## 1. secret
作用： 加密数据在etcd里面，让pod容器以挂载Volume方式进行访问



场景：凭证


![image.png](/static/img/fa16de771352e00259c6601665946f2c.image.png)

### 1、创建secret加密数据


```yaml
apiVersion: v1
kind: Secret
metadata: 
  name: mysecret
type: Opaque
data:
  username: ****
  password: ******
```

![image.png](/static/img/4599968943bd7288673b3083c7f467db.image.png)

```shell
kubectl create -f secret.yaml

```
### 2、以变量形式挂载到pod容器中


![image.png](/static/img/bbbf63143f56a52fea93322f4afaa5fc.image.png)
```
kubctl exec -it mypod bash # 进入mypod
```

![image.png](/static/img/eebcbbec04c2d58ed4db063723c9a760.image.png)

### 3. 以Volume形式挂载到pod容器中



![image.png](/static/img/74cc0e5d50755e17238f9ee8a1550858.image.png)

```
kubectl delete -f secret-val.yml
kubectl apply -f secret-vol.yaml
```

![image.png](/static/img/8f682c69a33204ed57484247733c703c.image.png)




## 2. configMap
作用：存储不加密的数据到etcd中，让pod以变量或者Volume挂载到容器中

场景：配置文件


### 1.建立配置文件
```shell
# 删掉所有的pod的内容
kubectl delete Pod --all

vim redis.properties

```
加入以下图片的内容：

![image.png](/static/img/049f15f23a2f6963185f2bb7e0399296.image.png)


### 2. 创建ConfigMap
```shell
kubectl create configmap redis-config  --from-file=redis.properties

# 查看
kubectl get cm
```

![image.png](/static/img/0f0cfeed3f3424e81e3f42dcd2a3f1c4.image.png)

### 3. 以Volume挂载到pod容器中


![image.png](/static/img/b7f03d637c3d2d4ec39bb6b96ee5adee.image.png)



### 4. 以变量形式挂载到pod容器中
1. 创建yaml，声明变量信息 configmap创建
2. 以变量挂载

![image.png](/static/img/78714841400b8c03893e0780e0bb9306.image.png)


![image.png](/static/img/1dd52af60a7c96f77643dfc61cd96782.image.png)

## 3. 集群安全机制
### 3.1 概述
1. 访问k8s集群时候，需要经过三个步骤完成具体操作
    
    第一步： 认证
    第二步：鉴权（授权）
    第三步：准入控制：人具体能不能找到
    
2. 进行访问时候，过程都需要经过api servier,api server 做统一协调，比如门卫。

    访问过程中需要证书、token、或者用户名+密码
   
    如果访问pod，需要serviceAccount
    
    
![image.png](/static/img/d3c1be10d43718e15e0157c605bd603f.image.png)
    
### 3.2 第一步：认证 传输安全
* 传输安全 ： 对外不暴露8080 端口，只能内部访问，对外使用端口6443
* 认证

    客户端身份认证常用方式：
    1. https证书认证，基于ca证书
    2. http token认证，通过token识别用户
    3. http基本认证，用户名+密码认证

### 3.3 第二步：鉴权（授权）
* 基于RBAC鉴权操作

```
角色：
 - role：特定命名空间的访问权限
 - ClusterRole：所有命名空间访问权限

角色绑定：
 - roleBinding：角色绑定到主体
 - ClusterRoleBinding：集群角色绑定到主体
 
 主体：
  - user：用户
  - group：用户组
  - serviceAccount：服务账号
```

> 步骤：

1. 创建命名空间


![image.png](/static/img/8e2b6b908521020e038de6bc08826952.image.png)

2. 在新创建的命名空间创建pod

```shell
kuectl run nginx --image=nginx -n roledemo
```

3. 创建角色
```yaml
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  namespace: roledemo
  name: prod-reader
rules:
  apiGroups: [""]  # ""indicates the core API Group
  resources: ['pods']
  verbs: ['get','watch','list']
```

![image.png](/static/img/b9850d602af238ef9678420b8dee7cdf.image.png)


4. 创建角色绑定


![image.png](/static/img/4946147e4c29ad7add29510a4625d2b4.image.png)

5. 使用证书识别身份

![image.png](/static/img/6179361be17c5c2d0fbfe48338558ae6.image.png)

查看

![image.png](/static/img/e3bc638a6df2ade51929fa73d87ac8d8.image.png)

