wx5b285b48ed74e

kubernetes(十) kubernetes service,ingress&cm,secret

Service

Service存在的意义

防止pod失联（服务发现）
定义一组pod的访问策略（负载均衡）

Pod 与Service的关系

通过label-selector相关联
通过Service实现Pod的负载均衡（TCP/UDP 4层）

Service的三种类型

ClusterIP

默认类型：分配一个稳定的IP地址，即VIP，只能在集群内部访问（通Namespace内的POD）

NodePort

在每个节点上启用一个端口来暴露服务，可以在集群外部访问，也会分配一个稳定的内部集群IP地址
访问地址： :

LoadBalancer

与NodePort类似，在每个节点上启用一个端口来暴露服务
kubernetes会请求底层云平台上的负载均衡器，将每个node（nodeip:port）作为后端添加进去

Service代理模式

iptables VS ipvs

iptables
- 默认的代理模式
- 灵活，功能强大
- 规则遍历匹配和更新，呈线性时延
ipvs
- 工作在内核态，有更高的性能
- 调度算法丰富： rr, wrr，lc，wlc，ip hash

ipvs模式在二进制部署的k8s集群中需要调整kube-proxy的配置文件

所有节点配置如下(master 和 node都需要做)

安装ipvs

yum -y install ipvsadm
modprobe br_netfilter
cat > /etc/sysconfig/modules/ipvs.modules <<EOF
#!/bin/bash
modprobe -- ip_vs
modprobe -- ip_vs_rr
modprobe -- ip_vs_wrr
modprobe -- ip_vs_sh
modprobe -- nf_conntrack_ipv4
EOF
chmod 755 /etc/sysconfig/modules/ipvs.modules && bash /etc/sysconfig/modules/ipvs.modules && lsmod | grep -e ip_vs -e nf_conntrack_ipv4

service DNS名称

CoreDNS：是一个dns服务器，kubernetes默认采用，以POD部署在集群中，coredns服务监视kubernetesAPI,为每一个service创建DNS记录用来作为域名解析
CoreDNS YAML文件：https://github.com/kubernetes/kubernetes/tree/master/cluster/addons/dns/coredns
ClusterIP 的A记录格式： <service-name>.<namespace-name>.svc.cluster.local

深入理解ingress

ingress为弥补NodePort的不足而生

NodePort 存在的不足
- 一个端口只能一个服务使用，端口需要提前规划
- 只支持四层负载均衡

pod与ingress的关系

通过service相关联
通过ingress controller实现Pod的负载均衡
- 支持TCP/UDP四层和HTTP(S)七层

ingress controller

Ingress Controller有很多实现，我们这里采用官方维护的Nginx控制器。

部署文档:https://github.com/kubernetes/ingress-nginx/blob/master/docs/deploy/index.md

注意事项
- ingress-controller镜像要修改成国内的: registry.cn-hangzhou.aliyuncs.com/acs/aliyun-ingress-controller:v0.30.0.2
- 使用宿主机网络:hostNetwork:true
其他控制器
- Traefik: HTTP反向代理、负载均衡工具
- Istio:服务治理，控制入口流量
工作原理

ingress 规则

基础准备

准备两个web service为后续的http和https做准备

$ kubectl create deployment web --image=nginx:1.18-alpine    #创建deploy
$ kubectl expose deployment web --port=80 --type=NodePort --target-port=80 --name=web    #暴露端口并创建svc=web的控制器
$ kubectl create deployment web1 --image=nginx:1.18-alpine
$ kubectl expose deployment web1 --port=80 --type=NodePort --target-port=80 --name=web1

