1.2 - RKE 介绍.md · Lin Peifeng/Rancher Academy

# 1.2 - RKE 介绍

## 1.2.1 - 概述

安装Rancher有两种方式——一种是适合沙盒（测试）环境的独立方式，另一种是将Rancher部署到高可用的Kubernetes集群中。对于该集群，我们使用Rancher Kubernetes Engine，也称为RKE。

RKE是100% Kubernetes兼容的发行版，由云原生计算基金会CNCF认证。RKE做的唯一改变是它完全运行在Docker容器中。这使得它的可移植性和部署速度非常快——除了Docker的支持版本，你不需要在主机上安装其他任何东西。

这与通过Kubeadm之类的工具部署Kubernetes有什么不同?

使用Kubeadm，首先需要将Kubelet和Proxy部署到每台主机上，在使用Kubeadm命令使集群正常运行之前，需要手动设置网络。当您想要添加或删除节点时，您需要重复这些步骤。是额外的工作使你的工作更加困难。

使用RKE，您可以快速地使用Docker提供主机。RKE使用声明性配置来定义集群，因此在输入主机及其角色之后，您可以运行 `rke up` 来部署集群。

RKE二进制文件从本地工作站或共享管理主机运行，而不是从集群节点本身运行。它通过SSH连接到节点，安装Kubernetes并将节点连接在一起，然后返回一个配置，您可以使用`kubectl`来访问集群。

当您需要对集群进行更改时，例如升级Kubernetes时，您可以更改配置文件，然后再次运行`rke up`来应用这些更改。

因为所有东西都在Docker容器中运行，所以升级既简单又安全。

## 1.2.2 - 安装 RKE

RKE既是一个Kubernetes发行版，也是一个安装程序。安装程序运行在本地工作站上或共享管理主机上，您可以使用它通过SSH配置集群。

您可以在发布页面（ github.com/rancher/rke ）上找到针对您的平台的最新版本的RKE。在x86和Arm上，macOS、Windows和Linux都有对应的二进制文件。

安装它就像下载它一样简单，更改名称，将其移动到你的搜索路径中，并使其可用于需要它的平台。

如果你用的是Mac，也可以通过Homebrew安装。

## 1.2.3 - 准备 Kubernetes 集群节点

### Docker

通过您想要的任何方式准备Linux节点。你可以使用Ansible、Terraform、Puppet、Chef、cloud-init、shell脚本工具或其他任何东西手动配置Linux节点。最后一步，在它们上面安装Docker。

但不是任何版本的Docker，Kubernetes的[官方文档](https://kubernetes.io/docs/setup/production-environment/container-runtimes/#docker)中有一个支持的Docker版本列表.

大多数Linux版本都适合部署开箱即用的RKE，但请确保:

* SSH用户在Docker组中
* 在任何worker节点上都禁用了swap

如果您使用的是RHEL/CentOS版本的Docker，则必须进行额外的更改，这些更改在[官方文档](https://docs.rancher.cn/docs/rke/os/_index#rhel%E3%80%81oel-%E6%88%96-centos)中介绍。

为了使您更容易安装，Rancher已版本化安装脚本，将部署正确的Docker版本的Linux选择。
例如，此命令可用于在 Ubuntu 上安装 Docker 20.10：
```
curl https://releases.rancher.com/install-docker/20.10.sh | sh
```

### 端口 Ports

您的环境可能有限制网络流量的安全策略。来自运行RKE的节点的流量需要能够到达每个Kubernetes节点上的端口22，以及每个控制平面节点上的6443。这是Kubernetes API的端口要求。

对于集群本身，[官方文档](https://rancher.com/docs/rke/latest/en/os/#ports)介绍了哪些端口需要对哪些端口开放。这种级别的端口配置不是  *必需的*——它取决于你的安全策略。位于安全位置的开发或实验室环境可能会简单地打开集群中所有节点之间的所有通信，并限制从集群子网外部访问这些节点。

