06-3.部署高可用 kube-scheduler 集群

本文档介绍部署高可用 kube-scheduler 集群的步骤。

该集群包含 3 个节点，启动后将通过竞争选举机制产生一个 leader 节点，其它节点为阻塞状态。当 leader 节点不可用后，剩余节点将再次进行选举产生新的 leader 节点，从而保证服务的可用性。

为保证通信安全，本文档先生成 x509 证书和私钥，kube-scheduler 在如下两种情况下使用该证书：

  1. 与 kube-apiserver 的安全端口通信;
  2. 在安全端口(https，10251) 输出 prometheus 格式的 metrics；

准备工作

下载最新版本的二进制文件、安装和配置 flanneld 参考：06-0.部署master节点.md

创建 kube-scheduler 证书和私钥

创建证书签名请求：

  1. cat > kube-scheduler-csr.json <<EOF
  2. {
  3.     "CN": "system:kube-scheduler",
  4.     "hosts": [
  5.       "127.0.0.1",
  6.       "172.27.129.105",
  7.       "172.27.129.111",
  8.       "172.27.129.112"
  9.     ],
  10.     "key": {
  11.         "algo": "rsa",
  12.         "size": 2048
  13.     },
  14.     "names": [
  15.       {
  16.         "C": "CN",
  17.         "ST": "BeiJing",
  18.         "L": "BeiJing",
  19.         "O": "system:kube-scheduler",
  20.         "OU": "4Paradigm"
  21.       }
  22.     ]
  23. }
  24. EOF
  • hosts 列表包含所有 kube-scheduler 节点 IP；
  • CN 为 system:kube-scheduler、O 为 system:kube-scheduler，kubernetes 内置的 ClusterRoleBindings system:kube-scheduler 将赋予 kube-scheduler 工作所需的权限。

生成证书和私钥：

  1. cfssl gencert -ca=/etc/kubernetes/cert/ca.pem \
  2.   -ca-key=/etc/kubernetes/cert/ca-key.pem \
  3.   -config=/etc/kubernetes/cert/ca-config.json \
  4.   -profile=kubernetes kube-scheduler-csr.json | cfssljson -bare kube-scheduler

创建和分发 kubeconfig 文件

kubeconfig 文件包含访问 apiserver 的所有信息，如 apiserver 地址、CA 证书和自身使用的证书；

  1. source /opt/k8s/bin/environment.sh
  2. kubectl config set-cluster kubernetes \
  3.   --certificate-authority=/etc/kubernetes/cert/ca.pem \
  4.   --embed-certs=true \
  5.   --server=${KUBE_APISERVER} \
  6.   --kubeconfig=kube-scheduler.kubeconfig
  8. kubectl config set-credentials system:kube-scheduler \
  9.   --client-certificate=kube-scheduler.pem \
  10.   --client-key=kube-scheduler-key.pem \
  11.   --embed-certs=true \
  12.   --kubeconfig=kube-scheduler.kubeconfig
  14. kubectl config set-context system:kube-scheduler \
  15.   --cluster=kubernetes \
  16.   --user=system:kube-scheduler \
  17.   --kubeconfig=kube-scheduler.kubeconfig
  19. kubectl config use-context system:kube-scheduler --kubeconfig=kube-scheduler.kubeconfig
  • 上一步创建的证书、私钥以及 kube-apiserver 地址被写入到 kubeconfig 文件中；

分发 kubeconfig 到所有 master 节点：

  1. source /opt/k8s/bin/environment.sh
  2. for node_ip in ${NODE_IPS[@]}
  3.   do
  4.     echo ">>> ${node_ip}"
  5.     scp kube-scheduler.kubeconfig k8s@${node_ip}:/etc/kubernetes/
  6.   done

