Kubeadm

• 1: 创建 Kubeadm
• 1.1:
• 1.2:
• 1.3:
• 1.4:
• 1.5:
• 1.6:
• 1.7:
• 1.8:
• 1.9:
• 1.10:
• 1.11:
• 1.12:
• 1.13:
• 1.14:
• 1.15:
• 1.16:
• 1.17:
• 1.18:
• 1.19:
• 1.20:
• 1.21:
• 1.22:
• 1.23:
• 1.24:
• 1.25:
• 1.26:
• 1.27:
• 1.28:
• 1.29:
• 1.30:
• 1.31:
• 1.32:
• 1.33:
• 1.34:
• 1.35:
• 1.36:
• 1.37:
• 1.38:
• 1.39:
• 1.40:
• 1.41:
• 1.42:
• 1.43:
• 1.44:
• 1.45:
• 1.46:
• 1.47:
• 1.48:
• 1.49:
• 1.50:
• 1.51:
• 1.52:
• 1.53:
• 1.54:
• 1.55:
• 1.56:
• 1.57:
• 1.58:
• 1.59:
• 1.60:
• 1.61:
• 1.62:
• 1.63:
• 1.64:
• 1.65:
• 1.66:
• 1.67:
• 1.68:
• 1.69:
• 1.70:
• 1.71:
• 1.72:
• 1.73:
• 1.74:
• 1.75:
• 1.76:
• 1.77:
• 1.78:
• 1.79:
• 1.80:
• 1.81:
• 1.82:
• 1.83:
• 1.84:
• 1.85:
• 1.86:
• 1.87:
• 1.88:
• 1.89:
• 1.90:
• 1.91:
• 1.92:
• 1.93:
• 1.94:
• 1.95:
• 1.96:
• 1.97:
• 1.98:
• 1.99:
• 1.100:
• 1.101:
• 1.102:
• 1.103:
• 1.104:
• 1.105:
• 1.106:
• 1.107:
• 1.108:
• 2: kubeadm init
• 3: kubeadm join
• 4: kubeadm upgrade
• 5: kubeadm config
• 6: kubeadm reset
• 7: kubeadm token
• 8: kubeadm version
• 9: kubeadm alpha
• 10: kubeadm certs
• 11: kubeadm init phase
• 12: kubeadm join phase
• 13: kubeadm kubeconfig
• 14: kubeadm reset phase
• 15: kubeadm upgrade phase
• 16: 实现细节

Kubeadm 是一个提供了 kubeadm init 和 kubeadm join 的工具， 作为创建 Kubernetes 集群的 “快捷途径” 的最佳实践。

kubeadm 通过执行必要的操作来启动和运行最小可用集群。 按照设计，它只关注启动引导，而非配置机器。同样的， 安装各种 “锦上添花” 的扩展，例如 Kubernetes Dashboard、 监控方案、以及特定云平台的扩展，都不在讨论范围内。

相反，我们希望在 kubeadm 之上构建更高级别以及更加合规的工具， 理想情况下，使用 kubeadm 作为所有部署工作的基准将会更加易于创建一致性集群。

如何安装

要安装 kubeadm, 请查阅 安装指南.

接下来

• kubeadm init 用于搭建控制平面节点
• kubeadm join 用于搭建工作节点并将其加入到集群中
• kubeadm upgrade 用于升级 Kubernetes 集群到新版本
• kubeadm config 如果你使用了 v1.7.x 或更低版本的 kubeadm 版本初始化你的集群，则使用 kubeadm upgrade 来配置你的集群
• kubeadm token 用于管理 kubeadm join 使用的令牌
• kubeadm reset 用于恢复通过 kubeadm init 或者 kubeadm join 命令对节点进行的任何变更
• kubeadm certs 用于管理 Kubernetes 证书
• kubeadm kubeconfig 用于管理 kubeconfig 文件
• kubeadm version 用于打印 kubeadm 的版本信息
• kubeadm alpha 用于预览一组可用于收集社区反馈的特性