单域名基础配置

官方文档： https://kubernetes.io/zh/docs/concepts/services-networking/ingress/
单域名yml

$ vim http_demo.yml
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: http-ingress
spec:
  rules:
  - host: test.cropy.cn
    http:
      paths:
      - path: /
        backend:
          serviceName: web
          servicePort: 80
$ kubectl apply -f http_demo.yml
$ kubectl get ingress     #查看对应的ingress
$ kubectl exec -it nginx-ingress-controller-5pn98 -n ingress-nginx -- bash   #进入其中的一个ingressPod即可查看nginx.conf中的配置
www-data@centos7-node7:/etc/nginx$ cat nginx.conf| grep test.cropy.cn

https域名配置

这个需要引入secret这个资源类型保存证书文件

找个文件夹自签证书

cat > ca-config.json < ca-csr.json < blog.ctnrs.com-csr.json <

 
  创建https的ingress 
  $ vim https_svc.yml 
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: tls-blog-cropy-cn-ingress
spec:
  tls:
  - hosts:
    - blog.cropy.cn
    secretName: blog.cropy.cn
  rules:
    - host: blog.cropy.cn
      http:
        paths:
        - path: /
          backend:
            serviceName: web
            servicePort: 80
$ kubectl apply -f https_svc.yml  
  测试方法 
  宿主机将域名和对应的ingress-controller控制器的节点ip做hosts解析，即可测试 
  Ingress – 根据URL路由到多个服务 
  nginx根据URL路由到多个服务使用的是location 去做区分，nginx-ingress采用的是path去定义不同的后端服务，从而实现根据path路由多个服务 
   
   test.cropy.cn ->    192.168.56.14   -> / foo    web:80
                                       / bar    web1:80 
   
   
   修改web和web1对应pod的html内容 
   
  $ kubectl get pod
NAME                    READY   STATUS    RESTARTS   AGE
web-65b7447c7-ctdlr     1/1     Running   0          4d11h
web1-6ff6f9d746-txnw4   1/1     Running   0          107s

$ kubectl exec -it web-65b7447c7-ctdlr -- bash
root@web-65b7447c7-ctdlr:/# echo "foo" > /usr/share/nginx/html/index.html 

$  kubectl exec -it web1-6ff6f9d746-txnw4  -- sh
/ # echo "bar" > /usr/share/nginx/html/index.html  
   
   配置yaml 
   
  $ vim location_http.yml
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: location-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  rules:
  - host: test.cropy.cn
    http:
      paths:
      - path: /foo
        backend:
          serviceName: web
          servicePort: 80
      - path: /bar
        backend:
          serviceName: web1
          servicePort: 80
$ kubectl apply -f location_http.yml 
   
   测试访问 
   
  http://test.cropy.cn/bar
http://test.cropy.cn/foo 
  ingress-基于名称的虚拟主机 
  foo.cropy.cn --|                 |-> foo.cropy.cn web:80
               | 192.168.56.14   |
bar.cropy.cn --|                 |-> bar.cropy.cn web1:80 
   
   yaml配置 
   
  $ vim domain_http.yml
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: name-virtual-host-ingress
spec:
  rules:
  - host: foo.cropy.cn
    http:
      paths:
      - backend:
          serviceName: web
          servicePort: 80
  - host: bar.cropy.cn
    http:
      paths:
      - backend:
          serviceName: web1
          servicePort: 80
$ kubectl apply domain_http.yml
$ kubectl get ingress 
   
   测试访问 
   
  # 修改hosts
192.268.56.14 foo.cropy.cn
192.268.56.14 bar.cropy.cn
# 然后浏览器访问
bar.cropy.cn
foo.cropy.cn 
  Annotations对Ingress个性化配置 
   
    官方文档：https://github.com/kubernetes/ingress-nginx/blob/master/docs/user-guide/nginx-configuration/annotations.md
  
   个性化定制proxy配置 
   
  $ vim personal_http.yml           
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: example-ingress-proxy
  annotations:
    kubernetes.io/ingress.class: "nginx"
    nginx.ingress.kubernetes.io/proxy-connect-timeout: "600"
    nginx.ingress.kubernetes.io/proxy-send-timeout: "600"
    nginx.ingress.kubernetes.io/proxy-read-timeout: "600"
    nginx.ingress.kubernetes.io/proxy-body-size: "10m"
spec:
  rules:
  - host: example.cropy.cn
    http:
      paths:
      - path: /
        backend:
          serviceName: web
          servicePort: 80
$ kubectl apply -f personal_http.yml 
$ kubectl exec  nginx-ingress-controller-5pn98 -n ingress-nginx cat /etc/nginx/nginx.conf | grep proxy # 查看ingress pod下的nginx配置 
   
