引言
Kubernetes 作為雲原生時代的核心編排系統，其內部機制的掌握對工程師而言至關重要。本文透過「Kubernetes the Hard Way」的實時搭建過程，探討如何在無腳本、無工具的前提下，手動配置集群核心組件，並分析其技術特性與實作挑戰，為讀者提供深入理解 Kubernetes 架構的實戰經驗。
主要內容
技術定義與核心概念
Kubernetes 集群由多個核心組件協同運作，包括：
- API Server：作為集群的入口點，處理所有 API 請求並橋接 ETCD。
- ETCD：分佈式鍵值存儲，儲存集群狀態與配置。
- Controller Manager：管理控制器以維護集群期望狀態。
- Scheduler：負責 Pod 調度至合適節點。
- Kubelet：節點層面的代理，執行 Pod 並與容器運行時互動。
- Kube-proxy：實現服務網路路由，支援 ClusterIP、NodePort 等類型。
這些組件透過 TLS 證書進行安全通信，並依賴配置文件與基本指令完成部署。
關鍵特性與功能
- 單節點集群的侷限性：本實作採用單節點架構，若節點失效則集群完全無法運作，此設計僅適用於學習環境。
- 手動配置的學習價值：透過手動設定 API Server、ETCD 連接、Kubelet 認證等步驟，深入理解各組件協作機制。
- 網路與存儲的挑戰：未整合 CNI（Cluster Network Interface）與存儲插件，需額外配置 IP 表規則與容器運行時（如 containerd）。
- 安全性設計：使用 TLS 證書確保 API Server 與 ETCD 之間的加密通信，並透過 CA 憑證進行客戶端-服務端驗證。
實作步驟與案例
- 系統架構搭建：
- 使用跳板機（jump box）SSH 連接到節點機器（node zero）。
- 安裝 kubelet 二進位檔，配置 containerd 端點與認證資訊。
- 啟動 kubelet 服務，確認其監聽 10250 端口並與 API Server 連接。
- API Server 設定：
- 配置 API Server 服務器地址、TLS 證書與根 CA，確保與 ETCD 的連接。
- 透過
kubectl cluster-info 驗證集群狀態，確認 API Server 與 ETCD 端點。
- Kube-proxy 配置：
- 啟動 kube-proxy 服務，設定 IP 表規則以支援 NodePort 類型服務。
- 檢查服務狀態，確保 Pod 可被外部訪問。
- 問題與解決：
- Pod 調度失敗：新增節點並安裝 kubelet 以提供執行環境。
- 認證配置錯誤：重新生成 TLS 證書並更新 API Server 與 ETCD 的 CA 憑證。
技術優勢與挑戰
- 優勢：
- 深入理解 Kubernetes 內部運作機制，如 API Server 與 ETCD 的互動流程。
- 熟悉手動配置的每一步驟，提升對集群組件的掌控能力。
- 挑戰：
- 需處理大量細節，如 TLS 證書生成、IP 表規則配置與容器運行時整合。
- 單節點集群缺乏高可用性，不適合生產環境。
總結
本實作透過手動搭建 Kubernetes 集群，揭示了核心組件的協作邏輯與配置細節。雖然此方法不適合生產環境，但對於學習 Kubernetes 內部機制具有重要價值。建議讀者在掌握基礎後，進一步探索自動化工具（如 kubeadm、kops）與雲端服務（如 AWS EKS、GCP GKE）以提升實務能力。