Kubernetes中的Helm和修改证书有效时间（八）

一、Helm的介绍

1，概念

　　Helm 把 k8s 资源（比如 deployments、services 或 ingress 等）打包到一个 chart 中，而 chart 被保存到 chart 仓库。通过 chart 仓库 可用来存储和分享 chart。Helm 使发布可配置，支持发布应用配置的版本管理，简化了 k8s 部署应用的版本控制、打包、发布、删除、更新等操作。

　　做为 k8s 的一个包管理工具，Helm 具有如下功能：

• 创建新的 chart
• chart 打包成 tgz 格式
• 上传 chart 到 chart 仓库或从仓库中下载 chart
• 在 k8s 集群中安装或卸载 chart
• 管理用 Helm 安装的 chart 的发布周期

2，Helm的三个重要概念

1. chart：包含创建k8s的一个应用实例的必要信息
2. config：包含了应用发布配置信息
3. release：是一个chart及其配置的运行实例

3，Helm的组成部分

Helm Client 是用户命令行工具，其主要负责如下：

• 本地 chart 开发
• 仓库管理
• 与 Tiller sever 交互
• 发送预安装的 chart
• 查询 release 信息
• 要求升级或卸载已存在的 release

Tiller Server 是一个部署在 k8s 集群内部的 server，其与 Helm client、apiserver 进行交互。Tiller server 主要负责如下：

• 监听来自 Helm client 的请求
• 通过 chart 及其配置构建一次发布
• 安装 chart 到 k8s 集群，并跟踪随后的发布
• 通过与 k8s 交互升级或卸载 chart

　　简单的说，client 管理 charts，而 server 管理发布 release。

二、Helm安装

1，安装Helm客户端

下载客户端包：https://github.com/helm/helm/releases

cd /usr/local/install-k8s/plugin/helm
#可提前下载安装包
wget https://get.helm.sh/helm-v2.13.1-linux-amd64.tar.gz
tar -zxvf helm-v2.13.1-linux-amd64.tar.gz.tar
cp ./linux-amd64/helm /usr/local/bin/

2，安装Tiller服务端

rbac.yaml

apiVersion: v1
kind: ServiceAccount
metadata:
  name: tiller
  namespace: kube-system
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: tiller
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
  - kind: ServiceAccount
    name: tiller
    namespace: kube-system

创建资源

kubectl create -f rbac.yaml
#helm init --service-account tiller
helm init --service-account tiller --skip-refresh
#查看tiller的pod
kubectl get pod -n kube-system

　　如果gcr.io/kubernetes-helm/tiller:v2.13.1镜像下载失败可采用离线docker load -i的方式导入。

3，查看Helm版本

[root@master01 helm]# helm version
Client: &version.Version{SemVer:"v2.13.1", GitCommit:"...", GitTreeState:"clean"}
Server: &version.Version{SemVer:"v2.13.1", GitCommit:"...", GitTreeState:"clean"}

三、定义Helm模板

　　helm的模板库:https://hub.helm.sh/

1，安装redis

#进入网址  https://hub.helm.sh/charts/bitnami/redis
helm repo add bitnami https://charts.bitnami.com/bitnami
helm install bitnami/redis --version 11.0.0

2，自定义模板

　　自定义模板一般会用到 Chart.yaml、values.yaml 和 templates 文件夹，其中：

• Chart.yaml：必需。声明一个 Helm 模板，必须要有 name 和 version 两个属性，其值可以自定义。
• templates 文件夹：必需。存放资源清单，比如 deployment.yaml、service.yaml 等等。运行 helm 就是为我们创建这里定义的资源。
• valuse.yaml：可选。为资源清单提供可配置的 key - value 数据。

Chart.yaml

name: my-template
version: 1.0

values.yaml

#注意：在 values.yaml 中的值可以被部署 release 时用到的参数 --values yaml_file_path 或者 --set key1=value1, key2=value2 覆盖掉。
#例如  helm install --set image.tag=v2 .
image:
  repository: hub.xcc.com/my-xcc/my-nginx
  tag: v1

templates 下的 deployment.yaml

apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: deployment-nginx
spec:
  replicas: 3
  template:
    metadata:
      labels:
        app: nginx-app
    spec:
      containers:
      - name: nginx-container
        image: {{ .Values.image.repository }}:{{ .Values.image.tag }}
        ports:
        - containerPort: 80

templates 下的 svc.yaml

apiVersion: v1
kind: Service
metadata:
  name: svc-nginx
spec:
  type: NodePort
  selector:
    app: nginx-app
  ports:
  - name: http
    port: 80
    targetPort: 80
    nodePort: 30131

执行命令

#在Chart.yaml和values.yaml同级目录下
helm install .
#查看helm或者使用 helm ls
helm list

四、helm常用命令

#查看帮助
helm help
#安装
helm install .
#查看helm列表
helm list
helm ls
#查看helm被删除列表
helm ls --deleted
#查看helm状态
helm status <helm-name>
#更新配置
helm upgrade <helm-name> .
#删除helm(标记删除)
helm delete <helm-name>
#彻底删除
helm delete --purge <helm-name>
#查看历史记录
helm history <helm-name>
#回滚helm，先查询上一步历史记录，根据记录回滚
helm rollback <helm-name> <reversion-number>
#检验文件正确性
helm install --dry-run .

