Kubernetes API Server原理

Kubernetes API Server功能

Kubernete API Server的核心功能主要是为Kubernetes的各类资源对象（如 node,pod，service等）提供了增、删、改、查以及watch的HTTP Rest接口。
API server是集群中各个功能模块之间数据交互和通信的中心枢纽，除此之外它还有以下特性：

  • 集群管理的API入口
  • 资源配额控制的入口
  • 提供完备的集群安全机制

常规API接口

Kubernetes的 API server通过 kube-apiserver进程提供服务，一般会监听两个端口，http的8080（使用参数 --insecure-port）和 使用https的6443端口（--secure-port=6443）,两者功能相同，只https安全性更高。

常用的kubectl命令，也是通过与API Server的 REST调用来实现交互。

通过使用curl命令能直接获取REST api的信息。
通过本地8080端口查看版本：

[[email protected] ~]# curl  127.0.0.1:8080/api
{
  "kind": "APIVersions",
  "versions": [
    "v1"
  ],
  "serverAddressByClientCIDRs": [
    {
      "clientCIDR": "0.0.0.0/0",
      "serverAddress": "10.0.0.1:6443"
    }
  ]
}

查看支持的资源对象：

curl  127.0.0.1:8080/api/v1

查看资源对象信息：

 curl  127.0.0.1:8080/api/v1/nodes
 curl  127.0.0.1:8080/api/v1/pods
 curl  127.0.0.1:8080/api/v1/services
 curl  127.0.0.1:8080/api/v1/replicationcontrollers

可以具体到某一个具体的对象：

 curl 127.0.0.1:8080/api/v1/nodes/10.0.0.3

也可以指定不同namespace中的对象进行访问：

 curl  http://127.0.0.1:8080/api/v1/namespaces/default/services/php-apache

也可以直接访问后端服务内容：

 curl  http://127.0.0.1:8080/api/v1/namespaces/default/services/http:tomcat-service:/proxy/
 curl  http://127.0.0.1:8080/api/v1/namespaces/default/services/http:php-apache:/proxy/

除此之外还有其他的API信息：

 curl 127.0.0.1:8080/apis/batch/v1

Kubernets Proxy API接口

Kubernetes Proxy主要用于代理REST请求。 可以通过这种代理方式将API Server收到的REST请求转发到某个Node上的kubelet上，由Kubelet负责响应。

创建一个Proxy 接口：

  kubectl proxy --port=8001 --accept-hosts=‘.*‘ --address=‘10.0.0.1‘ &

此处创建一个监听本地10.0.0.1上的8001端口。

如果需要对访问的资源和源地址进行限制，可以使用正则进行匹配，限制对services进行访问：

 kubectl  proxy --port=8001  --accept-hosts=‘.*‘  --address=10.0.0.1  --reject-paths=‘^/api/v1/services‘

通过此端口可以在外部直接访问此api代理，在新的版本中，访问方式和常规访问的URL一致：

 curl  http://10.0.0.1:8001/api/v1/pods
 curl  http://10.0.0.1:8001/api/v1/nodes
 curl  http://10.0.0.1:8001/api/v1/services
 curl  http://10.0.0.1:8001/api/v1/replicationcontrollers
 curl  http://10.0.0.1:8001/api/v1/namespaces/default/pods/tomcat-deployment-65799d5fc4-5dx4h
 curl  http://10.0.0.1:8001/api/v1/namespaces/default/services/http:php-apache:/proxy/
 curl  10.0.0.1:8001/apis/batch/v1

API server和集群模块的交互

API Server作为集群的核心，负责集群各个功能模块之间的通信，集群中的各个功能模块通过 API Server将信息存入etcd数据库中，获取这些数据就通过 API Server 提供的REST接口通过使用GET,LIST,或者Watch方法，从而实现对各个模块之间的交互。

查看ETCD数据

ETCD V3操作说明

参考链接

在使用ETCD V3的版本时，由于为了实现兼容性，etcd默认使用的是 v2的接口，Kubernetes中需要使用V3的接口来查看数据，所以查看前添加此参数：

export ETCDCTL_API=3    # 修改默认接口版本为V3
export ETCDCTL_API=2    # 修改默认接口版本为V2

在V3和V2中，两者支持的命令是不一样的，如在V2 版本有 etcdctl ls 命令，但是在V3版本中就没有，指定接口版本后，对应的help 信息也会改变。

在使用默认的V2接口时，使用ls命令只能看到一个目录：

# 如果没有TLS进行CA设置直接执行：
# etcdctl ls
/kubernetes

# 如果设置了CA认证，使用如下参数，指定证书和秘钥文件：
# etcdctl  --endpoints=https://10.0.0.1:2379  --ca-file=/opt/kubernetes/ssl/ca.pem   --cert-file=/opt/kubernetes/ssl/etcd.pem   --key-file=/opt/kubernetes/ssl/etcd-key.pem ls
/kubernetes

