Kubernetes进阶实战(第2版)

前言

**部分　系统基础

第1章　Kubernetes系统基础2

1.1　容器与容器编排系统3

1.1.1　Docker容器技术3

1.1.2　OCI与容器运行时5

1.1.3　为什么需要容器编排系统7

1.2　Kubernetes基础8

1.2.1　Kubernetes集群概述9

1.2.2　Kubernetes集群架构11

1.3　应用的运行与互联互通14

1.3.1　Pod与Service15

1.3.2　Pod控制器16

1.3.3　Kubernetes网络基础18

1.3.4　部署并访问应用20

1.4　简析Kubernetes生态系统21

1.5　本章小结23

第2章　Kubernetes快速入门24

2.1　利用kubeadm部署Kubernetes集群24

2.1.1　kubeadm部署工具25

2.1.2　集群组件运行模式26

2.1.3　kubeadm init工作流程28

2.1.4　kubeadm join工作流程31

2.1.5　kubeadm配置文件33

2.2　部署分布式Kubernetes集群34

2.2.1　准备基础环境34

2.2.2　单控制平面集群38

2.3　kubectl命令与资源管理43

2.3.1　资源管理的操作44

2.3.2　kubectl的命令格式45

2.3.3　kubectl命令常用操作示例47

2.3.4　kubectl插件50

2.4　命令式应用编排52

2.4.1　应用编排53

2.4.2　部署Service对象56

2.4.3　扩容与缩容58

2.4.4　修改与删除对象60

2.5　本章小结61

第二部分　核心资源

第3章　Kubernetes资源管理64

3.1　资源对象与API群组64

3.1.1　Kubernetes的资源对象65

3.1.2　资源及其在API中的组织形式68

3.1.3　访问Kubernetes RESTful API70

3.2　对象类资源配置规范72

3.2.1　定义资源对象73

3.2.2　对象元数据74

3.2.3　资源的期望状态75

3.2.4　获取资源配置清单格式文档75

3.2.5　资源对象管理方式77

3.3　名称空间79

3.3.1　名称空间的作用80

3.3.2　管理Namespace资源81

3.4　节点资源86

3.4.1　节点心跳与节点租约86

3.4.2　节点状态87

3.4.3　手动管理Node资源与节点89

3.5　标签与标签选择器91

3.5.1　资源标签91

3.5.2　标签选择器93

3.6　资源注解94

3.7　本章小结96

第4章　应用部署、运行与管理97

4.1　应用容器与Pod资源97

4.1.1　Pod资源基础97

4.1.2　容器设计模式99

4.1.3　Pod的生命周期104

4.2　在Pod中运行应用105

4.2.1　使用单容器Pod资源106

4.2.2　获取Pod与容器状态详情107

4.2.3　自定义容器应用与参数110

4.2.4　容器环境变量111

4.2.5　Pod的创建与删除过程112

4.3　暴露容器服务115

4.3.1　其他容器端口映射115

4.3.2　配置Pod使用节点网络117

4.4　容器安全上下文118

4.4.1　配置格式速览119

4.4.2　管理容器进程的运行身份120

4.4.3　管理容器的内核功能121

4.4.4　特权模式容器123

4.4.5　在Pod上使用sysctl124

4.5　容器应用的管理接口125

4.5.1　健康状态监测接口126

4.5.2　容器存活状态检测127

4.5.3　Pod的重启策略133

4.5.4　容器就绪状态检测133

4.5.5　容器生命周期135

4.6　多容器Pod138

4.6.1　初始化容器138

4.6.2　Sidecar容器140

4.7　资源需求与资源限制142

4.7.1　资源需求与限制142

4.7.2　容器资源需求143

4.7.3　容器资源限制145

4.7.4　容器可见资源146

4.7.5　Pod服务质量类别147

4.8　综合应用案例149

4.9　本章小结150

第5章　存储卷与数据持久化152

5.1　存储卷基础152

5.1.1　存储卷概述152

5.1.2　配置Pod存储卷154

5.2　临时存储卷156

5.2.1　emptyDir存储卷156

5.2.2　gitRepo存储卷158

5.3　hostPath存储卷159

5.4　网络存储卷161

5.4.1　NFS存储卷162

5.4.2　RBD存储卷164

5.4.3　CephFS存储卷167

5.4.4　GlusterFS存储卷169

5.5　持久存储卷171

5.5.1　PV与PVC基础172

5.5.2　PV的生命周期173

5.5.3　静态PV资源175

5.5.4　PVC资源178

5.5.5　在Pod中使用PVC181

5.5.6　存储类181

5.6　容器存储接口CSI187

5.6.1　CSI基础187

5.6.2　Longhorn存储系统189

5.7　本章小结194

第6章　应用配置195

6.1　容器化应用配置195

6.1.1　容器化应用配置的常见方式195

6.1.2　容器环境变量197

6.2　应用程序配置管理与ConfigMap资源199

6.2.1　创建ConfigMap对象200

6.2.2　通过环境变量引用ConfigMap键值203

6.2.3　ConfigMap存储卷206

