k8s之二进制安装etcd集群
前言
kubeadm安装的集群,默认etcd是一个单机的容器化的etcd,并且k8s和etcd通信没有经过ssl加密和认证,这点是需要改造的。
所以首先我们需要先部署一个三节点的etcd集群,二进制部署,systemd守护进程,并且需要生成ca证书
ETCD集群详情
主机 | IP | 节点名称 | etcd的名称 |
---|---|---|---|
主机01 | 192.168.56.200 | MM | etcd1 |
主机02 | 192.168.56.201 | SS01 | etcd2 |
主机03 | 192.168.56.202 | SS02 | etcd3 |
master上搭建
创建相关目录
mkdir -p /data/etcd # etcd数据目录
mkdir -p /opt/kubernetes/{bin,conf,ssl}
创建证书
创建 CA 证书和秘钥
本文档使用 CloudFlare 的 PKI 工具集 cfssl 来生成 Certificate Authority (CA) 证书和秘钥文件,CA 是自签名的证书,用来签名后续创建的其它 TLS 证书
安装工具
如果不希望将cfssl工具安装到部署主机上,可以在其他的主机上进行该步骤,生成以后将证书拷贝到部署etcd的主机上即可。本教程就是采取这种方法,在一台测试机上执行下面操作
wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64
chmod +x cfssl_linux-amd64
mv cfssl_linux-amd64 /usr/local/bin/cfssl
wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64
chmod +x cfssljson_linux-amd64
mv cfssljson_linux-amd64 /usr/local/bin/cfssljson
wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64
chmod +x cfssl-certinfo_linux-amd64
mv cfssl-certinfo_linux-amd64 /usr/local/bin/cfssl-certinfo
生成ETCD的TLS 秘钥和证书
为了保证通信安全,客户端(如 etcdctl) 与 etcd 集群、etcd 集群之间的通信需要使用 TLS 加密,本节创建 etcd TLS 加密所需的证书和私钥。
创建CA证书
CA配置文件
cat > ca-config.json <<EOF
{"signing": {"default": {"expiry": "8760h"},"profiles": {"kubernetes": {"usages": ["signing","key encipherment","server auth","client auth"],"expiry": "8760h"}}}
}
EOF
ca-config.json:可以定义多个 profiles,分别指定不同的过期时间、使用场景等参数;后续在签名证书时使用某个 profile;
signing:表示该证书可用于签名其它证书;生成的 ca.pem 证书中 CA=TRUE;
server auth:表示 client 可以用该 CA 对 server 提供的证书进行验证;
client auth:表示 server 可以用该 CA 对 client 提供的证书进行验证
CA签名请求文件
cat > ca-csr.json <<EOF
{"CN": "kubernetes","key": {"algo": "rsa","size": 2048},"names": [{"C": "CN","ST": "BeiJing","L": "BeiJing","O": "k8s","OU": "System"}]
}
EOF
"CN":Common Name,kube-apiserver 从证书中提取该字段作为请求的用户名 (User Name);浏览器使用该字段验证网站是否合法;
"O":Organization,kube-apiserver 从证书中提取该字段作为请求用户所属的组 (Group);
生成 CA 证书和私钥:
cfssl gencert -initca ca-csr.json | cfssljson -bare ca
这个会在当前目录下面生成几个配置文件
ls ca*
ca-config.json ca.csr ca-csr.json ca-key.pem ca.pem
创建etcd证书
etcd证书请求文件
cat > etcd-csr.json <<EOF
{"CN": "etcd","hosts": ["127.0.0.1","${NODE_IP}"],"key": {"algo": "rsa","size": 2048},"names": [{"C": "CN","ST": "BeiJing","L": "BeiJing","O": "k8s","OU": "System"}]
}
EOF
hosts 字段指定授权使用该证书的 etcd 节点 IP;
如:
生成 etcd 证书和私钥:
cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes etcd-csr.json | cfssljson -bare etcd
ls etcd*
etcd.csr etcd-csr.json etcd-key.pem etcd.pem ca-config.json ca.csr ca-csr.json ca-key.pem ca.pem
将生成好的etcd.pem和etcd-key.pem以及ca.pem三个文件拷贝到目标主机的/opt/kubernetes/ssl/目录下。
etcd二进制文件下载安装
到 https://github.com/coreos/etcd/releases 页面下载最新版本的二进制文件:
etcd-v3.3.4-linux-amd64.tar.gz
tar xf etcd-v3.3.4-linux-amd64.tar.gz
