1.ETCD
执行初始化指令 exam-init，完成以下操作
为运行在 https://127.0.0.1:2379 上的现有 etcd 实例创建快照，并将快照保存到 /srv/data/etcd-snapshot.db
然后还原位于 /srv/data/etcd-snapshot-previous.db 的快照备份文件
通过 etcdctl 连接到服务器使用的证书和秘钥
CA 证书： /opt/KUIN00601/ca.crt
客户端证书： /opt/KUIN00601/etcd-client.crt
客户端密钥： /opt/KUIN00601/etcd-client.key
引用etcd知识
#打快照
ETCDCTL_API=3 etcdctl --endpoints $ENDPOINT snapshot save snapshot.db #查看快照状态
ETCDCTL_API=3 etcdctl snapshot status snapshot.db -w table#恢复快照
ETCDCTL_API=3 etcdctl snapshot restore snapshot.db --data-dir output-dir#查看成员
ETCDCTLAPI=3 etcdctl member list -w tablekubectl config use-context xk8s #先选择集群很重要
sudo -i
ETCDCTL_API=3 etcdctl --endpoints 127.0.0.1:2379 --cacert=/opt/KUIN00601/ca.crt --cert=/opt/KUIN00601/etcd-client.crt --key=/opt/KUIN00601/etcd-client.key snapshot save /srv/data/etcd-snapshot.db
ETCDCTL_API=3 etcdctl snapshot status /srv/data/etcd-snapshot.db
systemctl stop etcd
rm -rf /var/lib/etcd
ETCDCTL_API=3 etcdctl --data-dir=/var/lib/etcd snapshot restore /srv/data/etcd-snapshot-previous.db
chown -R etcd.etcd /var/lib/etcd
systemctl start etcd2. 节点维护和调度
设置 xnode1 节点为不可用，并重新调度该节点上所有运行的 pods
drain（排空）
当需要对节点进行维护或者从集群中移除时，可以使用drain命令将节点上的Pods驱逐，并阻止新的Pods调度到该节点上
crodon（封锁）
当需要对节点进行维护，但不希望节点上的Pods自动迁移或者删除时，可以使用cordon命令对节点进行封锁。封锁节点后，节点上的Pods将不再自动调度到该节点上，但已经运行在节点上的Pods将继续运行直到被删除或迁移。uncrodon
解除资源不可被调度（kubectl uncrodon nodexxx）
kubectl config use-context xk8s
kubectl drain xnode1 --ignore-daemonsets --delete-emptydir-data3.节点故障排查
名为 xnode3 的 kubernetes worker node 处于 Not Ready 状态
调查原因，并将 node 恢复为 Ready 状态，确保修复永久生效
提示：
可使用命令 ssh xnode3 连接到故障 node：
可使用 sudo -i 命令在该 node 上获取更高权限：
网络肯定是通的，防火墙不用管，只有kubelet没有启动所以.....
ssh xnode3
sudo -i
systemctl enable --now kubelet4.创建Pod根据给出的镜像
创建一个名字为 kucc4 的 pod，在 pod 里面分别为以下每个 images 单独运行一个 app container
镜像： httpd、redis、memcache
直接使用kubectl run kucc4 --image=httpd --dry-run=client -o yaml 复制即可
vim pod.yaml---
kind: Pod
apiVersion: v1
metadata:name: kucc4
spec:containers:- name: httpdimage: httpdimagePullPolicy: IfNotPresent- name: redisimage: redisimagePullPolicy: IfNotPresent- name: memcacheimage: memcacheimagePullPolicy: IfNotPresentrestartPolicy: Alwayskubectl apply -f pod.yaml5.根据标签选择节点调度pod
使用镜像 httpd 创建一个名为 web-kusc00401 的 Pod
将该 Pod 调度到有 disk=ssd 标签的节点上
nodeName 根据节点名字调度
nodeSelector 根据节点标签调度
---
kind: Pod
apiVersion: v1
metadata:name: web-kusc00401
spec:nodeSelector:disk: ssdcontainers:- name: httpdimage: httpdimagePullPolicy: IfNotPresentrestartPolicy: Always6.查看节点指定的污点
检查有多少个 worker nodes 已准备就绪（不包括被打上 Taint: NoSchedule 的节点）
并将数量写入 /opt/KUSC00402/kusc00402.txt
kubectl get nodes -o custom-columns=NAME:.metadata.name,TAINTS:spec.taints | grep NoSchedule
echo xx >/opt/KUSC00402/kusc00402.txt7.查看节点的资源使用情况
查找所有标签为 name=cpu-user 的 pod
将占用 CPU 最高的 pod 名称写入到文件 /opt/KUTR00401/KUTR00401.txt
kubectl top pods -l name=cpu-user
echo xxx > xxxx/xxxx8.查看日志过滤信息
监控 pod foo 的日志：
提取包含 unable-to-access-website 错误日志，并写入到 /opt/KUTR00101/foo
