文档首页/ 云容器引擎 CCE/ 用户指南（安卡拉区域）/ 集群/ 连接集群/ 通过kubectl连接集群
更新时间：2024-12-04 GMT+08:00
查看PDF
分享

通过kubectl连接集群

操作场景

本文将以CCE Standard集群为例，介绍如何通过kubectl连接CCE集群。

权限说明

kubectl访问CCE集群是通过集群上生成的配置文件（kubeconfig）进行认证，kubeconfig文件内包含用户信息，CCE根据用户信息的权限判断kubectl有权限访问哪些Kubernetes资源。即哪个用户获取的kubeconfig文件，kubeconfig就拥有哪个用户的信息，这样使用kubectl访问时就拥有这个用户的权限。

用户拥有的权限请参见集群权限（IAM授权）与命名空间权限（Kubernetes RBAC授权）的关系。

使用kubectl连接集群

若您需要从客户端计算机连接到Kubernetes集群，可使用Kubernetes命令行客户端kubectl，您可登录CCE控制台，单击待连接集群名称，在集群总览页面查看访问地址以及kubectl的连接步骤。

CCE支持“内网访问”和“公网访问”两种方式访问集群。
  • 内网访问：访问集群的客户端机器需要位于集群所在的同一VPC内。
  • 公网访问：访问集群的客户端机器需要具备访问公网的能力，并为集群绑定公网地址。

    通过“公网访问”方式访问集群，您需要在总览页中的“连接信息”版块为集群绑定公网地址。绑定公网集群的kube-apiserver将会暴露到互联网，存在被攻击的风险，建议对kube-apiserver所在节点的EIP配置DDoS高防服务。

您需要先下载kubectl以及配置文件，复制到您的客户端机器，完成配置后，即可以访问Kubernetes集群。使用kubectl连接集群的步骤如下：

  1. 下载kubectl

    您需要准备一台可访问公网的客户端计算机，并通过命令行方式安装kubectl。如果已经安装kubectl，则跳过此步骤，您可执行kubectl version命令判断是否已安装kubectl。

    本文以Linux环境为例安装和配置kubectl，详情请参考安装kubectl。

    1. 登录到您的客户端机器，下载kubectl。 
      cd /home
curl -LO https://dl.k8s.io/release/{v1.25.0}/bin/linux/amd64/kubectl

      其中{v1.25.0}为指定的版本号，请根据集群版本进行替换。

    2. 安装kubectl。 
      chmod +x kubectl
mv -f kubectl /usr/local/bin

  2. 获取kubectl配置文件

    在集群总览页中的“连接信息”版块，单击kubectl后的“配置”按钮，查看kubectl的连接信息，并在弹出页面中下载配置文件。

    • kubectl配置文件（kubeconfig）用于对接认证集群，请您妥善保存该认证凭据，防止文件泄露后，集群有被攻击的风险。
    • IAM用户下载的配置文件所拥有的Kubernetes权限与CCE控制台上IAM用户所拥有的权限一致。
    • 如果Linux系统里面配置了KUBECONFIG环境变量，kubectl会优先加载KUBECONFIG环境变量，而不是$home/.kube/config，使用时请注意。

  3. 配置kubectl

    以Linux环境为例配置kubectl。
    1. 登录到您的客户端机器，复制2中下载的配置文件（kubeconfig.yaml）到您客户端机器的/home目录下。
    2. 配置kubectl认证文件。 
      cd /home
mkdir -p $HOME/.kube
mv -f kubeconfig.yaml $HOME/.kube/config
    3. 根据使用场景，切换kubectl的访问模式。
      • VPC内网接入访问请执行： 
        kubectl config use-context internal
      • 互联网接入访问请执行（集群需绑定公网地址）： 
        kubectl config use-context external
      • 互联网接入访问如需开启双向认证请执行（集群需绑定公网地址）： 
        kubectl config use-context externalTLSVerify

        关于集群双向认证的说明请参见域名双向认证。

域名双向认证

CCE当前支持域名双向认证。

  • 集群API Server绑定EIP后，使用kubectl连接集群时域名双向认证默认不开启，可通过 kubectl config use-context externalTLSVerify 命令切换到externalTLSVerify这个context开启使用。
  • 集群绑定或解绑弹性IP、配置或更新自定义域名时，集群服务端证书将同步签入最新的集群访问地址（包括集群绑定的弹性IP、集群配置的所有自定义域名）。
  • 异步同步集群通常耗时约5-10min，同步结果可以在操作记录中查看“同步证书”。
  • 对于已绑定EIP的集群，如果在使用双向认证时出现认证不通过的情况（x509: certificate is valid），需要重新绑定EIP并重新下载kubeconfig.yaml。
  • 早期未支持域名双向认证时，kubeconfig.yaml中包含"insecure-skip-tls-verify": true字段，如图1所示。如果需要使用双向认证，您可以重新下载kubeconfig.yaml文件并配置开启域名双向认证。
    图1 未开启域名双向认证

常见问题

  • Error from server Forbidden

    使用kubectl在创建或查询Kubernetes资源时，显示如下内容：

    # kubectl get deploy Error from server (Forbidden): deployments.apps is forbidden: User "0c97ac3cb280f4d91fa7c0096739e1f8" cannot list resource "deployments" in API group "apps" in the namespace "default"

    原因是用户没有操作该Kubernetes资源的权限，请参见命名空间权限（Kubernetes RBAC授权）为用户授权。

  • The connection to the server localhost:8080 was refused

    使用kubectl在创建或查询Kubernetes资源时，显示如下内容：

    The connection to the server localhost:8080 was refused - did you specify the right host or port?

    原因是由于该kubectl客户端未配置集群认证，请参见3进行配置。

父主题： 连接集群