Kubernetes筆記（二）：了解k8s的基本組件與概念

2020 年 5 月 8 日
筆記
k8s, Kubernetes

前文 Kubernetes筆記（一）：十分鐘部署一套K8s環境介紹了如何快速搭建一個k8s系統。為了繼續使用k8s來部署我們的應用，需要先對k8s中的一些基本組件與概念有個了解。

Kubernetes是什麼

Kubernetes是Google於2014年基於其內部Brog系統開源的一個容器編排管理系統，可使用聲明式的配置（以yaml文件的形式）自動地執行容器化應用程式的管理，包括部署、伸縮、負載均衡、回滾等。

kubernetes提供的功能：

自動發布與伸縮：可以通過聲明式的配置文件定義想要部署的容器，Kubernetes將自動進行容器的部署，達到期望的結果；通過指定容器副本數，或者設置根據資源負載情況（如CPU、記憶體使用率），自動對容器組進行快速的伸縮——增大或縮小容器數量
滾動升級與灰度發布：採用逐步替換的策略實現滾動升級，使用Kubernetes也可以很輕易地管理系統的灰度發布
服務發現與負載均衡：Kubernetes通過DNS名稱或IP地址暴露容器的訪問方式，並且可在同一容器組內實現負載分發與均衡
存儲編排：Kubernetes可以自動掛載指定的存儲系統，如local storage/nfs/雲存儲等
故障恢復：Kubernetes自動重啟已經停機的容器，替換不滿足健康檢查的容器
密鑰與配置管理：Kubernetes可以存儲與管理敏感資訊，如Docker Registry的登錄憑證，密碼，ssh密鑰等

Kubernetes架構

我們先來看一張Kubernetes的架構圖

Kubernetes是一套分散式系統，與大多數分散式系統類似，包含控制節點（master node）與工作節點（worker node）。

master node

控制節點就是指揮官，負責發號施令的，其上運行一些管理服務來對整個系統進行管理與控制，包括

apiserver：作為整個系統的對外介面，提供一套Restful API供客戶端調用，任何的資源請求/調用操作都是通過kube-apiserver提供的介面進行,如kubectl、kubernetes dashboard等管理工具就是通過apiserver來實現對集群的管理
kube-scheduler：資源調度器，負責將容器組分配到哪些節點上
kube-controller-manager：管理控制器，集群中處理常規任務的後台執行緒，包括節點控制器（負責監聽節點停機的事件並作出對應響應）、endpoint-controller（刷新服務與容器組的關聯資訊）、replication-controller（維護容器組的副本數為指定的數值）、Service Account & Token控制器（負責為新的命名空間創建默認的 Service Account 以及 API Access Token）
etcd：數據存儲，存儲集群所有的配置資訊
coredns：實現集群內部通過服務名稱進行容器組訪問的功能

worker node

工作節點就是具體幹活的小兵，其上也運行一些服務來執行指揮官分派的任務，包括

kubelet：是工作節點上執行操作的代理程式，負責容器的生命周期管理，定期執行容器健康檢查，並上報容器的運行狀態
kube-proxy：是一個具有負載均衡能力的簡單的網路訪問代理，負責將訪問某個服務的請求分配到工作節點的具體某個容器上（kube-proxy也運行於master node上）
Docker Daemon：這個不難理解，所有服務或容器組都要以Docker容器的形式來運行（但Kubernetes其實不局限於Docker，它支援任何實現了Kubernetes容器引擎介面的容器引擎，如containerd、rktlet）

另外還有既在master node上也在worker node上運行的網路通訊組件 kube-flannel。這些服務組件一般運行在kube-system的命名空間中，如圖

Kubernetes基本概念

我們再來看第二張圖

功能組件在上面已經做了介紹。Kubernetes的操作對象主要包括容器組（Pod），服務（Service），副本控制器（replication-controller），及圍繞這些的其它輔助對象

Pod

Pod是Kubernetes創建或部署的最小基本單元。一個Pod封裝一個或多個應用容器、存儲資源、一個獨立的網路IP以及管理控制容器運行方式的策略選項。Pod中的每個容器共享網路命名空間（包括IP與埠），Pod內的容器可以使用localhost相互通訊。Pod可以指定一組共享存儲卷Volumes，Pod中所有容器都可以訪問共享的Volumes，Volumes用於數據持久化，防止容器重啟丟失數據。