1 - 创建 Kubeadm

1.1 -

kubeadm: 轻松创建一个安全的 Kubernetes 集群

摘要

┌──────────────────────────────────────────────────────────┐
│ KUBEADM                                                  │
│ 轻松创建一个安全的 Kubernetes 集群                       │
│                                                          │
│ 给我们反馈意见的地址：                                   │
│ https://github.com/kubernetes/kubeadm/issues             │
└──────────────────────────────────────────────────────────┘

用途示例：

创建一个有两台机器的集群，包含一个主节点（用来控制集群），和一个工作节点（运行你的工作负载，像 Pod 和 Deployment）。

┌──────────────────────────────────────────────────────────┐
│ 在第一台机器上：                                         │
├──────────────────────────────────────────────────────────┤
│ control-plane# kubeadm init                              │
└──────────────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────────┐
│ 在第二台机器上：                                         │
├──────────────────────────────────────────────────────────┤
│ worker# kubeadm join <arguments-returned-from-init>│
└──────────────────────────────────────────────────────────┘

你可以重复第二步，向集群添加更多机器。

选项

1.2 -

处理 Kubernetes 证书的相关命令

概要

处理 Kubernetes 证书相关的命令

选项

继承于父命令的选项

1.3 -

生成证书密钥

概要

该命令将打印出可以与 "init" 命令一起使用的安全的随机生成的证书密钥。

你也可以使用 kubeadm init --upload-certs 而无需指定证书密钥； 命令将为你生成并打印一个证书密钥。

kubeadm certs certificate-key [flags]

选项

从父命令继承的选项

1.4 -

为一个 Kubernetes 集群检查证书的到期时间

概要

检查 kubeadm 管理的本地 PKI 中证书的到期时间。

kubeadm certs check-expiration [flags]

选项

继承于父命令的选项

1.5 -

生成密钥和证书签名请求

概要

为运行控制平面所需的所有证书生成密钥和证书签名请求（CSR）。该命令会生成部分 kubeconfig 文件， 其中 "users > user > client-key-data" 字段包含私钥数据，并为每个 kubeconfig 文件创建一个随附的 ".csr" 文件。

此命令设计用于 Kubeadm 外部 CA 模式。 它生成你可以提交给外部证书颁发机构进行签名的 CSR。

你需要使用 ".crt" 作为文件扩展名将 PEM 编码的签名证书与密钥文件一起保存。 或者，对于 kubeconfig 文件，PEM 编码的签名证书应使用 base64 编码， 并添加到 "users > user > client-certificate-data" 字段。

kubeadm certs generate-csr [flags]

示例

# 以下命令将为所有控制平面证书和 kubeconfig 文件生成密钥和 CSR :
kubeadm certs generate-csr --kubeconfig-dir /tmp/etc-k8s --cert-dir /tmp/etc-k8s/pki

选项

继承于父命令的选项

1.6 -

为 Kubernetes 集群更新证书

概要

此命令并非设计用来单独运行。请参阅可用子命令列表。

kubeadm certs renew [flags]

选项

从父命令继承的选项

1.7 -

续订 kubeconfig 文件中嵌入的证书，供管理员 和 kubeadm 自身使用。

概要

续订 kubeconfig 文件中嵌入的证书，供管理员 和 kubeadm 自身使用。

无论证书的到期日期如何，续订都是无条件进行的；SAN 等额外属性将基于现有文件/证书，因此无需重新提供它们。

默认情况下，续订会尝试使用由 kubeadm 管理的本地 PKI 中的证书机构；作为替代方案， 也可以使用 K8s 证书 API 进行证书续订，或者（作为最后一种选择）生成 CSR 请求。

续订后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新的证书，以防证书文件在其他地方使用。

kubeadm certs renew admin.conf [flags]

选项

从父命令继承的选项

1.8 -

续订所有可用证书

概要

续订运行控制平面所需的所有已知证书。续订是无条件进行的，与到期日期无关。续订也可以单独运行以进行更多控制。

kubeadm certs renew all [flags]

