K8s：Kubernetes介绍与重要概念解析

逃离我推掉我的手 2022-12-15 12:43 116阅读 0赞

> 参考文章
> 
> [Kubernetes 初体验][Kubernetes]
> 
> [What is kubernetes?][What is kubernetes]
> 
> [基本概念与组件][Link 1]

# 1.Kubernetes是什么? #

Kubernetes，又称为 k8s（首字母为 k、首字母与尾字母之间有 8 个字符、尾字母为 s，所以简称 k8s）或者简称为 "kube" ，是一种可自动实施 [Linux 容器][Linux]操作的开源平台。它可以帮助用户省去应用容器化过程的许多手动部署和扩展操作。也就是说，您可以将运行 Linux 容器的多组主机聚集在一起，由 Kubernetes 帮助您轻松高效地管理这些集群。而且，这些集群可跨[公共云][Link 2]、[私有云][Link 3]或[混合云][Link 4]部署主机。因此，对于要求快速扩展的[云原生应用][Link 5]而言（例如[借助 Apache Kafka 进行的实时数据流处理][Apache Kafka]），Kubernetes 是理想的托管平台。

Kubernetes 最初由 Google 的工程师开发和设计。Google 是最早研发 Linux 容器技术的企业之一[（组建了cgroups）][cgroups]，曾公开分享介绍[ Google 如何将一切都运行于容器之中][Google]（这是 Google 云服务背后的技术）。Google 每周会启用超过 20 亿个容器——全都由内部平台 [Borg][] 支撑。Borg 是 Kubernetes 的前身，多年来开发 Borg 的经验教训成了影响 Kubernetes 中许多技术的主要因素。

趣事：Kubernetes 徽标的七个轮辐代表着项目最初的名称"[九之七项目][Link 6]"(Project Seven of Nine)。

红帽是第一批与 Google 合作研发 Kubernetes 的公司之一，作为 Kubernetes 上游项目的[第二大贡献者][Link 7]，我们甚至在这个项目启动之前就已参与其中。2015 年，Google 将 Kubernetes 项目[捐赠][Link 8]给新成立的[云原生计算基金会][Link 9]。

## **（1）为什么需要Kubernetes？** ##

真正的生产型应用会涉及多个容器。这些容器必须跨多个服务器主机进行部署。[容器安全性][Link 10]需要多层部署，因此可能会比较复杂。但 Kubernetes 有助于解决这一问题。Kubernetes 可以提供所需的编排和管理功能，以便您针对这些工作负载大规模部署容器。借助 Kubernetes 编排功能，您可以构建跨多个容器的应用服务、跨集群调度、扩展这些容器，并长期持续管理这些容器的健康状况。有了 Kubernetes，您便可[切实采取一些措施来提高 IT 安全性][IT]。

Kubernetes 还需要与联网、[存储][Link 11]、安全性、遥测和其他服务整合，以提供全面的容器基础架构。

![Kubernetes explained - diagram][]

当然，这取决于您如何在您的环境中使用容器。Linux 容器中的基本应用将它们视作高效、快速的虚拟机。一旦把它部署到生产环境或扩展为多个应用，您显然需要许多托管在相同位置的容器来协同提供各种服务。随着这些容器的累积，您运行环境中容器的数量会急剧增加，复杂度也随之增长。

Kubernetes 通过将容器分类组成 "容器集" （pod），解决了容器增殖带来的许多常见问题容器集为分组容器增加了一个抽象层，可帮助您调用工作负载，并为这些容器提供所需的联网和存储等服务。Kubernetes 的其它部分可帮助您在这些容器集之间达成负载平衡，同时确保运行正确数量的容器，充分支持您的工作负载。

如果能正确实施 Kubernetes，再辅以其它开源项目（例如 [Atomic 注册表][Atomic]、[Open vSwitch][]、[heapster][]、[OAuth][] 以及 [SELinux][]），您就能够轻松编排容器基础架构的各个部分。

## **（2）Kubernetes有哪些应用？** ##

在您生产环境中（尤其是当[您要面向云优化应用开发时][Link 5]）使用 Kubernetes 的主要优势在于，它提供了一个便捷有效的平台，让您可以在物理机和虚拟机集群上调度和运行容器。更广泛一点说，它可以帮助您在生产环境中，完全实施并依托基于容器的基础架构运营。由于 Kubernetes 的实质在于实现操作任务自动化，所以您可以将其它应用平台或管理系统分配给您的许多相同任务交给容器来执行。

