Container Service for Kubernetes：通過onectl管理註冊叢集

與目的地組群的通訊

通過onectl串連註冊叢集與目的地組群時，onectl需要在目的地組群中部署註冊叢集agent，此時，onectl將按照以下優先順序依次嘗試使用對應的KubeConfig與目的地組群進行通訊。

1. kubeconfig參數

   例如，通過以下命令使用~/.kube/config設定檔與目的地組群通訊，並將目的地組群串連至註冊叢集。

   onectl cluster connect --cluster-id **** --kubeconfig ~/.kube/config

2. KUBECONFIG環境變數

   若上述kubeconfig參數未指定，onectl會使用KUBECONFIG環境變數指向的KubeConfig設定檔。

3. onectl設定檔~/.onectl/config.json中的Kubeconfig Path欄位

   若以上兩個欄位都不存在，則使用該欄位指向的設定檔。該欄位的配置請參見步驟二：配置onectl RAM使用者。

4. ~/.kube/config

   若上述欄位均為空白，則預設使用該設定檔。

串連註冊叢集

onectl串連註冊叢集時，將依次執行以下操作。

1. 擷取註冊叢集的串連資訊，並儲存到本地名為agent.yaml的檔案中。

2. 根據此YAML檔案的內容，在目的地組群中部署註冊叢集agent。

例如，執行以下命令，串連註冊叢集與目的地組群。

onectl cluster connect --cluster-id ****

預期輸出：

Agent information saved as agent.yaml.
Installing ACK One agent using kubeconfig file **** to connect to registered cluster ****.
Confirm? [Y/n]: y
ACK One agent deployed successfully.
Check the running status of deployment ack-cluster-agent to confirm the connection status of registered cluster ****.

組件RAM使用者

註冊叢集中已安裝的組件在運行時，需要一個單獨的RAM使用者的AccessKey來訪問雲上資源。例如，logtail-ds組件需要訪問Log ServiceSLS的專案、日誌庫等資源，該組件RAM使用者的AK資訊儲存在叢集kube-system命名空間下名為alibaba-addon-secret的Secret中。

• 若叢集中已經存在此Secret，onectl會沿用此Secret中的AK資訊來運行叢集組件。

• 若叢集中不存在此Secret，onectl會自動建立並使用名為ack-one-user-[cluster id prefix]的RAM使用者來運行組件。例如，當叢集中不存在此Secret時，您可以執行以下命令，建立一個RAM使用者並授予其terway-eniip組件所需要的許可權。

  onectl ram-user grant --addon terway-eniip

  預期輸出：

  Ram user ack-one-user-ce313528c3 created successfully.
  Ram policy ack-one-registered-cluster-policy-terway-eniip granted to ram user ack-one-user-ce313528c3 successfully.
  Secret alibaba-addon-secret created under namespace kube-system in the cluster, it stores the access key and secret of ram user ack-one-user-ce313528c3.

組件安裝

通過onectl安裝組件需要管理員權限，onectl會在開始安裝前檢測註冊叢集agent的ServiceAccount是否擁有管理員權限。若沒有，onectl將建立一個臨時的管理員角色，並賦予ack賬戶叢集的管理員權限。組件安裝完成後，onectl將刪除此臨時管理員角色，將ack賬戶的許可權恢複至組件安裝前。

例如，在agent沒有管理員權限時，您可以執行以下命令對agent賬戶進行臨時提權，並在組件安裝完成後撤銷agent的臨時管理員權限。

onectl addon install logtail-ds

預期輸出：

Cluster role ack-admin-tmp created.
Cluster role binding ack-admin-binding-tmp created.
Addon logtail-ds, version **** installed.
Cluster role ack-admin-tmp deleted.
Cluster role binding ack-admin-binding-tmp deleted.

臨時管理員角色的ClusterRole、ClusterRoleBinding內容如下。

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: ack-admin-tmp
  labels:
    ack/creator: "ack"
rules:
- apiGroups:
  - '*'
  resources:
  - '*'
  verbs:
  - '*'
- nonResourceURLs:
  - '*'
  verbs:
  - '*'
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: ack-admin-binding-tmp
  namespace: kube-system
  labels:
    ack/creator: "ack"
subjects:
- kind: ServiceAccount
  name: ack
  namespace: kube-system
roleRef:
  kind: ClusterRole
  name: ack-admin-tmp
  apiGroup: rbac.authorization.k8s.io