k8s培训第7课存储 | 代码天涯路

Q:Configmap是什么？
- 许多应用程序会从配置文件、命令行参数或环境变量中读取配置信息。ConﬁgMap API 给我们提供了向容器中注入配置信息的机制，ConﬁgMap 可以被用来保存单个属性，也可以用来保存整个配置文件或者 JSON 二进制大对象
Q:如何使用目录或文件创建ConfigMap？

shiqi-lu@k8s-master:~/7$ ls dir
game.properties  ui.properties
shiqi-lu@k8s-master:~/7$ cat dir/game.properties
game,,,,
shiqi-lu@k8s-master:~/7$ cat dir/ui.properties
ui,,,
shiqi-lu@k8s-master:~/7$ kubectl create configmap t-config --from-file=dir
configmap/t-config created

Q:如何查看已创建的ConfigMap?

shiqi-lu@k8s-master:~/7$ kubectl get cm
NAME       DATA   AGE
t-config   2      113s
shiqi-lu@k8s-master:~/7$ kubectl get cm t-config
NAME       DATA   AGE
t-config   2      2m
shiqi-lu@k8s-master:~/7$ kubectl get cm t-config -o yaml
apiVersion: v1
data:
  game.properties: |
    game,,,,
  ui.properties: |
    ui,,,
kind: ConfigMap
metadata:
  creationTimestamp: "2020-09-22T06:21:50Z"
  managedFields:
  - apiVersion: v1
    fieldsType: FieldsV1
    fieldsV1:
      f:data:
        .: {}
        f:game.properties: {}
        f:ui.properties: {}
    manager: kubectl
    operation: Update
    time: "2020-09-22T06:21:50Z"
  name: t-config
  namespace: shiqi-lu
  resourceVersion: "20138794"
  selfLink: /api/v1/namespaces/shiqi-lu/configmaps/t-config
  uid: 631fa2ae-7f55-46d2-9db3-e14222e61de6

- --from-file这个参数可以使用多次

Q:如何使用字面值创建Configmap？

shiqi-lu@k8s-master:~/7$  kubectl create configmap sp-config --from-literal=special.how=very --from-literal=special.typen=charm
configmap/sp-config created
shiqi-lu@k8s-master:~/7$ kubectl get configmap special-config
Error from server (NotFound): configmaps "special-config" not found
shiqi-lu@k8s-master:~/7$ kubectl get configmap sp-config
NAME        DATA   AGE
sp-config   2      25s
shiqi-lu@k8s-master:~/7$ kubectl get configmap sp-config -o yaml
apiVersion: v1
data:
  special.how: very
  special.typen: charm
kind: ConfigMap
metadata:
  creationTimestamp: "2020-09-22T06:31:17Z"
  managedFields:
  - apiVersion: v1
    fieldsType: FieldsV1
    fieldsV1:
      f:data:
        .: {}
        f:special.how: {}
        f:special.typen: {}
    manager: kubectl
    operation: Update
    time: "2020-09-22T06:31:17Z"
  name: sp-config
  namespace: shiqi-lu
  resourceVersion: "20140688"
  selfLink: /api/v1/namespaces/shiqi-lu/configmaps/sp-config
  uid: b10fedc2-7131-4f8b-a168-135cd6d1e021

- --from-literal参数可使用多次

Q:如何以资源清单的方式创建Configmap？创建字面值

apiVersion: v1
kind: ConfigMap
metadata:
  name: env-config
  namespace: default
data:
  log_level: INFO

Q:如何在Pod中使用Configmap中的值？

apiVersion: v1
kind: Pod
metadata:
  name: dapi-test-pod
spec:
  containers:
  - name: test-container
    image: hub.atguigu.com/library/myapp:v1
    command: [ "/bin/sh", "-c", "env" ]
    env:
      - name: SPECIAL_LEVEL_KEY
        valueFrom:
          configMapKeyRef:
            name: sp-config
            key: special.how
      - name: SPECIAL_TYPE_KEY
        valueFrom:
          configMapKeyRef:
            name: special-config
            key: special.type
    envFrom:
      - configMapRef:
          name: env-config
  restartPolicy: Never

Q:如何把configmap中的文件填入数据卷中？

apiVersion: v1
kind: ConfigMap
metadata:
  name: special-config
  namespace: default
data:
  special.how: very
  special.type: charm

apiVersion: v1
kind: Pod
metadata:
  name: dapi-test-pod
spec:
  containers:
    - name: test-container
      image: hub.atguigu.com/library/myapp:v1
      command: [ "/bin/sh", "-c", "cat /etc/config/special.how" ]
      volumeMounts:
      - name: config-volume
        mountPath: /etc/config
  volumes:
    - name: config-volume
      configMap:
        name: special-config
  restartPolicy: Never