利用 Kubernetes，您能够达成以下目标：

*  跨多台主机进行容器编排。
 *  更加充分地利用硬件，最大程度获取运行企业应用所需的资源。
 *  有效管控应用部署和更新，并实现自动化操作。
 *  挂载和增加存储，用于运行有状态的应用。
 *  快速、按需扩展容器化应用及其资源。
 *  对服务进行声明式管理，保证所部署的应用始终按照部署的方式运行。
 *  利用自动布局、自动重启、自动复制以及自动扩展功能，对应用实施状况检查和自我修复。

但是，Kubernetes 需要依赖其它项目来全面提供这些经过编排的服务。因此，借助其它开源项目可以帮助您将 Kubernetes 的全部功用发挥出来。这些功能包括：

*  注册表，通过 Atomic 注册表或 Docker 注册表等项目实现。
 *  联网，通过 OpenvSwitch 和智能边缘路由等项目实现。
 *  遥测，通过 heapster、kibana、hawkular 和 elastic 等项目实现。
 *  安全性，通过 LDAP、SELinux、RBAC 和 OAUTH 等项目以及多租户层来实现。
 *  自动化，参照 Ansible 手册进行安装和集群生命周期管理。
 *  服务，可通过自带预建版常用应用模式的丰富内容目录来提供。

[了解如何通过红帽OpenShift实现以上所有功能][OpenShift]

## **（3）Kubernetes相关术语** ##

和其它技术一样，Kubernetes 也会采用一些专用的词汇，这可能会对初学者理解和掌握这项技术造成一定的障碍。为了帮助您了解 Kubernetes，我们在下面来解释一些常用术语。

**主机（Master）：** 用于控制 Kubernetes 节点的计算机。所有任务分配都来自于此。

**节点（Node）：**负责执行请求和所分配任务的计算机。由 Kubernetes 主机负责对节点进行控制。

**容器集（Pod）：**被部署在单个节点上的，且包含一个或多个容器的容器组。同一容器集中的所有容器共享同一个 IP 地址、IPC、主机名称及其它资源。容器集会将网络和存储从底层容器中抽象出来。这样，您就能更加轻松地在集群中移动容器。

**复制控制器（Replication controller）：**用于控制应在集群某处运行的完全相同的容器集副本数量。

**服务（Service）：**将工作内容与容器集分离。Kubernetes 服务代理会自动将服务请求分发到正确的容器集——无论这个容器集会移到集群中的哪个位置，甚至可以被替换掉。

**Kubelet：**运行在节点上的服务，可读取容器清单（container manifest），确保指定的容器启动并运行。

**kubectl：** Kubernetes 的命令行配置工具。

[点击查看 Kubernetes （k8s）术语表][Kubernetes _k8s]

## **（4）红帽OpenShift -企业版Kubernetes** ##

Kubernetes 属于开源技术。所以，没有正式的技术支持机构可以为您的商业业务提供支持。如果生产过程中 Kubernetes 出现实施问题，您一定会感到非常担心，您的客户可能也会如此。

这时就是[企业就绪型Kubernetes容器平台][OpenShift] 大展身手的时候了。OpenShift 是企业版的 Kubernetes，此外，它还具备更多功能。OpenShift 引入了额外的先进技术，从而使 Kubernetes 成为可供企业使用的强大平台，这些技术包括：注册表、联网、遥测、安全性、自动化和服务。借助 OpenShift 的可扩展性以及控制和编排功能，您的开发人员可以构建新的容器化应用、对其进行托管并在云端加以部署，从而轻松快速地将各种奇思妙想转变为新业务。

最棒的是，OpenShift 是由开源领域的领导者红帽所开发，并将由其提供全面支持。

## **（5）如何在基础架构中采用Kubernetes** ##

![Kubernetes diagram][]

Kubernetes 基于操作系统运行（例如[红帽企业Linux][Linux 1]），并与在节点上运行的容器集交互。由 Kubernetes 主机接收管理员（或 DevOps 团队）发出的命令，然后将这些指令转发给从属的节点。这种移交操作与多种服务同时作用，自动确定哪个节点最适合执行该任务。然后，它将在该节点分配资源，并指派容器集来完成任务请求。

