Kubernetes中的Helm和修改證書有效時間（八）

2020 年 9 月 18 日
筆記
k8s

一、Helm的介紹

1，概念

　　Helm 把 k8s 資源（比如 deployments、services 或 ingress 等）打包到一個 chart 中，而 chart 被保存到 chart 倉庫。通過 chart 倉庫可用來存儲和分享 chart。Helm 使發布可配置，支援發布應用配置的版本管理，簡化了 k8s 部署應用的版本控制、打包、發布、刪除、更新等操作。

　　做為 k8s 的一個包管理工具，Helm 具有如下功能：

創建新的 chart
chart 打包成 tgz 格式
上傳 chart 到 chart 倉庫或從倉庫中下載 chart
在 k8s 集群中安裝或卸載 chart
管理用 Helm 安裝的 chart 的發布周期

2，Helm的三個重要概念

chart：包含創建k8s的一個應用實例的必要資訊
config：包含了應用發布配置資訊
release：是一個chart及其配置的運行實例

3，Helm的組成部分

Helm Client 是用戶命令行工具，其主要負責如下：

本地 chart 開發
倉庫管理
與 Tiller sever 交互
發送預安裝的 chart
查詢 release 資訊
要求升級或卸載已存在的 release

Tiller Server 是一個部署在 k8s 集群內部的 server，其與 Helm client、apiserver 進行交互。Tiller server 主要負責如下：

監聽來自 Helm client 的請求
通過 chart 及其配置構建一次發布
安裝 chart 到 k8s 集群，並跟蹤隨後的發布
通過與 k8s 交互升級或卸載 chart

　　簡單的說，client 管理 charts，而 server 管理髮布 release。

二、Helm安裝

1，安裝Helm客戶端

下載客戶端包：//github.com/helm/helm/releases

cd /usr/local/install-k8s/plugin/helm
#可提前下載安裝包
wget https://get.helm.sh/helm-v2.13.1-linux-amd64.tar.gz
tar -zxvf helm-v2.13.1-linux-amd64.tar.gz.tar
cp ./linux-amd64/helm /usr/local/bin/

2，安裝Tiller服務端

rbac.yaml

apiVersion: v1
kind: ServiceAccount
metadata:
  name: tiller
  namespace: kube-system
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: tiller
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
  - kind: ServiceAccount
    name: tiller
    namespace: kube-system

創建資源

kubectl create -f rbac.yaml
helm init --service-account tiller
helm init --service-account tiller --skip-refresh
#查看tiller的pod
kubectl get pod -n kube-system

　　如果gcr.io/kubernetes-helm/tiller:v2.13.1鏡像下載失敗可採用離線docker load -i的方式導入。

3，查看Helm版本

[root@master01 helm]# helm version
Client: &version.Version{SemVer:"v2.13.1", GitCommit:"...", GitTreeState:"clean"}
Server: &version.Version{SemVer:"v2.13.1", GitCommit:"...", GitTreeState:"clean"}

三、定義Helm模板

　　helm的模板庫://hub.helm.sh/

1，安裝redis

#進入網址  https://hub.helm.sh/charts/bitnami/redis
helm repo add bitnami https://charts.bitnami.com/bitnami
helm install bitnami/redis --version 11.0.0

2，自定義模板

　　自定義模板一般會用到 Chart.yaml、values.yaml 和 templates 文件夾，其中：

Chart.yaml：必需。聲明一個 Helm 模板，必須要有 name 和 version 兩個屬性，其值可以自定義。
templates 文件夾：必需。存放資源清單，比如 deployment.yaml、service.yaml 等等。運行 helm 就是為我們創建這裡定義的資源。
valuse.yaml：可選。為資源清單提供可配置的 key – value 數據。

Chart.yaml

name: my-template
version: 1.0

values.yaml

#注意：在 values.yaml 中的值可以被部署 release 時用到的參數 --values yaml_file_path 或者 --set key1=value1, key2=value2 覆蓋掉。
#例如  helm install --set image.tag=v2 .
image:
  repository: hub.xcc.com/my-xcc/my-nginx
  tag: v1

templates 下的 deployment.yaml

apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: deployment-nginx
spec:
  replicas: 3
  template:
    metadata:
      labels:
        app: nginx-app
    spec:
      containers:
      - name: nginx-container
        image: {{ .Values.image.repository }}:{{ .Values.image.tag }}
        ports:
        - containerPort: 80

templates 下的 svc.yaml

apiVersion: v1
kind: Service
metadata:
  name: svc-nginx
spec:
  type: NodePort
  selector:
    app: nginx-app
  ports:
  - name: http
    port: 80
    targetPort: 80
    nodePort: 30131