kubectl logs foo | grep unable-to > /opt/KUTR00101/foo9.创建svc，NodePort 写资源对象文件
请重新配置现有的部署 front-end
添加名为 http 的端口规范来公开现有容器 front-end 的端口 80/tcp
创建一个名为 front-end-svc 的新服务，以公开名为 http 端口
通过节点上的 NodePort 来发布 front-end-svc 服务
搜service
kubectl create svc --help
最后直接kubectl replace --force -f
[alice@client ~]$ kubectl config use-context yk8s
#----------------------------------------------
[alice@client yk8s]$ kubectl get pod front-end -o yaml >09.yaml
[alice@client yk8s]$ kubectl expose pod front-end --type=NodePort --name=front-end-svc --port=80 --protocol=TCP --target-port=http --dry-run=client -o yaml >>08.yaml
[alice@client yk8s]$ vim 09.yaml
... ...
# pod.spec.containers[0]ports:- name: httpprotocol: TCPcontainerPort: 80---
apiVersion: v1
kind: Service
metadata:labels:app: web-front-endpointsname: front-end-svc
spec:ports:- port: 80protocol: TCPtargetPort: httpselector:app: web-front-endpointstype: NodePort
[alice@client yk8s]$ kubectl replace --force -f 09.yaml10.Ingress
在 namespace: ing-internal 上创建一个名为 pong 的 ingress 资源
在路径 /hi 上公开 hi 服务，hi 服务使用 5678 端口
1.验证后端服务可用否
2.
[alice@client ~]$ kubectl config use-context yk8s
#----------------------------------------------
# 首先查看 ingressclass 名称，如果没有需要自己创建
[alice@client yk8s]$ kubectl get ingressclasses.networking.k8s.io
NAME CONTROLLER PARAMETERS AGE
nginx k8s.io/ingress-nginx <none> 42d
# 自己创建 ingressclass 对象
[alice@client yk8s]$ kubectl -n ingress-nginx get pod ingress-nginx-controller-8698f58b48-dfqp4 -o yaml |grep controller-class- --controller-class=k8s.io/ingress-nginx
[alice@client yk8s]$ vim ingressclass.yaml
---
apiVersion: networking.k8s.io/v1
kind: IngressClass
metadata:name: nginx
spec:controller: k8s.io/ingress-nginx
[alice@client yk8s]$ kubectl apply -f ingressclass.yaml
#----------------------------------------------
[alice@client yk8s]$ kubectl -n ing-internal create ingress pong --rule="/hi=hi:5678" --class=nginx --dry-run=client -o yaml >09.yaml
[alice@client yk8s]$ vim 09.yaml
---
kind: Ingress
apiVersion: networking.k8s.io/v1
metadata:name: pongnamespace: ing-internalannotations:nginx.ingress.kubernetes.io/rewrite-target: /
spec:ingressClassName: nginxrules:- http:paths:- backend:service:name: hiport:number: 5678path: /hipathType: Prefix
[alice@client yk8s]$ kubectl apply -f 09.yaml11.存储卷
将一个 busybox sidecar 容器添加到现有的 Pod legacy-app
新的 sidecar 容器使用命令 /bin/sh -c tail -n +1 -f /var/log/legacy-app.log 提取日志
sidecar 容器可以通过 mount 名为 logs 的 volume 来访问日志文件 /var/log/legacy-app.log
注意：
不要更改现有容器，不要修改日志文件的路径
两个容器必须通过 /var/log/legacy-app.log 来访问该文件
考到多容器pod 、command: ["/bin/sh"] - -c - | 命令、volume 、volumeMounts
这道题的意思是用 sidecar读取 legacy-app容器/var/log/legacy-app.log的日志，需要创建一个emptyDir 的volume 。sidecar和 legacy-app容器， legacy-app容器通过volumeMount 来将日志保存到emptyDir 的volume里，sidecar容器通过volumeMount 来将日志从emptyDir 的volume里读取出来。所以 sidecar，legacy-app两容器都要写volumeMount这个。
kubectl get pod legacy-app -o yaml >xxxx.yaml
vim xxxx.yaml# pod.spec.volumes- name: logsemptyDir: {}
... ...