因此，就基础架构而言，管理容器的方式基本没变。但您对容器的掌控力得到提升，无需对独立的容器或节点实施微观管理，就能更好地管理容器。当然，某些工作是必须的，但大部分都是关于分配 Kubernetes 主机、定义节点以及定义容器集。

### **（6）Docker运行状态** ###

Docker[（点击查看Docker原理）][Docker] 技术仍然执行它原本的工作。当 kubernetes 将容器集调度到一个节点上时，该节点上的 kubelet 会发送指令让 docker 启动指定的容器。kubelet 随后会不断从 docker 收集这些容器的状态，并将这些信息汇集至主机。Docker 将容器拉至该节点，并按照常规启动和停止这些容器。不同在于，自动化系统要求 docker 在所有节点上对所有容器执行这些操作，而非要求管理员手动操作。

# 2.Kubernetes中的重要概念 #

## （1）集群 ##

集群是一组节点，这些节点可以是物理服务器或者虚拟机，在他上面安装了Kubernetes环境。![k8s cluster][]

**Master 负责管理集群**, master 协调集群中的所有活动，例如调度应用程序、维护应用程序的所需状态、扩展应用程序和滚动更新。

**节点是 Kubernetes 集群中的工作机器，可以是物理机或虚拟机。**每个工作节点都有一个 kubelet，它是管理节点并与 Kubernetes Master 节点进行通信的代理。节点上还应具有处理容器操作的容器运行时，例如 [Docker][Docker 1] 或 [rkt][]。一个 Kubernetes 工作集群至少有三个节点。 Master 管理集群，而 节点 用于托管正在运行的应用程序。

当您在 Kubernetes 上部署应用程序时，您可以告诉 master 启动应用程序容器。Master 调度容器在集群的节点上运行。 节点使用 Master 公开的 Kubernetes API 与 Master 通信。用户也可以直接使用 Kubernetes 的 API 与集群交互。

### （2）Pod ###

Pod 是一组紧密关联的容器集合，它们共享 PID、IPC、Network 和 UTS namespace，是Kubernetes 调度的基本单位。Pod 的设计理念是支持多个容器在一个 Pod 中共享网络和文件系统，可以通过进程间通信和文件共享这种简单高效的方式组合完成服务。 ![k8s pod][]在 Kubernetes 中，所有对象都使用 manifest（yaml或json）来定义，比如一个简单的 nginx 服务可以定义为 nginx.yaml，它包含一个镜像为 nginx 的容器：

apiVersion: v1
    kind: Pod
    metadata:  
      name: nginx  
      labels:    
        app: nginx
    spec:  
      containers:  
      - name: nginx    
        image: nginx    
        ports:    
        - containerPort: 80

### （3）Label ###

Label 是识别 Kubernetes 对象的标签，以 key/value 的方式附加到对象上（key最长不能超过63字节，value 可以为空，也可以是不超过253字节的字符串）。 Label 不提供唯一性，并且实际上经常是很多对象（如Pods）都使用相同的 label 来标志具体的应用。 Label 定义好后其他对象可以使用 Label Selector 来选择一组相同 label 的对象（比如Service 用 label 来选择一组 Pod）。Label Selector支持以下几种方式：

*  等式，如app=nginx和env!=production
 *  集合，如env in (production, qa)
 *  多个label（它们之间是AND关系），如app=nginx,env=test

### （4）Namespace ###

Namespace 是对一组资源和对象的抽象集合，比如可以用来将系统内部的对象划分为不同的项目组或用户组。常见的 pods, services,deployments 等都是属于某一个 namespace 的（默认是default），而 Node, PersistentVolumes 等则不属于任何 namespace。

### （5）Deployment ###

是否手动创建 Pod，如果想要创建同一个容器的多份拷贝，需要一个个分别创建出来么，能否将Pods划到逻辑组里？

Deployment 确保任意时间都有指定数量的 Pod“副本”在运行。如果为某个 Pod 创建了Deployment 并且指定3个副本，它会创建3个 Pod，并且持续监控它们。如果某个 Pod 不响应，那么 Deployment 会替换它，保持总数为3.