Volume

Kubernetes使用Volume來解決Pod中容器重啟數據丟失的問題，以及Pod中多個容器間數據共享的問題。Kubernetes支援的Volume類型包括：

emptyDir：當Pod分配到Node上時，將會創建emptyDir，只要Node上的Pod一直運行，Volume就會一直存在。當Pod（不管任何原因）從Node上被刪除時，emptyDir也同時會刪除，存儲的數據也將永久刪除，但刪除容器不影響emptyDir
hostPath：hostPath允許掛載Node上的文件系統到Pod裡面去。如果Pod需要使用Node上的文件，可以使用hostPath
nfs: 使用nfs網路文件系統提供的共享目錄

ReplicationController

ReplicationController確保在任何時候都有按配置的Pod副本數在運行。現在推薦使用配置ReplicaSet（下一代ReplicationController）的Deployment來建立副本管理機制。

ReplicaSet

ReplicaSet是下一代ReplicationController，兩者的唯一區別是ReplicaSet支援新的基於集合的選擇器，而ReplicationController僅支援基於相等選擇器的需求。

Deployment

Deployment為Pod與ReplicaSet提供了聲明式的定義，描述你想要的目標狀態是什麼，Deployment controller就會幫你將Pod與ReplicaSet的實際狀態改變到你想要的目標狀態。

Service

一個Service可以看做一組提供相同服務的Pod的對外訪問介面。Kubernetes提供兩種類型的Service：

NodePort：集群外部可以通過Node IP與Node Port來訪問具體某個Pod
ClusterIP：指通過集群的內部IP暴露服務，服務只能夠在集群內部可以訪問，這也是默認的 ServiceType

Label

Label就是一對key/value，可以附加到各種資源對象上，如Node、Pod、Service等，一個資源對象可以定義任意數量的Label。可以通過Label選擇器來選擇具備某個（些）Label的資源。

PV & PVC

PersistentVolume（PV）為用戶提供了一個存儲抽象，由管理員設置，它是集群的一部分。就像節點是集群中的資源一樣，PV也是集群中的資源。 PV是Volume之類的卷插件，但具有獨立於Pod的生命周期。

PersistentVolumeClaim（PVC）是用戶存儲的請求。它與Pod相似。Pod消耗節點資源，PVC消耗PV資源。Pod可以請求特定級別的資源（CPU和記憶體）。PVC可以請求特定大小和訪問模式的存儲資源（例如，可以以讀/寫或只讀模式掛載）。

Secret

Secret解決了密碼、token、密鑰等敏感數據的存儲問題，Secret的三種類型：

Service Account ：用來訪問Kubernetes API，由Kubernetes自動創建，並且會自動掛載到Pod的/run/secrets/kubernetes.io/serviceaccount目錄中
Opaque ：Base64編碼格式的Secret，用來存儲密碼、密鑰等
kubernetes.io/dockerconfigjson ：用來存儲docker registry的認證資訊

ConfigMap

ConfigMap用來保存key/value對的配置數據，這個數據可以在Pods里使用，或者被用來為像controller一樣的系統組件存儲配置數據。ConfigMap可以方便的處理不含敏感資訊的字元串（敏感資訊可使用Secret）。

Namespace

Namespace類似於Kubernetes中的虛擬集群，便於不同的分組在共享使用整個集群的資源的同時還能被分別管理。比如我們如果開發測試共用一個Kubernetes集群，則可以將開發環境的服務部署到dev的namespace，測試環境的部署到test的namespace。

Ingress

為集群服務提供外部訪問，包括基於Nginx與Traefik兩個版本，為服務提供域名綁定訪問與路徑路由功能。也可以基於Ingress實現服務的灰度發布。

總結

本文對Kubernetes中涉及的基本組件與概念進行了整理，對其基本構成有了一個大致的理解與印象。下一篇將從一個實踐出發，實現一個基於Gitlab+Jenkins+K8s的CI/CD流程，以對涉及的各個組件進行深入了解與學習。

Kubernetes筆記（二）：了解k8s的基本組件與概念

Kubernetes是什麼