L -o /etc/yum.repos.d/devel:kubic:libcontainers:stable:cri-o:$VERSION.repo https://download.opensuse.org/repositories/devel:kubic:libcontainers:stable:cri-o:$VERSION/$OS/devel:kubic:libcontainers:stable:cri-o:$VERSION.repo
yum install cri-o

Debian/Ubuntu系统

# Ubuntu 22.04示例
export OS=xUbuntu_22.04
echo "deb [signed-by=/usr/share/keyrings/libcontainers-archive-keyring.gpg] https://download.opensuse.org/repositories/devel:/kubic:/libcontainers:/stable/$OS/ /" > /etc/apt/sources.list.d/devel:kubic:libcontainers:stable.list
echo "deb [signed-by=/usr/share/keyrings/libcontainers-crio-archive-keyring.gpg] https://download.opensuse.org/repositories/devel:/kubic:/libcontainers:/stable:/cri-o:/$VERSION/$OS/ /" > /etc/apt/sources.list.d/devel:kubic:libcontainers:stable:cri-o:$VERSION.list

mkdir -p /usr/share/keyrings
curl -L https://download.opensuse.org/repositories/devel:/kubic:/libcontainers:/stable/$OS/Release.key | gpg --dearmor -o /usr/share/keyrings/libcontainers-archive-keyring.gpg
curl -L https://download.opensuse.org/repositories/devel:/kubic:/libcontainers:/stable:/cri-o:/$VERSION/$OS/Release.key | gpg --dearmor -o /usr/share/keyrings/libcontainers-crio-archive-keyring.gpg

apt-get update
apt-get install cri-o cri-o-runc

3. 安装后注意事项

从1.24.0版本开始，CRI-O不再默认依赖CNI插件包，如需使用需要单独安装：

# yum系系统
yum install containernetworking-plugins

# apt系系统
apt-get install containernetworking-plugins

二、通过源码编译安装

1. 安装依赖

Fedora/CentOS/RHEL

yum install -y \
  containers-common \
  device-mapper-devel \
  git \
  glib2-devel \
  glibc-devel \
  glibc-static \
  go \
  gpgme-devel \
  libassuan-devel \
  libgpg-error-devel \
  libseccomp-devel \
  libselinux-devel \
  pkgconfig \
  make \
  runc

Debian/Ubuntu

apt-get update && apt-get install -y \
  libbtrfs-dev \
  containers-common \
  git \
  libassuan-dev \
  libdevmapper-dev \
  libglib2.0-dev \
  libc6-dev \
  libgpgme-dev \
  libgpg-error-dev \
  libseccomp-dev \
  libsystemd-dev \
  libselinux1-dev \
  pkg-config \
  go-md2man \
  cri-o-runc \
  libudev-dev \
  software-properties-common \
  gcc \
  make

2. 获取源码

git clone https://github.com/cri-o/cri-o
cd cri-o

3. 编译安装

make
sudo make install

4. 可选构建标签

通过BUILDTAGS参数可以启用额外功能：

make BUILDTAGS='seccomp apparmor selinux'

常用构建标签说明：

| 标签 | 功能 | 依赖 | |------|------|------| | seccomp | 系统调用过滤 | libseccomp | | selinux | SELinux支持 | libselinux | | apparmor | AppArmor支持 | - |

三、配置CRI-O

1. 网络配置

确保CNI网络插件已安装并配置：

mkdir -p /etc/cni/net.d

2. 镜像仓库配置

编辑/etc/containers/registries.conf配置镜像仓库：

[registries.search]
registries = ['docker.io', 'quay.io']

[registries.insecure]
registries = ['localhost:5000']

3. 日志配置

修改/etc/crio/crio.conf调整日志级别：

log_level = "info"

四、启动与使用

1. 启动服务

sudo systemctl daemon-reload
sudo systemctl enable crio
sudo systemctl start crio

2. 验证安装

sudo crio --version

3. 与Kubernetes集成

在kubelet配置中添加以下参数：

--container-runtime=remote \
--container-runtime-endpoint=unix:///var/run/crio/crio.sock \
--runtime-request-timeout=15m

五、更新与维护

1. 更新CRI-O

使用包管理器更新：

# yum系
yum update cri-o

# apt系
apt-get update && apt-get upgrade cri-o

2. 故障排查

常见问题检查点：

1. 检查服务状态：systemctl status crio
2. 查看日志：journalctl -u crio -f
3. 验证配置：crio config

结语

CRI-O作为Kubernetes的轻量级容器运行时，在性能和安全性方面都有出色表现。本文详细介绍了在各种环境下的安装配置方法，用户可以根据实际需求选择最适合的安装方式。对于生产环境，建议使用包管理器安装稳定版本，并确保启用适当的安全特性如seccomp和SELinux。

cri-o 项目地址: https://gitcode.com/gh_mirrors/cri/cri-o