   定制化http跳转https 
   
  $ vim rewrite_https.yml 
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: tls-example-ingress
  annotations:
    kubernetes.io/ingress.class: "nginx"
    nginx.ingress.kubernetes.io/ssl-redirect: 'true'
spec: 
  tls:
  - hosts:
    - blog.cropy.cn
    secretName: blog.cropy.cn
  rules:
    - host: blog.cropy.cn
      http:
        paths:
        - path: /
          backend:
            serviceName: web
            servicePort: 80 
  ingress controller高可用方案 
   
  管理应用程序配置 
  secret 
  加密数据存放在etcd中，让pod的容器以挂载Volume的方式访问 
  应用场景： 凭据 
   
    pod使用secret的两种方式 
     
      变量注入: 不适用与随时变动的情况
  
     挂载: 支持随时变动，但是生效需要一定的时间 
    
  
   
  创建secret 
   
   secret创建类型 
     
     docker-registry: Create a secret for use with a Docker registry 
     generic: Create a secret from a local file, directory or literal value 
     tls: Create a TLS secret 
     
   
  $ kubectl create namespace config
$ kubectl create secret generic mysql-root-password -n config --from-literal=password=123456    # 创建环境变量
$ kubectl create secret tls blog.cropy.cn --cert=blog.cropy.cn.pem --key=blog.cropy.cn-key.pem  # 创建证书型变量
$  kubectl create secret docker-registry my-secret --docker-server=DOCKER_REGISTRY_SERVER --docker-username=DOCKER_USER
--docker-password=DOCKER_PASSWORD --docker-email=DOCKER_EMAIL #创建私有仓库类型secret
 
   
   引用所创建类型的secret 
   
  $ vim mysql_pod.yml
apiVersion: v1
kind: Pod
metadata:
  name: mysql
  namespace: config
spec:
  containers:
  - name: mysql
    image: mysql:5.6
    env:
    - name: MYSQL_ROOT_PASSWORD
      valueFrom:
        secretKeyRef:
          key: password
          name: mysql-root-password
$ kubectl apply -f mysql_pod.yml  
  configmap 
  与secret类似，区别在于ConfigMap存放的是不需要加密的配置信息 
   
   应用场景： 应用程序配置 
   
  Examples:
  # Create a new configmap named my-config based on folder bar
  kubectl create configmap my-config --from-file=path/to/bar

  # Create a new configmap named my-config with specified keys instead of file basenames on disk
  kubectl create configmap my-config --from-file=key1=/path/to/bar/file1.txt --from-file=key2=/path/to/bar/file2.txt

  # Create a new configmap named my-config with key1=config1 and key2=config2
  kubectl create configmap my-config --from-literal=key1=config1 --from-literal=key2=config2

  # Create a new configmap named my-config from the key=value pairs in the file
  kubectl create configmap my-config --from-file=path/to/bar

  # Create a new configmap named my-config from an env file
  kubectl create configmap my-config --from-env-file=path/to/bar.env 
  应用如何动态更新配置 
   
    ConfigMap更新时，业务也随之更新的方案： 
     
     当ConfigMap发生变更时，应用程序动态加载 
     触发滚动更新，即重启服务 
    
  
    其他方案
 1、inotify 检查文件是否变动 -> 重启应用 （sidecar）
2、与版本迭代一起（简单粗暴）
3、进行热加载，需要程序有这块逻辑支持
4、采用配置中心，例如apollo、disconf （与方法3类似）

