[容器] AWS EKS 快速使用教程

1 概要

本文依照Amazon EKS 用户指南记录一个小白用户EKS的入门过程，解释重点内容、解决遇到的问题。

2 练习环境

• mac操作系统，系统预装了docker+kubernetes
• AWS账户，拥有EKS/CloudFormation等权限

3 EKS创建与管理

3.1 控制台和eksctl的入门选择

我选择的是控制台入门教程，因为可以较深入的理解eks资源间是怎样交互的。后续用控制台管理也比eksctl方便。

eksctl 入门：此入门指南可帮助您使用 eksctl（用于在 Amazon EKS 上创建和管理 Kubernetes 集群的简单命令行实用程序）来安装开始使用 Amazon EKS 所需的所有资源。这是开始使用 Amazon EKS 的最快、最简单的方式。

AWS 管理控制台入门：此入门指南可帮助您创建要在 AWS 管理控制台中开始使用 Amazon EKS 所需的所有资源。在本指南中，您将在 Amazon EKS 或 AWS CloudFormation 控制台中手动创建每个资源，而且此处所述的工作流程可帮助您全面了解如何创建每个资源以及每个资源之间如何交互；但是，这是一种开始使用 Amazon EKS 的更复杂且耗时的方式。

3.2 Amazon EKS 先决条件

• kubectl
• 角色权限、vpc、子网相关

重点是kubectl要提前装好，在mac玩过docker的应该都预装了。

3.3 步骤注意点

步骤 1：创建您的 Amazon EKS 集群

这里没有需要注意的，创建的是cluster集群，需要几分钟时间，但不包括worker nodes，节点需要单独创建启用。

步骤 2：创建 kubeconfig 文件

kubeconfig更新到本地时默认会merge进.kube/config中，远程EKS、本地k8s可以使用kubectl context进行切换的，不用担心配置文件会互相干扰、覆盖。

步骤 3：启动和配置 Amazon EKS 工作线程节点

工作线程节点worker nodes默认是不随cluster而创建的，需要使用CloudFormation来创建，AWS已经提供好了创建模版，按模版填好就可以了。

注意以下几点：

• 要正确填写对应EKS集群名称，这样才保证节点最后能加入到集群内；
• 工作线程节点最后以Autoscaling Group的形式组织在一起；
• AMI不能任意选择，只能选择AWS针对EKS提供的AMI，分不同的region；
• 为了将worker nodes加入到cluster中，需要在EKS中配置这些节点的实例角色ARN，配好后cluster自动添加这些节点。

3.4 启动留言簿应用程序

这个小例子是教我们使用kubectl部署应用的，挺容易操作的，可以练习下指令。同时可比较直观的理解Node、Pod、Service、RC这些基本概念。

4 helm安装与使用

helm与EKS是无缝结合的，按照AWS教程即可

helm 与 Amazon EKS 配合使用教程

了解了下helm客户端和服务端tiller的区别

The Helm Client is a command-line client for end users. The client is responsible for the following domains:

• Local chart development
• Managing repositories
• Interacting with the Tiller server
• Sending charts to be installed
• Asking for information about releases
• Requesting upgrading or uninstalling of existing releases

The Tiller Server is an in-cluster server that interacts with the Helm client, and interfaces with the Kubernetes API server. The server is responsible for the following:

• Listening for incoming requests from the Helm client
• Combining a chart and configuration to build a release
• Installing charts into Kubernetes, and then tracking the subsequent release
• Upgrading and uninstalling charts by interacting with Kubernetes

4.1 helm的安装

# 参见helm官方社区的教程直接brew安装
$ brew install kubernetes-helm

4.2 介绍tiller的部署

tiller是helm的服务端，helm客户端指令给到tiller部署EKS上的服务。AWS为了安全考虑建议tiller部署在本地，helm与本地的tiller交互，但缺点是每次helm指令都需要保证tiller服务在线。作为初学者，我直接将tiller部署到EKS上了。

