文章/答案/技术大牛

发布

社区首页 >专栏 >二进制部署k8s教程06 - 部署apiserver

二进制部署k8s教程06 - 部署apiserver

原创

janrs.com

发布于 2023-03-08 13:14:00

5550

文章被收录于专栏：超详细二进制部署k8s系列[19]篇超详细二进制部署k8s系列[19]篇

!TIP 二进制部署 k8s - 部署 kube-apiserver

转载请注明出处：https://janrs.com/dchk 有任何问题欢迎在底部评论区发言。

部署 kube-apiserver

1.创建目录

!NOTE 每台 master 服务器都要创建。

# 创建证书目录
mkdir -p /etc/kubernetes/pki/{apiserver/,kubelet/,aggregator/,service-account/,sign/,etcd/}

# 创建配置文件存放目录以及 kubeconfig 存放目录和初始化集群所需配置文件目录
mkdir -p /etc/kubernetes/{config/,kubeconfig/,init_k8s_config/}

# 创建 kubectl 使用 config 的默认目录
mkdir -p /root/.kube/

# 创建日志存放目录
mkdir -p /var/log/kubernetes/{apiserver/,controller/,scheduler/}

2.创建 ssl 证书

2-1.创建 ca 根证书

!NOTE ca 根证书采用 4096 位加密。创建证书可以在其他地方生成后再上传，设置好对应的 ip 就行。

cat > /ssl/apiserver-ca-csr.json <<EOF
{
    "key": {
        "algo": "rsa",
        "size": 4096
    },
    "names": [
        {
            "C": "CN",
            "L": "Beijing",
            "ST": "Beijing",
            "O": "k8s",
            "OU": "System"
        }
    ]
}
EOF
cd /ssl/ && \
cfssl gencert -initca apiserver-ca-csr.json | \
cfssljson -bare apiserver-ca - && \
ls apiserver-ca* | \
grep apiserver-ca

2-2.创建 server 证书

!NOTE hosts 参数的 ip 需要把 master 节点，HA 节点以及 vip 地址都写进去。

cat > /ssl/apiserver-server-csr.json <<EOF
{
    "CN": "kubernetes",
    "hosts": [
        "127.0.0.1",
        "172.16.222.121",
        "172.16.222.122",
        "172.16.222.123",
        "172.16.222.201",
        "172.16.222.202",
        "172.16.222.110",
        "10.68.0.1",
        "kubernetes",
        "kubernetes.default",
        "kubernetes.default.svc",
        "kubernetes.default.svc.cluster",
        "kubernetes.default.svc.cluster.local"
    ],
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "L": "Beijing",
            "O": "k8s",
            "OU": "System",
            "ST": "Beijing"
        }
    ]
}
EOF
cd /ssl/ && \
cfssl gencert -ca=apiserver-ca.pem \
-ca-key=apiserver-ca-key.pem \
-config=ca-config.json \
-profile=server apiserver-server-csr.json | \
cfssljson -bare apiserver-server && \
ls apiserver-server* | \
grep apiserver-server

2-3.创建 etcd 提供给 kube-apiserver 访问的 client 证书

!NOTE 由于是访问 etcd 的服务，所以要使用 etcd 的 ca 机构签发证书。

cat > /ssl/etcd-apiserver-client-csr.json <<EOF
{
    "CN": "kubernetes",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "ST": "Beijing",
            "L": "Beijing",
            "O": "k8s",
            "OU": "system"
        }
    ]
}
EOF
cd /ssl/ && \
cfssl gencert -ca=etcd-ca.pem \
-ca-key=etcd-ca-key.pem \
-config=ca-config.json \
-profile=client etcd-apiserver-client-csr.json | \
cfssljson -bare etcd-apiserver-client && \
ls etcd-apiserver-client* | \
grep etcd-apiserver-client

