kubernetes-dashboard(1.8.3)部署与踩坑

时间 2019-11-11

标签 kubernetes dashboard 1.8.3 部署繁體版

原文原文链接

Kubernetes Dashboard 是一个管理Kubernetes集群的全功能Web界面，旨在以UI的方式彻底替代命令行工具（kubectl 等）。html

目录node

部署

Dashboard须要用到k8s.gcr.io/kubernetes-dashboard的镜像，因为网络缘由，能够采用预先拉取并打Tag或者修改yaml文件中的镜像地址，本文使用后者：git

kubectl apply -f http://mirror.faasx.com/kubernetes/dashboard/master/src/deploy/recommended/kubernetes-dashboard.yaml

上面使用的yaml只是将 https://raw.githubusercontent.com/kubernetes/dashboard/master/src/deploy/recommended/kubernetes-dashboard.yaml 中的 k8s.gcr.io 替换为了 reg.qiniu.com/k8s。github

而后可使用kubectl get pods命令来查看部署状态：json

kubectl get pods --all-namespaces # 输出 NAMESPACE NAME READY STATUS RESTARTS AGE kube-system kubernetes-dashboard-7d5dcdb6d9-mf6l2 1/1 Running 0 9m

若是要在本地访问dashboard，咱们须要建立一个安全通道，可运行以下命令：ubuntu

kubectl proxy

如今就能够经过 http://localhost:8001/api/v1/namespaces/kube-system/services/https:kubernetes-dashboard:/proxy/ 来访问Dashborad UI了。api

建立用户

如上图，跳转到了登陆页面，那咱们就先建立个用户：浏览器

1.建立服务帐号

首先建立一个叫admin-user的服务帐号，并放在kube-system名称空间下：安全

# admin-user.yaml apiVersion: v1 kind: ServiceAccount metadata:  name: admin-user  namespace: kube-system

执行kubectl create命令：bash

kubectl create -f admin-user.yaml

2.绑定角色

默认状况下，kubeadm建立集群时已经建立了admin角色，咱们直接绑定便可：

# admin-user-role-binding.yaml apiVersion: rbac.authorization.k8s.io/v1beta1 kind: ClusterRoleBinding metadata:  name: admin-user roleRef:  apiGroup: rbac.authorization.k8s.io  kind: ClusterRole  name: cluster-admin subjects: - kind: ServiceAccount  name: admin-user  namespace: kube-system

执行kubectl create命令：

kubectl create -f admin-user-role-binding.yaml

3.获取Token

如今咱们须要找到新建立的用户的Token，以便用来登陆dashboard：

kubectl -n kube-system describe secret $(kubectl -n kube-system get secret | grep admin-user | awk '{print $1}')

输出相似：

Name:         admin-user-token-qrj82
Namespace:    kube-system
Labels:       <none>
Annotations:  kubernetes.io/service-account.name=admin-user
              kubernetes.io/service-account.uid=6cd60673-4d13-11e8-a548-00155d000529

Type:  kubernetes.io/service-account-token

Data
====
token:      eyJhbGciOiJSUzI1NiIsImtpZCI6IiJ9.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJrdWJlLXN5c3RlbSIsImt1YmVybmV0ZXMuaW8vc2VydmljZWFjY291bnQvc2VjcmV0Lm5hbWUiOiJhZG1pbi11c2VyLXRva2VuLXFyajgyIiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9zZXJ2aWNlLWFjY291bnQubmFtZSI6ImFkbWluLXVzZXIiLCJrdWJlcm5ldGVzLmlvL3NlcnZpY2VhY2NvdW50L3NlcnZpY2UtYWNjb3VudC51aWQiOiI2Y2Q2MDY3My00ZDEzLTExZTgtYTU0OC0wMDE1NWQwMDA1MjkiLCJzdWIiOiJzeXN0ZW06c2VydmljZWFjY291bnQ6a3ViZS1zeXN0ZW06YWRtaW4tdXNlciJ9.C5mjsa2uqJwjscWQ9x4mEsWALUTJu3OSfLYecqpS1niYXxp328mgx0t-QY8A7GQvAr5fWoIhhC_NOHkSkn2ubn0U22VGh2msU6zAbz9sZZ7BMXG4DLMq3AaXTXY8LzS3PQyEOCaLieyEDe-tuTZz4pbqoZQJ6V6zaKJtE9u6-zMBC2_iFujBwhBViaAP9KBbE5WfREEc0SQR9siN8W8gLSc8ZL4snndv527Pe9SxojpDGw6qP_8R-i51bP2nZGlpPadEPXj-lQqz4g5pgGziQqnsInSMpctJmHbfAh7s9lIMoBFW7GVE8AQNSoLHuuevbLArJ7sHriQtDB76_j4fmA
ca.crt:     1025 bytes
namespace:  11 bytes