### SSH

所有系统必须通过将`AllowTcpForwarding`设置为`yes`来允许在`/etc/ssh/sshd_config`配置中的TCP转发。
```
AllowTcpForwarding yes
```

另外，RKE也可以使用SSH密钥。如果你的SSH密钥有密码，你可以传递`--ssh-agent-auth`，让RKE在本地系统上使用SSH代理。

这也意味着你需要在`authorized_keys`文件中为系统上的SSH用户保存SSH密钥。

## 1.2.4 - 准备Cluster配置文件

最后一节让这一切看起来比实际情况更复杂。一旦你熟悉了RKE，你就可以在模板或配置脚本中定义所有这些东西，并且可以根据需要快速启动节点。

下一步是生成RKE用于安装Kubernetes的配置文件。这个文件名为`cluster.yml `。默认情况下，它是用YAML编写的。

一种方法是使用Rancher提供的最小配置文件，如你所见，这使得“最小”一词有点轻描淡写。

但是，这里显示的是，您可以构建一个Kubernetes集群，只需一个节点定义，该节点定义包含IP 地址、用户和所有三个角色: etcd, controlplane, 和 worker。

下面是最小配置文件例子：

```
nodes:
    - address: 1.2.3.4
      user: ubuntu
      role:
        - controlplane
        - etcd
        - worker
```

[官方文档](https://rancher.com/docs/rke/latest/en/example-yamls/#full-cluster-yml-example)有完整配置文件`cluster.yaml`参考。

从技术上讲，这使它成为一个单节点集群。

如果我想要比单个节点更强的容错性呢?我要重新构建集群吗?

答案是不需要! RKE最令人惊讶的地方之一是它能够在运行中重新定义集群。如果你从一个单节点集群开始，你可以通过在配置中添加两个主机并再次运行`rke up`将其变成一个三节点HA集群。

另一种生成RKE集群配置文件`cluster.yaml`的方法，也是推荐的方法，是运行` RKE config`并按照本章进行操作。这让你可以选择设置公共IP地址和私有IP地址，如果你在AWS等地方部署集群，其中的节点不知道它们的公共IP地址，这是必要的。

## 1.2.5 - 自定义证书

Kubernetes通过TLS证书保护节点之间的通信。这些证书不一定是由公共CA签名的证书，默认情况下RKE会自动为你生成证书。如果你更喜欢使用自己的证书，你可以使用自定义的证书目录来存放你的证书，也可以让RKE生成由外部CA签名的csr。它们会为集群提供所有正确的备选DNS和IP名称。

一旦从CA收到签名证书，就可以将它们用作自定义证书。

## 1.2.6 - 部署 Kubernetes 集群

部署前的检查清单如下:

*   RKE 命令行工具
*   `clustser.yaml`配置文件
*   每个节点Linux操作系统和网络配置
*   每个节点SSH 用户、SSH互信配置和Docker用户组配置
*   每个节点Docker安装

一切就绪后，使用`rke up`开始部署集群，例如：

```
rke up

INFO[0000] Building Kubernetes cluster
INFO[0000] [dialer] Setup tunnel for host [10.0.0.1]
INFO[0000] [network] Deploying port listener containers
INFO[0000] [network] Pulling image [alpine:latest] on host [10.0.0.1]
...
INFO[0101] Finished building Kubernetes cluster successfully
```

这将运行几分钟，最后，我们将有一个工作的Kubernetes集群。

## 1.2.7 - 保存文件

当集群完成构建时，你会在`cluster.yml`目录下有两个新文件。一个是kubectl的配置文件。另一个是`cluster.rkestate`，其中包含用于访问集群的证书和凭据信息。

* cluster.yml：RKE 集群的配置文件。
* kube_config_cluster.yml：该集群的Kubeconfig文件包含了获取该集群所有权限的认证凭据。
* cluster.rkestate：Kubernetes 集群状态文件，包含了获取该集群所有权限的认证凭据

