安装Kubernetes高可用

三个 master 组成主节点集群，通过内网 loader balancer 实现负载均衡；至少需要三个 master 节点才可组成高可用集群，否则会出现脑裂现象

多个 worker 组成工作节点集群，通过外网 loader balancer 实现负载均衡

安装后的拓扑图如下：

初始化API Server

创建 ApiServer 的 Load Balancer（私网）

• 监听端口：6443 / TCP
• 后端资源组：包含 demo-master-a-1, demo-master-a-2, demo-master-a-3
• 后端端口：6443
• 开启：按源地址保持会话

假设完成创建以后，Load Balancer的 ip 地址为 x.x.x.x

根据每个人实际的情况不同，实现 LoadBalancer 的方式不一样，本文不详细阐述如何搭建 LoadBalancer，请读者自行解决，可以考虑的选择有：

• Nginx
• HAProxy
• Keepalived
• 云供应商提供的负载均衡产品

初始化第一个master节点

在第一个 master 节点 demo-master-a-1 上执行

# 只在第一个 master 节点执行
# 替换 apiserver.demo 为 您想要的 dnsName
export APISERVER_NAME=apiserver.demo
# Kubernetes 容器组所在的网段，该网段安装完成后，由 kubernetes 创建，事先并不存在于您的物理网络中
export POD_SUBNET=10.100.0.1/16
echo "127.0.0.1    ${APISERVER_NAME}" >> /etc/hosts
curl -sSL https://kuboard.cn/install-script/v1.19.x/install_kubelet.sh
sh -s 1.19.2

执行结果中：

• 第15、16、17行，用于初始化第二、三个 master 节点
• 第25、26行，用于初始化 worker 节点

Your Kubernetes control-plane has initialized successfully!

To start using your cluster, you need to run the following as a regular user:

  mkdir -p $HOME/.kube
  sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
  sudo chown $(id -u):$(id -g) $HOME/.kube/config

You should now deploy a pod network to the cluster.
Run "kubectl apply -f [podnetwork].yaml" with one of the options listed at:
  https://kubernetes.io/docs/concepts/cluster-administration/addons/

You can now join any number of the control-plane node running the following command on each as root:

  kubeadm join apiserver.k8s:6443 --token 4z3r2v.2p43g28ons3b475v \
    --discovery-token-ca-cert-hash sha256:959569cbaaf0cf3fad744f8bd8b798ea9e11eb1e568c15825355879cf4cdc5d6 \
    --control-plane --certificate-key 41a741533a038a936759aff43b5680f0e8c41375614a873ea49fde8944614dd6

Please note that the certificate-key gives access to cluster sensitive data, keep it secret!
As a safeguard, uploaded-certs will be deleted in two hours; If necessary, you can use 
"kubeadm init phase upload-certs --upload-certs" to reload certs afterward.

Then you can join any number of worker nodes by running the following on each as root:

kubeadm join apiserver.k8s:6443 --token 4z3r2v.2p43g28ons3b475v \
    --discovery-token-ca-cert-hash sha256:959569cbaaf0cf3fad744f8bd8b798ea9e11eb1e568c15825355879cf4cdc5d6 

检查 master 初始化结果

# 只在第一个 master 节点执行

# 执行如下命令，等待 3-10 分钟，直到所有的容器组处于 Running 状态
watch kubectl get pod -n kube-system -o wide

# 查看 master 节点初始化结果
kubectl get nodes

初始化第二、三个master节点

获得 master 节点的 join 命令

可以和第一个Master节点一起初始化第二、三个Master节点，也可以从单Master节点调整过来，只需要

• 增加Master的 LoadBalancer
• 将所有节点的 /etc/hosts 文件中 apiserver.demo 解析为 LoadBalancer 的地址
• 添加第二、三个Master节点
• 初始化 master 节点的 token 有效时间为 2 小时