cp etcd-v3.3.4-linux-amd64/etcd* /opt/kubernetes/bin
创建etcd.service文件
在/usr/lib/systemd/system/下面创建system unit文件,命名为etcd.service
[root@mm etcd]# cat /usr/lib/systemd/system/etcd.service
[Unit]
Description=Etcd Server
After=network.target
After=network-online.target
Wants=network-online.target
Documentation=https://github.com/coreos
[Service]
Type=notify
WorkingDirectory=/data/etcd/
EnvironmentFile=-/opt/kubernetes/conf/etcd.conf
ExecStart=/opt/kubernetes/bin/etcd \--name ${ETCD_NAME} \--cert-file=/opt/kubernetes/ssl/etcd.pem \--key-file=/opt/kubernetes/ssl/etcd-key.pem \--peer-cert-file=/opt/kubernetes/ssl/etcd.pem \--peer-key-file=/opt/kubernetes/ssl/etcd-key.pem \--trusted-ca-file=/opt/kubernetes/ssl/ca.pem \--peer-trusted-ca-file=/opt/kubernetes/ssl/ca.pem \--initial-advertise-peer-urls ${ETCD_INITIAL_ADVERTISE_PEER_URLS} \--listen-peer-urls ${ETCD_LISTEN_PEER_URLS} \--listen-client-urls ${ETCD_LISTEN_CLIENT_URLS},http://127.0.0.1:2379 \--advertise-client-urls ${ETCD_ADVERTISE_CLIENT_URLS} \--initial-cluster-token ${ETCD_INITIAL_CLUSTER_TOKEN} \--initial-cluster etcd1=https://192.168.56.200:2380,etcd2=https://192.168.56.201:2380,etcd3=https://192.168.56.202:2380 \--initial-cluster-state new \--data-dir=${ETCD_DATA_DIR}
Restart=on-failure
RestartSec=5
LimitNOFILE=65536
[Install]
WantedBy=multi-user.target
指定 etcd 的工作目录和数据目录为 /var/lib/etcd,需在启动服务前创建这个目录;
为了保证通信安全,需要指定 etcd 的公私钥(cert-file和key-file)、Peers 通信的公私钥和 CA 证书(peer-cert-file、peer-key-file、peer-trusted-ca-file)、客户端的CA证书(trusted-ca-file);
--initial-cluster-state 值为 new 时,--name 的参数值必须位于 --initial-cluster 列表中;
创建环境变量
创建配置文件conf
[root@mm ~]# cat /opt/kubernetes/conf/etcd.conf
# [member]
ETCD_NAME=etcd1
ETCD_DATA_DIR="/data/etcd/"
ETCD_LISTEN_PEER_URLS="https://192.168.56.200:2380" # 地址修改为当前服务器地址,下面同此
ETCD_LISTEN_CLIENT_URLS="https://192.168.56.200:2379"
#[cluster]
ETCD_INITIAL_ADVERTISE_PEER_URLS="https://192.168.56.200:2380"
ETCD_INITIAL_CLUSTER_TOKEN="etcd-cluster"
ETCD_ADVERTISE_CLIENT_URLS="https://192.168.56.200:2379"
启动etcd服务
systemctl daemon-reload
systemctl enable etcd
systemctl start etcd
其他节点配置
把/opt/kubernetes下面的所有文件拷贝到其他node上就可以
拷贝完成后,修改配置文件etcd.conf中的名字etc2,etcd3
集群的查看
[root@mm etcd]# etcdctl --ca-file=ca.pem --cert-file=etcd.pem --key-file=etcd-key.pem cluster-health
member 152709b7f8cbe7c0 is healthy: got healthy result from https://192.168.56.200:2379
member 8c78d744f172cba9 is healthy: got healthy result from https://192.168.56.202:2379
member bdc976e03235ad9b is healthy: got healthy result from https://192.168.56.201:2379
这里需要指定证书文件
转载于:https://blog.51cto.com/sgk2011/2108542
k8s之二进制安装etcd集群相关推荐
- 手动安装K8s第三节:etcd集群部署
手动安装K8s第三节:etcd集群部署 准备安装包 https://github.com/coreos/etcd 版本:3.2.18 wget https://github.com/coreos/et ...
