k8s-部署dashboard1.10.1-十七

一、获取镜像和填坑

　　我的k8s是1.13.1，这里dashboard用的1.10.1；

　　由于国内不能访问Google，而且大部分人可能也没有其他途径访问；只能在阿里云或者其他镜像网站上获取了；

　　 镜像获取命令：

　　　　docker pull lizhenliang/kubernetes-dashboard-amd64:v1.10.1

(1)先填几个坑

　　在部署dashboard1.10.1的时候，确实有几个坑，网友也有说的，如下：

　　(1)第一个肯定就是镜像问题了，但是有办法解决，问题不大，用上面的命令获取就行，如果失效了，也可以注册账号去阿里云上搜索；

　　　阿里云镜像搜索链接：https://dev.aliyun.com/search.html

　　　我这里还有一个奇怪的问题，就是获取到镜像以后，不能重新打标签，如果重新打标签了，pod起不来，不知道什么情况..暂时没看出来；

　　(2)证书问题

　　　生成证书：

　　　　[root@master ~]# mkdir /certs

　　　　[root@master ~]# openssl req -nodes -newkey rsa:2048 -keyout /certs/dashboard.key -out /certs/dashboard.csr -subj "/C=/ST=/L=/O=/OU=/CN=kubernetes-dashboard"

　　　　

　　　　[root@master ~]# ls /certs/

　　　　

　　　　[root@master ~]# cd /etc/kubernetes/pki/

　　　　[root@master pki]# openssl x509 -req -sha256 -days 365 -in /certs/dashboard.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out /certs/dashboard.crt

　　　　 

　　　　[root@master pki]# ls /certs/

　　　　

　　　　[root@master pki]# kubectl create secret generic kubernetes-dashboard-certs --from-file=/certs -n kube-system

　　　　

　　　　

　　 (3)获取kubernetes-dashboard.yaml文件，并修改；

　　　　a、获取kubernetes-dashboard.yaml文件；

　　　　　　GitHub上k8s-dashboard项目地址：https://github.com/kubernetes/dashboard

　　　　　　获取kubernetes-dashboard.yaml文件命令：

　　　　　　kubectl apply -f https://raw.githubusercontent.com/kubernetes/dashboard/v1.10.1/src/deploy/recommended/kubernetes-dashboard.yaml

　　　　b、修改kubernetes-dashboard.yaml文件中service字段配置，

　　　　　　将type: ClusterIP改成NodePort,便于通过Node端口访问，文件中可能没有type: ClusterIP字段，不要紧，可以手动加进去，

　　　　　　还可以添加一个固定端口，如下图：

　　　　   [root@master manifests]# vim kubernetes-dashboard.yaml

　　　　　

　　　　c、修改镜像地址

　　　　 由于我这里不能重新打标签，只能修改kubernetes-dashboard.yaml里面的镜像地址了：

　　　　  

　　　　以上步骤，基本上开始的坑就填完了；

二、部署Kubernetes-dashboard

　　(1)token认证方式登录

　　　a、创建资源

　　　[root@master manifests]# kubectl apply -f kubernetes-dashboard.yaml

　　　　查看：

　　　　

　　　　可见dashboard的pod已经起来了，service的端口是我们设置的固定端口30001

　　　　全局serviceaccount：

　　　　b、创建serviceaccount并绑定默认cluster-admin管理员集群角色,使用输出的token登录Dashboard

　　　　kubectl create serviceaccount dashboard-admin -n kube-system

　　　　

　　　　kubectl create clusterrolebinding dashboard-admin --clusterrole=cluster-admin --serviceaccount=kube-system:dashboard-admin

　　　　

　　　　kubectl describe secrets -n kube-system $(kubectl -n kube-system get secret | awk '/dashboard-admin/{print $1}')

　　　　

　　　  c、web端访问

　　　　a、复制上面的“token”，这个“token”最好保存下来；　　　

　　　　 b、在外部浏览器中输入：https://ip:端口    应该能打开如下页面，选择令牌登录；

　　　　

　　　　c、dang dang dang dang...

　　　　看到如下界面，可以平静一下了...

　　　　

　　　  上面我们创建的serviceaccount是全局性的，它可以访问所有的namespace资源；

　　　　

　　　局部serviceaccount：

　　　 接下来可以创建一个只有局部权限的serviceaccount，让它只对当前namespace生效；

　　　　a、创建serviceaccount

　　　　[root@master pki]# kubectl create serviceaccount def-ns-admin -n default

　　　　

　　　　b、创建rolebinding，用rolebinding将serviceaccount绑定到admin上(不是cluster-admin)；

　　　　[root@master pki]# kubectl create rolebinding def-ns-admin --clusterrole=admin --serviceaccount=default:def-ns-admin

　　　　 

　　　 　

　　　　 c、获取“token”

　　　　 [root@master pki]# kubectl describe secret def-ns-admin-token-hc9mf

　　　　

　　　　 d、此时我们用这个“token”去令牌登录，发现只能管理默认的namespace

　　　　 

　　(2)kubeconfig认证方式登录

　　　　a、设置def-ns-admin的集群配置信息　　

　　　　[root@master ~]# cd /etc/kubernetes/pki/

　　　[root@master pki]# kubectl config set-cluster kubernetes --certificate-authority=./ca.crt --server="https://192.168.3.100:6443" --embed-certs=true --kubeconfig=/root/def-ns-admin.conf

　　　　查看配置文件：

　　　　

　　　　b、以kubeconfig认证方式登录的时候，可以用开始时创建的私钥作为证书，也可以直接用token作为证书；

　　　　查看帮助：

　　　　　　　

　　　　c、这里用token作为证书；

　　　　

　　　　因为这里的token是base64编码，所以需要进行解码操作：

　　　　

　　　　由于这里的token字段太长，我们 可以把解码后的token字段保存到一个变量里面：

　　　   [root@master pki]# DEF_NS_ADMIN_TOKEN=$(kubectl get secret def-ns-admin-token-hc9mf -o jsonpath={.data.token} |base64 -d)

　　　　d、配置token作为认证

　　　　[root@master pki]# kubectl config set-credentials def-ns-admin --token=$DEF_NS_ADMIN_TOKEN --kubeconfig=/root/def-ns-admin.conf

　　　　

　　　　查看配置文件，可见token已经配置进去了：

　　　　

　　　　e、配置上下文

　　　　[root@master pki]# kubectl config set-context def-ns-admin@kubernetes --cluster=kubernetes --user=def-ns-admin --kubeconfig=/root/def-ns-admin.conf

　　　　

　　　　[root@master pki]# kubectl config use-context def-ns-admin@kubernetes --kubeconfig=/root/def-ns-admin.conf

　　　　

　　　　查看配置文件：

　　　　

　　　　f、将/root/def-ns-admin.conf文件发送到宿主机，浏览器访问时选择Kubeconfig认证，载入该配置文件；

　　　　我用的VMware虚拟机在自己笔记本上做的集群，这里我将/root/def-ns-admin.conf传输到我笔记本的D:\k8s_kubeconfig下，

　　　　

　　　　然后，在笔记本上用浏览器访问，选择kubeconfig的方式，再找到配置文件，即可登录：