Elastic Container Instance:自己管理型KubernetesクラスターにVNodeを手動でデプロイする

前提条件

• バージョン1.13から1.30のKubernetesクラスターがデプロイされていること。

• Kubernetesクラスターがデータセンターにデプロイされている場合は、データセンターとElastic Container InstanceベースのPodが属する仮想プライベートクラウド (VPC) がExpress Connect、Smart Access Gateway、またはVPN Gatewayを使用して相互に接続されていることを確認してください。詳細については、以下のトピックを参照してください。

  • Express Connectとは何ですか？

  • SAGとは何ですか？

  • VPN Gatewayとは何ですか？

準備

自己管理型KubernetesクラスターにVNodeをデプロイする前に、VNodeの作成に必要なパラメータ情報を準備し、クラスターにVNodeをデプロイするために必要な権限を理解してください。次の表は、VNodeの作成に必要なパラメータについて説明しています。

VNodeを作成するには、次の表に示すように、ネイティブKubernetesノードの標準権限とVNodeの追加権限を設定する必要があります。

kubeconfig証明書を生成するようにクラスターを設定する

自己管理型KubernetesクラスターにVNodeをデプロイするには、kubeconfig証明書を使用する必要があります。VNodeを作成する前に、VNodeのkubeconfig証明書を生成する必要があります。

1. Kubernetesクラスターに接続します。

2. 設定スクリプトをダウンロードして実行し、kubeconfig証明書を生成します。

   TLSブートストラップまたはServiceAccountモードでは、Kubernetesクラスターのバージョンに基づいて適切なコマンドを実行してkubeconfig証明書を生成します。TLSはTransport Layer Securityの略です。

   TLSブートストラップ

   セキュリティ要件がある場合は、TLSブートストラップモードを使用することをお勧めします。このモードでは、vnode-approverコンポーネントが自動的にデプロイされます。vnode-approverコンポーネントは、VNodeから送信された証明書署名要求 (CSR) を承認するために使用されます。vnode-approverはGitHubでオープンソースコードを持っています。詳細については、vnode-approverを参照してください。

   • クラスターバージョンが1.14から1.22の場合は、次のコマンドを実行してkubeconfig証明書を生成します。

     curl -fsSL https://eci-docs.oss-cn-beijing.aliyuncs.com/vnode/vnode-deploy.sh | bash -s -- bootstrap

   • クラスターバージョンが1.13の場合は、次のコマンドを実行してkubeconfig証明書を生成します。

   • v1.13のクラスターの場合、エンドポイントリソースはリーダーを選択する必要があります。スクリプトでEXTRA_PRIVILEDGE = trueを設定することにより、追加の権限を設定する必要があります。

   curl -fsSL https://eci-docs.oss-cn-beijing.aliyuncs.com/vnode/vnode-deploy.sh | env EXTRA_PRIVILEDGE=true bash -s -- bootstrap

   ServiceAccount

   このモードは証明書のローテーションをサポートしていません。kubeconfig証明書を生成するときは、kubeconfigの有効期限切れによるVNodeの障害を防ぐために、トークンに十分な長さまたは永続的な有効期間があることを確認してください。

   • クラスターバージョンが1.14から1.22の場合は、次のコマンドを実行してkubeconfig証明書を生成します。

     curl -fsSL https://eci-docs.oss-cn-beijing.aliyuncs.com/vnode/vnode-deploy.sh | bash -s -- common

   • クラスターバージョンが1.13の場合は、次のコマンドを実行してkubeconfig証明書を生成します。

     v1.13のクラスターの場合、エンドポイントリソースはリーダーを選択する必要があります。スクリプトでEXTRA_PRIVILEDGE = trueを設定することにより、追加の権限を設定する必要があります。

     curl -fsSL https://eci-docs.oss-cn-beijing.aliyuncs.com/vnode/vnode-deploy.sh | env EXTRA_PRIVILEDGE=true bash -s -- common

3. kubeconfigの内容を表示します。

   生成されたkubeconfigの名前はvnode-configです。次のコマンドを実行して、kubeconfigの内容を表示します。

   cat vnode-config

   kubeconfigの内容を表示するときは、次の項目に注意してください。

   • VNodeが属するVPCがサーバーに接続できることを確認してください。VPCがサーバーに接続できるようにするには、VNodeとサーバーが同じVPCに存在するか、VPCとサーバー間の接続が確立されている必要があります。

     • サーバーアドレスがIPアドレスの場合は、VNodeが存在するVPCからそのIPアドレスにアクセスできることを確認してください。

     • サーバーアドレスがドメイン名の場合、Alibaba Cloud VPCでドメイン名を解決できることを確認してください。さらに、VNodeが存在するVPCから、ドメイン名が指すIPアドレスにアクセスできる必要があります。

   • certificate-authority-dataの内容が空の場合は、〜/ .kube / configでPATHフィールドが使用されているかどうかを確認してください。

   次のコードは、kubeconfigのサンプルコンテンツを提供します。

   TLSブートストラップ

   apiVersion: v1
   kind: Config
   current-context: kubernetes-admin@kubernetes
   contexts:
   - name: kubernetes-admin@kubernetes
     context:
       cluster: kubernetes-admin@kubernetes
       user: vnode
       namespace: kube-system
   clusters:
   - name: kubernetes-admin@kubernetes
     cluster:
       certificate-authority-data: "*****************************************=="
       server: https://10.16.XX.XX:6443
   users:
   - name: vnode
     user:
       token: ******.****************

   ServiceAccount

   apiVersion: v1
   kind: Config
   current-context: kubernetes-admin@kubernetes
   contexts:
   - name: kubernetes-admin@kubernetes
     context:
       cluster: kubernetes-admin@kubernetes
       user: vnode
       namespace: kube-system
   clusters:
   - name: kubernetes-admin@kubernetes
     cluster:
       certificate-authority-data: "*****************************************=="
       server: https://10.16.XX.XX:6443
   users:
   - name: vnode
     user:
       token: ***********************************************

VNodeを作成する

手順

Elastic Container Instanceコンソールを使用するか、APIオペレーションを呼び出してVNodeを作成できます。

DaemonSetがVNodeにスケジュールされないようにする

VNodeは実際のノードではないため、DaemonSetはVNodeで実行できません。VNodeを作成した後、kube-proxyのDaemonSetを変更し、nodeAffinityを設定してDaemonSetがVNodeにスケジュールされないようにする必要があります。

1. DaemonSetの構成を変更します。

   kubectl -n kube-system edit ds kube-proxy

2. nodeAffinityを設定します。

   次のYAMLコンテンツをspec> template> specに追加します。

   affinity:
     nodeAffinity:
       requiredDuringSchedulingIgnoredDuringExecution:
         nodeSelectorTerms:
         - matchExpressions:
           - key: type
             operator: NotIn
             values:
             - virtual-kubelet

PodをVNodeにスケジュールする

VNodeを作成した後、次のいずれかの方法を使用してPodをVNodeにスケジュールできます。その後、PodをVNodeのエラスティックコンテナインスタンスとして実行できます。

• 手動スケジューリング

  nodeSelectorおよびtolerationsパラメータを設定するか、nodeNameパラメータを指定して、PodをVNodeにスケジュールできます。詳細については、PodをVNodeにスケジュールするを参照してください。

• 自動スケジューリング

  eci-profileコンポーネントをデプロイした後、Selectorパラメータを指定できます。このようにして、システムはSelectorで指定された条件を満たすPodをVNodeに自動的にスケジュールします。詳細については、eci-profileを使用してPodをVNodeにスケジュールするを参照してください。