apache ftpserver-CentOS config gengzg apache
<server xmlns="http://mina.apache.org/ftpserver/spring/v1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation=" http://mina.apache.o
优化MySQL数据库性能的八种方法 AILIKES sql mysql
1、选取最适用的字段属性　　MySQL可以很好的支持大数据量的存取，但是一般说来，数据库中的表越小，在它上面执行的查询也就会越快。因此，在创建表的时候，为了获得更好的性能，我们可以将表中字段的宽度设得尽可能小。例如，在定义邮政编码这个字段时，如果将其设置为CHAR(255),显然给数据库增加了不必要的空间，甚至使用VARCHAR这种类型也是多余的，因为CHAR(6)就可以很
JeeSite 企业信息化快速开发平台 Kai_Ge JeeSite
JeeSite 企业信息化快速开发平台平台简介 JeeSite是基于多个优秀的开源项目，高度整合封装而成的高效，高性能，强安全性的开源Java EE快速开发平台。 JeeSite本身是以Spring Framework为核心容器，Spring MVC为模型视图控制器，MyBatis为数据访问层， Apache Shiro为权限授权层，Ehcahe对常用数据进行缓存，Activit为工作流
通过Spring Mail Api发送邮件 120153216 邮件 main
原文地址：http://www.open-open.com/lib/view/open1346857871615.html 使用Java Mail API来发送邮件也很容易实现，但是最近公司一个同事封装的邮件API实在让我无法接受，于是便打算改用Spring Mail API来发送邮件，顺便记录下这篇文章。【Spring Mail API】 Spring Mail API都在org.spri
Pysvn 程序员使用指南 2002wmj SVN
源文件:http://ju.outofmemory.cn/entry/35762 这是一篇关于pysvn模块的指南. 完整和详细的API请参考 http://pysvn.tigris.org/docs/pysvn_prog_ref.html. pysvn是操作Subversion版本控制的Python接口模块. 这个API接口可以管理一个工作副本, 查询档案库, 和同步两个. 该
在SQLSERVER中查找被阻塞和正在被阻塞的SQL 357029540 SQL Server
SELECT R.session_id AS BlockedSessionID , S.session_id AS BlockingSessionID , Q1.text AS Block
Intent 常用的用法备忘 7454103 .net android Google Blog F#
Intent 应该算是Android中特有的东西。你可以在Intent中指定程序要执行的动作（比如：view,edit,dial），以及程序执行到该动作时所需要的资料。都指定好后，只要调用startActivity()，Android系统会自动寻找最符合你指定要求的应用程序，并执行该程序。下面列出几种Intent 的用法显示网页:
Spring定时器时间配置 adminjun spring 时间配置定时器
红圈中的值由6个数字组成，中间用空格分隔。第一个数字表示定时任务执行时间的秒，第二个数字表示分钟，第三个数字表示小时，后面三个数字表示日，月，年，< xmlnamespace prefix ="o" ns ="urn:schemas-microsoft-com:office:office" /> 测试的时候，由于是每天定时执行，所以后面三个数
POJ 2421 Constructing Roads 最小生成树 aijuans 最小生成树
来源：http://poj.org/problem?id=2421 题意：还是给你n个点，然后求最小生成树。特殊之处在于有一些点之间已经连上了边。思路：对于已经有边的点，特殊标记一下，加边的时候把这些边的权值赋值为0即可。这样就可以既保证这些边一定存在，又保证了所求的结果正确。代码： #include <iostream> #include <cstdio>
重构笔记——提取方法（Extract Method） ayaoxinchao java 重构提炼函数局部变量提取方法
提取方法（Extract Method）是最常用的重构手法之一。当看到一个方法过长或者方法很难让人理解其意图的时候，这时候就可以用提取方法这种重构手法。下面是我学习这个重构手法的笔记：提取方法看起来好像仅仅是将被提取方法中的一段代码，放到目标方法中。其实，当方法足够复杂的时候，提取方法也会变得复杂。当然，如果提取方法这种重构手法无法进行时，就可能需要选择其他
为UILabel添加点击事件 bewithme UILabel