选项

从父命令继承的选项

1.9 -

续订 apiserver 用于访问 etcd 的证书

概要

续订 apiserver 用于访问 etcd 的证书。

无论证书的到期日期如何，续订都会无条件地进行；SAN 等额外属性将基于现有文件/证书，因此无需重新提供它们。

默认情况下，续订尝试使用在 kubeadm 所管理的本地 PKI 中的证书颁发机构；作为替代方案， 可以使用 K8s 证书 API 进行证书更新，或者作为最后一个选择来生成 CSR 请求。

续订后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新的证书，以防文件在其他地方使用。

kubeadm certs renew apiserver-etcd-client [flags]

选项

从父命令继承的选项

1.10 -

续订 apiserver 用于连接 kubelet 的证书。

概要

续订 apiserver 用于连接 kubelet 的证书。

无论证书的到期日期如何，续订都会无条件地进行；SAN 等额外属性将基于现有文件/证书，因此无需重新提供它们。

默认情况下，续订尝试使用位于 kubeadm 所管理的本地 PKI 中的证书颁发机构；作为替代方案， 也可能调用 K8s 证书 API 进行证书更新；亦或者，作为最后一个选择，生成 CSR 请求。

续订后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新的证书，以防文件在其他地方使用。

kubeadm certs renew apiserver-kubelet-client [flags]

选项

从父命令继承的选项

1.11 -

续订用于提供 Kubernetes API 的证书

概要

续订用于提供 Kubernetes API 的证书。

无论证书的到期日期如何，续订都会无条件地进行；SAN 等额外属性将基于现有文件/证书，因此无需重新提供它们。

默认情况下，续订尝试在 kubeadm 管理的本地 PKI 中使用证书颁发机构；作为替代方案， 可以使用 K8s 证书 API 进行证书更新，或者作为最后一个选择来生成 CSR 请求。

续订后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新的证书，以防文件在其他地方使用。

kubeadm certs renew apiserver [flags]

选项

从父命令继承的选项

1.12 -

续订 kubeconfig 文件中嵌入的证书，以供控制器管理器（Controller Manager）使用。

概要

续订 kubeconfig 文件中嵌入的证书，以供控制器管理器（Controller Manager）使用。

续订无条件地进行，与证书的到期日期无关；SAN 等额外属性将基于现有的文件/证书，因此无需重新提供它们。

默认情况下，续订会尝试使用 kubeadm 管理的本地 PKI 中的证书颁发机构；作为替代方案， 可以使用 K8s 证书 API 进行证书续订；亦或者，作为最后一种选择，生成 CSR 请求。

续订后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新的证书，以防文件在其他地方使用。

kubeadm alpha renew controller-manager.conf [flags]

选项

从父命令继承的选项

1.13 -

续订存活态探针的证书，用于对 etcd 执行健康检查

概要

续订存活态探针的证书，用于对 etcd 执行健康检查。

无论证书的到期日期如何，续订都是无条件进行的；SAN 等额外属性将基于现有文件/证书，因此无需重新提供它们。

默认情况下，续订会尝试使用由 kubeadm 管理的本地 PKI 中的证书机构；作为替代方案， 也可以使用 K8s certificate API 进行证书续订，或者（作为最后一种选择）生成 CSR 请求。

续订后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新的证书，以防证书文件在其他地方使用。

kubeadm certs renew etcd-healthcheck-client [flags]

选项

从父命令继承的选项

1.14 -

续订 etcd 节点间用来相互通信的证书

概要

续订 etcd 节点间用来相互通信的证书。

无论证书的到期日期如何，续订都是无条件进行的；SAN 等额外属性将基于现有文件/证书，因此无需重新提供它们。

默认情况下，续订会尝试使用由 kubeadm 管理的本地 PKI 中的证书机构； 作为替代方案，也可以使用 K8s certificate API 进行证书续订，或者（作为最后一种选择）生成 CSR 请求。

