配置对多集群的访问

本文展示如何使用配置文件来配置对多个集群的访问。 在将集群、用户和上下文定义在一个或多个配置文件中之后,用户可以使用 kubectl config use-context 命令快速地在集群之间进行切换。

说明:

用于配置集群访问的文件有时被称为 kubeconfig 文件。 这是一种引用配置文件的通用方式,并不意味着存在一个名为 kubeconfig 的文件。

警告:

只使用来源可靠的 kubeconfig 文件。使用特制的 kubeconfig 文件可能会导致恶意代码执行或文件暴露。 如果必须使用不受信任的 kubeconfig 文件,请首先像检查 shell 脚本一样仔细检查它。

准备开始

你必须拥有一个 Kubernetes 的集群,且必须配置 kubectl 命令行工具让其与你的集群通信。 建议运行本教程的集群至少有两个节点,且这两个节点不能作为控制平面主机。 如果你还没有集群,你可以通过 Minikube 构建一个你自己的集群,或者你可以使用下面的 Kubernetes 练习环境之一:

要检查 kubectl 是否安装, 执行 kubectl version --client 命令。kubectl 的版本应该与集群的 API 服务器使用同一次版本号

定义集群、用户和上下文

假设用户有两个集群,一个用于开发工作(development),一个用于测试工作(test)。 在 development 集群中,前端开发者在名为 frontend 的名字空间下工作, 存储开发者在名为 storage 的名字空间下工作。在 test 集群中, 开发人员可能在默认名字空间下工作,也可能视情况创建附加的名字空间。 访问开发集群需要通过证书进行认证。 访问测试集群需要通过用户名和密码进行认证。

创建名为 config-exercise 的目录。在 config-exercise 目录中,创建名为 config-demo 的文件,其内容为:

  1. apiVersion: v1
  2. kind: Config
  3. preferences: {}
  4. clusters:
  5. - cluster:
  6. name: development
  7. - cluster:
  8. name: test
  9. users:
  10. - name: developer
  11. - name: experimenter
  12. contexts:
  13. - context:
  14. name: dev-frontend
  15. - context:
  16. name: dev-storage
  17. - context:
  18. name: exp-test

配置文件描述了集群、用户名和上下文。config-demo 文件中含有描述两个集群、 两个用户和三个上下文的框架。

进入 config-exercise 目录。输入以下命令,将集群详细信息添加到配置文件中:

  1. kubectl config --kubeconfig=config-demo set-cluster development --server=https://1.2.3.4 --certificate-authority=fake-ca-file
  2. kubectl config --kubeconfig=config-demo set-cluster test --server=https://5.6.7.8 --insecure-skip-tls-verify

将用户详细信息添加到配置文件中:

注意:

将密码保存到 Kubernetes 客户端配置中有风险。 一个较好的替代方式是使用凭据插件并单独保存这些凭据。 参阅 client-go 凭据插件

  1. kubectl config --kubeconfig=config-demo set-credentials developer --client-certificate=fake-cert-file --client-key=fake-key-seefile
  2. kubectl config --kubeconfig=config-demo set-credentials experimenter --username=exp --password=some-password

说明:

  • 要删除用户,可以运行 kubectl --kubeconfig=config-demo config unset users.<name>
  • 要删除集群,可以运行 kubectl --kubeconfig=config-demo config unset clusters.<name>
  • 要删除上下文,可以运行 kubectl --kubeconfig=config-demo config unset contexts.<name>

将上下文详细信息添加到配置文件中:

  1. kubectl config --kubeconfig=config-demo set-context dev-frontend --cluster=development --namespace=frontend --user=developer
  2. kubectl config --kubeconfig=config-demo set-context dev-storage --cluster=development --namespace=storage --user=developer
  3. kubectl config --kubeconfig=config-demo set-context exp-test --cluster=test --namespace=default --user=experimenter