4.3 给tiller先设定RBAC (Role-based Access Control)

helm init会将tiller服务部署好，同时测试helm repo update也成功了，但是helm ls遇到了如下错误：

$ helm ls
Error: configmaps is forbidden: User "system:serviceaccount:kube-system:default" cannot list resource "configmaps" in API group "" in the namespace "kube-system"

原因是kubernetes对部署的服务有api权限控制，说白了就是tiller服务没有权限访问kubernetes的资源，需要赋予tiller一个role且绑定必要的权限，来做一下吧。

In Kubernetes, granting a role to an application-specific service account is a best practice to ensure that your application is operating in the scope that you have specified.

创建一个yaml描述文件，能看到该文件创建了一个ServiceAccount，同时做了一个ClusterRoleBinding。注意其中name、namespace取值要填写正确。

# rbac-config.yaml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: tiller
  namespace: kube-system
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: tiller
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
  - kind: ServiceAccount
    name: tiller
    namespace: kube-system

应用该yaml文件

$ kubectl create -f rbac-config.yaml
serviceaccount "tiller" created
clusterrolebinding.rbac.authorization.k8s.io "tiller" created

4.4 helm init初始化tiller

$ helm init --service-account tiller

表明使用上面的含有权限的账户，然后再运行不会报错了

$ helm ls

上述指令默认将tiller安装到EKS上，同时tiller-namespace默认是kube-system，可以根据实际需求更改为本地部署或使用独立的tiller-namespace

4.5 使用helm部署nginx

EKS让参考helm官网的安装服务示例，helm上面的是mysql，但是验证mysql还需要client程序，blabla... 可以使用更简单的nginx来玩一下。

$ helm repo add bitnami https://charts.bitnami.com/bitnami
"bitnami" has been added to your repositories

$ helm repo list
NAME    URL
stable  https://kubernetes-charts.storage.googleapis.com
local   http://127.0.0.1:8879/charts
bitnami https://charts.bitnami.com/bitnami

$ helm install --name my-nginx bitnami/nginx
NAME:   my-nginx
LAST DEPLOYED: Thu Aug 29 17:58:29 2019
NAMESPACE: default
STATUS: DEPLOYED
... ...
NOTES:
Get the NGINX URL:

  NOTE: It may take a few minutes for the LoadBalancer IP to be available.
        Watch the status with: 'kubectl get svc --namespace default -w my-nginx'

  export SERVICE_IP=$(kubectl get svc --namespace default my-nginx --template "{{ range (index .status.loadBalancer.ingress 0) }}{{.}}{{ end }}")
  echo "NGINX URL: http://$SERVICE_IP/"

最后使用kubectl可以看到部署好的nignx服务，不过dns生效需要5分钟左右的时间，要耐心等一下。

$ kubectl get svc --namespace default -w my-nginx -o wide                                                                                                                      1 ↵
NAME       TYPE           CLUSTER-IP      EXTERNAL-IP                                  PORT(S)        AGE       SELECTOR
my-nginx   LoadBalancer   10.100.171.65   a8d4d4bdbdbdbd.us-west-2.elb.amazonaws.com   80:31464/TCP   48s       app=my-nginx

5 小结

EKS 教程还是非常不错的，做下来没遇到什么坑，最早先接触EKS是AWS提供的eksworkshop，这个workshop需要太多的额外工作创建account、cloud9、vpc、role等等，有点啰嗦了。不过这次的用户指南比较简洁、实用。

EKS 教程以外有许多知识点需要展开去做练习，如：

• kubectl对EKS的管理，Node、Pod、Service、RC等；
• helm的使用，安全性部署等；

Reference

Amazon EKS 用户指南
helm 与 Amazon EKS 配合使用教程
helm quickstart
kubernetes tasks
bitnami: create your first helm chart
helm hub: nginx
eksworkshop