设置 Kubernetes 集群

这项工作正在进行中，我们将逐段添加其内容。欢迎您在 discuss.istio.io 网站上提供反馈。

在这个模块，您将设置一个安装了 Istio 的 Kubernetes 集群， 还将设置整个教程要用到的一个命名空间。

如果您在培训班且讲师已准备好了集群， 直接前往设置本地机器。

  1. 确保您有 Kubernetes 集群的访问权限。 您可以使用 Google Kubernetes Engine 或 IBM Cloud Kubernetes Service。

  2. 生成一个环境变量用于存储运行教程指令要用到的命名空间的名字。 可以用任何名字，比如 tutorial。

    1. $ export NAMESPACE=tutorial

  3. 创建命名空间：

    1. $ kubectl create namespace $NAMESPACE

    如果您是管理员，您可以为每个用户分配一个独立的命名空间。本教程支持多个用户同时在多个命名空间中进行工作。

  4. 使用 demo 配置文件安装 Istio。

  5. 本示例中使用了 Kiali 和 Prometheus 附加组件， 需要安装它们。使用以下命令安装所有插件：

    Zip

    1. $ kubectl apply -f @samples/addons@

    如果尝试安装插件时出错，请尝试再次运行命令。 因为再次运行命令时可以解决一些时序引起的问题。

  6. 使用 kubectl 命令为这些通用 Istio 服务创建一个 Kubernetes Ingress 资源。 在教程目前这个阶段要熟悉这些服务并不是必须的。

    kubectl 命令可以通过修改 yaml 配置为每个服务创建 Ingress 资源：

    1. $ kubectl apply -f - <<EOF
    2. apiVersion: networking.k8s.io/v1
    3. kind: Ingress
    4. metadata:
    5.   name: istio-system
    6.   namespace: istio-system
    7.   annotations:
    8.     kubernetes.io/ingress.class: istio
    9. spec:
    10.   rules:
    11.   - host: my-istio-dashboard.io
    12.     http:
    13.       paths:
    14.       - path: /
    15.         pathType: Prefix
    16.         backend:
    17.           service:
    18.             name: grafana
    19.             port:
    20.               number: 3000
    21.   - host: my-istio-tracing.io
    22.     http:
    23.       paths:
    24.       - path: /
    25.         pathType: Prefix
    26.         backend:
    27.           service:
    28.             name: tracing
    29.             port:
    30.               number: 9411
    31.   - host: my-istio-logs-database.io
    32.     http:
    33.       paths:
    34.       - path: /
    35.         pathType: Prefix
    36.         backend:
    37.           service:
    38.             name: prometheus
    39.             port:
    40.               number: 9090
    41.   - host: my-kiali.io
    42.     http:
    43.       paths:
    44.       - path: /
    45.         pathType: Prefix
    46.         backend:
    47.           service:
    48.             name: kiali
    49.             port:
    50.               number: 20001
    51. EOF

  7. 创建一个角色为 istio-system 命名空间提供读权限。要在下面的步骤中限制用户的权限，这个角色是必须要有的。

    1. $ kubectl apply -f - <<EOF
    2. kind: Role
    3. apiVersion: rbac.authorization.k8s.io/v1
    4. metadata:
    5.   name: istio-system-access
    6.   namespace: istio-system
    7. rules:
    8. - apiGroups: ["", "extensions", "apps"]
    9.   resources: ["*"]
    10.   verbs: ["get", "list"]
    11. EOF

  8. 为每个用户创建服务账号：

    1. $ kubectl apply -f - <<EOF
    2. apiVersion: v1
    3. kind: ServiceAccount
    4. metadata:
    5.   name: ${NAMESPACE}-user
    6.   namespace: $NAMESPACE
    7. EOF

  9. 限制每个用户的权限。在教程中，用户只需要在他们自己的命名空间中创建资源以及从 istio-system 命名空间中读取资源。即使使用您自己的集群，这也是一个好的实践，它可以避免影响您集群中的其他命名空间。