Q:如何修改ConfigMap？
- kubectl edit configmap log-config
Q:Secret的作用是什么？
- 解决密码、token、密钥等敏感数据的配置问题，而不需要把这些敏感数据暴露到镜像或Pod Spec中。Secret可以以Volume或者环境变量的方式使用
Q:Secret有哪三种类型？
- Service Account：用来访问k8s api，由k8s自动创建，并且会自动挂载到Pod的/run/secrets/kubernetes.io/serviceaccount目录中
- Opaque：base64编码格式的Secret，用来存储密码、密钥等
- kubernetes.io/dockerconﬁgjson：用来存储私有docker registry的认证信息
Q:ServiceAccount的实践

shiqi-lu@k8s-master:~$ kubectl run nginx --image nginx
pod/nginx created
shiqi-lu@k8s-master:~$ kubectl get pods
NAME                           READY   STATUS              RESTARTS   AGE
myapp-deploy-c7b5fb585-lw9rr   1/1     Running             0          20h
myapp-deploy-c7b5fb585-pqd8j   1/1     Running             0          20h
myapp-deploy-c7b5fb585-stkdm   1/1     Running             0          20h
nginx                          0/1     ContainerCreating   0          14s
shiqi-lu@k8s-master:~$ kubectl exec nginx ls /run/secrets/kubernetes.io/serviceaccount
kubectl exec [POD] [COMMAND] is DEPRECATED and will be removed in a future version. Use kubectl kubectl exec [POD] -- [COMMAND] instead.
ca.crt
namespace
token

Q:Opaque Secret的实践
- Opaque 类型的数据是一个 map 类型，要求 value 是 base64 编码格式

shiqi-lu@k8s-master:~$ echo -n "admin" | base64
YWRtaW4=
shiqi-lu@k8s-master:~$ echo -n "1f2d1e2e67df" | base64
MWYyZDFlMmU2N2Rm```
    - 创建secrets.yml
    - ```yaml
apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  password: MWYyZDFlMmU2N2Rm
  username: YWRtaW4=

- 将Secret挂载到Volume中

apiVersion: v1
kind: Pod
metadata:
  labels:
    name: seret-test
  name: seret-test
spec:
  volumes:
  - name: secrets
    secret:
      secretName: mysecret
  containers:
  - image: hub.atguigu.com/library/myapp:v1
    name: db
    volumeMounts:
    - name: secrets
      mountPath: "
      readOnly: true

- 将Secret导出到环境变量中

apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: pod-deployment
spec:
  replicas: 2
  template:
    metadata:
      labels:
        app: pod-deployment
    spec:
      containers:
      - name: pod-1
        image: hub.atguigu.com/library/myapp:v1
        ports:
        - containerPort: 80
        env:
        - name: TEST_USER
          valueFrom:
            secretKeyRef:
              name: mysecret
              key: username
        - name: TEST_PASSWORD
          valueFrom:
            secretKeyRef:
              name: mysecret
              key: password

Q:kubernetes.io/dockerconﬁgjson的实践
- 使用 Kuberctl 创建 docker registry 认证的 secret

$ kubectl create secret docker-registry myregistrykey --docker-server=DOCKER_REGISTRY_SERVER -docker-username=DOCKER_USER --docker-password=DOCKER_PASSWORD --docker-email=DOCKER_EMAIL
secret "myregistrykey" created.

- 在创建Pod的时候，通过`imagePullSecrets`来引用刚创建的`myregistrykey`

apiVersion: v1
kind: Pod
metadata:
  name: foo
spec:
  containers:
    - name: foo
      image: roc/awangyang:v1
  imagePullSecrets:
    - name: myregistrykey

Q:emptyDir是什么？
- 当Pod被分配给节点时，首先创建emptyDir卷，并且只要该Pod在该结点上运行，该卷就会存在。正如卷的名字所述，它最初是空的。Pod中的容器可以读取和写入emptyDir卷中的相同文件，尽管该卷可以挂载到每个容器中的相同或不同路径上。当出于任何原因从节点中删除Pod时，emptyDir中的数据将被永久删除
- 用法有：
  - 暂存空间，例如用于基于磁盘的合并排序
  - 用作长时间计算崩溃恢复时的检查点
  - Web服务器容器提供鞥数据时，保存内容管理器容器提取的文件

apiVersion: v1
kind: Pod
metadata:
  name: test-pd
spec:
  containers:
  - image: k8s.gcr.io/test-webserver
    name: test-container
    volumeMounts:
    - mountPath: /cache
      name: cache-volume
  volumes:
  - name: cache-volume
    emptyDir: {}