而后把Token复制到登陆界面的Token输入框中，登入后显示以下：

集成Heapster

Heapster是容器集群监控和性能分析工具，自然的支持Kubernetes和CoreOS。

Heapster支持多种储存方式，本示例中使用influxdb，直接执行下列命令便可：

kubectl create -f http://mirror.faasx.com/kubernetes/heapster/deploy/kube-config/influxdb/influxdb.yaml kubectl create -f http://mirror.faasx.com/kubernetes/heapster/deploy/kube-config/influxdb/grafana.yaml kubectl create -f http://mirror.faasx.com/kubernetes/heapster/deploy/kube-config/influxdb/heapster.yaml kubectl create -f http://mirror.faasx.com/kubernetes/heapster/deploy/kube-config/rbac/heapster-rbac.yaml

上面命令中用到的yaml是从 https://github.com/kubernetes/heapster/tree/master/deploy/kube-config/influxdb 复制的，并将k8s.gcr.io修改成国内镜像。

而后，查看一下Pod的状态：

raining@raining-ubuntu:~/k8s/heapster$ kubectl get pods --namespace=kube-system NAME READY STATUS RESTARTS AGE ... heapster-5869b599bd-kxltn 1/1 Running 0 5m monitoring-grafana-679f6b46cb-xxsr4 1/1 Running 0 5m monitoring-influxdb-6f875dc468-7s4xz 1/1 Running 0 6m ...

等待状态变成Running，刷新一下浏览器，最新的效果以下：

关于Heapster更详细的用法可参考官方文档：https://github.com/kubernetes/heapster。

访问

Kubernetes提供了如下四种访问服务的方式：

kubectl proxy

在上面的示例中，咱们使用的即是kubectl proxy，它在您的机器与Kubernetes API之间建立一个代理，默认状况下，只能从本地访问（启动它的机器）。

咱们可使用kubectl cluster-info命令来检查配置是否正确，集群是否能够访问等：

raining@raining-ubuntu:~$ kubectl cluster-info
Kubernetes master is running at https://192.168.0.8:6443
Heapster is running at https://192.168.0.8:6443/api/v1/namespaces/kube-system/services/heapster/proxy
KubeDNS is running at https://192.168.0.8:6443/api/v1/namespaces/kube-system/services/kube-dns:dns/proxy
monitoring-grafana is running at https://192.168.0.8:6443/api/v1/namespaces/kube-system/services/monitoring-grafana/proxy
monitoring-influxdb is running at https://192.168.0.8:6443/api/v1/namespaces/kube-system/services/monitoring-influxdb/proxy

To further debug and diagnose cluster problems, use 'kubectl cluster-info dump'.

启动代理只需执行以下命令：

$ kubectl proxy Starting to serve on 127.0.0.1:8001

咱们也可使用--address和--accept-hosts参数来容许外部访问：

kubectl proxy --address='0.0.0.0' --accept-hosts='^*$'

而后咱们在外网访问http://<master-ip>:8001/api/v1/namespaces/kube-system/services/https:kubernetes-dashboard:/proxy/，能够成功访问到登陆界面，可是却没法登陆，这是由于Dashboard只容许localhost和127.0.0.1使用HTTP链接进行访问，而其它地址只容许使用HTTPS。所以，若是须要在非本机访问Dashboard的话，只能选择其余访问方式。