### 3.4 准入控制
* 就是准入控制器的列表，如果列表有请求内容，通过，没有拒绝。

09 kubernetes配置管理

## 1. 简介
* 定义一组pod的访问规则




## 2. service存在的意义

* 防止Pod失联（用到的机制：服务发现），调度者通过名称获取ip地址


![image.png](/static/img/cad2842e20c3fed98057a46003be2a26.image.png)
 
* 定义一组Pod访问策略（负载均衡）


![image.png](/static/img/7dc33ba31d11ade36f1e8493f4827a46.image.png)


## 3.Pod和Service之间的关系

service的ip：叫做VIP，虚拟ip

![image.png](/static/img/1e4cd77c799c6ea71c92b07c1e446bf8.image.png)

根据lable和selector标签建立关联的

## 4. 常用的service的类型
1. Cluster Ip：默认是此类型

用于：pod和pod之间，集群之间内部访问

2. NodePort

用于：对外访问的应用使用
```
kubectl get svc # 获取对外访问端口
```
3. LoadBalancer

用于：对外访问的应用使用，公有云


node内网部署应用，外网一般不能访问的
* 找到一台可以进行外网访问机器，安装nginx，反向代理
* 手动把访问节点添加到nginx里面

07 kubernetes 核心技术-Service

# kubernetes核心技术-pod
## 1.pod概述
pod是k8s系统中可以创建和管理的最小单元，是资源对象模型中由用户创建或部署的最小资源对象模型，也是在k8s上运行容器化应用的资源对象



其他的资源对象都是用来支撑或者扩展pod对象功能的，

比如：
* 控制器对象是用来管控pod对象的，
* service或者Ingress资源是用来暴露pod引用对象的
* PersistentVolume资源对象是用来为pod提供存储等等，

k8s不会直接处理容器，而是pod，pod是由一个或多个container组成

Pod是Kubernetes的最重要概念，每一个pod都有一个特殊的被称为“根容器”的Pause容器。Pause容器对应的镜像属于kubernetes平台的一部分，除了Pause容器，每个Pod还包含一个或多个紧密相关的用户业务容器。


![image.png](/static/img/c37772954f089d070c0afc88757f646d.image.png)

概括一下：
1. pod是最小的部署单元
2. 包含多个容器（一组容器集合）
3. 一个pod中容器共享网络命名空间
4. pod是短暂的

## 2.pod存在的意义
1. 创建容器使用docker，一个docker对应一个容器，一个容器对应一个应用程序
2. pod是多进程设计，运行多个应用程序。一个pod有多个容器，一个容器里面运行一个应用程序。

3. pod存在为了亲密性应用。两个应用之间进行交互；网络之间调用；两个应用需要频繁调用

![image.png](/static/img/aa025874f5ad4e9fd7096361a3ec64d5.image.png)



## 3. pod实现机制
### 共享网络

前提条件：容器在同一个namespace里面

* 容器本身之间相互隔离的，主要技术是：
    
    namespace
    
    group



![image.png](/static/img/8317035c48fa137dc71fd770955c72db.image.png)


通过Pause容器，把其他业务容器加入到Pause容器里面，让所有业务容器在同一个命名空间，实现网络共享。

### 共享存储

1. 持久化数据
引入数据卷概念Volumn，使用数据卷进行持久化存储


数据类型主要有：    
    * 日志数据
    * 业务数据


![image.png](/static/img/dc135b1944de8dd7d2d2f8c103a1b521.image.png)



![image.png](/static/img/533ea5576d05ce9a5df6df8c08493a34.image.png)

## 4. pod镜像拉取策略
```yaml
apiversion: v1
kind: Pod
metadata: 
  name: mypod
spec:
  containers: 
    - name: nginx
      image: nginx:1.14
      imagePullPolicy: Always
# IfNotPresent： 默认值，镜像在宿主机上不存在时才拉去
# Always：每次创建Pod都会重新拉取一次镜像
# Never： Pod永远不会主动拉取这个镜像
```
## 5. Pod资源限制

保证pod资源最大效果使用

![image.png](/static/img/e27cc13169beff9cff2ba5c44ebef94d.image.png)

CPU 250m等于250 milicpu，一个vCPIU或者一个超线程 = 1000milicpu。m表示是微秒/


![image.png](/static/img/b1cd50050c177bd21fa0f7ea4a642a2e.image.png)


