RTzRa's hive - devops:k8s

Kubernetes: Бэкап настроек кластера

anonymous@undisclosed.example.com (Anonymous) — Tue, 08 Mar 2022 11:44:22 +0000

Kubernetes: Бэкап настроек кластера

В самом простом случае бэкап Kubernetes сводится к копированию настроек/сертификатов и созданию бэкапа etcd.

Пример для мастер-ноды:

ETCDCTL_API=3 etcdctl --endpoints=https://127.0.0.1:2379 \
--cacert /etc/kubernetes/etcd/ssl/ca.pem \
--cert /etc/kubernetes/etcd/ssl/node-cert.pem \
--key /etc/kubernetes/etcd/ssl/node-key.pem \
snapshot save snapshot.db

Необходимо убедиться что сертификаты лежат в /etc/kubernetes/etcd/ssl/ и правильно указаны.

Если по какой-то причине необходимо использовать самую свежую версию etcdctl то можно запустить при помощи docker'а:

export BACKUP_DIR=/root/backup
export BACKUP_FILE="etcd-snapshot-`date +%F-%H-%M`.db"
sudo docker run --rm -v $BACKUP_DIR:/backup \
    --network host \
    -v /etc/kubernetes/etcd/ssl:/etc/kubernetes/etcd/ssl \
    --env ETCDCTL_API=3 \
    k8s.gcr.io/etcd:3.4.3-0 \
    etcdctl --endpoints=https://127.0.0.1:2379 \
    --cacert /etc/kubernetes/etcd/ssl/ca.pem \
    --cert /etc/kubernetes/etcd/ssl/node-cert.pem \
    --key /etc/kubernetes/etcd/ssl/node-key.pem \
    snapshot save /backup/$BACKUP_FILE

Далее осталось только скопировать сертификаты из папки /etc/kubernetes/etcd/ssl/ и конфиги из /etc/kubernetes, упаковать с паролем в архив и положить на любое хранилище которое вы используете.

kubernetes, k8s, backup, etcd, snapshot

Kubernetes: Bootstrap

anonymous@undisclosed.example.com (Anonymous) — Fri, 16 Jan 2026 15:48:32 +0000

Kubernetes: Bootstrap

Сайт: https://k8s-bootstrap.io/

Позволяет создать репозиторий в стиле GitOps с манифестами Flux или Helm. Выбираем компоненты, настраиваем, скачиваем и деплоим.

k8s, kubernetes, bootstrap

Kubernetes: Обновление сертификатов кластера

anonymous@undisclosed.example.com (Anonymous) — Tue, 07 Jun 2022 16:19:12 +0000

Kubernetes: Обновление сертификатов кластера

Взял у Слерма.

Команды kubeadm различных версий для продления сертификатов.

В зависимости от версии kubeadm ключи и функционал по обновлению сертификатов менялись и расширялись, поэтому я приведу команды для разных версий kubeadm.

Версия kubeadm	Команда	Что делает
1.12	kubeadm alpha phase certs renew all	продлевает все сертификаты в каталоге /etc/kubernetes/pki
1.13 и 1.14	kubeadm alpha certs renew all	продлевает все сертификаты в каталоге /etc/kubernetes/pki
1.15 - 1.19	kubeadm alpha certs renew all	продлевает все сертификаты в каталоге /etc/kubernetes/pki, а также сертификаты в файлах конфигурации controller-manager.conf, scheduler.conf, admin.conf
1.20 и выше	kubeadm certs renew all	продлевает все сертификаты в каталоге /etc/kubernetes/pki, а также сертификаты в файлах конфигурации controller-manager.conf, scheduler.conf, admin.conf Игнорирует остутствующие файлы сертификатов, без ошибки

До kubeadm версии 1.15 для продления сертификатов в файлах конфигурации .conf надо использовать команду

kubeadm alpha kubeconfig user --client-name --org

указывая client-name и org такие же, как в существующих сертификатах.

kubeadm alpha kubeconfig user --client-name kubernetes-admin --org system:masters > /etc/kubernetes/admin.conf
kubeadm alpha kubeconfig user --client-name system:kube-scheduler  > /etc/kubernetes/scheduler.conf
kubeadm alpha kubeconfig user --client-name system:kube-controller-manager > /etc/kubernetes/controller-manager.conf

Для продления сертификата в kubelet.conf на первом мастер узле до версии 1.16 также надо пользоваться командой

kubeadm alpha kubeconfig user

но только надо не забыть указать актуальное название узла, для kubelet которого продлевается сертификат

kubeadm alpha kubeconfig user --client-name system:node:kube.s000.slurm.io --org system:nodes > /etc/kubernetes/kubelet.conf