打开 config-demo 文件查看添加的详细信息。也可以使用 config view 命令进行查看:

  1. kubectl config --kubeconfig=config-demo view

输出展示了两个集群、两个用户和三个上下文:

  1. apiVersion: v1
  2. clusters:
  3. - cluster:
  4. certificate-authority: fake-ca-file
  5. server: https://1.2.3.4
  6. name: development
  7. - cluster:
  8. insecure-skip-tls-verify: true
  9. server: https://5.6.7.8
  10. name: test
  11. contexts:
  12. - context:
  13. cluster: development
  14. namespace: frontend
  15. user: developer
  16. name: dev-frontend
  17. - context:
  18. cluster: development
  19. namespace: storage
  20. user: developer
  21. name: dev-storage
  22. - context:
  23. cluster: test
  24. namespace: default
  25. user: experimenter
  26. name: exp-test
  27. current-context: ""
  28. kind: Config
  29. preferences: {}
  30. users:
  31. - name: developer
  32. user:
  33. client-certificate: fake-cert-file
  34. client-key: fake-key-file
  35. - name: experimenter
  36. user:
  37. # 文档说明(本注释不属于命令输出)。
  38. # 将密码保存到 Kubernetes 客户端配置有风险。
  39. # 一个较好的替代方式是使用凭据插件并单独保存这些凭据。
  40. # 参阅 https://kubernetes.io/zh-cn/docs/reference/access-authn-authz/authentication/#client-go-credential-plugins
  41. password: some-password
  42. username: exp

其中的 fake-ca-filefake-cert-filefake-key-file 是证书文件路径名的占位符。 你需要更改这些值,使之对应你的环境中证书文件的实际路径名。

有时你可能希望在这里使用 BASE64 编码的数据而不是一个个独立的证书文件。 如果是这样,你需要在键名上添加 -data 后缀。例如, certificate-authority-dataclient-certificate-dataclient-key-data

每个上下文包含三部分(集群、用户和名字空间),例如, dev-frontend 上下文表明:使用 developer 用户的凭证来访问 development 集群的 frontend 名字空间。

设置当前上下文:

  1. kubectl config --kubeconfig=config-demo use-context dev-frontend

现在当输入 kubectl 命令时,相应动作会应用于 dev-frontend 上下文中所列的集群和名字空间, 同时,命令会使用 dev-frontend 上下文中所列用户的凭证。

使用 --minify 参数,来查看与当前上下文相关联的配置信息。

  1. kubectl config --kubeconfig=config-demo view --minify

输出结果展示了 dev-frontend 上下文相关的配置信息:

  1. apiVersion: v1
  2. clusters:
  3. - cluster:
  4. certificate-authority: fake-ca-file
  5. server: https://1.2.3.4
  6. name: development
  7. contexts:
  8. - context:
  9. cluster: development
  10. namespace: frontend
  11. user: developer
  12. name: dev-frontend
  13. current-context: dev-frontend
  14. kind: Config
  15. preferences: {}
  16. users:
  17. - name: developer
  18. user:
  19. client-certificate: fake-cert-file
  20. client-key: fake-key-file

现在假设用户希望在测试集群中工作一段时间。

将当前上下文更改为 exp-test

  1. kubectl config --kubeconfig=config-demo use-context exp-test

现在你发出的所有 kubectl 命令都将应用于 test 集群的默认名字空间。 同时,命令会使用 exp-test 上下文中所列用户的凭证。

查看更新后的当前上下文 exp-test 相关的配置:

  1. kubectl config --kubeconfig=config-demo view --minify

最后,假设用户希望在 development 集群中的 storage 名字空间下工作一段时间。

将当前上下文更改为 dev-storage

  1. kubectl config --kubeconfig=config-demo use-context dev-storage

查看更新后的当前上下文 dev-storage 相关的配置:

  1. kubectl config --kubeconfig=config-demo view --minify

创建第二个配置文件

config-exercise 目录中,创建名为 config-demo-2 的文件,其中包含以下内容:

  1. apiVersion: v1
  2. kind: Config
  3. preferences: {}
  4. contexts:
  5. - context:
  6. cluster: development
  7. namespace: ramp
  8. user: developer
  9. name: dev-ramp-up

上述配置文件定义了一个新的上下文,名为 dev-ramp-up

设置 KUBECONFIG 环境变量

查看是否有名为 KUBECONFIG 的环境变量。 如有,保存 KUBECONFIG 环境变量当前的值,以便稍后恢复。 例如:

Linux

  1. export KUBECONFIG_SAVED="$KUBECONFIG"

Windows PowerShell

  1. $Env:KUBECONFIG_SAVED=$ENV:KUBECONFIG

KUBECONFIG 环境变量是配置文件路径的列表,该列表在 Linux 和 Mac 中以冒号分隔, 在 Windows 中以分号分隔。 如果有 KUBECONFIG 环境变量,请熟悉列表中的配置文件。

临时添加两条路径到 KUBECONFIG 环境变量中。例如:

Linux

  1. export KUBECONFIG="${KUBECONFIG}:config-demo:config-demo-2"

Windows PowerShell

  1. $Env:KUBECONFIG=("config-demo;config-demo-2")

config-exercise 目录中输入以下命令:

  1. kubectl config view

输出展示了 KUBECONFIG 环境变量中所列举的所有文件合并后的信息。 特别地,注意合并信息中包含来自 config-demo-2 文件的 dev-ramp-up 上下文和来自 config-demo 文件的三个上下文:

  1. contexts:
  2. - context:
  3. cluster: development
  4. namespace: frontend
  5. user: developer
  6. name: dev-frontend
  7. - context:
  8. cluster: development
  9. namespace: ramp
  10. user: developer
  11. name: dev-ramp-up
  12. - context:
  13. cluster: development
  14. namespace: storage
  15. user: developer
  16. name: dev-storage
  17. - context:
  18. cluster: test
  19. namespace: default
  20. user: experimenter
  21. name: exp-test

关于 kubeconfig 文件如何合并的更多信息, 请参考使用 kubeconfig 文件组织集群访问

探索 $HOME/.kube 目录

如果用户已经拥有一个集群,可以使用 kubectl 与集群进行交互, 那么很可能在 $HOME/.kube 目录下有一个名为 config 的文件。

进入 $HOME/.kube 目录,看看那里有什么文件。通常会有一个名为 config 的文件,目录中可能还有其他配置文件。请简单地熟悉这些文件的内容。

将 $HOME/.kube/config 追加到 KUBECONFIG 环境变量中

如果有 $HOME/.kube/config 文件,并且还未列在 KUBECONFIG 环境变量中, 那么现在将它追加到 KUBECONFIG 环境变量中。例如:

Linux

  1. export KUBECONFIG="${KUBECONFIG}:${HOME}/.kube/config"

Windows Powershell

  1. $Env:KUBECONFIG="$Env:KUBECONFIG;$HOME\.kube\config"

在配置练习目录中输入以下命令,查看当前 KUBECONFIG 环境变量中列举的所有文件合并后的配置信息:

  1. kubectl config view

清理

KUBECONFIG 环境变量还原为原始值。例如:

Linux

  1. export KUBECONFIG="$KUBECONFIG_SAVED"

Windows PowerShell

  1. $Env:KUBECONFIG=$ENV:KUBECONFIG_SAVED

检查 kubeconfig 所表示的主体

你在通过集群的身份验证后将获得哪些属性(用户名、组),这一点并不总是很明显。 如果你同时管理多个集群,这可能会更具挑战性。

对于你所选择的 Kubernetes 客户端上下文,有一个 kubectl 子命令可以检查用户名等主体属性: kubectl alpha auth whoami

更多细节请参阅通过 API 访问客户端的身份验证信息

接下来