续订后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新的证书，以防证书文件在其他地方使用。

kubeadm certs renew etcd-peer [flags]

选项

从父命令继承的选项

1.15 -

续订用于提供 etcd 服务的证书

概要

续订用于提供 etcd 服务的证书。

续订无条件地进行，与证书的到期日期无关；SAN 等额外属性将基于现有的文件/证书，因此无需重新提供它们。

默认情况下，续订会尝试在 kubeadm 管理的本地 PKI 中使用证书颁发机构；作为替代方案， 可以使用 K8s 证书 API 进行证书续订，或者作为最后一种选择来生成 CSR 请求。

续订后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新的证书，以防文件在其他地方使用。

kubeadm certs renew etcd-server [flags]

选项

从父命令继承的选项

1.16 -

为前端代理客户端续订证书。

概要

为前端代理客户端续订证书。

无论证书的到期日期如何，续订都会无条件地进行；SAN 等额外属性将基于现有文件/证书，因此无需重新提供它们。

默认情况下，续订尝试使用位于 kubeadm 所管理的本地 PKI 中的证书颁发机构；作为替代方案， 也可以使用 K8s 证书 API 进行证书续订；亦或者，作为最后一种方案，生成 CSR 请求。

续订后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新的证书，以防文件在其他地方使用。

kubeadm certs renew front-proxy-client [flags]

选项

从父命令继承的选项

1.17 -

续订 kubeconfig 文件中嵌入的证书，以供调度管理器使用

概要

续订 kubeconfig 文件中嵌入的证书，以供调度管理器使用。

续订无条件地进行，与证书的到期日期无关；SAN 等额外属性将基于现有的文件/证书，因此无需重新提供它们。

默认情况下，续订会尝试使用在 kubeadm 所管理的本地 PKI 中的证书颁发机构；作为替代方案， 也可以使用 K8s 证书 API 进行证书续订；亦或者，作为最后一种选择，生成 CSR 请求。

续订后，为了使更改生效，需要重新启动控制平面组件，并最终重新分发更新的证书，以防文件在其他地方使用。

kubeadm certs renew scheduler.conf [flags]

选项

从父命令继承的选项

1.18 -

为指定 Shell（Bash 或 Zsh） 输出 Shell 补全代码

概要

为指定的 shell（bash 或 zsh）输出 shell 自动补全代码。 必须激活 shell 代码以提供交互式 kubeadm 命令补全。这可以通过加载 .bash_profile 文件完成。

注意: 此功能依赖于 bash-completion 框架。

在 Mac 上使用 homebrew 安装:

brew install bash-completion

安装后，必须激活 bash_completion。这可以通过在 .bash_profile 文件中添加下面的命令行来完成

source $(brew --prefix)/etc/bash_completion

如果在 Linux 上没有安装 bash-completion，请通过你的发行版的包管理器安装 bash-completion 软件包。

zsh 用户注意事项：[1] zsh 自动补全仅在 >=v5.2 及以上版本中支持。

kubeadm completion SHELL [flags]

示例

# 在 Mac 上使用 homebrew 安装 bash completion
brew install bash-completion
printf "\n# Bash completion support\nsource $(brew --prefix)/etc/bash_completion\n" >> $HOME/.bash_profile
source $HOME/.bash_profile

# 将 bash 版本的 kubeadm 自动补全代码加载到当前 shell 中
source <(kubeadm completion bash)

# 将 bash 自动补全完成代码写入文件并且从 .bash_profile 文件加载它
printf "\n# Kubeadm shell completion\nsource '$HOME/.kube/kubeadm_completion.bash.inc'\n" >> $HOME/.bash_profile
source $HOME/.bash_profile