2-4.创建 kubelet 的 ca 证书

!NOTE ca 根证书采用 4096 位加密。

cat > /ssl/kubelet-ca-scr.json <<EOF
{
    "key": {
        "algo": "rsa",
        "size": 4096
    },
    "names": [
        {
            "C": "CN",
            "L": "Beijing",
            "ST": "Beijing",
            "O": "k8s",
            "OU": "System"
        }
    ]
}
EOF
cd /ssl/ && \
cfssl gencert -initca kubelet-ca-scr.json | \
cfssljson -bare kubelet-ca - && \
ls kubelet-ca* | \
grep kubelet-ca

2-5.创建 kubelet 提供给 kube-apiserver 访问的 client 证书

该证书由 kubelet 的 ca 签发机构创建。

客户端 client 证书不需要设置 hosts 参数。

cat > /ssl/kubelet-apiserver-client-csr.json <<EOF
{
    "CN": "kubernetes",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "C": "CN",
            "ST": "Beijing",
            "L": "Beijing",
            "O": "k8s",
            "OU": "system"
        }
    ]
}
EOF
cd /ssl/ && \
cfssl gencert -ca=kubelet-ca.pem \
-ca-key=kubelet-ca-key.pem \
-config=ca-config.json \
-profile=client kubelet-apiserver-client-csr.json | \
cfssljson -bare kubelet-apiserver-client && \
ls kubelet-apiserver-client* | \
grep kubelet-apiserver-client

3.分发证书

分发 etcd-ca.pem 密钥给 kube-apiserver

分发到 master 节点

scp /ssl/etcd-ca.pem root@172.16.222.121:/etc/kubernetes/pki/etcd/ && \

scp /ssl/etcd-ca.pem root@172.16.222.122:/etc/kubernetes/pki/etcd/ && \

scp /ssl/etcd-ca.pem root@172.16.222.123:/etc/kubernetes/pki/etcd/

分发 kube-apiserver 的 ca 根证书

分发到 master 节点

scp /ssl/apiserver-ca*.pem root@172.16.222.121:/etc/kubernetes/pki/apiserver/ && \

scp /ssl/apiserver-ca*.pem root@172.16.222.122:/etc/kubernetes/pki/apiserver/ && \

scp /ssl/apiserver-ca*.pem root@172.16.222.123:/etc/kubernetes/pki/apiserver/

分发 etcd 颁发给 kube-apiserver 的 client 证书

分发到 master 节点

scp /ssl/etcd-apiserver-client*.pem root@172.16.222.121:/etc/kubernetes/pki/etcd/ && \

scp /ssl/etcd-apiserver-client*.pem root@172.16.222.122:/etc/kubernetes/pki/etcd/ && \

scp /ssl/etcd-apiserver-client*.pem root@172.16.222.123:/etc/kubernetes/pki/etcd/

分发所有 kube-apiserver 的 server 证书

分发到 master 节点

scp /ssl/apiserver-server*.pem root@172.16.222.121:/etc/kubernetes/pki/apiserver/ && \

scp /ssl/apiserver-server*.pem root@172.16.222.122:/etc/kubernetes/pki/apiserver/ && \

scp /ssl/apiserver-server*.pem root@172.16.222.123:/etc/kubernetes/pki/apiserver/

分发 kubelet 的 ca 证书

分发到 node 节点

scp /ssl/kubelet-ca*.pem root@172.16.222.231:/etc/kubernetes/pki/kubelet/

分发 kubelet 颁发给 kube-apiserver 的 client 证书

分发到 master 节点

scp /ssl/kubelet-apiserver-client*.pem root@172.16.222.121:/etc/kubernetes/pki/kubelet/ && \

scp /ssl/kubelet-apiserver-client*.pem root@172.16.222.122:/etc/kubernetes/pki/kubelet/ && \

scp /ssl/kubelet-apiserver-client*.pem root@172.16.222.123:/etc/kubernetes/pki/kubelet/

