Edit This Page
设置一个扩展的 API server
设置一个扩展的 API server 来使用聚合层以让 Kubernetes apiserver 使用其它 API 进行扩展,这些 API 不是核心 Kubernetes API 的一部分。
准备开始
您必须拥有一个 Kubernetes 集群,并且必须使用 kubectl 命令行工具与你的集群进行通信。如果您还没有一个集群,您可以通过 Minikube 创建一个集群,或者使用这些 Kubernetes playground :
To check the version, enter kubectl version
.
设置一个扩展的 api-server 来使用聚合层
以下步骤描述如何 在一个高层次 设置一个扩展的 apiserver。无论您使用的是 YAML 配置还是使用 API,这些步骤都适用。目前我们正在尝试区分出两者的区别。有关使用 YAML 配置的具体示例,您可以在 Kubernetes 库中查看 sample-apiserver 。
或者,您可以使用现有的第三方解决方案,例如 apiserver-builder ,它将生成框架并自动执行以下所有步骤。
确保启用了 APIService API(检查 --runtime-config
)。默认应该是启用的,除非被特意关闭了。
您可能需要制定一个 RBAC 规则,以允许您添加 APIService 对象,或让您的集群管理员创建一个。(由于 API 扩展会影响整个集群,因此不建议在实时集群中对 API 扩展进行测试/开发/调试)
创建 Kubernetes 命名空间,扩展的 api-service 将运行在该命名空间中。
创建(或获取)用来签署服务器证书的 CA 证书,扩展 api-server 中将使用该证书做 HTTPS 连接。
为 api-server 创建一个服务端的证书(或秘钥)以使用 HTTPS。这个证书应该由上述的 CA 签署。同时应该还要有一个 Kube DNS 名称的 CN,这是从 Kubernetes 服务派生而来的,格式为 <service name>.<service name namespace>.svc
。
使用命名空间中的证书(或秘钥)创建一个 Kubernetes secret。
为扩展 api-server 创建一个 Kubernetes deployment,并确保以卷的方式挂载了 secret。它应该包含对扩展 api-server 镜像的引用。Deployment 也应该在同一个命名空间中。
确保您的扩展 apiserver 从该卷中加载了那些证书,并在 HTTPS 握手过程中使用它们。
在您的命令空间中创建一个 Kubernetes service account。
为资源允许的操作创建 Kubernetes 集群角色。
以您命令空间中的 service account 创建一个 Kubernetes 集群角色绑定,绑定到您刚创建的角色上。
以您命令空间中的 service account 创建一个 Kubernetes 集群角色绑定,绑定到 system:auth-delegator
集群角色,以将 auth 决策委派给 Kubernetes 核心 API 服务器。
以您命令空间中的 service account 创建一个 Kubernetes 集群角色绑定,绑定到 extension-apiserver-authentication-reader
角色。这将让您的扩展 api-server 能够访问 extension-apiserver-authentication
configmap。
创建一个 Kubernetes apiservice。上述的 CA 证书应该使用 base64 编码,剥离新行并用作 apiservice 中的 spec.caBundle。这不应该是命名空间化的。如果使用了 kube-aggregator API ,那么只需要传入 PEM 编码的 CA 绑定,因为 base 64 编码已经完成了。
使用 kubectl 来获得您的资源。它应该返回 “找不到资源”。这意味着一切正常,但您目前还没有创建该资源类型的对象。
接下来
反馈
此页是否对您有帮助?
是
否
Thanks for the feedback. If you have a specific, answerable question about how to use Kubernetes,
ask it on Stack Overflow . Open
an issue in the GitHub repo if you want to report a problem or
suggest an improvement .