Q:hostPath是什么？
- hostPath卷将主机节点的文件系统中的文件或目录挂载到集群中
- hostPath的用途：
  - 运行需要访问Docker内部的容器；使用/var/lib/docker的hostPath
  - 在容器中运行cAdvisor；使用/dev/cgroups的hostPath
  - 允许pod指定给定的hostPath是否应该在pod运行之前存在，是否应该创建，以及它应该以什么形式存在
- 除了所需的path，用户还可以为hostPath卷指定type
- 使用这种卷类型时请注意，因为
  - 由于每个节点上的文件都不同，具有相同配置(例如从podTemplate创建的)的pod在不同节点上的行为可能会有所不同
  - 当k8s按照计划添加资源感知调度时，将无法考虑hostPath使用的资源
  - 在底层主机上创建的文件或目录只能由root写入。所以需要在特权容器中以root身份运行进程，或修改主机上的文件权限以便写入hostPath卷

apiVersion: v1
kind: Pod
metadata:
  name: test-pd
spec:
  containers:
  - image: k8s.gcr.io/test-webserver
    name: test-container
    volumeMounts:
    - mountPath: /test-pd
      name: test-volume
  volumes:
  - name: test-volume
    hostPath:
    # directory location on host
    path: /data
    # this field is optional
    type: Directory

Q:PV是什么？
- 是由管理员设置的存储，它是群集的一部分。就像节点是集群中的资源一样，PV也是集群中的资源。PV是Volume之类的卷插件，但具有独立于使用PV的Pod的生命周期。此API对象包含存储实现的细节，即NFS、iSCSI或特定于云供应商的存储系统
Q:PVC是什么？
- 是用户存储的请求。它与Pod相似。Pod消耗节点资源，PVC消耗PV资源。Pod可以请求特定级别的资源（CPU和内存）。声明可以请求特定的大小和访问模式（例如，可以以读/写一次或只读多次模式挂载）
Q:持久化卷声明(PVC)的保护
- PVC 保护的目的是确保由 pod 正在使用的 PVC 不会从系统中移除，因为如果被移除的话可能会导致数据丢失
- 当启用PVC 保护 alpha 功能时，如果用户删除了一个 pod 正在使用的 PVC，则该 PVC 不会被立即删除。PVC 的删除将被推迟，直到 PVC 不再被任何 pod 使用
Q:PV访问模式
- PersistentVolume 可以以资源提供者支持的任何方式挂载到主机上。如下表所示，供应商具有不同的功能，每个 PV 的访问模式都将被设置为该卷支持的特定模式。例如，NFS 可以支持多个读/写客户端，但特定的 NFS PV 可能以只读方式导出到服务器上。每个 PV 都有一套自己的用来描述特定功能的访问模式
  - ReadWriteOnce——该卷可以被单个节点以读/写模式挂载
  - ReadOnlyMany——该卷可以被多个节点以只读模式挂载
  - ReadWriteMany——该卷可以被多个节点以读/写模式挂载
- 在命令行中，访问模式缩写为：
  - RWO - ReadWriteOnce
  - ROX - ReadOnlyMany
  - RWX - ReadWriteMany
Q:PV的回收策略有哪些
- Retain（保留）——手动回收
- Recycle（回收）——基本擦除（ rm -rf /thevolume/* ）
- Delete（删除）——关联的存储资产（例如 AWS EBS、GCE PD、Azure Disk 和 OpenStack Cinder 卷）将被删除
- 当前，只有 NFS 和 HostPath 支持回收策略。AWS EBS、GCE PD、Azure Disk 和 Cinder 卷支持删除策略
Q:PV的状态
- 卷可以处于以下的某种状态：
- Available（可用）——一块空闲资源还没有被任何声明绑定
- Bound（已绑定）——卷已经被声明绑定
- Released（已释放）——声明被删除，但是资源还未被集群重新声明
- Failed（失败）——该卷的自动回收失败
- 命令行会显示绑定到 PV 的 PVC 的名称
Q:如何安装nfs服务器

yum install -y nfs-common nfs-utils rpcbind
mkdir /nfsdata
chmod 666 /nfsdata
chown nfsnobody /nfsdata
cat /etc/exports
      /nfsdata *(rw,no_root_squash,no_all_squash,sync)
systemctl start rpcbind
systemctl start nfs
# 挂载
showmount -e xxx.xxx.xxx.xxx
mount -t nfs xxx.xxx.xxx.xxx:/nfs /test
umount /test

Q:部署PV

apiVersion: v1
kind: PersistentVolume
metadata:
  name: nfspv1
spec:
  capacity:
    storage: 10Gi
  accessModes:
    - ReadWriteOnce
  persistentVolumeReclaimPolicy: Retain
  storageClassName: nfs
  nfs:
    path: /nfs
    server: 10.66.66.10

kubectl create -f pv.yaml
kubectl get pv```
- Q:创建服务并使用pvc
    - ```yaml
apiVersion: v1
kind: Service
metadata:
  name: nginx
  labels:
    app: nginx
spec:
  ports:
  - port: 80
    name: web
  clusterIP: None
  selector:
    app: nginx
---
apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: web
spec:
  selector:
    matchLabels:
      app: nginx
  serviceName: "nginx"
  replicas: 3
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: wangyanglinux/myapp:v2
        ports:
        - containerPort: 80
          name: web
        volumeMounts:
        - name: www
          mountPath: /usr/share/nginx/html
  volumeClaimTemplates:
  - metadata:
      name: www
    spec:
      accessModes: [ "ReadWriteOnce" ]
      storageClassName: "nfs"
      resources:
        requests:
          storage: 1Gi