4.下载 k8s server 端的二进制文件

!NOTE 每台 master 服务器都要下载。

下载

cd /tmp && \
wget https://dl.k8s.io/v1.23.9/kubernetes-server-linux-amd64.tar.gz

分发到每台 master 服务器

scp /tmp/kubernetes-server-linux-amd64.tar.gz root@172.16.222.121:/home/ && \

scp /tmp/kubernetes-server-linux-amd64.tar.gz root@172.16.222.122:/home/ && \

scp /tmp/kubernetes-server-linux-amd64.tar.gz root@172.16.222.123:/home/

解压

到每台 master 服务器解压

cd /home/ && \
tar -zxvf kubernetes-server-linux-amd64.tar.gz

复制二进制执行文件到 /usr/local/bin/

到每台 master 服务器复制

cd /home/kubernetes/server/bin/ && \
cp kube-apiserver kube-controller-manager kubectl kube-scheduler /usr/local/bin/

5.部署 kube-apiserver

5-1.创建服务启动配置文件

!NOTE 以下操作需要登录到对应的 master 服务器操作。只需要修改配置参数中的 ip 地址即可。注意：以下配置中，日志等级设置为：6 。产生的日志的速度会非常快。学习部署后可以修改为：2。

5-1-1.创建 master-01 服务器的启动配置文件

cat > /etc/kubernetes/config/apiserver.conf <<EOF
KUBE_APISERVER_OPTS="--enable-admission-plugins=NamespaceLifecycle,NodeRestriction,LimitRanger,ServiceAccount,DefaultStorageClass,ResourceQuota

--anonymous-auth=false

--bind-address=172.16.222.121

--secure-port=6443

--advertise-address=172.16.222.121

--insecure-port=0

--authorization-mode=Node,RBAC

--runtime-config=api/all=true

--service-cluster-ip-range=10.68.0.1/16

--service-node-port-range=30000-39999

--service-account-key-file=/etc/kubernetes/pki/apiserver/apiserver-ca.pem

--tls-cert-file=/etc/kubernetes/pki/apiserver/apiserver-server.pem

--tls-private-key-file=/etc/kubernetes/pki/apiserver/apiserver-server-key.pem

--client-ca-file=/etc/kubernetes/pki/apiserver/apiserver-ca.pem

--service-account-signing-key-file=/etc/kubernetes/pki/apiserver/apiserver-ca-key.pem

--service-account-issuer=https://kubernetes.default.svc.cluster.local

--api-audiences=https://kubernetes.default.svc

--etcd-cafile=/etc/kubernetes/pki/etcd/etcd-ca.pem

--etcd-certfile=/etc/kubernetes/pki/etcd/etcd-apiserver-client.pem

--etcd-keyfile=/etc/kubernetes/pki/etcd/etcd-apiserver-client-key.pem

--etcd-servers=https://172.16.222.111:2379,https://172.16.222.112:2379,https://172.16.222.113:2379

--feature-gates=RemoveSelfLink=false

--enable-swagger-ui=true

--allow-privileged=true

--apiserver-count=3

--enable-aggregator-routing=true

--audit-log-maxage=30

--audit-log-maxbackup=3

--audit-log-maxsize=100

--audit-log-path=/var/log/kubernetes/apiserver/apiserver-audit.log

--event-ttl=1h

--alsologtostderr=true

--logtostderr=false

--log-dir=/var/log/kubernetes/apiserver/

--v=6"
EOF

5-1-2.创建 master-02 服务器的启动配置文件

cat > /etc/kubernetes/config/apiserver.conf <<EOF
KUBE_APISERVER_OPTS="--enable-admission-plugins=NamespaceLifecycle,NodeRestriction,LimitRanger,ServiceAccount,DefaultStorageClass,ResourceQuota

--anonymous-auth=false

--bind-address=172.16.222.122

--secure-port=6443

--advertise-address=172.16.222.122

--insecure-port=0

--authorization-mode=Node,RBAC

--runtime-config=api/all=true

--service-cluster-ip-range=10.68.0.1/16

--service-node-port-range=30000-39999

--service-account-key-file=/etc/kubernetes/pki/apiserver/apiserver-ca.pem

--tls-cert-file=/etc/kubernetes/pki/apiserver/apiserver-server.pem

--tls-private-key-file=/etc/kubernetes/pki/apiserver/apiserver-server-key.pem

--client-ca-file=/etc/kubernetes/pki/apiserver/apiserver-ca.pem

--service-account-signing-key-file=/etc/kubernetes/pki/apiserver/apiserver-ca-key.pem

