端口大全

## 1. 引入
1. 之前方式部署应用基本过程
```
1. 编写yaml文件
   - depolyment
   - Service
   - Ingress

```



缺陷：

* 如果用之前方式部署单一应用，少数服务的应用，比较合适
* 如果部署微服务项目，可能有几十个服务，每个服务都有一个yaml文件，需要维护大量yaml文件，版本管理特别不方便

2. helm可以解决哪些问题？
```
- 使用helm可以把这些yaml作为一个整体管理
- 实现yaml高效复用
- 使用heml应用级别的
```
## 2. helm介绍
helm是一个kubernetes的包管理工具，就像Linux下的包管理器，如yum/apt等，可以很方便的将之前打包好的yaml文件部署到kubernetes上。

### 2.1 有3个重要概念
1. helm：一个命令行客户端工具，主要用于Kubernetes应用Chart的创建、打包、发布和管理
2. Chart：应用描述，一系列用于描述k8s资源相关文件的集合
3. Release：基于Chart的部署实体，一个chart被Helm运行后将会生成对应的一个release；将在k8s中创建出真实运行的资源对象。


### 2.2 helm在19年发布V3版本，与之前变化
1. V3版本删除Tiller。架构发生变化
2. release可以在不同命名空间重用
3. 将chart推送到docker仓库中

之前版本
![image.png](/static/img/fae11ce0b31a59dbdb8236543cd3aea7.image.png)


v3版本

![image.png](/static/img/dcf1628b71be21dc168523be9e4087cb.image.png)




## 3. 安装和配置
### 3.1 helm安装
1.  下载helm安装压缩文件，上传到linux系统中

![image.png](/static/img/8e70b186ec8dc8997bdd4bcffdc770a3.image.png)

2.  解压helm压缩文件，把解压之后helm目录复制到/usr/bin目录下

![image.png](/static/img/b77c73607ee0001f68bbf300e07e106c.image.png)

### 3.2 配置helm仓库
1. 添加仓库、删除仓库、查看仓库
```
helm repo add 仓库名称 地址
# 微软地址： http://mirror.azure.cn/kubernetes/charts
# 阿里云地址： https://kubernetes.oss-cn-hangzhou.aliyuncs.com/charts
helm repo update

# 查看
helm repo list

# 删除
helm repo remove 名称
```

## 4. 快速部署
1. 使用命令搜素应用
```shell
helm search repo 名称
```
2. 根据搜索内容进行选择安装
```
helm install 起的名称  包的名称

# 查看安装之后的状态

helm list
helm status 安装之后名称
```


![image.png](/static/img/7294b36902cc7eae9607cb2e869117e5.image.png)

![image.png](/static/img/08bb6eb230a02aaa1b8ff7fd592e370c.image.png)

> 如果遇到没有开发的端口，进行以下操作

修改service的yaml文件，type改为NodePort

![image.png](/static/img/8da5abd2365a15b2da6e9d1972c5fa38.image.png)



## 5. 如何自己创建Chart
### 5.1 使用命令创建chart
```
helm create chart 名称
```

![image.png](/static/img/03347660d0569629cda7722c2d3f120a.image.png)

* Chartyaml: 当前chart属性配置信息
* templates：编写yaml文件放到这个目录中，所有yaml文件的集合
* values.yml：yaml文件可以使用全局变量


### 5.2 在templates文件夹创建两个yaml文件
* deployment.yaml
```
kubectl create deployment web1 --image=nginx --dry-run -o yaml > deployment.yaml

```

![image.png](/static/img/02c9358677cc0b5d7e3951187739b55b.image.png)
* service.yaml

```
kubectl expose deployment web1 --port=80 --target-port=80 --type=NodePort --dry-run -o yaml > service.yaml
```
### 5.2 安装mychart
```
helm install web1 mychart
```
查看基本内容

![image.png](/static/img/09d3f4da1f0ddb69cbde0fb5b8c14d9e.image.png)

做升级和更新操作
```
helm upgrade web1 mychart
```
 
## 6. 实现yaml高效复用
通过传递参数，动态渲染模板，yaml内容动态传入参数生成，使用values.yml文件（定义yaml文件全局变量）

> yaml文件有几个地方不同的
> - image
> - tag
> - label
> - port
> - replicas
1. 在values.yml定义变量和值

![image.png](/static/img/a331bcbc1073299acdb4f99d116d717f.image.png)