如果之前不响应的 Pod 恢复了，现在就有4个 Pod 了，那么 Deployment 会将其中一个终止保持总数为3。如果在运行中将副本总数改为5，Deployment 会立刻启动2个新 Pod，保证总数为5。Deployment 还支持回滚和滚动升级。

当创建 Deployment 时，需要指定两个东西：

*  Pod模板：用来创建 Pod 副本的模板
 *  Label标签：Deployment 需要监控的 Pod 的标签。

现在已经创建了 Pod 的一些副本，那么在这些副本上如何均衡负载呢？我们需要的是 Service。

### （6）Service ###

Service 是应用服务的抽象，通过 labels 为应用提供负载均衡和服务发现。匹配 labels 的Pod IP 和端口列表组成 endpoints，由 kube-proxy 负责将服务 IP 负载均衡到这些endpoints 上。

每个 Service 都会自动分配一个 cluster IP（仅在集群内部可访问的虚拟地址）和 DNS 名，其他容器可以通过该地址或 DNS 来访问服务，而不需要了解后端容器的运行。 、![k8s service][]

# 3.基本组件 #

Kubernetes 中的绝大部分概念都抽象成 Kubernetes 管理的一种资源对象，下面我们一起复习一下我们上节课遇到的一些资源对象：

*  Master：Master 节点是 Kubernetes 集群的控制节点，负责整个集群的管理和控制。Master 节点上包含以下组件：
 *  kube-apiserver：集群控制的入口，提供 HTTP REST 服务
 *  kube-controller-manager：Kubernetes 集群中所有资源对象的自动化控制中心
 *  kube-scheduler：负责 Pod 的调度
 *  Node：Node 节点是 Kubernetes 集群中的工作节点，Node 上的工作负载由 Master 节点分配，工作负载主要是运行容器应用。Node 节点上包含以下组件：
    
     *  kubelet：负责 Pod 的创建、启动、监控、重启、销毁等工作，同时与 Master 节点协作，实现集群管理的基本功能。
     *  kube-proxy：实现 Kubernetes Service 的通信和负载均衡
     *  运行容器化(Pod)应用
 *  Pod: Pod 是 Kubernetes 最基本的部署调度单元。每个 Pod 可以由一个或多个业务容器和一个根容器(Pause 容器)组成。一个 Pod 表示某个应用的一个实例
 *  ReplicaSet：是 Pod 副本的抽象，用于解决 Pod 的扩容和伸缩
 *  Deployment：Deployment 表示部署，在内部使用ReplicaSet 来实现。可以通过 Deployment 来生成相应的 ReplicaSet 完成 Pod 副本的创建
 *  Service：Service 是 Kubernetes 最重要的资源对象。Kubernetes 中的 Service 对象可以对应微服务架构中的微服务。Service 定义了服务的访问入口，服务的调用者通过这个地址访问 Service 后端的 Pod 副本实例。Service 通过 Label Selector 同后端的 Pod 副本建立关系，Deployment 保证后端Pod 副本的数量，也就是保证服务的伸缩性。

![k8s basic][]

Kubernetes 主要由以下几个核心组件组成:

*  etcd 保存了整个集群的状态，就是一个数据库；
 *  apiserver 提供了资源操作的唯一入口，并提供认证、授权、访问控制、API 注册和发现等机制；
 *  controller manager 负责维护集群的状态，比如故障检测、自动扩展、滚动更新等；
 *  scheduler 负责资源的调度，按照预定的调度策略将 Pod 调度到相应的机器上；
 *  kubelet 负责维护容器的生命周期，同时也负责 Volume（CSI）和网络（CNI）的管理；
 *  Container runtime 负责镜像管理以及 Pod 和容器的真正运行（CRI）；
 *  kube-proxy 负责为 Service 提供 cluster 内部的服务发现和负载均衡；

当然了除了上面的这些核心组件，还有一些推荐的插件：

*  kube-dns 负责为整个集群提供 DNS 服务
 *  Ingress Controller 为服务提供外网入口
 *  Heapster 提供资源监控
 *  Dashboard 提供 GUI

## 组件通信 ##

Kubernetes 多组件之间的通信原理：

*  apiserver 负责 etcd 存储的所有操作，且只有 apiserver 才直接操作 etcd 集群
 *  apiserver 对内（集群中的其他组件）和对外（用户）提供统一的 REST API，其他组件均通过 apiserver 进行通信
    