- yum安装etcd集群
前一篇文章介绍了如何yum安装简单的kubernetes集群,其中etcd是单点部署.本篇我们来搭建etcd集群,方便日后搭建kubernetes HA集群架构. 1,环境配置说明 etcd1 ...
- 二进制安装mysql集群_基于二进制安装Cloudera Manager集群
一.环境准备 参考链接:https://www.cnblogs.com/zhangzhide/p/11108472.html 二.安装jdk(三台主机都要做) 下载jdk安装包并解压:tar xvf ...
- 使用docker方式安装etcd集群,带TLS证书
网上文档也多,安装的时候,还是踩了几个坑. 现在作一个安装记录吧. 1,先作自签名的证书ca-csr.json(为了和k8s共用根证书,可能将信息调为k8s). {"CN": &q ...
- 二进制安装mysql集群_实战mysql集群搭建(一)--centos7下二进制安装mysql-5.6
在超哥的帮助下,完成了基于InnoDb数据引擎的mysql数据库集群搭建,实现了主从复制的功能,本篇博文介绍如何使用二进制安装mysql的方法,具体实现步骤如下: 软件使用说明: Liunx系统:ce ...
- ETCD教程(一) 通过docker安装etcd集群
相关阅读: etcd教程(零)---etcd使用过程中遇到的问题 - etcd教程(二)---clientv3简单使用 - etcd教程(三)---etcd之v3API简单分析 - 本文主要记录了如何 ...
- CA证书与ETCD集群
目录 一.CA证书 二.制作K8S集群证书流程 1.制作官方颁发的证书 2.制作master端的证书 3.制作worker node端证书 (1)服务器单向认证 (3)双向 TLS 认证 三.K8S ...
- etcd集群搭建(高可用)
一.etcd介绍: ETCD 是一个高可用的分布式键值数据库,可用于服务发现.ETCD 采用 raft 一致性算法,基于 Go 语言实现.etcd作为一个高可用键值存储系统,天生就是为集群化而设计的. ...
- 用Kubernetes搭建Etcd集群和WebUI
今天用这篇文章带大家在自己的电脑上搭建一个Kubernetes Etcd集群,Kubernetes本身的功能就依赖Etcd实现,不过并不会开放给我们的程序使用,所以需要自己单独搭建. Etcd现在是分 ...
最新文章
- 从 Flutter 的视频渲染到 App 落地经验
- 彻底颠覆神经科学?神经信号可能不是电信号,而是机械波?!
- Linux+.NetCore+Nginx搭建集群
- php文件夹0777,PHP代码mkdir(‘images’,’0777′)创建一个具有411权限的文件夹!为什么?...
- rfid射频前端的主要组成部分有_第4章 RFID的射频前端(simple).ppt
- kafka源码编译及开发环境搭建
- python羊车门_羊车门 python 作业
- javascript - 你不容错过的es6模板写法
- dev 命令行参数调用_在Linux系统上使用简单命令行创建高强度的预共享密钥
- 最全的微信小程序代码大全
- 一些微信小程序demo地址记录分享
- blob 在线解码_一款支持在线的磁力播放工具
- 职称计算机考试常用的命令,职称计算机考试VisualFoxPro常用命令
- 前端页面崩溃现象处理
- 8路sdi(DVI)多媒体分布式互动录播主机4K输出
- 关于Mysql中的生日提醒
- cortex-a9 架构概览
- Revit内建模型的基础教学分享
- 小程序springboot食堂预约订餐系统毕业设计-附源码221554
- 数据解密:B站UP林果儿53视频获取30万粉丝,千年老汤必须有!