--service-account-issuer=https://kubernetes.default.svc.cluster.local

--api-audiences=https://kubernetes.default.svc

--etcd-cafile=/etc/kubernetes/pki/etcd/etcd-ca.pem

--etcd-certfile=/etc/kubernetes/pki/etcd/etcd-apiserver-client.pem

--etcd-keyfile=/etc/kubernetes/pki/etcd/etcd-apiserver-client-key.pem

--etcd-servers=https://172.16.222.111:2379,https://172.16.222.112:2379,https://172.16.222.113:2379

--feature-gates=RemoveSelfLink=false

--enable-swagger-ui=true

--allow-privileged=true

--apiserver-count=3

--enable-aggregator-routing=true

--audit-log-maxage=30

--audit-log-maxbackup=3

--audit-log-maxsize=100

--audit-log-path=/var/log/kubernetes/apiserver/apiserver-audit.log

--event-ttl=1h

--alsologtostderr=true

--logtostderr=false

--log-dir=/var/log/kubernetes/apiserver/

--v=6"
EOF

5-1-3.创建 master-03 服务器的启动配置文件

cat > /etc/kubernetes/config/apiserver.conf <<EOF
KUBE_APISERVER_OPTS="--enable-admission-plugins=NamespaceLifecycle,NodeRestriction,LimitRanger,ServiceAccount,DefaultStorageClass,ResourceQuota

--anonymous-auth=false

--bind-address=172.16.222.123

--secure-port=6443

--advertise-address=172.16.222.123

--insecure-port=0

--authorization-mode=Node,RBAC

--runtime-config=api/all=true

--service-cluster-ip-range=10.68.0.1/16

--service-node-port-range=30000-39999

--service-account-key-file=/etc/kubernetes/pki/apiserver/apiserver-ca.pem

--tls-cert-file=/etc/kubernetes/pki/apiserver/apiserver-server.pem

--tls-private-key-file=/etc/kubernetes/pki/apiserver/apiserver-server-key.pem

--client-ca-file=/etc/kubernetes/pki/apiserver/apiserver-ca.pem

--service-account-signing-key-file=/etc/kubernetes/pki/apiserver/apiserver-ca-key.pem

--service-account-issuer=https://kubernetes.default.svc.cluster.local

--api-audiences=https://kubernetes.default.svc

--etcd-cafile=/etc/kubernetes/pki/etcd/etcd-ca.pem

--etcd-certfile=/etc/kubernetes/pki/etcd/etcd-apiserver-client.pem

--etcd-keyfile=/etc/kubernetes/pki/etcd/etcd-apiserver-client-key.pem

--etcd-servers=https://172.16.222.111:2379,https://172.16.222.112:2379,https://172.16.222.113:2379

--feature-gates=RemoveSelfLink=false

--enable-swagger-ui=true

--allow-privileged=true

--apiserver-count=3

--enable-aggregator-routing=true

--audit-log-maxage=30

--audit-log-maxbackup=3

--audit-log-maxsize=100

--audit-log-path=/var/log/kubernetes/apiserver/apiserver-audit.log

--event-ttl=1h

--alsologtostderr=true

--logtostderr=false

--log-dir=/var/log/kubernetes/apiserver/

--v=6"
EOF

5-2.创建服务启动文件

!NOTE 使用 cat 命令创建文件时，环境变量参数会丢失。需要在开头的 EOF 加上单引号即可。在每台 master 服务器都要创建。每个启动文件都一样。

cat > /usr/lib/systemd/system/kube-apiserver.service <<'EOF'
[Unit]
Description=Kubernetes API Server Service
Documentation=https://github.com/kubernetes/kubernetes
#Requires=etcd.service
#After=etcd.service
Before=kube-controller-manager.service kube-scheduler.service

[Service]
EnvironmentFile=-/etc/kubernetes/config/apiserver.conf
ExecStart=/usr/local/bin/kube-apiserver $KUBE_APISERVER_OPTS
Restart=on-failure
RestartSec=5
Type=notify
LimitNOFILE=65536