五、修改证书有效时长

1，查看证书有效时长

#进入证书存放目录
cd /etc/kubernetes/pki
#查看apiserver.crt 证书有效期 为2020.7.11~2021.7.11
openssl x509 -in apiserver.crt -text -noout
...
        Validity
            Not Before: Jul 11 07:41:55 2020 GMT
            Not After : Jul 11 07:41:56 2021 GMT
...

2，修改有效时长

　　修改方式有很多，这里我们采用通过修改kubeadm源码的方式，来实现延长证书的有效时长。

a)安装go语言

　　因为 kubeadm 是 go 语言编写的，所以需要安装 go 语言。进入 go语言中文社区 点击下载。

#解压文件到指定目录 具体需要下载和解压的版本可根据kubeadm中的go版本保持一致
tar -xvf go1.15.2.linux-amd64.tar.gz -C /usr/local
#配置环境变量
echo "PATH=/usr/local/go/bin:$PATH" >> /etc/profile
source /etc/profile
#查看版本
go version

b)下载kubeadm源码

#下载源码
git clone https://github.com/kubernetes/kubernetes.git
cd kubernetes
#查看kubeadm版本
kubeadm version
#切换至kubeadm版本v1.15.1
git checkout -b remotes/origin/release-1.15.1 v1.15.1

c)修改代码

# kubeadm 1.14版本之后是修改这个文件
[root@master01 kubernetes]# vim cmd/kubeadm/app/util/pkiutil/pki_helpers.go
......
// NewSignedCert creates a signed certificate using the given CA certificate and key
func NewSignedCert(cfg *certutil.Config, key crypto.Signer, caCert *x509.Certificate, caKey crypto.Signer) (*x509.Certificate, error) {
        # 定义一个我们想要的时间，time.Hour 表示一小时
        const addTime = time.Hour * 24 * 365 * 10
        serial, err := cryptorand.Int(cryptorand.Reader, new(big.Int).SetInt64(math.MaxInt64))
        if err != nil {
                return nil, err
        }
        if len(cfg.CommonName) == 0 {
                return nil, errors.New("must specify a CommonName")
        }
        if len(cfg.Usages) == 0 {
                return nil, errors.New("must specify at least one ExtKeyUsage")
        }

        certTmpl := x509.Certificate{
                Subject: pkix.Name{
                        CommonName:   cfg.CommonName,
                        Organization: cfg.Organization,
                },
                DNSNames:     cfg.AltNames.DNSNames,
                IPAddresses:  cfg.AltNames.IPs,
                SerialNumber: serial,
                NotBefore:    caCert.NotBefore,
                # 然后修改NotAfter
                # NotAfter:     time.Now().Add(kubeadmconstants.CertificateValidity).UTC(),
                NotAfter:     time.Now().Add(addTime).UTC(),
                KeyUsage:     x509.KeyUsageKeyEncipherment | x509.KeyUsageDigitalSignature,
                ExtKeyUsage:  cfg.Usages,
        }
        certDERBytes, err := x509.CreateCertificate(cryptorand.Reader, &certTmpl, caCert, key.Public(), caKey)
        if err != nil {
                return nil, err
        }
        return x509.ParseCertificate(certDERBytes)
}
......    

编译生效

#重新编译
make WHAT=cmd/kubeadm GOFLAGS=-v
# 将编译好的 kubeadm 放入 /root 下
cp _output/bin/kubeadm /root/kubeadm
#将原有的 kubeadm 备份一下
cp /usr/bin/kubeadm /usr/bin/kubeadm.bak
#用新的 kubeadm 覆盖旧的 kubeadm
mv /root/kubeadm /usr/bin/kubeadm
# 赋予权限
chmod a+x /usr/bin/kubeadm
#备份 pki 文件夹
cp -r /etc/kubernetes/pki/ /etc/kubernetes/pki.bak
#重新生成证书文件
kubeadm alpha certs renew all --config=/usr/local/install-k8s/core/kubeadm-config.yaml

　　再次查看证书有效期。