默认情况下UILabel是不支持点击事件的，网上查了查居然没有一个是完整的答案，现在我提供一个完整的代码。 UILabel *l = [[UILabel alloc] initWithFrame:CGRectMake(60, 0, listV.frame.size.width - 60, listV.frame.size.height)]
NoSQL数据库之Redis数据库管理(PHP-REDIS实例) bijian1013 redis 数据库 NoSQL
一.redis.php <?php //实例化 $redis = new Redis(); //连接服务器 $redis->connect("localhost"); //授权 $redis->auth("lamplijie"); //相关操
SecureCRT使用备注 bingyingao secureCRT 每页行数
SecureCRT日志和卷屏行数设置一、使用securecrt时，设置自动日志记录功能。 1、在C:\Program Files\SecureCRT\下新建一个文件夹(也就是你的CRT可执行文件的路径），命名为Logs； 2、点击Options -> Global Options -> Default Session -> Edite Default Sett
【Scala九】Scala核心三：泛型 bit1129 scala
泛型类 package spark.examples.scala.generics class GenericClass[K, V](val k: K, val v: V) { def print() { println(k + "," + v) } } object GenericClass { def main(args: Arr
素数与音乐 bookjovi 素数数学 haskell
由于一直在看haskell，不可避免的接触到了很多数学知识，其中数论最多，如素数，斐波那契数列等，很多在学生时代无法理解的数学现在似乎也能领悟到那么一点。闲暇之余，从图书馆找了<<The music of primes>>和<<世界数学通史>>读了几遍。其中素数的音乐这本书与软件界熟知的&l
Java-Collections Framework学习与总结-IdentityHashMap BrokenDreams Collections
这篇总结一下java.util.IdentityHashMap。从类名上可以猜到，这个类本质应该还是一个散列表，只是前面有Identity修饰，是一种特殊的HashMap。简单的说，IdentityHashMap和HashM
读《研磨设计模式》-代码笔记-享元模式-Flyweight bylijinnan java 设计模式
声明：本文只为方便我个人查阅和理解，详细的分析以及源代码请移步原作者的博客http://chjavach.iteye.com/ import java.util.ArrayList; import java.util.Collection; import java.util.HashMap; import java.util.List; import java
PS人像润饰&调色教程集锦 cherishLC PS
1、仿制图章沿轮廓润饰——柔化图像，凸显轮廓 http://www.howzhi.com/course/retouching/ 新建一个透明图层，使用仿制图章不断Alt+鼠标左键选点，设置透明度为21%，大小为修饰区域的1/3左右（比如胳膊宽度的1/3），再沿纹理方向（比如胳膊方向）进行修饰。所有修饰完成后，对该润饰图层添加噪声，噪声大小应该和
更新多个字段的UPDATE语句 crabdave update
更新多个字段的UPDATE语句 update tableA a set (a.v1, a.v2, a.v3, a.v4) = --使用括号确定更新的字段范围
hive实例讲解实现in和not in子句 daizj hive not in in
本文转自：http://www.cnblogs.com/ggjucheng/archive/2013/01/03/2842855.html 当前hive不支持 in或not in 中包含查询子句的语法，所以只能通过left join实现。假设有一个登陆表login(当天登陆记录,只有一个uid),和一个用户注册表regusers(当天注册用户，字段只有一个uid)，这两个表都包含
一道24点的10+种非人类解法（2,3,10,10） dsjt 算法
这是人类算24点的方法？！！！事件缘由：今天晚上突然看到一条24点状态，当时惊为天人，这NM叫人啊？以下是那条状态朱明西 : 24点，算2 3 10 10，我LX炮狗等面对四张牌痛不欲生，结果跑跑同学扫了一眼说，算出来了，2的10次方减10的3次方。。我草这是人类的算24点啊。。然后么。。。我就在深夜很得瑟的问室友求室友算刚出完题，文哥的暴走之旅开始了 5秒后
关于YII的菜单插件 CMenu和面包末breadcrumbs路径管理插件的一些使用问题 dcj3sjt126com yii framework
在使用 YIi的路径管理工具时，发现了一个问题。 <?php
