61、Kubernetes高级应用：流量管理、多集群策略等

Kubernetes高级应用：流量管理、多集群策略等

1. Kubernetes常见故障排查

Kubernetes故障排查复杂且与集群设置和操作密切相关，以下是一些常见问题及解决方法：
| 问题类型 | 问题描述 | 解决方法 |
| — | — | — |
| Pod处于Pending状态 | 错误信息“Pending”表示Pod正在等待被调度到节点上，可能是资源不足或配置错误导致 | 使用 kubectl describe pod <pod_name> 检查事件，查看Pod处于Pending状态的原因，如资源限制或节点条件。若集群资源不足，可调整资源请求或添加更多节点（可使用 troubles/app-with-high-resource.yaml 进行测试） |
| CrashLoopBackOff或容器错误 | 当容器反复启动失败时会出现“CrashLoopBackOff”错误，可能是配置错误、文件缺失或应用程序错误导致 | 使用 kubectl logs <pod_name> 或 kubectl describe pod <pod_name> 查看日志，识别问题原因。查看错误消息或堆栈跟踪，帮助诊断问题。若容器启动命令不正确，会导致启动失败，可查看容器退出代码和日志来修复问题（应用 troubles/failing-pod.yaml 测试此场景） |
| 网络问题 | 此类错误表明网络策略可能阻止了进出Pod的流量 | 使用 kubectl describe pod <pod_name> 检查影响Pod的网络策略，使用 kubectl get svc 验证服务端点。若网络策略过于严格，可能会阻止必要的流量。例如，空的入口策略可能会阻止所有流量进入Pod，调整策略可使所需服务进行通信（使用 troubles/networkpolicy.yaml 测试此场景） |
| 节点未就绪或不可达 | “NotReady”错误表示节点由于网络问题等原因未处于就绪状态 | 使用 kubectl get nodes 和 kubectl describe node <node_name> 检查节点状态。此错误也可能由节点污点导致，阻止了调度。若节点有“NoSchedule”污点，在问题解决或污点移除之前，它不会接受Pod |
| 存储问题 | “PersistentVolumeClaim Pending”错误表示持久卷声明（PVC）正在等待匹配的持久卷（PV）进行绑定 | 使用 kubectl get pv 和 kubectl get pvc 检查PV和PVC的状态。对于CSI，确保存储类配置正确，并在PVC定义中相应请求（查看 troubles/pvc.yaml 探索此场景） |
| 服务不可用 | “Service Unavailable”错误意味着服务无法访问，可能是配置错误或网络问题导致 | 使用 kubectl describe svc <service_name> 检查服务详细信息。验证服务配置是否正确，并通过使用适当的标签指向相应的Pod。若服务配置错误，可能无法将流量路由到预期的端点，导致不可用。可使用 kubectl describe svc <service_name> 命令验证服务端点（Pod） |
| API服务器或控制平面问题 | 这些错误通常指向与API服务器的连接问题，通常是控制平面或网络内部的问题 | 若API服务器关闭， kubectl 命令将无法工作，需要直接登录运行API服务器Pod的控制平面服务器。登录后，可使用 crictl ps （如果使用containerd）或 docker ps （如果使用Docker）等命令检查控制平面组件的状态，确保API服务器Pod正在运行。此外，查看日志并检查网络连接，验证所有控制平面组件是否正常运行 |
| 认证和授权问题 | “Unauthorized”错误表示用户权限或认证存在问题 | 使用 kubectl auth can-i <verb> <resource> 验证用户权限。例如，若用户缺少所需的角色或角色绑定，将遇到授权错误。根据需要调整角色和角色绑定，授予必要的权限 |
| 资源耗尽 | “ResourceQuota Exceeded”错误表示资源配额已超出，阻止了额外资源的分配 | 使用 kubectl get quota 、 kubectl top nodes 和 kubectl top pods 进行故障排查和监控资源使用情况。若配额过低，可能会阻止新的资源分配。调整资源配额或减少资源使用可缓解此问题 |
| 入口或负载均衡器问题 | “IngressController Failed”错误表明入口控制器未正常工作，影响流量路由 | 使用 kubectl describe ingress <ingress_name> 检查入口详细信息。确保入口控制器正确安装和配置，并且入口规则正确映射到服务。入口规则配置错误可能会阻止正确的流量路由。此外，若在入口配置中使用了可选的主机字段，确保主机名DNS解析正常 |

