1.3 - 使用Docker安装和管理Rancher Server.md · Lin Peifeng/Rancher Academy

# 1.3 - 使用Docker安装和管理Rancher Server

## 1.3.1 - 安装 Rancher

Rancher提供了两种安装方法，一种是使用单一Docker容器安装所有内容的沙盒方法，另一种是安装到RKE（或者任何K8S）中的HA方法。

虽然沙盒方法并不高可用，但你为什么要选择它呢?

首先，它很简单，也很快。它非常适合实验室和开发环境，软件演示，或任何你要把它立起来，使用它，然后拆掉它的地方。

事实上，我们即将给出的演示正是沙盒部署选项的完美应用。

除了不具有高可用性之外，它还与HA方法不兼容。目前还没有从一个集群迁移到另一个集群的方法，所以如果你部署了生产集群，之后想迁移到HA版本，你必须重新创建所有下游集群和配置。

出于这个原因，重要的是要考虑Rancher安装将成为什么。如果您想测试它，但您可能会在生产环境中使用它，那么最好从HA方法开始，并使用单节点安装。

我们将在下一节中介绍HA的安装方法。

### 常用参数

启动Docker容器时，至少要使用以下参数选项：

*   `-d`：daemon方式运行
*   `-p 80:80 -p 443:443`: 传递80和443端口
*   `--restart=unless-stopped`：这样做是因为备份和升级过程需要停止容器。如果你使用`always`，那么你将永远无法停止它。你必须杀掉它，然后你就不能重新启动它了。

sudo docker run -d --restart=unless-stopped -p 80:80 -p 443:443 --privileged rancher/rancher

### SSL证书考虑

对于如何安全访问Rancher Server，您有四种选择：

#### 使用 Rancher 默认的自签名证书

默认选项是最简单的，不需要你做任何事情。当Rancher首次启动时，如果没有提供SSL配置选项，它将生成自签名证书并使用该证书来确保访问安全。

docker run -d --restart=unless-stopped \
      -p 80:80 -p 443:443 \
      --privileged \
      rancher/rancher:latest

#### 使用你自己的证书 - 自签名

你也可以生成自己的证书，并将它们作为Docker卷附加到容器上。你需要三个文件:

*   \<PRIVATE\_KEY.pem>：证书私钥的路径
*   \<FULL\_CHAIN.pem>：完整证书链的路径
*   \<CA\_CERTS.pem>：CA 证书的路径

docker run -d --restart=unless-stopped \
      -p 80:80 -p 443:443 \
      -v /<CERT_DIRECTORY>/<FULL_CHAIN.pem>:/etc/rancher/ssl/cert.pem \
      -v /<CERT_DIRECTORY>/<PRIVATE_KEY.pem>:/etc/rancher/ssl/key.pem \
      -v /<CERT_DIRECTORY>/<CA_CERTS.pem>:/etc/rancher/ssl/cacerts.pem \
      --privileged \
      rancher/rancher:latest

#### 使用你自己的证书 - 可信 CA 签名的证书

如果你在公共环境中运行Rancher，它可以被其他人访问，你可能希望使用真正的证书来保护它，以避免来自未知机构签名的证书的安全警告。为此，只需要两个文件:

*   \<PRIVATE\_KEY.pem>：证书私钥的路径
*   \<FULL\_CHAIN.pem>：完整证书链的路径

除了不需要为CA证书创建卷之外，这些步骤与携带自己的自签名证书相同。Rancher将使用随容器一起的证书存储库中的CA证书。
使用 --no-cacerts 作为容器的参数，以禁用 Rancher 生成的默认 CA 证书：

docker run -d --restart=unless-stopped \
      -p 80:80 -p 443:443 \
      -v /<CERT_DIRECTORY>/<FULL_CHAIN.pem>:/etc/rancher/ssl/cert.pem \
      -v /<CERT_DIRECTORY>/<PRIVATE_KEY.pem>:/etc/rancher/ssl/key.pem \
      --privileged \
      rancher/rancher:latest \
      --no-cacerts

#### Let's Encrypt 证书

Rancher可以直接从Let's Encrypt通过http-01质询来验证请求证书。这种方式适用于可以从互联网直接、通过端口转发或通过面向公众的负载均衡器访问Rancher服务器的环境。

Rancher服务器必须有一个指向Rancher服务器主机IP的DNS名称，并且它必须在端口80上可访问。质询可能来自任何地方，所以80端口必须向世界开放。

要从Let's Encrypt发起证书请求，请在容器镜像\* *之后* \*将`——acme-domain`作为启动选项提供给Rancher服务器容器。这不是Docker的标志，因此通过将其放置在image之后，标志被传递给Rancher服务器容器入口点，Rancher发出请求。

docker run -d --restart=unless-stopped \
      -p 80:80 -p 443:443 \
      --privileged \
      rancher/rancher:latest \
      --acme-domain <YOUR.DNS.NAME>

### 高级选项

使用 Docker 将 Rancher 安装到单个节点时，有如下几个可开启的高级选项：

*   自定义 CA 证书
*   API 审计日志
*   TLS 设置
*   离线环境
*   持久化数据
*   在同一个节点中运行 rancher/rancher 和 rancher/rancher-agent
    详情请参见[官方文档](https://ranchermanager.docs.rancher.com/zh/reference-guides/single-node-rancher-in-docker/advanced-options)。