[Install]
WantedBy=multi-user.target
EOF

5-3.启动服务

启动服务

systemctl daemon-reload && \
systemctl start kube-apiserver

5-4.设置开机启动

没有错误后，设置开启启动

systemctl enable kube-apiserver

5-5.其他操作

停止服务

systemctl stop kube-apiserver

查看状态

systemctl status kube-apiserver

查看错误

journalctl -l --no-pager  -u kube-apiserver

删除进程日志

rm -rvf /var/log/journal/*

至此。kube-apiserver 组件部署成功。

转载请注明出处：https://janrs.com/dchk 有任何问题欢迎在底部评论区发言。

原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。

如有侵权，请联系 cloudcommunity@tencent.com 删除。

https

数据分析

etcd

tcp/ip

原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。

如有侵权，请联系 cloudcommunity@tencent.com 删除。

登录后参与评论

暂无评论

微PE制作U盘启动盘，并安装Win10

存储 windows

微PE 是一款很好用的 WinPE （Windows预先安装环境（英语：Microsoft Windows Preinstallation Environment），简称Windows PE或WinPE）工具箱，可以用来制作一个随插随用的U盘启动盘，并且不影响U盘的日常使用，在 Windows 系统电脑的系统出问题时会是救命般的存在。下面就来介绍一下如何制作 PE启动盘，并使用它来安装 Win10 操作系统。

宋天伦

2020/09/29

31.7K0

全网最全Win10安装教程：U盘启动盘制作+正版镜像下载，一步到位

windows win10 windows10 windows-7 推荐系统

万里顾一诚

2025/03/12

4.2K2

蜗牛星际NAS安装黑群晖V6.2.1+洗白+免U盘引导启动

存储

推上看到有dalao分享蜗牛星际的车，作为伪“资深垃圾佬”自然不能错过，于是去咸鱼上收了一台。

全栈程序员站长

2022/09/05

22K0

Windows11官方原版系统安装全流程｜UEFI引导+TPM2.0绕过+驱动配置（附镜像下载）

Windows 11是微软推出的全新一代操作系统，以直观交互和AI技术为核心升级。其界面采用圆角设计和居中任务栏布局，支持多窗口贴靠分屏与虚拟桌面功能，提升多任务处理效率。系统深度融合Copilot智能助手，提供语音写作、照片一键编辑等AI功能，并通过DirectStorage技术优化游戏加载速度，支持DirectX 12 Ultimate实现更流畅的光影效果。

万里顾一诚

2025/05/27

4.1K0

Windows11官方原版系统安装全流程｜UEFI引导+TPM2.0绕过+驱动配置（附镜像下载）

黑苹果MacOS Big Sur 11.0 安装教程及驱动工具

存储 mac os https 网络安全

全栈程序员站长

2022/09/07

7.1K0

win10封装系统(sc封装)

windows

全栈程序员站长

2022/07/29

3.3K0

手把手教你如何重装win10系统(win10怎么自己重装系统)

https java 网络安全

发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/128612.html原文链接：https://javaforall.cn

全栈程序员站长

2022/07/28

2.7K0

【教程】Ｕ盘、硬盘安装原版win7、8.1、10系统

http 存储

《硬盘安装原版win7系统教程》链接：http://user.qzone.qq.com/1019963719/blog/1425718860。《陶院计算机协会教你用Ｕ盘装win7系统—详细教程》链接：http://user.qzone.qq.com/1019963719/blog/1399108233。此文介绍不是安装纯净版的系统。

若川

2020/03/19

3.5K0

windows10 数据分区企业 windows win10

Windows 10 是微软推出的一款具有重要影响力的操作系统。它在易用性和安全性上有显著提升，对云服务、智能移动设备等新技术进行融合，还优化支持了固态硬盘等硬件。其特点丰富，有 Cortana 个人助理、Edge 浏览器、多桌面和任务视图等。开始菜单回归经典且具高度可定制性，搜索栏功能强大。从 Windows Store 下载的应用可窗口化运行。