## 6. pod重启机制
```yaml
apiVersion: v1
kind: pod
metadata:
  name: dns-test
spec:
  contianers:
  -  name: busybox
     image: busybox:1.28.4
     args:
     - /bin/sh
     - -c
     - sleep 36000
  restartPolicy: Never

# Always: 当容器终止退出后，总是重启容器，默认策略
# OnFailure： 当容器异常退出（退出状态吗 非0）时，才重启容器
# Never： 当容器终止退出，从不重启容器
# 后两个适合批量任务
```

## 7. pod健康检查
例如：java堆内存溢出：状态是正常的，但是服务不能使用了

在k8s检查状态，状态虽然是Running，但是已经不能提供服务了
```shell
kubectl get pods
```

解决方法：在应用层面进行健康检查

```yaml
apiVersion: v1
kind: Pod
metadata: 
  labels:
    test: liveness
  name: liveness-exec

spec:
  contianers:
  - name: liveness
    image: busybox
    args:
    - /bin/sh
    - -c
    - touch /tmp/healthy; sleep 30; rm -rf /tmp/healthy
    livenessProbe:
      exec:
        command:
        - cat
        - /tmp/healthy
      initialDelaySeconds: 5
      periodSeconds: 5

# livenessProbe （存活检查）
## 如果检查失败，将杀死容器，根据pod的restartPolicy来操作

# readlinessProbe(就绪检查)
## 如果检查失败，kubernetes会把pod从service endpoints中剔除


# probe支持以下三种检查方法：
## httpGet
### 发送Http请求，返回200-400范围状态码为成功

## exec
### 执行shell命令返回状态码是0为成功

## tcpSocket
### 发起TCP socket 建立成功
```
## 8.创建pod流程

![image.png](/static/img/47af0e5e92978bb4a8c3aa55d75b3f7a.image.png)

### Master节点
1. createpod -- apiserver -- etcd
2. scheduler -- apiserver -- etcd -- 调度算法，把pod调度某个node节点上

### Node节点
1. kubelet -- apiserver -- 读取etcd拿到分配给当前节点pod -- docker创建容器

## 9.影响pod调用的属性
1. pod资源限制对pod调用产生影响

![image.png](/static/img/e78854b7135e57dba9d8981a727b95d7.image.png)

2. 节点选择器标签影响Pod调度

首先要对节点创建标签
```shell
kubectl label node node1 env_role=prod
```

![image.png](/static/img/4b54d4ca05f0a66c5679e27a9d984e9f.image.png)

![image.png](/static/img/223525a74d2e2cc6238d0bec2e0784b4.image.png)

3. 节点亲和性影响pod调度
```yaml
apiVersion: v1
kind: Pod
metadata: 
  name: with-node-affinity
spec:
  affinity:
    nodeAffinity:
      requiredDuringSchedulingIgnoreDuringExecution:
        nodeSelectorTerms:
        - matchExpressions:
          - key: env_role
            operator: In
            values:
            - dev
            - test
      preferredDuringSchedulingIgnoredDuringExecution:
      - weight: 1
        preference:
          matchExpressions:
          - key: group
            operator: In
            values:
            - otherprod
  containers:
  - name: webdemo
    image: nginx
    
    

```

节点亲和性 nodeAffinity 和之前nodeSelector基本一样的，根据节点上标签约束来绝对pod调度到哪些节点上。

1. 硬亲和性
    
    约束条件必须要满足
2. 软亲和性
    
    尝试满足，不保证
    

![image.png](/static/img/6b95467add2238d14cf7c18411aef8e8.image.png)

支持常用操作符：
* In 
* NotIn 
* Exists 
* Gt 
* Lt 
* DoesNotExists

3. 污点和污点容忍
```
一、基本介绍
nodeSelector和nodeAffinity: Pod调度到某些节点上，Pod属性，调度时候实现

Taint污点：节点不做普通分配调度，是节点属性

二、应用场景
1. 专用节点
2. 配置特点硬件节点
3. 基于Taint驱逐

三、具体演示
1. 查看节点污点情况
kubectl describe node k8smaster | grep Taint

污点值有三个
* NoSchedule   一定不被调度
* PreferNoSchdule  尽量不被调度
* NoExecute  不会调度，并且还会驱逐Node已有Pod


2. 为节点添加污点
kubectl taint node [node] key=value:污点的三个值

3. 删除污点
kubectl taint node k8snodel env_role:NoSchedule

4. 污点容忍

```

![](/static/img/282c38adfdef4e43d82794b0f52ffa1c.image.png)
```

```

05 kubernetes 核心技术-Pod

# 1.kubernetes 集群网络体系

![image.png](/static/img/1c8ca29c310949961776057738ee0835.image.png)