创建和分发 kube-scheduler systemd unit 文件

  1. cat > kube-scheduler.service <<EOF
  2. [Unit]
  3. Description=Kubernetes Scheduler
  4. Documentation=https://github.com/GoogleCloudPlatform/kubernetes
  6. [Service]
  7. ExecStart=/opt/k8s/bin/kube-scheduler \\
  8.   --address=127.0.0.1 \\
  9.   --kubeconfig=/etc/kubernetes/kube-scheduler.kubeconfig \\
  10.   --leader-elect=true \\
  11.   --alsologtostderr=true \\
  12.   --logtostderr=false \\
  13.   --log-dir=/var/log/kubernetes \\
  14.   --v=2
  15. Restart=on-failure
  16. RestartSec=5
  17. User=k8s
  19. [Install]
  20. WantedBy=multi-user.target
  21. EOF
  • --address：在 127.0.0.1:10251 端口接收 http /metrics 请求；kube-scheduler 目前还不支持接收 https 请求；
  • --kubeconfig：指定 kubeconfig 文件路径，kube-scheduler 使用它连接和验证 kube-apiserver；
  • --leader-elect=true：集群运行模式，启用选举功能；被选为 leader 的节点负责处理工作，其它节点为阻塞状态；
  • User=k8s：使用 k8s 账户运行；

完整 unit 见 kube-scheduler.service。

分发 systemd unit 文件到所有 master 节点：

  1. source /opt/k8s/bin/environment.sh
  2. for node_ip in ${NODE_IPS[@]}
  3.   do
  4.     echo ">>> ${node_ip}"
  5.     scp kube-scheduler.service root@${node_ip}:/etc/systemd/system/
  6.   done

启动 kube-scheduler 服务

  1. source /opt/k8s/bin/environment.sh
  2. for node_ip in ${NODE_IPS[@]}
  3.   do
  4.     echo ">>> ${node_ip}"
  5.     ssh root@${node_ip} "mkdir -p /var/log/kubernetes && chown -R k8s /var/log/kubernetes"
  6.     ssh root@${node_ip} "systemctl daemon-reload && systemctl enable kube-scheduler && systemctl restart kube-scheduler"
  7.   done
  • 必须先创建日志目录；

检查服务运行状态

  1. source /opt/k8s/bin/environment.sh
  2. for node_ip in ${NODE_IPS[@]}
  3.   do
  4.     echo ">>> ${node_ip}"
  5.     ssh k8s@${node_ip} "systemctl status kube-scheduler|grep Active"
  6.   done

确保状态为 active (running)，否则查看日志，确认原因：

  1. journalctl -u kube-scheduler

查看输出的 metric

注意：以下命令在 kube-scheduler 节点上执行。

kube-scheduler 监听 10251 端口，接收 http 请求：

  1. $ sudo netstat -lnpt|grep kube-sche
  2. tcp        0      0 127.0.0.1:10251         0.0.0.0:*               LISTEN      23783/kube-schedule
  1. $ curl -s http://127.0.0.1:10251/metrics |head
  2. # HELP apiserver_audit_event_total Counter of audit events generated and sent to the audit backend.
  3. # TYPE apiserver_audit_event_total counter
  4. apiserver_audit_event_total 0
  5. # HELP go_gc_duration_seconds A summary of the GC invocation durations.
  6. # TYPE go_gc_duration_seconds summary
  7. go_gc_duration_seconds{quantile="0"} 9.7715e-05
  8. go_gc_duration_seconds{quantile="0.25"} 0.000107676
  9. go_gc_duration_seconds{quantile="0.5"} 0.00017868
  10. go_gc_duration_seconds{quantile="0.75"} 0.000262444
  11. go_gc_duration_seconds{quantile="1"} 0.001205223

测试 kube-scheduler 集群的高可用

随便找一个或两个 master 节点，停掉 kube-scheduler 服务，看其它节点是否获取了 leader 权限（systemd 日志）。

查看当前的 leader

  1. $ kubectl get endpoints kube-scheduler --namespace=kube-system  -o yaml
  2. apiVersion: v1
  3. kind: Endpoints
  4. metadata:
  5.   annotations:
  6.     control-plane.alpha.kubernetes.io/leader: '{"holderIdentity":"kube-node3_61f34593-6cc8-11e8-8af7-5254002f288e","leaseDurationSeconds":15,"acquireTime":"2018-06-10T16:09:56Z","renewTime":"2018-06-10T16:20:54Z","leaderTransitions":1}'
  7.   creationTimestamp: 2018-06-10T16:07:33Z
  8.   name: kube-scheduler
  9.   namespace: kube-system
  10.   resourceVersion: "4645"
  11.   selfLink: /api/v1/namespaces/kube-system/endpoints/kube-scheduler
  12.   uid: 62382d98-6cc8-11e8-96fa-525400ba84c6

可见，当前的 leader 为 kube-node3 节点。