Начиная с версии 1.17 на всех узлах кластера kubelet автоматически продлевает свой сертификат при необходимости, в том числе и на том узле, который был создан самым первым в кластере (командой kubeadm init). На этом узле сначала создается временный сертификат, а после запуска кластера он меняется на динамический, который хранится в файле /var/lib/kubelet/pki/kubelet-client-current.pem

kubernetes, k8s, certificate, renew, обновление сертификатов

Kubernetes: Доступ к Dashboard

anonymous@undisclosed.example.com (Anonymous) — Tue, 08 Mar 2022 11:44:37 +0000

Kubernetes: Доступ к Dashboard

Создаем пользователя dashboard, даем ему права, получаем токен:

kubectl create serviceaccount dashboard -n default
kubectl create clusterrolebinding dashboard-admin -n default --clusterrole=cluster-admin --serviceaccount=default:dashboard
kubectl get secret $(kubectl get serviceaccount dashboard -o jsonpath="{.secrets[0].name}") -o jsonpath="{.data.token}" | base64 --decode

Экспортируем сертификат и настройки с master'а Kubernetes:

cd /root
grep 'client-certificate-data' ~/.kube/config | head -n 1 | awk '{print $2}' | base64 -d >> kubecfg.crt
grep 'client-key-data' ~/.kube/config | head -n 1 | awk '{print $2}' | base64 -d >> kubecfg.key
openssl pkcs12 -export -clcerts -inkey kubecfg.key -in kubecfg.crt -out kubecfg.p12

Импортируем файл kubecfg.p12 в браузер

Открываем dashboard по адресу

https://ВАШ_IP_АДРЕС_MASTER_K8S:6443/api/v1/namespaces/kube-system/services/https:kubernetes-dashboard:/proxy/#/login

Выбираем способ авторизации «Token», вставляем ранее полученный токен и попадаем в Dashboard

devops, kubernetes, k8s, dashboard

Kubernetes: Посмотреть все значения secret в расшифрованном ...

anonymous@undisclosed.example.com (Anonymous) — Mon, 18 Jul 2022 20:06:06 +0000

Kubernetes: Посмотреть все значения secret в расшифрованном виде

Посмотреть все значения kubernetes secret в расшифрованном виде:

kubectl get secret secretname -o json | jq '.data | map_values(@base64d)'

kubernetes, k8s, secret, get, all, values

Kubernetes: Получить Secrets сгенерированный Helm

anonymous@undisclosed.example.com (Anonymous) — Wed, 12 Jan 2022 13:22:52 +0000

Kubernetes: Получить Secrets сгенерированный Helm

Иногда нужно бывает подглядеть что же там было наделано

kubectl -n sonarqube get secret sh.helm.release.v1.sonarqube.v1 -o go-template='{{.data.release | base64decode | base64decode}}' | gzip -d | jq > sonarqube.json

k8s, kubernetes, helm, secret, raw, base64, base64decode

Kubernetes: HomeLab

anonymous@undisclosed.example.com (Anonymous) — Thu, 21 Oct 2021 16:39:28 +0000

Kubernetes: HomeLab

Маленькая лаборатория для тестового кластера.

Hardware

Dell 1950 Server, 8 x Intel Xeon E5410, 12 Gb RAM, 265 Gb HDD (Raid5)
Self-made, 4 x Intel i5-3330, 32 Gb RAM, 7 Tb HDD

Virtualization

Proxmox 6.4

Nodes

Master & Etcd: 3 VM x (2 CPU / 2 Gb RAM / 16 Gb HDD)
Workers: 2 VM x (4 CPU / 4 Gb RAM / 40 Gb HDD)
Ingress: Dedicated node for Ingress Controller, 1VM x (4 CPU / 4 Gb RAM / 40 Gb HDD)

Kubernetes

Kubespray: https://github.com/kubernetes-sigs/kubespray

Software

NFS client provisioner: https://artifacthub.io/packages/helm/ckotzbauer/nfs-client-provisioner
Certificates: https://artifacthub.io/packages/helm/cert-manager/cert-manager
DNS Server: https://artifacthub.io/packages/helm/coredns/coredns
DNS proxy ad-blocker: https://artifacthub.io/packages/helm/k8s-at-home/blocky

kubernetes, k8s, homelab

Kubernetes: Injecting multiple Kubernetes volumes to the same directory

anonymous@undisclosed.example.com (Anonymous) — Wed, 13 Oct 2021 20:50:43 +0000

Kubernetes: Injecting multiple Kubernetes volumes to the same directory

https://blog.sebastian-daschner.com/entries/multiple-kubernetes-volumes-directory

Kubernetes config maps and secrets allow use to inject configuration files into containers. If we want multiple config entries that originate from different config maps or secrets to be injected into the same location, we are required to specify a sub path:

kind: Deployment
apiVersion: apps/v1
metadata:
  name: hello-world
spec:
  replicas: 1
  template:
    metadata:
      labels:
        app: hello-world
    spec:
      containers:
      - name: hello-world
        image: docker.example.com/app:1
        volumeMounts:
        - name: hello-world-config-volume
          mountPath: /config/application.properties
          subPath: application.properties
          readOnly: true
        - name: hello-world-credentials-volume
          mountPath: /config/credentials.properties
          subPath: credentials.properties
          readOnly: true
      volumes:
      - name: hello-world-config-volume
        configMap:
          name: hello-world-config
      - name: hello-world-credentials-volume
        secret:
          secretName: hello-world-credentials

This example will create two volumes from the contents of the config map hello-world-config and the secret hello-world-credentials.

