Elastic Container Instance：接入VNode（手動）

前提條件

• 已部署好Kubernetes叢集，且叢集的版本屬於1.13~1.30版本。

• 如果您的Kubernetes叢集部署線上下IDC，請確保已通過Express Connect、Smart Access Gateway或者VPN網關打通IDC和雲上網路。相關參考如下：

  • Express Connect

  • Smart Access Gateway

  • VPN網關

準備工作

操作前，請準備建立VNode所需的參數資訊，並瞭解VNode所需的許可權資訊。需要準備的參數如下表所示。

建立VNode時，需要配置相關許可權，包括原生K8s節點使用的標準許可權，以及VNode所需的額外許可權，具體如下表所示。

配置叢集

VNode需要使用kubeconfig來接入叢集。因此，建立VNode前需要為VNode簽發認證（即kubeconfig）。

1. 串連叢集。

2. 下載並執行配置指令碼，產生kubeconfig。

   選擇TLS Bootstrap或ServiceAccount方式，根據您的Kubernetes叢集的版本執行對應命令產生kubeconfig。

   TLS Bootstrap

   如果有安全性要求，建議採用TLS Bootstrap方式。採用該方式時，將自動部署vnode-approver組件。vnode-approver組件用於簽發Vnode提交的CSR請求，目前已開源至GitHub。更多資訊，請參見vnode-approver。

   • 叢集版本為1.14~1.22

     curl -fsSL https://eci-docs.oss-cn-beijing.aliyuncs.com/vnode/vnode-deploy.sh | bash -s -- bootstrap

   • 叢集版本為1.13

   • 1.13版本的叢集需要endpoints資源進行選主，指令碼中需配置額外許可權（EXTRA_PRIVILEDGE=true）。

   curl -fsSL https://eci-docs.oss-cn-beijing.aliyuncs.com/vnode/vnode-deploy.sh | env EXTRA_PRIVILEDGE=true bash -s -- bootstrap

   ServiceAccount

   該方式不支援認證輪換。簽發認證時需確保token有足夠的有效期間（或者設定為不到期），防止因認證到期導致VNode無法正常工作。

   • 叢集版本為1.14~1.22

     curl -fsSL https://eci-docs.oss-cn-beijing.aliyuncs.com/vnode/vnode-deploy.sh | bash -s -- common

   • 叢集版本為1.13

     1.13版本的叢集需要endpoints資源進行選主，指令碼中需配置額外許可權（EXTRA_PRIVILEDGE=true）。

     curl -fsSL https://eci-docs.oss-cn-beijing.aliyuncs.com/vnode/vnode-deploy.sh | env EXTRA_PRIVILEDGE=true bash -s -- common

3. 檢查kubeconfig。

   產生的kubeconfig名為vnode-config。執行以下命令查看kubeconfig。

   cat vnode-config

   檢查時，請注意以下幾點：

   • 確認待建立VNode的VPC網路能夠串連到server地址（處於同一VPC或已打通網路）。

     • 如果server地址是IP地址，需確保VNode所在VPC能夠訪問該IP地址。

     • 如果server地址是網域名稱，需確保阿里雲VPC內能夠解析該網域名稱，且VNode所在VPC可以訪問網域名稱解析後的IP地址。

   • 如果certificate-authority-data的內容為空白，請檢查~/.kube/config中的相應欄位是否使用了PATH。

   kubeconfig的內容樣本如下：

   TLS Bootstrap

   apiVersion: v1
   kind: Config
   current-context: kubernetes-admin@kubernetes
   contexts:
   - name: kubernetes-admin@kubernetes
     context:
       cluster: kubernetes-admin@kubernetes
       user: vnode
       namespace: kube-system
   clusters:
   - name: kubernetes-admin@kubernetes
     cluster:
       certificate-authority-data: "*****************************************=="
       server: https://10.16.XX.XX:6443
   users:
   - name: vnode
     user:
       token: ******.****************

   ServiceAccount

   apiVersion: v1
   kind: Config
   current-context: kubernetes-admin@kubernetes
   contexts:
   - name: kubernetes-admin@kubernetes
     context:
       cluster: kubernetes-admin@kubernetes
       user: vnode
       namespace: kube-system
   clusters:
   - name: kubernetes-admin@kubernetes
     cluster:
       certificate-authority-data: "*****************************************=="
       server: https://10.16.XX.XX:6443
   users:
   - name: vnode
     user:
       token: ***********************************************

建立VNode

操作步驟

您可以通過Elastic Container Instance控制台或者OpenAPI來建立VNode。

禁止DaemonSet調度到VNode

由於VNode不是真實節點，因此無法運行DaemonSet。建立VNode後，您需要修改kube-proxy的DaemonSet，配置nodeAffinity來禁止DaemonSet調度到VNode。

1. 修改DaemonSet配置。

   kubectl -n kube-system edit ds kube-proxy

2. 配置nodeAffinity。

   在spec>template>spec下添加以下YAML：

   affinity:
     nodeAffinity:
       requiredDuringSchedulingIgnoredDuringExecution:
         nodeSelectorTerms:
         - matchExpressions:
           - key: type
             operator: NotIn
             values:
             - virtual-kubelet

調度Pod到VNode

建立VNode後，您可以通過以下方式將Pod調度到VNode上，以使用ECI來運行Pod。

• 手動調度

  通過配置nodeSelector和tolerations、指定nodeName的方式，可以手動將Pod調度到VNode。具體操作，請參見將Pod調度到VNode。

• 自動調度

  部署eci-profile組件後，可以自訂配置Selector，將滿足條件的Pod自動調度到VNode。具體操作，請參見使用eci-profile調度Pod到VNode。