#### 持久化数据

Rancher为其持久数据创建一个Docker卷保存etcd数据，并将其挂载在容器内的`/var/lib/Rancher`目录下。如果愿意，可以将一个目录从主机绑定挂载到这个位置。通过使用绑定挂载的目录，备份和恢复比使用Docker卷更容易。

docker run -d --restart=unless-stopped \
      -p 80:80 -p 443:443 \
      -v /opt/rancher:/var/lib/rancher \
      --privileged \
      rancher/rancher:latest

## 1.3.2 - 创建备份

当作为容器运行时，要备份Rancher，需要备份容器中位于`/var/lib/Rancher`的持久数据。这取决于你如何启动容器，它可能是一个Docker卷，也可能是主机上绑定挂载的卷。

在创建备份时，使用一个同时包含日期和rancher版本的标识符，例如`rancher-data-backup-v2.3.4-2020-02-07.tar.gz`。

### Docker 数据卷

如果容器使用的是Docker卷，则备份过程如下所示:

1.  停止容器
2.  创建一个使用相同卷的数据容器
3.  启动一个临时容器，将`/var/lib/rancher`提取到本地压缩包中
4.  启动容器
5.  移除主机上的备份。

当进行备份时，使用`-p`和`tar`来维护文件和目录的权限是很重要的。

cd /opt
    docker stop <container>
    sudo mv rancher rancher.old
    sudo tar czpf rancher-2.3.5-2020-03-19.tgz
    (or)
    sudo mv rancher.bak rancher
    docker start <container>

### 绑定挂载卷

如果容器正在使用主机上绑定挂载的卷，则备份流程如下:

1.  停止容器
2.  从bind-mount目录创建一个压缩包
3.  启动容器
4.  移除主机上的备份。

当进行备份时，使用`-p`和`tar`来维护文件和目录的权限是很重要的。

## 1.3.3 - 从备份点恢复

与进行备份一样，从备份中恢复的过程也取决于您如何进行备份。在这两种情况下，都要将备份tarball恢复到一个目录中，该目录将用于新的Rancher服务器容器。

### Docker 数据卷

当我们进行备份时，我们从一个数据容器中执行此操作并创建一个压缩包。我们现在想用tar压缩包的内容覆盖rancher容器中`/var/lib/rancher`的内容。

1.  将您想要恢复的压缩包移动到Rancher服务器并将其放置在`/opt/backup`中
2.  停止Rancher 容器
3.  重新备份Rancher服务器容器的当前状态
4.  运行一个临时容器，使用Rancher容器中的卷，并使用一个命令删除`/var/lib/Rancher`的内容，然后将tar压缩包提取到其中。
5.  启动Rancher容器

当Rancher容器启动时，它将使用备份中恢复的内容。

### 绑定挂载卷

如果您使用绑定挂载的卷，例如`/opt/rancher`，那么从备份中恢复就更容易了。

1.  将要恢复的压缩包移动到Rancher服务器并将其放置在`/opt`中
2.  停止Rancher 容器
3.  移动`/opt/rancher`到`/opt/rancher.bak`
4.  提取压缩包。这将创建一个新的`/opt/rancher`
5.  启动Rancher容器

当Rancher容器启动时，它将使用备份中恢复的内容。

## 1.3.4 - 升级Rancher

在Docker容器中运行Rancher的升级过程与创建和恢复备份的过程类似，不同的是我们将启动一个新版本的Rancher容器，而不是启动现有的Rancher容器。Rancher将在数据开始时对其进行任何升级。

### Docker 数据卷

1.  停止Rancher集装箱
2.  创建一个使用相同卷的数据容器
3.  启动一个临时容器，将`/var/lib/rancher`提取到本地压缩包中
4.  拉取Rancher服务器容器映像的最新或所需版本
5.  使用与原始容器相同的证书选项启动一个新容器，添加一个指向数据容器的`——volumes-from`指令。
6.  通过登录到新的Rancher服务器并确认其正常运行来验证升级。
7.  删除已停止的Rancher容器，以便在主机重新启动时它不会重新启动。

### 绑定挂载卷

1.  停止Rancher集装箱
2.  从bind-mount目录创建一个压缩包
3.  拉取Rancher服务器容器映像的最新或所需版本
4.  使用与原始容器相同的证书选项启动一个新容器，将bind-mount主机目录挂载到`/var/lib/rancher`
5.  通过登录到新的Rancher服务器并确认其正常运行来验证升级。
6.  删除已停止的Rancher容器，以便在主机重新启动时它不会重新启动。

如果升级后的Rancher服务器没有按照预期运行，请停止它，按照步骤恢复备份，并启动旧容器以恢复之前的状态。Rancher恢复运行后，从主机中删除失败的升级容器。

## 1.3.5 - 小测验

*   使用SSL保护Rancher的方法有几种？分别是什么？
*   你能在离线环境中使用Let's Encrypt吗？
*   使用绑定挂载卷的主要好处是什么？
*   为什么升级后要删除旧的Rancher容器？

## 1.3.6 - Lab

## 1.3.7 - 参考文档

*   <https://ranchermanager.docs.rancher.com/zh/pages-for-subheaders/single-node-rancher-in-docker>
*   <https://ranchermanager.docs.rancher.com/zh/getting-started/installation-and-upgrade/other-installation-methods/rancher-on-a-single-node-with-docker/upgrade-docker-installed-rancher>

Lin Peifeng/Rancher Academy

简介

发行版

贡献者

近期动态

Lin Peifeng/Rancher Academy .gitee-modal { width: 500px !important; }

简介

发行版

贡献者

近期动态

搜索帮助

Lin Peifeng/Rancher Academy