6.2.4　容器应用重载新配置211

6.3　Secret资源：向容器注入配置信息213

6.3.1　创建Secret资源213

6.3.2　使用Secret资源219

6.4　应用Downward API存储卷配置信息223

6.4.1　环境变量式元数据注入223

6.4.2　存储卷式元数据注入226

6.5　本章小结228

第7章　Service与服务发现229

7.1　Service资源及其实现模型229

7.1.1　Service资源概述229

7.1.2　kube-proxy代理模型230

7.1.3　Service资源类型233

7.2　应用Service资源235

7.2.1　应用ClusterIP Service资源236

7.2.2　应用NodePort Service资源238

7.2.3　应用LoadBalancer Service资源240

7.2.4　外部IP241

7.3　Service与Endpoint资源242

7.3.1　Endpoint与容器探针243

7.3.2　自定义Endpoint资源245

7.4　深入理解Service资源247

7.4.1　iptables代理模型247

7.4.2　ipvs代理模型255

7.5　Kubernetes服务发现258

7.5.1　服务发现概述258

7.5.2　基于环境变量的服务发现259

7.5.3　基于DNS的服务发现260

7.5.4　Pod的DNS解析策略与配置263

7.5.5　配置CoreDNS264

7.6　Headless Service资源解析266

7.6.1　ExternalName Service266

7.6.2　Headless Service267

7.7　本章小结270

第8章　应用编排与管理271

8.1　Kubernetes控制器基础271

8.1.1　控制器与Pod资源272

8.1.2　Pod模板资源275

8.2　ReplicaSet控制器276

8.2.1　功能分析276

8.2.2　ReplicaSet基础应用277

8.2.3　应用更新与回滚280

8.2.4　应用扩容与缩容285

8.2.5　高级更新策略286

8.3　Deployment控制器291

8.3.1　Deployment基础应用291

8.3.2　Deployment更新策略294

8.3.3　应用更新与回滚296

8.3.4　金丝雀发布298

8.4　StatefulSet控制器300

8.4.1　功能分析300

8.4.2　StatefulSet基础应用302

8.4.3　扩缩容与滚动更新306

8.4.4　StatefulSet的局限性309

8.5　DaemonSet控制器310

8.5.1　DaemonSet资源基础应用311

8.5.2　DaemonSet更新策略313

8.6　Job控制器314

8.6.1　Job资源基础应用315

8.6.2　并行式Job与扩容机制318

8.7　CronJob控制器319

8.8　Pod中断预算321

8.9　本章小结324

第三部分　安全

第9章　认证、授权与准入控制326

9.1　Kubernetes访问控制326

9.1.1　用户账户与用户组327

9.1.2　认证、授权与准入控制基础328

9.1.3　测试使用API Server的访问控制机制332

9.2　ServiceAccount及认证336

9.2.1　ServiceAccount自动化336

9.2.2　ServiceAccount基础应用338

9.2.3　Pod资源上的服务账户340

9.3　X509数字证书认证342

9.3.1　Kubernetes的X509数字证书认证体系343

9.3.2　TLS Bootstrapping机制347

9.4　kubeconfig配置文件348

9.4.1　kubeconfig文件格式348

9.4.2　自定义kubeconfig文件350

9.4.3　X509数字证书身份凭据353

9.4.4　多kubeconfig文件与合并354

9.5　基于角色的访问控制：RBAC355

9.5.1　RBAC授权模型356

9.5.2　Role与ClusterRole358

9.5.3　RoleBinding与ClusterRole-Binding361

9.5.4　聚合型ClusterRole364

9.5.5　面向用户的内置ClusterRole366

9.6　认证与权限应用案例：Dashboard368

9.6.1　部署Dashboard368

9.6.2　认证与授权370

9.7　准入控制器372

9.7.1　准入控制器概述372

9.7.2　LimitRange373

9.7.3　ResourceQuota377

9.7.4　PodSecurityPolicy379

9.8　本章小结386

第10章　网络模型与网络策略387

10.1　容器网络模型387

10.1.1　容器网络通信模式387

10.1.2　CNI网络插件基础391

10.1.3　Overlay网络模型394

10.1.4　Underlay网络模型396

10.1.5　配置CNI插件400

10.1.6　CNI插件与选型404

10.2　Flannel网络插件406

10.2.1　Flannel配置基础406

10.2.2　VXLAN后端408

10.2.3　直接路由412

10.2.4　host-gw后端414

10.3　Calico网络插件416