2. Kubernetes流量路由

简单的服务通常在需要L4负载均衡时使用，但如果应用程序中有HTTP或HTTPS端点，最好使用Ingress和Ingress Controller提供的L7负载均衡。以下是部署nginx作为Ingress Controller的步骤：
1. 使用nginx作为Ingress Controller： nginx, using as Ingress Controller
2. 部署Ingress资源：在Kubernetes中部署Ingress资源，可参考 Ingress Resources deploying, in Kubernetes 相关内容。

3. 云环境中的Ingress和Ingress Controller

在云环境中，有对Kubernetes集群外L7负载均衡的原生支持。例如，部署AKS集群并使用应用程序网关入口控制器（AGIC）来处理Ingress对象。

4. Kubernetes的前沿技术集成

Kubernetes正朝着集成前沿技术的平台发展，如Knative和KubeVirt，它们将Kubernetes的功能扩展到无服务器计算、VM管理和机器学习等领域。

5. Kubernetes的日常运维

集群管理员需要执行一些不可或缺的“日常”操作，包括备份和升级、基础安全最佳实践以强化集群，以及一些关键的故障排除技术来解决集群中可能出现的常见问题。

6. 相关学习资源

• Ingress：https://kubernetes.io/docs/concepts/services-networking/ingress/
• Ingress Controllers：https://kubernetes.io/docs/concepts/services-networking/ingress-controllers/
• Ingress Installation Guide：https://kubernetes.github.io/ingress-nginx/deploy
• Set up Ingress on Minikube with the NGINX Ingress Controller：https://kubernetes.io/docs/tasks/access-application-cluster/ingress-minikube/
• Ephemeral Containers：https://kubernetes.io/docs/concepts/workloads/pods/ephemeral-containers/
• What is Application Gateway Ingress Controller：https://learn.microsoft.com/en-us/azure/application-gateway/ingress-controller-overview
• Operating etcd clusters for Kubernetes：https://kubernetes.io/docs/tasks/administer-cluster/configure-upgrade-etcd/
• Securing a Cluster：https://kubernetes.io/docs/tasks/administer-cluster/securing-a-cluster/
• Auditing：https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/

7. Kubernetes组件与功能

7.1 Kubernetes组件

Kubernetes的组件包括控制平面组件和计算节点组件：
- 控制平面组件 ：
- kube-apiserver ：作为Kubernetes API的前端，负责处理API请求。
- etcd datastore ：可靠的键值存储，保存Kubernetes集群的所有数据。
- kube-controller-manager ：运行控制器进程，如节点控制器、副本控制器等。
- kube-scheduler ：负责将Pod调度到合适的节点上。
- cloud-controller-manager ：与云服务提供商的API进行交互。
- 计算节点组件 ：
- kubelet ：负责管理节点上的容器。
- kube-proxy ：维护节点上的网络规则，实现服务的网络代理。
- container runtime ：负责运行容器，如Docker、CRI - O等。

7.2 存储相关

• PersistentVolume（PV） ：是集群中的存储资源，有不同的访问模式，如ReadOnlyMany（ROX）、ReadWriteMany（RWX）、ReadWriteOncePod、ReadWriteOnce（RWO）。创建PV时，可使用原始块卷，其工作流程包括存储处理、挂载到Pod等。
• PersistentVolumeClaim（PVC） ：是用户对存储的请求，用于动态存储供应时，需要确保存储类配置正确。PVC可进行扩展，其状态包括Pending、Bound等。
• Container Storage Interface（CSI） ：提供了容器存储的标准接口，支持CSI卷克隆，具有一定的优势。

7.3 服务类型

Kubernetes有多种服务类型：
| 服务类型 | 描述 |
| — | — |
| ClusterIP Service | 用于在集群内部暴露服务，是默认的服务类型。创建时可使用 kubectl create service clusterip 命令，有头less服务的特殊情况。 |
| NodePort Service | 通过每个节点上的静态端口暴露服务，可使用 kubectl create service nodeport 创建。与 kubectl port - forward 命令有一定的比较关系。 |
| LoadBalancer Service | 使用云提供商的负载均衡器暴露服务，支持的云提供商有特定要求。 |
| ExternalName Services | 将服务映射到外部域名。 |