这个key中只存储了少量的信息：

[[email protected] ~]# etcdctl  --endpoints=https://10.0.0.2:2379  --ca-file=/opt/kubernetes/ssl/ca.pem   --cert-file=/opt/kubernetes/ssl/etcd.pem   --key-file=/opt/kubernetes/ssl/etcd-key.pem ls -r
/kubernetes
/kubernetes/network
/kubernetes/network/config
/kubernetes/network/subnets
/kubernetes/network/subnets/10.2.70.0-24
/kubernetes/network/subnets/10.2.67.0-24
/kubernetes/network/subnets/10.2.49.0-24
[[email protected] ~]# etcdctl  --endpoints=https://10.0.0.2:2379  --ca-file=/opt/kubernetes/ssl/ca.pem   --cert-file=/opt/kubernetes/ssl/etcd.pem   --key-file=/opt/kubernetes/ssl/etcd-key.pem get /kubernetes/network/subnets/10.2.49.0-24
{"PublicIP":"10.0.0.2","BackendType":"vxlan","BackendData":{"VtepMAC":"a6:16:81:8a:af:71"}}

切换为V3接口，获取etcd中的所有key:

export ETCDCTL_API=3
# 无ca认证：
[[email protected] ~]# etcdctl get / --prefix --keys-only

# CA认证，参数和V2版本不一样
[[email protected] ~]# etcdctl  --endpoints=https://10.0.0.1:2379  --cacert=/opt/kubernetes/ssl/ca.pem   --cert=/opt/kubernetes/ssl/etcd.pem   --key=/opt/kubernetes/ssl/etcd-key.pem get / --prefix --keys-only

通过查询对应的key,可以获取kubernete对象的元数据：

[[email protected] ~]# etcdctl  --endpoints=https://10.0.0.1:2379  --cacert=/opt/kubernetes/ssl/ca.pem   --cert=/opt/kubernetes/ssl/etcd.pem   --key=/opt/kubernetes/ssl/etcd-key.pem get /registry/services/specs/default/php-apache -w=json|python -m json.tool

这里使用json格式化输出。可以发现所有的数据都存放在/registry/开头的key 中。

使用如下脚本，对key值进行转换，也能输出相同的key值列表：

#!/bin/bash
# Get kubernetes keys from etcd
export ETCDCTL_API=3

# not use ca TLS
# keys=`etcdctl get /registry --prefix -w json|python -m json.tool|grep key|cut -d ":" -f2|tr -d ‘"‘|tr -d ","`

# USE TLS ca
keys=`etcdctl --cacert=/opt/kubernetes/ssl/ca.pem   --cert=/opt/kubernetes/ssl/etcd.pem   --key=/opt/kubernetes/ssl/etcd-key.pem  get /registry --prefix -w json|python -m json.tool|grep key|cut -d ":" -f2|tr -d ‘"‘|tr -d ","`
for x in $keys;do
  echo $x|base64 -d|sort
done

key 的命名规则是按/registry， 对象类型（复数），namespace，具体对象名称命名。

API Server与kubelet的交互
  • 每个Node节点上的kubelet每隔一段时间就会向API Server 的REST接口发送自身的状态信息。
  • API Server收到这些信息后，会更新到etcd中。
  • 此外，kubelet通过API Server的watch 接口监听Pod的实时变化信息，如果监听到新的Pod对象绑定到此节点，则创建此pod，同理，如果是pod被删除,修改则执行对应的操作。
kube-controller-manager与API Server交互

kube-controller-manager中的Node Controller模块通过API Server提供的Watch接口，实时监控Node的信息，并做相应处理。

kube-scheduler与API Server交互

Scheduler通过API Server的Watch接口监听到新建Pod副本的信息后，它会检索所有符合该Pod要求的Node列表，开始执行Pod调度逻辑。调度成功后将Pod绑定到目标节点上。

为了缓解各模块对API Server的访问压力，各功能模块都采用缓存机制来缓存数据，各功能模块定时从API Server获取指定的资源对象信息（LIST/WATCH方法），然后将信息保存到本地缓存，功能模块在某些情况下不直接访问API Server，而是通过访问缓存数据来间接访问API Server。