NodePort

NodePort是将节点直接暴露在外网的一种方式，只建议在开发环境，单节点的安装方式中使用。

启用NodePort很简单，只需执行kubectl edit命令进行编辑：

kubectl -n kube-system edit service kubernetes-dashboard

输出以下：

apiVersion: v1 kind: Service metadata:  annotations: kubectl.kubernetes.io/last-applied-configuration: | {"apiVersion":"v1","kind":"Service","metadata":{"annotations":{},"labels":{"k8s-app":"kubernetes-dashboard"},"name":"kubernetes-dashboard","namespace":"kube-system"},"spec":{"ports":[{"port":443,"targetPort":8443}],"selector":{"k8s-app":"kubernetes-dashboard"}}}  creationTimestamp: 2018-05-01T07:23:41Z  labels:  k8s-app: kubernetes-dashboard  name: kubernetes-dashboard  namespace: kube-system  resourceVersion: "1750"  selfLink: /api/v1/namespaces/kube-system/services/kubernetes-dashboard  uid: 9329577a-4d10-11e8-a548-00155d000529 spec:  clusterIP: 10.103.5.139  ports:  - port: 443  protocol: TCP  targetPort: 8443  selector:  k8s-app: kubernetes-dashboard  sessionAffinity: None  type: ClusterIP status:  loadBalancer: {}

而后咱们将上面的type: ClusterIP修改成type: NodePort，保存后使用kubectl get service命令来查看自动生产的端口：

kubectl -n kube-system get service kubernetes-dashboard

输出以下：

NAME                   TYPE       CLUSTER-IP     EXTERNAL-IP   PORT(S)         AGE
kubernetes-dashboard   NodePort   10.103.5.139   <none>        443:31795/TCP   4h

如上所示，Dashboard已经在31795端口上公开，如今能够在外部使用https://<cluster-ip>:31795进行访问。须要注意的是，在多节点的集群中，必须找到运行Dashboard节点的IP来访问，而不是Master节点的IP，在本文的示例，我部署了两台服务器，MatserIP为192.168.0.8，ClusterIP为192.168.0.10。

可是最后访问的结果可能以下：

遗憾的是，因为证书问题，咱们没法访问，须要在部署Dashboard时指定有效的证书，才能够访问。因为在正式环境中，并不推荐使用NodePort的方式来访问Dashboard，故再也不多说，关于如何为Dashboard配置证书可参考：Certificate management。

API Server

若是Kubernetes API服务器是公开的，并能够从外部访问，那咱们能够直接使用API Server的方式来访问，也是比较推荐的方式。

Dashboard的访问地址为：
https://<master-ip>:<apiserver-port>/api/v1/namespaces/kube-system/services/https:kubernetes-dashboard:/proxy/，可是返回的结果可能以下：

{ "kind": "Status", "apiVersion": "v1", "metadata": { }, "status": "Failure", "message": "services \"https:kubernetes-dashboard:\" is forbidden: User \"system:anonymous\" cannot get services/proxy in the namespace \"kube-system\"", "reason": "Forbidden", "details": { "name": "https:kubernetes-dashboard:", "kind": "services" }, "code": 403 }

这是由于最新版的k8s默认启用了RBAC，并为未认证用户赋予了一个默认的身份：anonymous。

对于API Server来讲，它是使用证书进行认证的，咱们须要先建立一个证书：

1.首先找到kubectl命令的配置文件，默认状况下为/etc/kubernetes/admin.conf，在上一篇中，咱们已经复制到了$HOME/.kube/config中。

2.而后咱们使用client-certificate-data和client-key-data生成一个p12文件，可以使用下列命令：

# 生成client-certificate-data grep 'client-certificate-data' ~/.kube/config | head -n 1 | awk '{print $2}' | base64 -d >> kubecfg.crt # 生成client-key-data grep 'client-key-data' ~/.kube/config | head -n 1 | awk '{print $2}' | base64 -d >> kubecfg.key # 生成p12 openssl pkcs12 -export -clcerts -inkey kubecfg.key -in kubecfg.crt -out kubecfg.p12 -name "kubernetes-client"

3.最后导入上面生成的p12文件，从新打开浏览器，显示以下：

点击肯定，即可以看到熟悉的登陆界面了：

咱们可使用一开始建立的admin-user用户的token进行登陆，一切OK。

对于生产系统，咱们应该为每一个用户应该生成本身的证书，由于不一样的用户会有不一样的命名空间访问权限。

Ingress

Ingress将开源的反向代理负载均衡器（如 Nginx、Apache、Haproxy等）与k8s进行集成，并能够动态的更新Nginx配置等，是比较灵活，更为推荐的暴露服务的方式，但也相对比较复杂，之后再来介绍。

引自：https://www.cnblogs.com/RainingNight/p/deploying-k8s-dashboard-ui.html