万里顾一诚

2025/06/09

8.3K0

最新Win10专业版系统下载｜Win10 22H2纯净版安装教程｜UEFI引导+U盘分区优化+安全加固（含官方镜像文件）

【电脑配置】开发人员必备，黑苹果双系统安装教程

存储

(1)首先我们准备一个8~16G的U盘，在百度搜TransMac下载一个苹果系统U盘制作工具，点击第二个。如图所示▼

全栈程序员站长

2022/09/12

4.8K0

使用u盘安装windows10_微软正式终止支持win7

https windows server 网络安全

此次不是pe系统，相当于把U盘作为光盘直接启动安装，不用pe系统不用iso镜像文件。简单粗暴、微软官方系统安全。

全栈程序员站长

2022/11/15

4900

Windows系统封装学习

windows https 网络安全

Windows 安装程序可以执行全新安装和升级安装。但是，无法执行计算机到计算机的迁移。因此，你必须使用 Windows Easy Transfer、用户状态迁移工具 (USMT) 或其他迁移工具将数据从以前的安装移动到新的操作系统。

全栈工程师修炼指南

2020/10/26

3.5K0

黑群晖安装与使用

存储 tcp/ip windows

装过黑苹果的人都知道，装黑苹果时，除了需要准备系统镜像以外，还需要有一个引导U盘。装黑群晖也是同样的，也需要一个单独的引导U盘。不过装完黑苹果之后可以将引导转移到电脑硬盘上，而黑群晖则需要一直插着引导U盘。苹果电脑的系统叫做MacOS，微软的叫做Windows，群晖系统则叫做DSM，它是DiskStation Manager的缩写。黑群晖的系统镜像后缀为.pat，引导文件后缀一般为.img。

全栈程序员站长

2022/08/30

22.1K0

利用微PE装机工具制作U盘启动盘并重装系统详细教程

windows gpt iso msdn 镜像

突然有这篇文章是因为最近给发小笔记本电脑更换了固态硬盘，而更换固态后直接把原装的机械硬盘挂咸鱼卖了，而系统数据都在机械硬盘，新硬盘是空的什么也没有，需要重新做个系统。

岳泽以

2022/10/26

44.2K0

win10+黑苹果单硬盘双系统超简单安装一看就会「建议收藏」

gui 存储

全栈程序员站长

2022/08/30

13.8K0

Windows10官方正版系统的安装、激活、升级、U盘制作，无毒无害无捆绑无风险教程

存储

- 完成下载后，拔掉所有外接存储设备（U盘，移动硬盘，读卡器等），否则无法进行安装

兮动人

2021/06/11

1.4K0

Windows10官方正版系统的安装、激活、升级、U盘制作，无毒无害无捆绑无风险教程

(图文)U盘安装原版WIN10系统

存储

首先我们先去下载好WIN10 64的原版系统那么去哪里下呢不用看首选肯定是MSDN的了直接百度MSDN 或者 I TELL YOU 都可以进入都官网【这里直接提供一个镜像下载】：

Erwin

2019/12/31

1.3K0

微软官方工具安装Win10的教程

windows https 网络安全

这是两年前，铅锤哥出的Win7教程，至今已经帮助上万的网友成功重装系统，但是Win7毕竟已经过时了，很多粉丝开始呼吁铅锤哥出Win10的教程。

青梅煮码

2023/03/13

1.3K0

[735]利用UItraISO软碟通制作U盘启动盘安装Ubuntu16.04系统

ubuntu linux 存储 https 网络安全

第2，3可以不勾选：第2选项是默认.ISO文件都用软碟通打开，不经常使用软碟通没必要关联；第3选项会生产一个驱动器（空盘），类似于百度云盘的，不经常使用软碟通不建议勾选。

周小董

2020/01/13

3.9K0

[735]利用UItraISO软碟通制作U盘启动盘安装Ubuntu16.04系统

自带win10系统换win7的那些坑

存储

发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/135729.html原文链接：https://javaforall.cn

全栈程序员站长

2022/09/05

2.6K0