3. 在具体yaml文件，获取定义变量值

通过表达式形式使用全局变量
```
{{.Values.变量名称}}
例如：{{.Release.Name}} 获取当前版本号的名称
```
原来的

![image.png](/static/img/63109ad720b6ec7ec9d6448e475d6327.image.png)
修改所用到的yaml

deployment.yaml
![image.png](/static/img/d61025b1b07d18867c0e5c40cb32a6c1.image.png)

service.yaml

![image.png](/static/img/ad66e4789fb8aacb202dd5dade712476.image.png)

10 kubernetes 核心技术- helm

## 1. secret
作用： 加密数据在etcd里面，让pod容器以挂载Volume方式进行访问



场景：凭证


![image.png](/static/img/fa16de771352e00259c6601665946f2c.image.png)

### 1、创建secret加密数据


```yaml
apiVersion: v1
kind: Secret
metadata: 
  name: mysecret
type: Opaque
data:
  username: ****
  password: ******
```

![image.png](/static/img/4599968943bd7288673b3083c7f467db.image.png)

```shell
kubectl create -f secret.yaml

```
### 2、以变量形式挂载到pod容器中


![image.png](/static/img/bbbf63143f56a52fea93322f4afaa5fc.image.png)
```
kubctl exec -it mypod bash # 进入mypod
```

![image.png](/static/img/eebcbbec04c2d58ed4db063723c9a760.image.png)

### 3. 以Volume形式挂载到pod容器中



![image.png](/static/img/74cc0e5d50755e17238f9ee8a1550858.image.png)

```
kubectl delete -f secret-val.yml
kubectl apply -f secret-vol.yaml
```

![image.png](/static/img/8f682c69a33204ed57484247733c703c.image.png)




## 2. configMap
作用：存储不加密的数据到etcd中，让pod以变量或者Volume挂载到容器中

场景：配置文件


### 1.建立配置文件
```shell
# 删掉所有的pod的内容
kubectl delete Pod --all

vim redis.properties

```
加入以下图片的内容：

![image.png](/static/img/049f15f23a2f6963185f2bb7e0399296.image.png)


### 2. 创建ConfigMap
```shell
kubectl create configmap redis-config  --from-file=redis.properties

# 查看
kubectl get cm
```

![image.png](/static/img/0f0cfeed3f3424e81e3f42dcd2a3f1c4.image.png)

### 3. 以Volume挂载到pod容器中


![image.png](/static/img/b7f03d637c3d2d4ec39bb6b96ee5adee.image.png)



### 4. 以变量形式挂载到pod容器中
1. 创建yaml，声明变量信息 configmap创建
2. 以变量挂载

![image.png](/static/img/78714841400b8c03893e0780e0bb9306.image.png)


![image.png](/static/img/1dd52af60a7c96f77643dfc61cd96782.image.png)

## 3. 集群安全机制
### 3.1 概述
1. 访问k8s集群时候，需要经过三个步骤完成具体操作
    
    第一步： 认证
    第二步：鉴权（授权）
    第三步：准入控制：人具体能不能找到
    
2. 进行访问时候，过程都需要经过api servier,api server 做统一协调，比如门卫。

    访问过程中需要证书、token、或者用户名+密码
   
    如果访问pod，需要serviceAccount
    
    
![image.png](/static/img/d3c1be10d43718e15e0157c605bd603f.image.png)
    
### 3.2 第一步：认证 传输安全
* 传输安全 ： 对外不暴露8080 端口，只能内部访问，对外使用端口6443
* 认证

    客户端身份认证常用方式：
    1. https证书认证，基于ca证书
    2. http token认证，通过token识别用户
    3. http基本认证，用户名+密码认证

### 3.3 第二步：鉴权（授权）
* 基于RBAC鉴权操作

```
角色：
 - role：特定命名空间的访问权限
 - ClusterRole：所有命名空间访问权限

角色绑定：
 - roleBinding：角色绑定到主体
 - ClusterRoleBinding：集群角色绑定到主体
 
 主体：
  - user：用户
  - group：用户组
  - serviceAccount：服务账号
```

> 步骤：

1. 创建命名空间


![image.png](/static/img/8e2b6b908521020e038de6bc08826952.image.png)

2. 在新创建的命名空间创建pod

```shell
kuectl run nginx --image=nginx -n roledemo
```

3. 创建角色
```yaml
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  namespace: roledemo
  name: prod-reader
rules:
  apiGroups: [""]  # ""indicates the core API Group
  resources: ['pods']
  verbs: ['get','watch','list']
```

![image.png](/static/img/b9850d602af238ef9678420b8dee7cdf.image.png)


4. 创建角色绑定


![image.png](/static/img/4946147e4c29ad7add29510a4625d2b4.image.png)