你可以将kube\_config文件复制到你的`.kube` 目录中。并将其添加到KUBECONFIG环境变量中。

这些文件对于以后访问集群非常重要，将来恢复备份或升级集群时也会用到它们。请确保它们已经备份，但因为它们包含允许完全访问集群的信息，所以请确保它们保存在一个安全的位置。

## 1.2.8 - 备份和灾难恢复

### 备份集群

我们很多人都经历过，一切都很好，突然就不好了。事情似乎总是在糟糕的时刻变更糟——墨菲定律，对吧？ 要记住的是，每个人都知道事情会变糟。这不是如果，而是何时。

重要的是你对这种不可避免的情况有多大的准备。对于Kubernetes来说，这意味着你需要定期备份etcd数据存储。

常规的如何？这取决于你。你能承受损失多少数据？一个非常活跃的集群可能每15分钟，甚至每5分钟创建一个快照。不那么活跃的集群可能每天创建一次快照。RKE默认每6小时创建一个快照，并将快照保留一天，但您可以更改配置中的设置。

你可以在任何时候通过执行命令`rke etcd snapshot-save` 来运行快照，并可以设定备份的名称和`cluster.yaml `文件的位置。这将在所有etcd主机上将一个快照写入`/opt/rke/etc -snapshots`。您可以在那里挂载NFS卷，也可以配置RKE将快照复制到S3。

```
rke etcd snapshot-save --config cluster.yml --name snapshot-name
```

您可以启用etcd-snapshot服务，使用相关的配置参数，开启定时备份 etcd 节点快照功能。

etcd-snapshot在etcd容器之外的服务容器中运行。默认设置下，etcd-snapshot服务会为每一个具有etcd角色的节点创建快照，然后将这些快照储存在本地的/opt/rke/etcd-snapshots路径下。如果您配置了 AWS S3 相关的参数，RKE 会将快照上传到 S3 Backend。

配置快照服务的 YAML 示例:

```
services:
  etcd:
    backup_config:
      interval_hours: 12 # 创建快照的间隔时间，单位是小时，12表示每12个小时创建一个快照
      retention: 6 # 快照的存活时间，单位是小时
      s3backupconfig:
        access_key: S3_ACCESS_KEY
        secret_key: S3_SECRET_KEY
        bucket_name: s3-bucket-name
        region: "" # 可选填
        folder: "" # 可选填，RKE v0.3.0开始可用
        endpoint: s3.amazonaws.com #默认值为：s3.amazonaws.com
        custom_ca: |-
          -----BEGIN CERTIFICATE-----
          $CERTIFICATE
          -----END CERTIFICATE-----
```

### 恢复集群

快照总是保存在本地，它们也可以写入到S3。如果您有快照的本地副本，您可以使用`rke etcd snapshot-restore`恢复它，如果您提供快照的名称。确保你是在`cluster.yml` 和`cluster.rkestate`的目录下运行命令。并且快照在`/opt/rke/etcd-snapshots`中。

请运行以下命令，从本地快照中还原 etcd：

```
rke etcd snapshot-restore --config cluster.yml --name mysnapshot
```
或者，您可以提供保存快照的S3凭据，RKE将从S3中拉取快照并应用它。

恢复快照是一个破坏性的过程。它将删除当前集群并从RKE快照中创建一个新的集群。建议先创建当前集群状态的快照，再进行快照恢复。

## 1.2.9 - 升级Kubernetes集群

不久之后，您将不得不升级 Kubernetes。 这只是您必须做的事情之一，而且是一件好事 - 每个版本都有新功能可供尝试，并且已经在 alpha 或 beta 中的功能得到提升。

要升级 Kubernetes，首先要升级主机系统上的 RKE。 RKE 的每个版本都有一个特定的受支持 Kubernetes 版本列表，您可以通过运行带有 `list-version` 和 `all` 标志的 `rke config` 来找到它

```
$ rke config --list-version --all
v1.15.3-rancher2-1
v1.13.10-rancher1-2
v1.14.6-rancher2-1
v1.16.0-beta.1-rancher1-1
```