原文地址：http://blog.51cto.com/tryingstuff/2138527

时间： 2024-10-28 02:17:38

Kubernetes API Server原理的相关文章

Kubernetes API server工作原理

作为Kubernetes的使用者,每天用得最多的命令就是kubectl XXX了. kubectl其实就是一个控制台,主要提供的功能: 1. 提供Kubernetes集群管理的REST API接口,包括认证授权.数据校验以及集群状态变更: 2. 提供其他模块之间的数据交互和通信的枢纽(其他模块通过API Server查询或修改数据,只有API Server才直接操作etcd) 也就是说,我们在终端里输入的每个kubectl命令,实际上都是一个发往Kubernetes API server的Res

深度剖析Kubernetes API Server三部曲 - part 1

欢迎来到深入学习Kubernetes API Server的系列文章,在本系列文章中我们将深入的探究Kubernetes API Server的相关实现.如果你对Kubernetes 的内部实现机制比较感兴趣或者正在进行Kubernetes 项目的相关开发工作,那么本系列文章能够为你提供一些帮助.了解学习过go语言,会在某些方面帮助你更好的理解本系列文章.在本期文章中,我们首先会对Kubernetes API Server进行一个总体的大致说明,然后对API的技术术语及请求流作说明.在下几期的文

kubernetes API Server 权限管理实践

API Server 权限管理应用 API Server权限控制方式介绍 API Server权限控制分为三种:Authentication(身份认证).Authorization(授权).AdmissionControl(准入控制). 身份认证: 当客户端向Kubernetes非只读端口发起API请求时,Kubernetes通过三种方式来认证用户的合法性.kubernetes中,验证用户是否有权限操作api的方式有三种:证书认证,token认证,基本信息认证. 证书认证 设置apiserver

深度剖析Kubernetes API Server三部曲 - part 3

在本系列的前两部分中我们介绍了API Server的总体流程,以及API对象如何存储到etcd中.在本文中我们将探讨如何扩展API资源.在一开始的时候,扩展API资源的唯一方法是扩展相关API源代码,集成为你所需的资源.或者,推动一个全新的类型为新的核心对象API合入社区代码.但是,这样就会导致核心API资源类型的不断增加,直至API过载.为了避免这种API资源的无限制扩展,在Kubernetes中提供两种扩展核心API的方法: 使用自定义资源定义(CRDs),最开始的时候被称为第三方资源(TP

深度剖析Kubernetes API Server三部曲 - part 2

在上一部分中我们对API server总体,相关术语及request请求流进行探讨说明.在本部分文章中,我们主要聚焦于探究如何对Kubernetes请添加链接描述 对象的状态以一种可靠,持久的方式进行管理.之前的文章中提到过 API Server自身是无状态的,并且它是唯一能够与分布式存储etcd直接通信的组件.etcd的简要说明在*nix操作系统中,我们一般使用/etc来存储相关配置数据.实际上etcd的名字就是由此发展而来,在etc后面加上个"d"表示"distribut

Centos7部署kubernetes API服务(四)

1.准备软件包 [[email protected] bin]# pwd /usr/local/src/kubernetes/server/bin [[email protected] bin]# cp kube-apiserver kube-controller-manager kube-scheduler /opt/kubernetes/bin/ 2.创建生成CSR的JSON配置文件 [[email protected] bin]# cd /usr/local/src/ssl/ [[emai

Kubernetes 源码分析 -- API Server之编解码

--------------------- 作者:weixin_34037977 来源:CSDN 原文:https://blog.csdn.net/weixin_34037977/article/details/87058105 在Kubernetes源码分析-- API Server之API Install篇中,我们了解到K8S可以支持多版本的API,但是Rest API的不同版本中接口的输入输出参数的格式是有差别的,Kubernetes是怎么处理这个问题的呢?另外Kubernetes支持ya

Kubernetes（八）自签Api server ssl证书

APIserver是整个集群的入口,只有它启动了,别的组件才可以启动:我们基于https访问,所以需要自签证书: 一.查看脚本 cd TLS/k8s 得到以下5个文件 ca-config.json ca-csr.json generate_k8s_cert.sh kube-proxy-csr.json server-csr.json #为api server启用https所使用证书 应用程序访问https api(自签证书)可用通过以下2种方式 1.证书添加IP可信任 2.携带CA证书 注意:在

Kubernetes（九）单Master 部署API Server、controller-manager、scheduler

一.在master节点下载二进制包 https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG-1.16.md#v1161 二.选择kubernetes-server-linux-amd64.tar.gz下载 wget https://storage.googleapis.com/kubernetes-release/release/v1.16.6/kubernetes-server-linux-amd64.tar.gz 三.解压