5. 使用证书识别身份

![image.png](/static/img/6179361be17c5c2d0fbfe48338558ae6.image.png)

查看

![image.png](/static/img/e3bc638a6df2ade51929fa73d87ac8d8.image.png)

### 3.4 准入控制
* 就是准入控制器的列表，如果列表有请求内容，通过，没有拒绝。

09 kubernetes配置管理

## 1. 简介
* 定义一组pod的访问规则




## 2. service存在的意义

* 防止Pod失联（用到的机制：服务发现），调度者通过名称获取ip地址


![image.png](/static/img/cad2842e20c3fed98057a46003be2a26.image.png)
 
* 定义一组Pod访问策略（负载均衡）


![image.png](/static/img/7dc33ba31d11ade36f1e8493f4827a46.image.png)


## 3.Pod和Service之间的关系

service的ip：叫做VIP，虚拟ip

![image.png](/static/img/1e4cd77c799c6ea71c92b07c1e446bf8.image.png)

根据lable和selector标签建立关联的

## 4. 常用的service的类型
1. Cluster Ip：默认是此类型

用于：pod和pod之间，集群之间内部访问

2. NodePort

用于：对外访问的应用使用
```
kubectl get svc # 获取对外访问端口
```
3. LoadBalancer

用于：对外访问的应用使用，公有云


node内网部署应用，外网一般不能访问的
* 找到一台可以进行外网访问机器，安装nginx，反向代理
* 手动把访问节点添加到nginx里面

07 kubernetes 核心技术-Service

# kubernetes核心技术-pod
## 1.pod概述
pod是k8s系统中可以创建和管理的最小单元，是资源对象模型中由用户创建或部署的最小资源对象模型，也是在k8s上运行容器化应用的资源对象



其他的资源对象都是用来支撑或者扩展pod对象功能的，

比如：
* 控制器对象是用来管控pod对象的，
* service或者Ingress资源是用来暴露pod引用对象的
* PersistentVolume资源对象是用来为pod提供存储等等，

k8s不会直接处理容器，而是pod，pod是由一个或多个container组成

Pod是Kubernetes的最重要概念，每一个pod都有一个特殊的被称为“根容器”的Pause容器。Pause容器对应的镜像属于kubernetes平台的一部分，除了Pause容器，每个Pod还包含一个或多个紧密相关的用户业务容器。


![image.png](/static/img/c37772954f089d070c0afc88757f646d.image.png)

概括一下：
1. pod是最小的部署单元
2. 包含多个容器（一组容器集合）
3. 一个pod中容器共享网络命名空间
4. pod是短暂的

## 2.pod存在的意义
1. 创建容器使用docker，一个docker对应一个容器，一个容器对应一个应用程序
2. pod是多进程设计，运行多个应用程序。一个pod有多个容器，一个容器里面运行一个应用程序。

3. pod存在为了亲密性应用。两个应用之间进行交互；网络之间调用；两个应用需要频繁调用

![image.png](/static/img/aa025874f5ad4e9fd7096361a3ec64d5.image.png)



## 3. pod实现机制
### 共享网络

前提条件：容器在同一个namespace里面

* 容器本身之间相互隔离的，主要技术是：
    
    namespace
    
    group



![image.png](/static/img/8317035c48fa137dc71fd770955c72db.image.png)


通过Pause容器，把其他业务容器加入到Pause容器里面，让所有业务容器在同一个命名空间，实现网络共享。

### 共享存储

1. 持久化数据
引入数据卷概念Volumn，使用数据卷进行持久化存储


数据类型主要有：    
    * 日志数据
    * 业务数据


![image.png](/static/img/dc135b1944de8dd7d2d2f8c103a1b521.image.png)



![image.png](/static/img/533ea5576d05ce9a5df6df8c08493a34.image.png)

## 4. pod镜像拉取策略
```yaml
apiversion: v1
kind: Pod
metadata: 
  name: mypod
spec:
  containers: 
    - name: nginx
      image: nginx:1.14
      imagePullPolicy: Always
# IfNotPresent： 默认值，镜像在宿主机上不存在时才拉去
# Always：每次创建Pod都会重新拉取一次镜像
# Never： Pod永远不会主动拉取这个镜像
```
## 5. Pod资源限制

保证pod资源最大效果使用

![image.png](/static/img/e27cc13169beff9cff2ba5c44ebef94d.image.png)

CPU 250m等于250 milicpu，一个vCPIU或者一个超线程 = 1000milicpu。m表示是微秒/


![image.png](/static/img/b1cd50050c177bd21fa0f7ea4a642a2e.image.png)