     *  controller manager、scheduler、kube-proxy 和 kubelet 等均通过 apiserver watch API 监测资源变化情况，并对资源作相应的操作
     *  所有需要更新资源状态的操作均通过 apiserver 的 REST API 进行
 *  apiserver 也会直接调用 kubelet API（如 logs, exec, attach 等），默认不校验 kubelet 证书，但可以通过 `--kubelet-certificate-authority` 开启（而 GKE 通过 SSH 隧道保护它们之间的通信）

比如最典型的创建 Pod 的流程：

![k8s pod][k8s pod 1]

*  用户通过 REST API 创建一个 Pod
 *  apiserver 将其写入 etcd
 *  scheduluer 检测到未绑定 Node 的 Pod，开始调度并更新 Pod 的 Node 绑定
 *  kubelet 检测到有新的 Pod 调度过来，通过 container runtime 运行该 Pod
 *  kubelet 通过 container runtime 取到 Pod 状态，并更新到 apiserver 中

[Kubernetes]: https://www.qikqiak.com/k8s-book/docs/14.Kubernetes%E5%88%9D%E4%BD%93%E9%AA%8C.html
[What is kubernetes]: https://www.redhat.com/zh/topics/containers/what-is-kubernetes
[Link 1]: https://www.qikqiak.com/k8s-book/docs/15.%E5%9F%BA%E6%9C%AC%E6%A6%82%E5%BF%B5%E4%B8%8E%E7%BB%84%E4%BB%B6.html
[Linux]: https://www.redhat.com/zh/topics/containers/whats-a-linux-container
[Link 2]: https://www.redhat.com/zh/topics/cloud-computing/what-is-public-cloud
[Link 3]: https://www.redhat.com/zh/topics/cloud-computing/what-is-private-cloud
[Link 4]: https://www.redhat.com/zh/topics/cloud-computing/what-is-hybrid-cloud
[Link 5]: https://www.redhat.com/zh/topics/cloud-native-apps
[Apache Kafka]: https://www.redhat.com/zh/topics/integration/what-is-apache-kafka
[cgroups]: https://zh.wikipedia.org/wiki/Cgroups
[Google]: https://speakerdeck.com/jbeda/containers-at-scale
[Borg]: http://blog.kubernetes.io/2015/04/borg-predecessor-to-kubernetes.html
[Link 6]: https://cloudplatform.googleblog.com/2016/07/from-Google-to-the-world-the-Kubernetes-origin-story.html
[Link 7]: https://www.stackalytics.com/cncf?module=kubernetes
[Link 8]: https://techcrunch.com/2015/07/21/as-kubernetes-hits-1-0-google-donates-technology-to-newly-formed-cloud-native-computing-foundation-with-ibm-intel-twitter-and-others/
[Link 9]: https://www.cncf.io/
[Link 10]: https://www.redhat.com/zh/topics/security/container-security
[IT]: https://www.redhat.com/zh/topics/security
[Link 11]: https://www.redhat.com/zh/topics/data-storage
[Kubernetes explained - diagram]: /images/20221123/0c49fa172d204739a5b3de05f6a02015.png
[Atomic]: http://www.projectatomic.io/
[Open vSwitch]: http://openvswitch.org/
[heapster]: https://github.com/kubernetes/heapster
[OAuth]: https://oauth.net/
[SELinux]: https://selinuxproject.org/page/Main_Page
[OpenShift]: https://www.redhat.com/zh/technologies/cloud-computing/openshift
[Kubernetes _k8s]: https://kubernetes.io/docs/reference/
[Kubernetes diagram]: /images/20221123/9dc998c9c9654d09b57da2dbf051580e.png
[Linux 1]: https://www.redhat.com/zh/technologies/linux-platforms/old-enterprise-linux
[Docker]: https://www.redhat.com/zh/topics/containers/what-is-docker
[k8s cluster]: /images/20221123/cc3a78cc34594f2b8925c910820329d9.png
[Docker 1]: https://www.docker.com/
[rkt]: https://coreos.com/rkt/
[k8s pod]: /images/20221123/f5e6706cacb741f6b5e67b0a4ede4955.png
[k8s service]: /images/20221123/60ce5829092c4f78a1fe7a2209f908c0.png
[k8s basic]: /images/20221123/3854a20b6247489cab5ae29972e67a39.png
[k8s pod 1]: /images/20221123/8e206bbf9ebc4890a51b672574cb21a4.png