接入标准 Kubernetes 集群

支持将通过 kubeadm 部署的标准原生 Kubernetes 集群接入平台统一管理。

名词解释

前提条件

• 集群上 Kubernetes 等组件的版本和参数满足 接入标准 Kubernetes 集群组件版本和参数要求 。

• 若接入集群的运行时组件为 Containerd，您需要在接入集群前 修改 Containerd 配置信息 ，以确保分布式存储部署成功。

注意事项

平台的网卡流量监控默认识别 eth\.\|en\.\|wl\.*\|ww\.* 这类网卡的流量，因此若您使用其他命名方式的网卡，请在集群接入后，参考 采集自定义命名网卡的网络数据 文档修改相应资源，确保平台可正常监控网卡流量。

获取镜像仓库地址

• 若需使用部署 global 集群时 平台部署 的镜像仓库，则在 global 集群的控制节点 上执行如下命令获取地址：

  if [ "$(kubectl get productbase -o jsonpath='{.items[].spec.registry.preferPlatformURL}')" = 'false' ]; then
      REGISTRY=$(kubectl get cm -n kube-public global-info -o jsonpath='{.data.registryAddress}')
  else
      REGISTRY=$(kubectl get cm -n kube-public global-info -o jsonpath='{.data.platformURL}' | awk -F \// '{print $NF}')
  fi
  echo "镜像仓库地址是：$REGISTRY"

• 若需使用 外部镜像仓库 ，请手动设置 REGISTRY 变量。

  REGISTRY=<外部镜像仓库地址>  # 合法的例子如：registry.example.cn:60080 或 192.168.134.43
  echo "镜像仓库地址是：$REGISTRY"

判断镜像仓库是否需要额外配置

1. 执行如下命令，判断指定的镜像仓库是否支持 HTTPS 访问，且使用受信任的 CA 认证机构颁发的证书：

   REGISTRY=<“获取镜像仓库地址”一节中获得的镜像仓库地址>
   
   if curl -s -o /dev/null --retry 3 --retry-delay 5 -- "https://${REGISTRY}/v2/"; then
       echo '检测通过：镜像仓库使用的是受信任的 CA 认证机构颁发的证书。不必执行“信任非安全镜像仓库”一节的内容。'
   else
       echo '检测未通过：镜像仓库不支持 HTTPS，或证书不受信任。请参考“信任非安全镜像仓库”一节进行配置。'
   fi

2. 若检测未通过，请参考常见问题 如何信任非安全镜像仓库？ 。

获取集群信息

请参考常见问题 如何获取集群信息？ 。

接入集群

1. 在左侧导航栏中，单击 集群管理 > 集群。

2. 单击 接入集群。

3. 参照以下说明，配置相关参数。

   参数	说明
   镜像仓库	存储集群所需平台组件镜像的仓库。 - 平台默认：部署 global 时配置的镜像仓库。 - 私有仓库：提前搭建的并存放平台所需组件的镜像仓库。需输入访问镜像仓库的 私有镜像仓库地址、端口、用户名、密码。 - 公共仓库：使用位于公网的镜像仓库服务，使用前，您需首先参考 更新公网镜像仓库云凭证 以获取仓库认证权限。
   集群信息	提示：可手动填写或上传 KubeConfig 文件由平台自动解析并填写。 解析 KubeConfig 文件：上传已获取的 KubeConfig 文件后，平台会自动解析并填写 集群信息，您可修改自动填写的信息。 集群地址：集群对外暴露 API Server 的访问地址，用于平台访问集群的 API Server。 CA 证书：集群的 CA 证书。 注意：手动输入时，需输入经过 Base64 解码的证书。 认证方式：访问集群的认证方式，需要使用具备 集群管理权限 的 令牌（Token）或 证书认证（客户端证书及秘钥） 进行认证。

4. 单击 检查连通性 以检查与接入集群的网络连通性并自动识别接入集群的类型，集群类型将以表单右上角角标的形式展现。

5. 连通性检查通过后，单击 接入，并确认。

   提示：

   • 单击处于 接入中 状态的集群右侧的 图标，可在弹出的 执行进度 对话框中，查看集群的执行进度（status.conditions）。
   • 集群接入成功后，在集群列表可查看集群的关键信息，集群的状态显示为正常，并可执行集群相关操作。

网络相关配置

为确保 global 集群与被接入集群网络互通，您须参考 接入集群网络相关配置 。

后续操作

部署插件

集群接入成功后，您可前往 插件管理 选择为集群部署必须的插件，包括监控组件、日志采集组件、日志存储组件等。

配置集群审计功能

集群接入成功后，需要修改集群上审计相关的配置，才能通过平台正常采集集群的审计数据。具体操作请参考 如何配置接入平台的标准 Kubernetes 集群的审计功能？ 。

启用 Pod Debug 功能

集群接入成功后，如需使用 Pod Debug 功能，请参考 如何在接入集群中启用 Pod Debug 功能？ 。

纳管集群下命名空间

集群接入成功后，您可通过基于集群 创建项目 ，或通过 添加项目关联集群 的方式将集群添加至已有项目，可将新接入的集群关联至项目。

进而，通过 导入命名空间 操作，将集群下已有的 Kubernetes 命名空间纳入到平台的项目下进行管理。

常见问题

接入集群后添加节点按钮置灰，如何添加节点？

托管版 Kubernetes 集群 和 非托管版 Kubernetes 集群 都不支持在平台界面添加节点，请于后台添加或联系集群供应商添加。

接入集群的证书管理功能支持哪些证书？

1. Kubernetes 证书：所有接入集群仅支持在平台证书管理界面查看 APIServer 证书信息，不支持查看其他 Kubernetes 证书且不支持自动轮换。

2. 平台组件证书：所有接入集群可在平台证书管理界面查看平台组件证书信息且支持自动轮换。

哪些功能不支持接入的 Kubernetes 集群？

• 托管版 Kubernetes 集群 不支持获取审计数据。

• 托管版 Kubernetes 集群 不支持 ETCD、Scheduler、Controller Manager 相关监控信息，支持 APIServer 部分监控图表。

• 托管版 Kubernetes 集群 和 非托管版 Kubernetes 集群 不支持获取除 Kubernetes APIServer 证书外的集群证书相关信息。

如何解决接入集群的运行时组件为 Containerd 时，部署分布式存储失败的问题？

当接入集群的运行时组件为 Containerd 时，部署分布式存储将会失败。为解决该问题，您需要在集群的 所有节点 上手动修改 Containerd 配置信息，并重启 Containerd。

说明：若您在部署分布式存储前执行下述步骤修改 Containerd 配置，则无需执行步骤四。

1. 登录集群节点，编辑 /etc/systemd/system/containerd.service 文件，将 LimitNOFILE 参数值修改为 1048576。

2. 执行命令 systemctl daemon-reload 重新加载配置。

3. 执行命令 systemctl restart containerd 重启 Containerd。

4. 在集群控制节点执行命令 kubectl delete pod --all -n rook-ceph，重启 rook-ceph 命名空间内的所有 Pod，以使配置生效。