Imagine, these resources have the following contents:

kind: ConfigMap
apiVersion: v1
metadata:
  name: hello-world-config
data:
  application.properties: |
    greeting=Hello
    name=World

---

kind: Secret
apiVersion: v1
metadata:
  name: hello-world-credentials
data:
  credentials.properties: <base64>
type: Opaque

The example will mount the file contents of the key application.properties of the config map to a file with the same name under /config/ and will mount the secret value credentials.properties as the second file under that directory. The application will be able to access both files read-only.

The subPath declaration also allows to mount a single volume into the pod multiple times with different sub paths.

Kubernetes: Запускаем локально

anonymous@undisclosed.example.com (Anonymous) — Tue, 08 Mar 2022 11:44:53 +0000

Kubernetes: Запускаем локально

Иногда требуется запускать Kubernetes локально для каких-либо тестов. Разворачивать настоящий кластер на несколькольких виртуалках слишком расточительно, но есть масса готовых решений: k0s, MicroK8s, kind, k3s, Minikube и т.д.

Сравнение решений: https://habr.com/ru/company/flant/blog/572188/

Оптимальным выбором на мой взгляд является Minikube:

Поддерживает большинство фич «большого» Kubernetes
Очень прост в установке и запуске
Имеет систему аддонов, некоторые часто используемые вещи можно поставить одной командой
Запускается внутри виртуальной машины. Часто используемый вариант - Docker, но умеет VirtualBox, Hyper-V, HyperKit, KVM

Установка подробно описана тут: https://kubernetes.io/ru/docs/tasks/tools/install-minikube/

kubernetes, minikube, docker

Kubernetes: nginx ingress configuration

anonymous@undisclosed.example.com (Anonymous) — Thu, 21 Oct 2021 16:37:07 +0000

Kubernetes: nginx ingress configuration

Документация:

Аннотации (Annotations): https://kubernetes.github.io/ingress-nginx/user-guide/nginx-configuration/annotations/
Экспозинг TCP & UDP: https://kubernetes.github.io/ingress-nginx/user-guide/exposing-tcp-udp-services/

kubernetes, k8s, nginx, ingress, documentation, docs, annotations, exposing tcp udp

Kubernetes Overview Diagrams

anonymous@undisclosed.example.com (Anonymous) — Tue, 03 Aug 2021 02:18:46 +0000

Kubernetes Overview Diagrams

Источник: https://brennerm.github.io/posts/kubernetes-overview-diagrams.html

kubernetes, k8s, diagrams, устройство

Kubernetes: Посмотреть/скопировать содержимое Persistent Volume

anonymous@undisclosed.example.com (Anonymous) — Tue, 08 Mar 2022 11:45:07 +0000

Kubernetes: Посмотреть/скопировать содержимое Persistent Volume

Иногда бывает нужно посмотреть/скопировать содержимое Persistent Volume, можно воспользоваться следующей штукой:

создаем пустой под и подключаем в него нужный PVC (ниже текст простенького ямлика)

далее как удобнее:

подключаемся в нужный под командой
```
kubectl -n <namespace> exec -it dataaccess -- sh
```

просто смотрим

kubectl -n <namespace> exec -it dataaccess -- ls -la /inbound

сразу копируем что нужно

kubectl cp <namespace>/<pod>:<from>/<file> /<path>/<filename>

удаляем под

apiVersion: v1
kind: Pod
metadata:
  name: dataaccess
spec:
  containers:
    - name: alpine
      image: alpine:latest
      command: ["sleep", "infinity"]
      volumeMounts:
        - name: mypvc
          mountPath: /inbound
  volumes:
    - name: mypvc
      persistentVolumeClaim:
        claimName: mypvc

kubernetes, k8s, pv, pvc, persistentvolume, copy, show

Kubernetes: Tips and Tricks

anonymous@undisclosed.example.com (Anonymous) — Mon, 11 Oct 2021 20:21:55 +0000

Kubernetes: Tips and Tricks

Объединить несколько config-файлов в один

KUBECONFIG=config-1:config-2:config-3 kubectl config view --raw > config

ТАк же можно пользоваться плагином konfig для Krew: https://github.com/corneliusweig/konfig

kubernetes, k8s, tips and tricks

Kubernetes: Схема траблшутинга

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Jan 2025 17:41:27 +0000

Kubernetes: Схема траблшутинга

Отсюда: https://learnk8s.io/troubleshooting-deployments

k8s, kubernetes, troubleshooting, траблшутинг, решение проблем