# pod.spec.container[0].volumeMounts:- name: logsmountPath: /var/log
... ...
# pod.spec.container- name: sidecarimage: busyboxcommand: ["/bin/sh"] args: - -c - | tail -n +1 -f /var/log/legacy-app.logimagePullPolicy: IfNotPresentvolumeMounts:- name: logsmountPath: /var/logkubectl replace --force -f xxxx.yaml12.pvc pv 动态记录扩容
任务要求：
- 创建一个新的 PersistentVolumeClaim：
卷名称： pvvolume
卷容量： 10Mi
存储类： csi-hostpath-sc- 创建一个新的 Pod，将 PersistentVolumeClaim 作为 volume 挂载：
Pod 名称： web-server
Pod 镜像： httpd
挂载路径： /var/www
配置新的 Pod 对 volume 具有 ReadWriteOnce 权限- 使用 kubectl edit 或者 kubectl patch 将 PVC 的容量扩展为 70Mi，并记录此次更改
edit 或者 patch 时需要加 --record
kubectl config use-context yk8svim 12.yaml
---
kind: PersistentVolumeClaim
apiVersion: v1
metadata:name: pvvolume
spec:volumeMode: FilesystemaccessModes:- ReadWriteOnceresources:requests:storage: 10MistorageClassName: csi-hostpath-sc---
kind: Pod
apiVersion: v1
metadata:name: web-server
spec:terminationGracePeriodSeconds: 0volumes:- name: websitepersistentVolumeClaim:claimName: pvvolumecontainers:- name: web-serverimage: httpdimagePullPolicy: IfNotPresentvolumeMounts:- name: websitemountPath: /var/wwwports:- protocol: TCPcontainerPort: 80restartPolicy: Alwayskubectl apply -f 12.yaml --record
kubectl get pods web-server
kubectl get persistentvolumeclaims
kubectl patch pvc pvvolume -p '{"spec":{"resources":{"requests":{"storage":"70Mi"}}}}' --record
13.角色
创建一个名为 deployment-clusterrole 的 ClusterRole 角色
该角色具有新建 Deployment、StatefulSet、 DaemonSet 类型资源的权限
在现有 namespace: app-team1 中创建一个名为 cicd-token 的新 ServiceAccount
仅限于 namespace: app-team1 中使用新建的角色为 cicd-token 授权
注意授权的范围 是全局还是局部
kubectl config use-context yk8skubectl create clusterrole deployment-clusterrole --resource=deploy,ds,sts --verb=create --dry-run=client -o yaml >06.yaml
kubectl -n app-team1 create sa cicd-token --dry-run=client -o yaml >>06.yaml
kubectl -n app-team1 create rolebinding cicd-token-rolebind --clusterrole=deployment-clusterrole --serviceaccount=app-team1:cicd-token --dry-run=client -o yaml >>06.yaml[alice@client yk8s]$ vim 06.yaml
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:name: deployment-clusterrole
rules:
- apiGroups:- appsresources:- deployments- daemonsets- statefulsetsverbs:- create---
apiVersion: v1
kind: ServiceAccount
metadata:name: cicd-tokennamespace: app-team1---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:name: cicd-token-rolebindnamespace: app-team1
roleRef:apiGroup: rbac.authorization.k8s.iokind: ClusterRolename: deployment-clusterrole
subjects:
- kind: ServiceAccountname: cicd-tokennamespace: app-team1
[alice@client yk8s]$ kubectl apply -f 06.yaml14.网络策略
任务要求：
创建一个名为 allow-port-from-namespace 的新 NetworkPolicy