（1）和第一个Master节点一起初始化

初始化第一个 master 节点时的输出内容中，第15、16、17行就是用来初始化第二、三个 master 节点的命令，如下所示：此时请不要执行该命令

kubeadm join apiserver.k8s:6443 --token 4z3r2v.2p43g28ons3b475v \
  --discovery-token-ca-cert-hash sha256:959569cbaaf0cf3fad744f8bd8b798ea9e11eb1e568c15825355879cf4cdc5d6 \
  --control-plane --certificate-key 41a741533a038a936759aff43b5680f0e8c41375614a873ea49fde8944614dd6

（2）第一个Master节点初始化2个小时后再初始化

获得 certificate key

在demo-master-a-1上执行

# 只在 第一个 master 节点`demo-master-a-1`上执行
kubeadm init phase upload-certs --upload-certs

输出结果如下：

[root@demo-master-a-1 ~]# kubeadm init phase upload-certs --upload-certs
W0902 09:05:28.355623    1046 version.go:98] could not fetch a Kubernetes version from the internet: unable to get URL "https://dl.k8s.io/release/stable-1.txt": Get https://dl.k8s.io/release/stable-1.txt: net/http: request canceled while waiting for connection (Client.Timeout exceeded while awaiting headers)
W0902 09:05:28.355718    1046 version.go:99] falling back to the local client version: v1.16.2
[upload-certs] Storing the certificates in Secret "kubeadm-certs" in the "kube-system" Namespace
[upload-certs] Using certificate key:
70eb87e62f052d2d5de759969d5b42f372d0ad798f98df38f7fe73efdf63a13c

获得 join 命令

在demo-master-a-1上执行

# 只在 第一个 master 节点 demo-master-a-1 上执行
kubeadm token create --print-join-command

输出结果如下：

[root@demo-master-a-1 ~]# kubeadm token create --print-join-command
kubeadm join apiserver.demo:6443 --token bl80xo.hfewon9l5jlpmjft     --discovery-token-ca-cert-hash sha256:b4d2bed371fe4603b83e7504051dcfcdebcbdcacd8be27884223c4ccc13059a4 

则，第二、三个 master 节点的 join 命令如下：

命令行中，--discovery-token-ca-cert-hash部分来自于前面获得的 join 命令，--certificate-key部分来自于前面获得的 certificate key

kubeadm join apiserver.demo:6443 --token ejwx62.vqwog6il5p83uk7y \
  --discovery-token-ca-cert-hash sha256:6f7a8e40a810323672de5eee6f4d19aa2dbdb38411845a1bf5dd63485c43d303 \
  --control-plane --certificate-key 70eb87e62f052d2d5de759969d5b42f372d0ad798f98df38f7fe73efdf63a13c

初始化第二、三个 master 节点

在demo-master-b-1和demo-master-b-2机器上执行

# 只在第二、三个 master 节点 demo-master-b-1 和 demo-master-b-2 执行
# 替换 x.x.x.x 为 ApiServer LoadBalancer 的 IP 地址
export APISERVER_IP=x.x.x.x
# 替换 apiserver.demo 为 前面已经使用的 dnsName
export APISERVER_NAME=apiserver.demo
echo "${APISERVER_IP}    ${APISERVER_NAME}" >> /etc/hosts
# 使用前面步骤中获得的第二、三个 master 节点的 join 命令
kubeadm join apiserver.demo:6443 --token ejwx62.vqwog6il5p83uk7y \
  --discovery-token-ca-cert-hash sha256:6f7a8e40a810323672de5eee6f4d19aa2dbdb38411845a1bf5dd63485c43d303 \
  --control-plane --certificate-key 70eb87e62f052d2d5de759969d5b42f372d0ad798f98df38f7fe73efdf63a13c

常见问题

如果一直停留在pre-flight状态，请在第二、三个节点上执行命令检查：

curl -ik https://apiserver.demo:6443/version

输出结果应该如下所示

HTTP/1.1 200 OK
Cache-Control: no-cache, private
Content-Type: application/json
Date: Wed, 30 Oct 2019 08:13:39 GMT
Content-Length: 263

{
  "major": "1",
  "minor": "16",
  "gitVersion": "v1.16.2",
  "gitCommit": "2bd9643cee5b3b3a5ecbd3af49d09018f0773c77",
  "gitTreeState": "clean",
  "buildDate": "2019-09-18T14:27:17Z",
  "goVersion": "go1.12.9",
  "compiler": "gc",
  "platform": "linux/amd64"
}