7.4 自动化伸缩

• HorizontalPodAutoscaler（HPA） ：用于Pod的水平自动伸缩，可通过部署应用程序并实现HPA来进行测试，步骤包括部署应用、实现HPA等。
• VerticalPodAutoscaler（VPA） ：用于Pod的垂直自动伸缩，可在不同的云环境中启用，有不同的模式，如自动模式、初始模式等。

7.5 认证和授权

• 认证方法 ：包括静态令牌文件、ServiceAccount令牌、X.509客户端证书、OpenID Connect令牌、webhook令牌认证、引导令牌等。
• 授权模式 ：有AlwaysAllow、AlwaysDeny、Attribute - Based Access Control（ABAC）、Node、RBAC、Webhook等。

7.6 多集群管理

可使用多种工具进行多集群管理，如Anthos（Google Cloud）、Azure Arc、Kubernetes Operations（Kops）、Lens、Rancher、Red Hat Advanced Cluster Management for Kubernetes等。

8. 其他相关技术

• Ingress和Ingress Controller ：Ingress对象和Ingress Controller用于实现高级流量路由，可参考相关文档进行配置和部署。
• Kubernetes Operators ：用于自动化应用程序的部署、状态管理等，与Helm charts有一定的对比关系。
• 监控和可视化 ：可使用Prometheus进行监控，使用Grafana进行指标可视化。
• 安全相关 ：包括容器安全、网络策略、认证授权等方面的最佳实践。

通过以上内容，我们对Kubernetes的高级应用有了更深入的了解，包括故障排查、流量管理、多集群策略等方面，这些知识有助于我们更安全、有效地操作和维护Kubernetes环境。

Kubernetes高级应用：流量管理、多集群策略等

9. 命名空间与资源管理

命名空间在Kubernetes中用于隔离和组织资源，以下是关于命名空间的详细内容：
- 命名空间操作
- 创建 ：可以使用声明式语法或命令式语法创建命名空间。例如，使用声明式语法创建：

apiVersion: v1
kind: Namespace
metadata:
  name: my-namespace

使用命令式语法创建： kubectl create namespace my-namespace
- 删除 ：使用 kubectl delete namespace <namespace_name> 删除命名空间。
- 查看 ：使用 kubectl get namespaces 查看集群内的命名空间。
- 命名空间最佳实践
- 访问控制 ：设置适当的访问控制，确保不同用户或团队只能访问其有权限的命名空间。
- 命名规则 ：遵循一定的命名规则，便于管理和识别。
- 组织和分离 ：根据项目、环境或团队等因素进行组织和分离。
- 资源管理 ：在命名空间内合理管理资源，避免资源浪费。

10. Pod相关操作

Pod是Kubernetes中最小的可部署单元，以下是Pod的一些常见操作：
- 创建Pod
- 声明式语法 ：使用YAML文件创建Pod，示例如下：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
  - name: my-container
    image: nginx:1.14.2

- **命令式语法**：使用`kubectl run my-pod --image=nginx:1.14.2`创建Pod。

• 访问Pod
  • 从外部访问 ：可以通过NodePort Service或LoadBalancer Service将Pod暴露给外部。
  • 内部访问 ：使用 kubectl exec -it <pod_name> -- /bin/bash 进入Pod内部。
• Pod调度
  • NodeAffinity ：使用 nodeAffinity 配置Pod的调度规则，示例如下：

apiVersion: v1
kind: Pod
metadata:
  name: with-node-affinity
spec:
  affinity:
    nodeAffinity:
      requiredDuringSchedulingIgnoredDuringExecution:
        nodeSelectorTerms:
        - matchExpressions:
          - key: kubernetes.io/e2e-az-name
            operator: In
            values:
            - e2e-az1
            - e2e-az2
  containers:
  - name: with-node-affinity
    image: k8s.gcr.io/pause:2.0