    创建一个角色为每个用户的命名空间提供读写权限。为每个用户赋予这个角色，以及读取 istio-system 资源的角色：

    1. $ kubectl apply -f - <<EOF
    2. kind: Role
    3. apiVersion: rbac.authorization.k8s.io/v1
    4. metadata:
    5.   name: ${NAMESPACE}-access
    6.   namespace: $NAMESPACE
    7. rules:
    8. - apiGroups: ["", "extensions", "apps", "networking.k8s.io", "networking.istio.io", "authentication.istio.io",
    9.               "rbac.istio.io", "config.istio.io", "security.istio.io"]
    10.   resources: ["*"]
    11.   verbs: ["*"]
    12. ---
    13. kind: RoleBinding
    14. apiVersion: rbac.authorization.k8s.io/v1
    15. metadata:
    16.   name: ${NAMESPACE}-access
    17.   namespace: $NAMESPACE
    18. subjects:
    19. - kind: ServiceAccount
    20.   name: ${NAMESPACE}-user
    21.   namespace: $NAMESPACE
    22. roleRef:
    23.   apiGroup: rbac.authorization.k8s.io
    24.   kind: Role
    25.   name: ${NAMESPACE}-access
    26. ---
    27. kind: RoleBinding
    28. apiVersion: rbac.authorization.k8s.io/v1
    29. metadata:
    30.   name: ${NAMESPACE}-istio-system-access
    31.   namespace: istio-system
    32. subjects:
    33. - kind: ServiceAccount
    34.   name: ${NAMESPACE}-user
    35.   namespace: $NAMESPACE
    36. roleRef:
    37.   apiGroup: rbac.authorization.k8s.io
    38.   kind: Role
    39.   name: istio-system-access
    40. EOF

  10. 每个用户需要使用他们自己的 Kubernetes 配置文件。这个配置文件指明了集群的详细信息、服务账号、证书和用户的命名空间。kubectl 命令使用这个配置文件在集群上操作。

    为每个用户创建 Kubernetes 配置文件：

    该命令假定您的集群名为 tutorial-cluster。 如果集群的名称不同，则将所有引用替换为集群的名称。

    1. $ cat <<EOF > ./${NAMESPACE}-user-config.yaml
    2. apiVersion: v1
    3. kind: Config
    4. preferences: {}
    6. clusters:
    7. - cluster:
    8.    certificate-authority-data: $(kubectl get secret $(kubectl get sa ${NAMESPACE}-user -n $NAMESPACE -o jsonpath={.secrets..name}) -n $NAMESPACE -o jsonpath='{.data.ca\.crt}')
    9.    server: $(kubectl config view -o jsonpath="{.clusters[?(.name==\"$(kubectl config view -o jsonpath="{.contexts[?(.name==\"$(kubectl config current-context)\")].context.cluster}")\")].cluster.server}")
    10.  name: ${NAMESPACE}-cluster
    12. users:
    13. - name: ${NAMESPACE}-user
    14.  user:
    15.    as-user-extra: {}
    16.    client-key-data: $(kubectl get secret $(kubectl get sa ${NAMESPACE}-user -n $NAMESPACE -o jsonpath={.secrets..name}) -n $NAMESPACE -o jsonpath='{.data.ca\.crt}')
    17.    token: $(kubectl get secret $(kubectl get sa ${NAMESPACE}-user -n $NAMESPACE -o jsonpath={.secrets..name}) -n $NAMESPACE -o jsonpath={.data.token} | base64 --decode)
    19. contexts:
    20. - context:
    21.    cluster: ${NAMESPACE}-cluster
    22.    namespace: ${NAMESPACE}
    23.    user: ${NAMESPACE}-user
    24.  name: ${NAMESPACE}
    26. current-context: ${NAMESPACE}
    27. EOF

  11. 为 ${NAMESPACE}-user-config.yaml 配置文件设置环境变量 KUBECONFIG：

    1. $ export KUBECONFIG=$PWD/${NAMESPACE}-user-config.yaml

  12. 打印当前命名空间以确认配置文件已生效：

    1. $ kubectl config view -o jsonpath="{.contexts[?(@.name==\"$(kubectl config current-context)\")].context.namespace}"
    2. tutorial

    在输出中可以看到命名空间的名字。

  13. 如果您为自己设置好了集群，复制前面步骤中提到的 ${NAMESPACE}-user-config.yaml 文件到您的本地机器，${NAMESPACE} 就是前面步骤中的命名空间。 比如，tutorial-user-config.yaml。教程中您将会再次用到这个文件。

    如果您是讲师，则将生成的配置文件发送给每个学员。学员必须将该配置文件复制到自己本地的计算机。

恭喜，您为您的教程设置好了集群！

您已经准备好设置本地机器了。