## 6. pod重启机制
```yaml
apiVersion: v1
kind: pod
metadata:
  name: dns-test
spec:
  contianers:
  -  name: busybox
     image: busybox:1.28.4
     args:
     - /bin/sh
     - -c
     - sleep 36000
  restartPolicy: Never

# Always: 当容器终止退出后，总是重启容器，默认策略
# OnFailure： 当容器异常退出（退出状态吗 非0）时，才重启容器
# Never： 当容器终止退出，从不重启容器
# 后两个适合批量任务
```

## 7. pod健康检查
例如：java堆内存溢出：状态是正常的，但是服务不能使用了

在k8s检查状态，状态虽然是Running，但是已经不能提供服务了
```shell
kubectl get pods
```

解决方法：在应用层面进行健康检查

```yaml
apiVersion: v1
kind: Pod
metadata: 
  labels:
    test: liveness
  name: liveness-exec

spec:
  contianers:
  - name: liveness
    image: busybox
    args:
    - /bin/sh
    - -c
    - touch /tmp/healthy; sleep 30; rm -rf /tmp/healthy
    livenessProbe:
      exec:
        command:
        - cat
        - /tmp/healthy
      initialDelaySeconds: 5
      periodSeconds: 5

# livenessProbe （存活检查）
## 如果检查失败，将杀死容器，根据pod的restartPolicy来操作

# readlinessProbe(就绪检查)
## 如果检查失败，kubernetes会把pod从service endpoints中剔除


# probe支持以下三种检查方法：
## httpGet
### 发送Http请求，返回200-400范围状态码为成功

## exec
### 执行shell命令返回状态码是0为成功

## tcpSocket
### 发起TCP socket 建立成功
```
## 8.创建pod流程

![image.png](/static/img/47af0e5e92978bb4a8c3aa55d75b3f7a.image.png)

### Master节点
1. createpod -- apiserver -- etcd
2. scheduler -- apiserver -- etcd -- 调度算法，把pod调度某个node节点上

### Node节点
1. kubelet -- apiserver -- 读取etcd拿到分配给当前节点pod -- docker创建容器

## 9.影响pod调用的属性
1. pod资源限制对pod调用产生影响

![image.png](/static/img/e78854b7135e57dba9d8981a727b95d7.image.png)

2. 节点选择器标签影响Pod调度

首先要对节点创建标签
```shell
kubectl label node node1 env_role=prod
```

![image.png](/static/img/4b54d4ca05f0a66c5679e27a9d984e9f.image.png)

![image.png](/static/img/223525a74d2e2cc6238d0bec2e0784b4.image.png)

3. 节点亲和性影响pod调度
```yaml
apiVersion: v1
kind: Pod
metadata: 
  name: with-node-affinity
spec:
  affinity:
    nodeAffinity:
      requiredDuringSchedulingIgnoreDuringExecution:
        nodeSelectorTerms:
        - matchExpressions:
          - key: env_role
            operator: In
            values:
            - dev
            - test
      preferredDuringSchedulingIgnoredDuringExecution:
      - weight: 1
        preference:
          matchExpressions:
          - key: group
            operator: In
            values:
            - otherprod
  containers:
  - name: webdemo
    image: nginx
    
    

```

节点亲和性 nodeAffinity 和之前nodeSelector基本一样的，根据节点上标签约束来绝对pod调度到哪些节点上。

1. 硬亲和性
    
    约束条件必须要满足
2. 软亲和性
    
    尝试满足，不保证
    

![image.png](/static/img/6b95467add2238d14cf7c18411aef8e8.image.png)

支持常用操作符：
* In 
* NotIn 
* Exists 
* Gt 
* Lt 
* DoesNotExists

3. 污点和污点容忍
```
一、基本介绍
nodeSelector和nodeAffinity: Pod调度到某些节点上，Pod属性，调度时候实现

Taint污点：节点不做普通分配调度，是节点属性

二、应用场景
1. 专用节点
2. 配置特点硬件节点
3. 基于Taint驱逐

三、具体演示
1. 查看节点污点情况
kubectl describe node k8smaster | grep Taint

污点值有三个
* NoSchedule   一定不被调度
* PreferNoSchdule  尽量不被调度
* NoExecute  不会调度，并且还会驱逐Node已有Pod


2. 为节点添加污点
kubectl taint node [node] key=value:污点的三个值

3. 删除污点
kubectl taint node k8snodel env_role:NoSchedule

4. 污点容忍

```

![](/static/img/282c38adfdef4e43d82794b0f52ffa1c.image.png)
```

```