对象与关系之间的矛盾：“阻抗失配”效应[转] come_for_dream 对象
概述 “阻抗失配”这一词组通常用来描述面向对象应用向传统的关系数据库（RDBMS）存放数据时所遇到的数据表述不一致问题。C++程序员已经被这个问题困扰了好多年，而现在的Java程序员和其它面向对象开发人员也对这个问题深感头痛。 “阻抗失配”产生的原因是因为对象模型与关系模型之间缺乏固有的亲合力。“阻抗失配”所带来的问题包括：类的层次关系必须绑定为关系模式（将对象
学习编程那点事 gcq511120594 编程互联网
一年前的夏天，我还在纠结要不要改行，要不要去学php？能学到真本事吗？改行能成功吗？太多的问题，我终于不顾一切，下定决心，辞去了工作，来到传说中的帝都。老师给的乘车方式还算有效，很顺利的就到了学校，赶巧了，正好学校搬到了新校区。先安顿了下来，过了个轻松的周末，第一次到帝都，逛逛吧！接下来的周一，是我噩梦的开始，学习内容对我这个零基础的人来说，除了勉强完成老师布置的作业外，我已经没有时间和精力去
Reverse Linked List II hcx2013 list
Reverse a linked list from position m to n. Do it in-place and in one-pass. For example:Given 1->2->3->4->5->NULL, m = 2 and n = 4, return
Spring4.1新特性——页面自动化测试框架Spring MVC Test HtmlUnit简介 jinnianshilongnian spring 4.1
目录 Spring4.1新特性——综述 Spring4.1新特性——Spring核心部分及其他 Spring4.1新特性——Spring缓存框架增强 Spring4.1新特性——异步调用和事件机制的异常处理 Spring4.1新特性——数据库集成测试脚本初始化 Spring4.1新特性——Spring MVC增强 Spring4.1新特性——页面自动化测试框架Spring MVC T
Hadoop集群工具distcp liyonghui160com
1. 环境描述两个集群：rock 和 stone rock无kerberos权限认证，stone有要求认证。 1. 从rock复制到stone，采用hdfs Hadoop distcp -i hdfs://rock-nn:8020/user/cxz/input hdfs://stone-nn:8020/user/cxz/运行在rock端，即源端问题：报版本
一个备份MySQL数据库的简单Shell脚本 pda158 mysql 脚本
　　主脚本（用于备份mysql数据库）：　　该Shell脚本可以自动备份数据库。只要复制粘贴本脚本到文本编辑器中，输入数据库用户名、密码以及数据库名即可。我备份数据库使用的是mysqlump 命令。后面会对每行脚本命令进行说明。　　 1. 分别建立目录“backup”和“oldbackup” 　　#mkdir /backup 　　#mkdir /oldbackup 　
300个涵盖IT各方面的免费资源（中）——设计与编码篇 shoothao IT资源图标库图片库色彩板字体
A. 免费的设计资源 Freebbble:来自于Dribbble的免费的高质量作品。 Dribbble:Dribbble上“免费”的搜索结果——这是巨大的宝藏。 Graphic Burger:每个像素点都做得很细的绝佳的设计资源。 Pixel Buddha:免费和优质资源的专业社区。 Premium Pixels:为那些有创意的人提供免费的素材。
thrift总结 - 跨语言服务开发 uule thrift
官网官网JAVA例子 thrift入门介绍 IBM-Apache Thrift - 可伸缩的跨语言服务开发框架 Thrift入门及Java实例演示 thrift的使用介绍 RPC POM： <dependency> <groupId>org.apache.thrift</groupId>

kubernetes(十) kubernetes service,ingress&cm,secret

Service

Service存在的意义

Pod 与Service的关系

Service的三种类型

ClusterIP

NodePort

LoadBalancer

Service代理模式

iptables VS ipvs

service DNS名称

深入理解ingress

ingress为弥补NodePort的不足而生

pod与ingress的关系

ingress controller

ingress 规则

基础准备

单域名基础配置

测试方法

Ingress – 根据URL路由到多个服务

ingress-基于名称的虚拟主机

Annotations对Ingress个性化配置

ingress controller高可用方案

管理应用程序配置

secret

创建secret

configmap

应用如何动态更新配置

你可能感兴趣的:(kubernets入门到实践)