该策略只允许来自同一名称空间 namespace: my-app 的 Pods 访问
该策略只允许访问监听了 9200 端口的 pods
直接搜官网NetworkPolicy
需要注意的是 Ingress 还是 Egress
注意ns的标签需要去看下
---
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:name: allow-port-from-namespacenamespace: my-app
spec:podSelector: {}policyTypes:- Ingressingress:- from:- namespaceSelector:matchLabels:kubernetes.io/metadata.name: my-appports:- port: 920015.deploy扩容
将 deployment webserver 扩展至 6 Pods
kubectl scale deployment webserver --replicas=6
kubectl get deployments.apps webserver16.升级k8s版本
关键字搜索：upgrade
任务环境：xk8s
任务要求：
现有的 xk8s 集群正在运行的版本是 1.22.3，在主节点上升级 kubelet 和 kubectl
仅将主节点上的所有 kubernetes 控制平面和节点组件升级到版本 1.22.5
确保在升级前 drain 主节点，并在升级后 uncordon 主节点
请不要升级工作节点，etcd，container 管理器，CNI 插件，DNS 服务或任何其他插件
- 锁定节点
drain
- 升级管理工具
ssh 到主节点
kubeadm=xx.xx.xx
- 升级系统
kubeadm upgrade plan
- 升级服务
升级软件包 kubelet kubectl
重启服务 daemon-reload ;restart kubelet
- 解除锁定
uncordon
[alice@client ~]$ kubectl config use-context xk8s
[alice@client ~]$ ssh xk8s
[alice@xk8s ~]$ sudo -i
#----------------------------------------------
#1.升级管理节点的管理工具kubeadm
[root@xk8s ~]# kubeadm version
[root@xk8s ~]# yum list | grep kubeadm
[root@xk8s ~]# yum install kubeadm-1.2.x
#锁定节点
[root@xk8s ~]# kubectl drain xk8s --ignore-daemonsets=true
#升级 kubectl kubelet ，与kubeadm一样的版本即可
[root@xk8s ~]# yum install kubectl kubelet
#升级集群
[root@xk8s ~]# kubeadm upgrade plan --allow-release-candidate-upgrades
[root@xk8s ~]# kubeadm upgrade apply --etcd-upgrade=false v1.22.5
#重载服务
[root@xk8s ~]# systemctl daemon-reload
[root@xk8s ~]# systemctl restart kubelet#如过是ubuntu系统使用以下方式
#---------------------------------------------
[root@xk8s ~]# apt-get install --allow-change-held-packages kubeadm
[root@xk8s ~]# kubeadm upgrade plan --allow-release-candidate-upgrades
[root@xk8s ~]# kubectl drain xk8s --ignore-daemonsets=true
[root@xk8s ~]# apt-get install kubelet kubectl
#---------------------------------------------
[root@xk8s ~]# systemctl daemon-reload
[root@xk8s ~]# systemctl restart kubelet
[root@xk8s ~]# kubeadm upgrade apply --etcd-upgrade=false v1.22.5
[root@xk8s ~]# kubectl uncordon xk8s升级工作节点
之前都一样与控制节点，升级node时不指定版本即可
kubeadm upgrade node
17. 人肉pv
任务环境：yk8s
任务要求：
创建名为 app-data 的 persistent volume
容量为 1Gi
访问模式为 ReadWriteMany
volume 类型为 hostPath，位于 /srv/app-data
官网搜pv 注意 hostPath: path type: DirectoryOrCreate
[alice@client ~]$ kubectl config use-context yk8s
#----------------------------------------------
[alice@client yk8s]$ vim 13.yaml
---
kind: PersistentVolume
apiVersion: v1
metadata:name: app-data
spec:volumeMode: FilesystemaccessModes:- ReadWriteManycapacity:storage: 1GihostPath:path: /srv/app-datatype: DirectoryOrCreate
[alice@client yk8s]$ kubectl apply -f 13.yaml