執行命令

#在Chart.yaml和values.yaml同級目錄下
helm install .
#查看helm或者使用 helm ls
helm list

四、helm常用命令

#查看幫助
helm help
#安裝
helm install .
#查看helm列表
helm list
helm ls
#查看helm被刪除列表
helm ls --deleted
#查看helm狀態
helm status <helm-name>
#更新配置
helm upgrade <helm-name> .
#刪除helm(標記刪除)
helm delete <helm-name>
#徹底刪除
helm delete --purge <helm-name>
#查看歷史記錄
helm history <helm-name>
#回滾helm，先查詢上一步歷史記錄，根據記錄回滾
helm rollback <helm-name> <reversion-number>
#檢驗文件正確性
helm install --dry-run .

五、修改證書有效時長

1，查看證書有效時長

#進入證書存放目錄
cd /etc/kubernetes/pki
#查看apiserver.crt 證書有效期 為2020.7.11~2021.7.11
openssl x509 -in apiserver.crt -text -noout
...
        Validity
            Not Before: Jul 11 07:41:55 2020 GMT
            Not After : Jul 11 07:41:56 2021 GMT
...

2，修改有效時長

　　修改方式有很多，這裡我們採用通過修改kubeadm源碼的方式，來實現延長證書的有效時長。

a)安裝go語言

　　因為 kubeadm 是 go 語言編寫的，所以需要安裝 go 語言。進入 go語言中文社區點擊下載。

#解壓文件到指定目錄
tar -xvf go1.15.2.linux-amd64.tar.gz -C /usr/local
#配置環境變數
echo "PATH=/usr/local/go/bin:$PATH" >> /etc/profile
source /etc/profile
#查看版本
go version

b)下載kubeadm源碼

#下載源碼
git clone https://github.com/kubernetes/kubernetes.git
cd kubernetes
#查看kubeadm版本
kubeadm version
#切換至kubeadm版本v1.15.1
git checkout -b remotes/origin/release-1.15.1 v1.15.1

c)修改程式碼

# kubeadm 1.14版本之後是修改這個文件
[root@master01 kubernetes]# vim cmd/kubeadm/app/util/pkiutil/pki_helpers.go
......
// NewSignedCert creates a signed certificate using the given CA certificate and key
func NewSignedCert(cfg *certutil.Config, key crypto.Signer, caCert *x509.Certificate, caKey crypto.Signer) (*x509.Certificate, error) {
        # 定義一個我們想要的時間，time.Hour 表示一小時
        const addTime = time.Hour * 24 * 365 * 10
        serial, err := cryptorand.Int(cryptorand.Reader, new(big.Int).SetInt64(math.MaxInt64))
        if err != nil {
                return nil, err
        }
        if len(cfg.CommonName) == 0 {
                return nil, errors.New("must specify a CommonName")
        }
        if len(cfg.Usages) == 0 {
                return nil, errors.New("must specify at least one ExtKeyUsage")
        }

        certTmpl := x509.Certificate{
                Subject: pkix.Name{
                        CommonName:   cfg.CommonName,
                        Organization: cfg.Organization,
                },
                DNSNames:     cfg.AltNames.DNSNames,
                IPAddresses:  cfg.AltNames.IPs,
                SerialNumber: serial,
                NotBefore:    caCert.NotBefore,
                # 然後修改NotAfter
                # NotAfter:     time.Now().Add(kubeadmconstants.CertificateValidity).UTC(),
                NotAfter:     time.Now().Add(addTime).UTC(),
                KeyUsage:     x509.KeyUsageKeyEncipherment | x509.KeyUsageDigitalSignature,
                ExtKeyUsage:  cfg.Usages,
        }
        certDERBytes, err := x509.CreateCertificate(cryptorand.Reader, &certTmpl, caCert, key.Public(), caKey)
        if err != nil {
                return nil, err
        }
        return x509.ParseCertificate(certDERBytes)
}
......

編譯生效

#重新編譯
make WHAT=cmd/kubeadm GOFLAGS=-v
# 將編譯好的 kubeadm 放入 /root 下
cp _output/bin/kubeadm /root/kubeadm
#將原有的 kubeadm 備份一下
cp /usr/bin/kubeadm /usr/bin/kubeadm.bak
#用新的 kubeadm 覆蓋舊的 kubeadm
mv /root/kubeadm /usr/bin/kubeadm
# 賦予許可權
chmod a+x /usr/bin/kubeadm
#備份 pki 文件夾
cp -r /etc/kubernetes/pki/ /etc/kubernetes/pki.bak
#重新生成證書文件
kubeadm alpha certs renew all --config=/usr/local/install-k8s/core/kubeadm-config.yaml

　　再次查看證書有效期。

Tags: k8s