否则，检查一下 Loadbalancer 是否设置正确

检查 master 初始化结果

# 只在第一个 master 节点 demo-master-a-1 执行
# 查看 master 节点初始化结果
kubectl get nodes

初始化 worker节点

获得 join命令参数

（1）和第一个Master节点一起初始化

初始化第一个 master 节点时的输出内容中，第25、26行就是用来初始化 worker 节点的命令，如下所示：此时请不要执行该命令

kubeadm join apiserver.k8s:6443 --token 4z3r2v.2p43g28ons3b475v \
  --discovery-token-ca-cert-hash sha256:959569cbaaf0cf3fad744f8bd8b798ea9e11eb1e568c15825355879cf4cdc5d6

（2）第一个Master节点初始化2个小时后再初始化

在第一个 master 节点demo-master-a-1节点执行

# 只在第一个 master 节点 demo-master-a-1 上执行
kubeadm token create --print-join-command

可获取kubeadm join命令及参数，如下所示

kubeadm join apiserver.demo:6443 --token mpfjma.4vjjg8flqihor4vt     --discovery-token-ca-cert-hash sha256:6f7a8e40a810323672de5eee6f4d19aa2dbdb38411845a1bf5dd63485c43d303

该 token 的有效时间为 2 个小时，2小时内，您可以使用此 token 初始化任意数量的 worker 节点。

初始化worker

针对所有的 worker 节点执行

# 只在 worker 节点执行
# 替换 x.x.x.x 为 ApiServer LoadBalancer 的 IP 地址
export MASTER_IP=x.x.x.x
# 替换 apiserver.demo 为初始化 master 节点时所使用的 APISERVER_NAME
export APISERVER_NAME=apiserver.demo
echo "${MASTER_IP}    ${APISERVER_NAME}" >> /etc/hosts

# 替换为前面 kubeadm token create --print-join-command 的输出结果
kubeadm join apiserver.demo:6443 --token mpfjma.4vjjg8flqihor4vt     --discovery-token-ca-cert-hash sha256:6f7a8e40a810323672de5eee6f4d19aa2dbdb38411845a1bf5dd63485c43d303

检查 worker 初始化结果

在第一个master节点demo-master-a-1上执行

# 只在第一个 master 节点 demo-master-a-1 上执行
kubectl get nodes

移除 worker 节点

WARNING：正常情况下，无需移除 worker 节点

在准备移除的 worker 节点上执行

kubeadm reset

在第一个 master 节点demo-master-a-1上执行

kubectl delete node demo-worker-x-x

• 将demo-worker-x-x替换为要移除的 worker 节点的名字
• worker 节点的名字可以通过在第一个 master 节点demo-master-a-1上执行kubectl get nodes命令获得

安装 Ingress Controller

kubernetes支持多种Ingress Controllers (traefic / Kong / Istio / Nginx 等)，本文推荐使用：https://github.com/nginxinc/kubernetes-ingress

快速安装

在 master 节点上执行

# 只在第一个 master 节点 demo-master-a-1 上执行
kubectl apply -f https://kuboard.cn/install-script/v1.19.x/nginx-ingress.yaml

可修改yaml文件nginx-ingress版本号，参考：https://github.com/nginxinc/kubernetes-ingress/releases

在 IaaS 层完成如下配置（公网Load Balancer）

创建负载均衡 Load Balancer：

• 监听器 1：80 / TCP， SOURCE_ADDRESS 会话保持
• 服务器资源池 1： demo-worker-x-x 的所有节点的 80端口
• 监听器 2：443 / TCP， SOURCE_ADDRESS 会话保持
• 服务器资源池 2： demo-worker-x-x 的所有节点的443端口

假设刚创建的负载均衡 Load Balancer 的 IP 地址为：z.z.z.z

配置域名解析

将域名*.demo.yourdomain.com解析到地址负载均衡服务器的 IP 地址z.z.z.z

验证配置：在浏览器访问a.demo.yourdomain.com，将得到 404 NotFound 错误页面