在升级 Kubernetes 之前，对 etcd 的一次性快照并将其移出集群主机。 没有自动回滚升级的方法，因此如果出现问题，您必须按照从快照恢复的步骤进行操作。

快照完成后，您知道要升级到哪个版本，编辑 `cluster.yml` 并在 `kubernetes_version` 键中设置该版本。 确保您没有在 `system_images` 下设置它，除非您使用的是不受支持的版本。 您可以在[官方文档](https://rancher.com/docs/rke/latest/en/upgrades/)中找到更多相关信息。

设置 Kubernetes 版本后，运行 `rke up` 去喝杯咖啡。 RKE 将为您升级系统并重新启动所有组件。 完成后，一切就绪。

有时您可能需要更改特定 Kubernetes 服务在 RKE 集群中的运行方式。 您甚至可能需要运行特定版本的服务，独立于该版本 Kubernetes 的默认设置。 您可以通过编辑特定服务的`services`键下的值，然后运行`rke up`来应用更改来完成这些操作。

## 1.2.10 - 证书管理

如果您使用的是自动生成的证书，则可以使用 `rke cert rotate` 轮换证书。 您可以轮换所有证书、单个服务的证书或 CA 和所有证书。

证书轮换将导致使用证书的服务重新启动，这可能会导致服务短暂中断。

- rke cert rotate：轮换全部服务证书。
- rke cert rotate --service <ServiceName>：轮换单个服务证书。
- rke cert rotate --rotate-ca：轮换 CA 证书和全部服务证书。

## 1.2.11 - 添加或删除节点

在本模块的前面部分，讨论了 RKE 如何动态调整集群。 稍后您将在 Rancher 恢复过程中看到这一点，可以根据恢复的数据构建一个单节点集群，然后再向其添加两个节点。 全部完成后，它就是一个三节点集群并且具有高可用性。

您可以对worker节点和controlplane节点执行相同的操作。 一个 HA 集群有两个controlplane节点、三个 etcd 节点和尽可能多的 worker节点。 如果需要，您可以把etcd 和controlplane角色放在同一个节点，也可以将它们分开。 您甚至可以先将它们组合起来，然后再将它们分开。

通过更改节点的角色，所有这些更改都发生在`cluster.yml`中。 您可以添加新节点并指定其角色。 您可以从节点中删除角色，RKE 将从该节点中取消配置这些组件。

我们建议的是您一次只进行*一个更改*, 例如，假设您在节点 A 和节点 B 上具有controlplane功能，并且您希望将其从节点 B 移动到节点 C。最安全的方法 这样做是将节点 C 添加为controlplane节点，并在集群稳定后，从节点 B 中删除controlplane角色。这样可以确保您的集群始终高可用。

## 1.2.12 - 总结

RKE 是 Rancher HA 部署的基础，是 Rancher 部署在基础设施节点上的 Kubernetes 发行版。 您现在拥有创建 RKE 集群、备份、恢复以及从命令行与其交互的技能。

在下一个节中，我们将通过将 Rancher 安装到 RKE 集群中。

## 1.2.13 - 小测验

* RKE 是安装程序还是发行版？
* 生成RKE配置文件的命令是什么？
* 升级前如何找到可用的 Kubernetes 版本列表？
* 如果 Kubernetes 升级失败，如何恢复？
* 如何在 RKE 集群中添加或移除节点？

## 1.2.14 - 练习

* 在一个节点中部署RKE集群，并升级到3个节点的集群

Lin Peifeng/Rancher Academy

简介

发行版

贡献者

近期动态

Lin Peifeng/Rancher Academy .gitee-modal { width: 500px !important; }

简介

发行版

贡献者

近期动态

搜索帮助

Lin Peifeng/Rancher Academy