kubeadm初始化集群的工作流程

kubeadm init的工作流程

1. 检查环境

当你执行 kubeadm init 指令后，kubeadm 首先要做的，是一系列的检查工作，以确定这台机器可以用来部署 Kubernetes。
检查的内容大致有如下：
Linux 内核的版本必须是否是 3.10 以上？
Linux Cgroups 模块是否可用？
机器的 hostname 是否标准？在 Kubernetes 项目里，机器的名字以及一切存储在 Etcd
中的 API 对象，都必须使用标准的 DNS 命名（RFC 1123）。
用户安装的 kubeadm 和 kubelet 的版本是否匹配？
机器上是不是已经安装了 Kubernetes 的二进制文件？
Kubernetes 的工作端口 10250/10251/10252 端口是不是已经被占用？
ip、mount 等 Linux 指令是否存在？
Docker 是否已经安装

2. 生成证书

Kubernetes 对外提供服务时，除非专门开启“不安全模式”，否则都要通过 HTTPS 才能
访问 kube-apiserver。这就需要为 Kubernetes 集群配置好证书文件。
kubeadm 为 Kubernetes 项目生成的证书文件都放在 Master 节点的
/etc/kubernetes/pki 目录下。在这个目录下，最主要的证书文件是 ca.crt 和对应的私钥
ca.key。
此外，用户使用 kubectl 获取容器日志等 streaming 操作时，需要通过 kube-apiserver
向 kubelet 发起请求，这个连接也必须是安全的。kubeadm 为这一步生成的是
apiserver-kubelet-client.crt 文件，对应的私钥是 apiserver-kubelet-client.key。
除此之外，Kubernetes 集群中还有 Aggregate APIServer 等特性，也需要用到专门的证
书，这里我就不再一一列举了。需要指出的是，你可以选择不让 kubeadm 为你生成这些
证书，而是拷贝现有的证书到如下证书的目录里：
 复制代码
1 /etc/kubernetes/pki/ca.{crt,key}
这时，kubeadm 就会跳过证书生成的步骤，把它完全交给用户处理。

3. 生成配置文件

证书生成后，kubeadm 接下来会为其他组件生成访问 kube-apiserver 所需的配置文
件。这些文件的路径是：/etc/kubernetes/xxx.conf：

1 ls /etc/kubernetes/
2 admin.conf controller-manager.conf kubelet.conf scheduler.conf

这些文件里面记录的是，当前这个 Master 节点的服务器地址、监听端口、证书目录等信
息。这样，对应的客户端（比如 scheduler，kubelet 等），可以直接加载相应的文件，使
用里面的信息与 kube-apiserver 建立安全连接。
接下来，kubeadm 会为 Master 组件生成 Pod 配置文件。我已经在上一篇文章中和你介
绍过 Kubernetes 有三个 Master 组件 kube-apiserver、kube-controller-manager、
kube-scheduler，而它们都会被使用 Pod 的方式部署起来。
你可能会有些疑问：这时，Kubernetes 集群尚不存在，难道 kubeadm 会直接执行
docker run 来启动这些容器吗？
当然不是。
在 Kubernetes 中，有一种特殊的容器启动方法叫做“Static Pod”。它允许你把要部署的
Pod 的 YAML 文件放在一个指定的目录里。这样，当这台机器上的 kubelet 启动时，它会
自动检查这个目录，加载所有的 Pod YAML 文件，然后在这台机器上启动它们。
从这一点也可以看出，kubelet 在 Kubernetes 项目中的地位非常高，在设计上它就是一个
完全独立的