# 2. 部署架构

![image.png](/static/img/7b13e458f27ea08e785310f8fa638fc6.image.png)
```
集群架构：
  角色角度：
     - 带头大哥 master 所有请求的入口
     - 工作小弟 node。所有应用的载体
  应用角度：
     - 管理平台 master + node
     - 仓库平台 harbor
 容器角度：
     - 容器环境 
     - cri服务 
  
```

![image.png](/static/img/8e251e230acd30b16f078c6abd3906e4.image.png)
# 3. Kubernetes集群命令行工具kubectl

## 1.概述
kubectl是Kubernetes集群的命令工具，通过kubectl能够对集群本身进行管理，并能够在集群上进行容器化应用的安装部署


## 2. kubectl命令的语法
```shell
kubectl [command][TYPE][NAME][flags]
```
* command：指定要对资源执行的操作，例如create、get、describe和delete
* TYPE：指定资源类型，资源类型是大小写敏感的，开发者能够以单数、复数和缩略的形式，例如：
```shell
kubectl get pod pod1
kubectl get pods pod1
kubectl get po pod1
```
* NAME：指定资源的名称，名称是也大小写敏感的，如果省略名，则会显示所有的资源。例如：
```shell
kubectl get pods
```
* flags:指定可选的参数。例如，可用-s或者-server参数指定kubernetes API server的地址和端口。


## 3. kubectl help获取更多的信息
kubectl --help 可以查看更多信息
```shell
kubectl get --help
```
### 3.1 kubectl 子命令使用分类
1. 基础命令
 
 |基础命令 |中文说明 |
 |:---|:---|
 |create|通过文件名或标准输入创建资源 | 
 |expose|将一个资源公开为一个新的Service | 
 |run|在集群中运行一个特定的镜像 | 
 |set|在对象上设置特定的功能 | 
 |get|显示一个或多个资源 | 
 |explain|文档参考资料 | 
 |edit|使用默认的编辑器编辑一个资源 | 
 |delete|通过文件名、标准输入、资源名称或标签选择器来删除资源 | 
 
2. 部署和集群管理命令

 |部署命令 |中文说明 |
 |:---|:---|
 |rollout |管理资源的发布 |
 |rolling-update |对给定的复制控制器滚动更新 |
 |scale |扩容或缩容Pod数量，Deployment、ReplicaSet、RC或Job |
 |autoscale |创建一个自动选择扩容或缩容并设置Pod数量 |

 |集群管理命令 |中文说明 |
 |:---|:---|
 |certificate |修改证书资源 |
 |cluster-info |显示集群信息 |
 |top |显示资源（cpu/memory/storage）使用，需要Heapster运行 |
 |cordon |标记节点不可调度 |
 |uncordon |标记节点可调度 |
 |drain |驱逐节点上的应用，准备下线维护 |
 |taint |修改节点taint标记 |
3. 故障调试命令
  
  |故障诊断和调试命令 |中文说明 |
  |:---|:---|
  |describe |显示特定资源或者资源组的详细信息 |
  |logs |在一个Pod中打印一个容器日志，如果pod只有一个容器，容器名称是可选的 |
  |attach |附加到一个运行的容器 |
  |exec |执行命令到容器 |
  |port-forward |转发一个或多个本地端口到一个pod |
  |porxy |运行一个proxy到Kubernetes API Server |
  |cp |拷贝文件或目录到容器中 |
  |auth |检查授权 |
  
4. 其他命令
  |高级命令 |中文说明 |
  |:---|:---|
  |apply |通过文件名或标准输入对资源应用配置 |
  |patch |使用补丁修改、更新资源的字段 |
  |replace |通过文件名或标准输入替换一个资源 |
  |convert |不同的API版本之间转换配置文件 |
  
  |设置命令 |中文说明 |
  |:---|:---|
  |label |更新资源上的标签 |
  |annotate |更新资源上的注释 |
  |completion |用于实现kubectl工具自动补全 |
  
  |其他命令 |中文说明 |
  |:---|:---|
  |api-versions |打印受支持的API版本 |
  |config |修改kubeconfig文件（用于访问API，比如配置认证信息） |
  |help |所有命令帮助 |
  |plugin |运行一个命令行插件 |
  |version |打印客户端和服务版本信息 |

03 k8s的特性

1. secret

1. 简介

kubernetes核心技术-pod

1.pod概述

1.kubernetes 集群网络体系

1. yaml文件概述