10.3.1　Calico架构417

10.3.2　Calico配置基础419

10.3.3　IPIP隧道网络421

10.3.4　客户端工具calicoctl424

10.3.5　BGP网络与BGP Reflector426

10.4　网络策略430

10.4.1　网络策略与配置基础431

10.4.2　管控入站流量433

10.4.3　管控出站流量436

10.4.4　隔离名称空间438

10.4.5　Calico的网络策略439

10.5　本章小结441

第四部分　进阶

第11章　Pod资源调度444

11.1　 Kubernetes调度器444

11.1.1　调度器基础445

11.1.2　经典调度策略449

11.1.3　调度器插件454

11.1.4　配置调度器456

11.2　节点亲和调度461

11.2.1　Pod节点选择器462

11.2.2　强制节点亲和463

11.2.3　首选节点亲和465

11.3　Pod亲和调度467

11.3.1　位置拓扑468

11.3.2　Pod间的强制亲和469

11.3.3　Pod间的首选亲和471

11.3.4　Pod间的反亲和关系473

11.4　节点污点与Pod容忍度475

11.4.1　污点与容忍度基础概念475

11.4.2　定义污点477

11.4.3　定义容忍度478

11.4.4　问题节点标识479

11.5　拓扑分布式调度480

11.6　Pod优先级与抢占481

11.7　本章小结483

第12章　Kubernetes系统扩展484

12.1　CRD484

12.1.1　CRD 基础应用485

12.1.2　打印字段与资源类别488

12.1.3　CRD子资源489

12.1.4　CRD v1beta1版本491

12.2　自定义API Server492

12.2.1　自定义API Server运行机制493

12.2.2　APIService资源与应用494

12.3　控制器与Operator496

12.3.1　自定义控制器的工作机制496

12.3.2　Operator与简单应用示例500

12.4　Kubernetes集群高可用503

12.4.1　etcd高可用与控制平面拓扑503

12.4.2　Controller Manager与Scheduler高可用505

12.4.3　部署高可用控制平面506

12.5　本章小结508

第13章　Ingress与服务发布509

13.1　 Ingress资源509

13.1.1　Ingress与Ingress控制器流量转发509

13.1.2　Ingress资源规范511

13.1.3　Ingress资源类型515

13.2　Ingress控制器部署与应用517

13.2.1　Ingress Nginx部署与测试518

13.2.2　配置Ingress Nginx522

13.2.3　Ingress资源案例：发布Dashboard524

13.3　Contour控制器525

13.3.1　Envoy数据平面525

13.3.2　部署Contour529

13.3.3　HTTPProxy基础532

13.3.4　HTTPProxy高级路由533

13.3.5　HTTPProxy服务韧性539

13.3.6　TCP代理542

13.4　本章小结544

第五部分　**生态组件

第14章　应用管理546

14.1　Kustomize声明式应用管理546

14.1.1　声明式应用管理基本用法547

14.1.2　应用配置分解549

14.1.3　配置生成器551

14.1.4　资源补丁553

14.2　Helm基础应用556

14.2.1　Helm基础556

14.2.2　Helm 3 快速入门558

14.3　Helm Chart562

14.3.1　Chart包结构与描述文件562

14.3.2　Chart中的依赖关系564

14.3.3　模板与值565

14.3.4　其他需要说明的话题567

14.3.5　自定义Chart简单示例568

14.4　Helm实践：部署Harbor注册中心575

14.4.1　部署方案与配置方式577

14.4.2　Harbor部署与测试582

14.5　本章小结585

第15章　资源指标与集群监控586

15.1　资源监控与资源指标586

15.1.1　资源监控与Heapster587

15.1.2　新一代监控体系与指标系统589

15.2　资源指标与应用591

15.2.1　部署Metrics Server591

15.2.2　显示资源使用信息595

15.3　自定义指标与Prometheus596

15.3.1　Prometheus基础597

15.3.2　Prometheus核心概念601

15.3.3　Prometheus查询语言604

15.3.4　监控Kubernetes606

15.3.5　自定义指标适配器616

15.4　自动弹性缩放621

15.4.1　HPA控制器概述622

15.4.2　HPA v1控制器622

15.4.3　HPA v2控制器624

15.5　本章小结629

第16章　集群日志系统630

16.1　集群日志系统基础630

16.1.1　日志系统概述631

16.1.2　Elasticsearch基础633

16.2　EFK日志管理系统636

16.2.1　Elasticsearch集群637

16.2.2　日志采集器Fluent Bit642

16.2.3　可视化组件Kibana647

16.3　本章小结650