- **nodeName**：直接指定Pod调度到某个节点上，使用`spec.nodeName`字段。
- **nodeSelector**：使用`nodeSelector`根据节点标签选择节点，示例如下：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
  - name: my-container
    image: nginx:1.14.2
  nodeSelector:
    disktype: ssd

11. 容器安全

容器安全是Kubernetes中的重要方面，以下是一些容器安全的措施：
- SecurityContext ：可以在Pod和容器级别应用 SecurityContext ，示例如下：

apiVersion: v1
kind: Pod
metadata:
  name: security-context-demo
spec:
  securityContext:
    runAsUser: 1000
    runAsGroup: 3000
    fsGroup: 2000
  containers:
  - name: sec-ctx-demo
    image: busybox
    command: [ "sh", "-c", "sleep 1h" ]
    securityContext:
      allowPrivilegeEscalation: false

• 网络策略 ：使用 NetworkPolicy 配置网络策略，限制Pod之间的网络通信，示例如下：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: test-network-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      role: db
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - ipBlock:
        cidr: 172.17.0.0/16
        except:
        - 172.17.1.0/24
    - namespaceSelector:
        matchLabels:
          project: myproject
    - podSelector:
        matchLabels:
          role: frontend
    ports:
    - protocol: TCP
      port: 6379
  egress:
  - to:
    - ipBlock:
        cidr: 10.0.0.0/24
    ports:
    - protocol: TCP
      port: 5978

12. 自动化部署

• Deployment ：用于管理Pod和ReplicaSet的部署，支持滚动更新、回滚等操作。创建Deployment的示例如下：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        ports:
        - containerPort: 80

• StatefulSet ：用于管理有状态的应用程序，如数据库。StatefulSet的Pod有稳定的网络标识和持久化存储，创建StatefulSet的示例如下：

apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: web
spec:
  serviceName: "nginx"
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: k8s.gcr.io/nginx-slim:0.8
        ports:
        - containerPort: 80
          name: web
        volumeMounts:
        - name: www
          mountPath: /usr/share/nginx/html
  volumeClaimTemplates:
  - metadata:
      name: www
    spec:
      accessModes: [ "ReadWriteOnce" ]
      resources:
        requests:
          storage: 1Gi

13. 监控和日志

• Prometheus ：用于监控Kubernetes集群的指标，可使用Operator进行安装和配置。配置Prometheus实例的示例如下：

apiVersion: monitoring.coreos.com/v1
kind: Prometheus
metadata:
  name: prometheus
spec:
  replicas: 2
  serviceAccountName: prometheus
  serviceMonitorSelector:
    matchLabels:
      team: frontend
  ruleSelector:
    matchLabels:
      role: alert-rules
      prometheus: example

• Grafana ：用于可视化Prometheus收集的指标，可使用Operator进行安装和配置。配置Grafana实例的示例如下：

apiVersion: integreatly.org/v1alpha1
kind: Grafana
metadata:
  name: grafana
spec:
  config:
    auth:
      disable_login_form: false
      disable_signout_menu: true
    auth.anonymous:
      enabled: true
      org_name: Main Org.
      org_role: Viewer
    log:
      mode: console
      level: warn
    security:
      admin_user: root
      admin_password: secret

• 日志收集 ：可使用EFK（Elasticsearch, Fluentd, Kibana）堆栈进行日志收集和分析。

14. 总结

通过以上内容，我们对Kubernetes的高级应用有了全面的了解，包括故障排查、流量管理、多集群策略、自动化伸缩、认证授权、容器安全、自动化部署、监控和日志等方面。掌握这些知识，有助于我们更安全、有效地操作和维护Kubernetes环境，为企业的应用开发和部署提供强大的支持。

以下是Kubernetes操作的简单流程图：

graph TD;
    A[创建资源] --> B[部署应用];
    B --> C[监控和日志];
    C --> D[故障排查];
    D --> E[自动化伸缩];
    E --> F[多集群管理];
    F --> G[安全配置];
    G --> H[自动化部署];

在实际应用中，我们可以根据具体需求选择合适的技术和工具，不断优化和改进Kubernetes环境，以满足企业的业务需求。