# 将 zsh 版本的 kubeadm 自动补全代码加载到当前 shell 中
source <(kubeadm completion zsh)

选项

从父命令继承的选项

1.19 -

管理持久化在 ConfigMap 中的 kubeadm 集群的配置

概要

kube-system 命名空间里有一个名为 "kubeadm-config" 的 ConfigMap，kubeadm 用它来存储有关集群的内部配置。 kubeadm CLI v1.8.0+ 通过一个配置自动创建该 ConfigMap，这个配置是和 'kubeadm init' 共用的。 但是您如果使用 kubeadm v1.7.x 或更低的版本初始化集群，那么必须使用 'config upload' 命令创建该 ConfigMap。 这是必要的操作，目的是使 'kubeadm upgrade' 能够正确地配置升级后的集群。

kubeadm config [flags]

选项

从父命令继承的选项

1.20 -

与 kubeadm 使用的容器镜像交互

概要

与 kubeadm 使用的容器镜像交互。

kubeadm config images [flags]

选项

从父命令继承的选项

1.21 -

打印 kubeadm 要使用的镜像列表。配置文件用于自定义镜像或镜像存储库。

概要

打印 kubeadm 要使用的镜像列表。配置文件用于自定义镜像或镜像存储库。

kubeadm config images list [flags]

选项

从父命令继承的选项

1.22 -

拉取 kubeadm 使用的镜像。

概要

拉取 kubeadm 使用的镜像。

kubeadm config images pull [flags]

选项

从父命令继承的选项

1.23 -

从文件中读取旧版本的 kubeadm 配置的 API 类型，并为新版本输出类似的配置对象

概要

此命令允许您在 CLI 工具中将本地旧版本的配置对象转换为最新支持的版本，而无需变更集群中的任何内容。在此版本的 kubeadm 中，支持以下 API 版本：

• kubeadm.k8s.io/v1beta3

因此，无论您在此处传递 --old-config 参数的版本是什么，当写入到 stdout 或 --new-config （如果已指定）时， 都会读取、反序列化、默认、转换、验证和重新序列化 API 对象。

换句话说，如果您将此文件传递给 "kubeadm init"，则该命令的输出就是 kubeadm 实际上在内部读取的内容。

kubeadm config migrate [flags]

选项

从父命令继承的选项

1.24 -

打印配置

概要

此命令打印子命令所提供的配置信息。 相关细节可参阅: https://pkg.go.dev/k8s.io/kubernetes/cmd/kubeadm/app/apis/kubeadm#section-directories

kubeadm config print [flags]

选项

从父命令继承而来的选项

1.25 -

打印用于 'kubeadm init' 的默认 init 配置

概要

此命令打印对象，例如用于 'kubeadm init' 的默认 init 配置对象。

请注意，Bootstrap Token 字段之类的敏感值已替换为 "abcdef.0123456789abcdef" 之类的占位符值以通过验证，但不执行创建令牌的实际计算。

kubeadm config print init-defaults [flags]

选项

从父命令继承的选项

1.26 -

打印默认的节点添加配置，该配置可用于 'kubeadm join' 命令

概要

此命令打印对象，例如用于 'kubeadm join' 的默认 join 配置对象。

请注意，诸如启动引导令牌字段之类的敏感值已替换为 "abcdef.0123456789abcdef" 之类的占位符值以通过验证， 但不执行创建令牌的实际计算。

kubeadm config print join-defaults [flags]

选项

从父命令继承的选项

1.27 -

运行此命令以安装 Kubernetes 控制平面。

概要

运行此命令来搭建 Kubernetes 控制平面节点。

"init" 命令执行以下阶段：

preflight                    Run pre-flight checks
certs                        Certificate generation
  /ca                          Generate the self-signed Kubernetes CA to provision identities for other Kubernetes components
  /apiserver                   Generate the certificate for serving the Kubernetes API
  /apiserver-kubelet-client    Generate the certificate for the API server to connect to kubelet
  /front-proxy-ca              Generate the self-signed CA to provision identities for front proxy
  /front-proxy-client          Generate the certificate for the front proxy client
  /etcd-ca                     Generate the self-signed CA to provision identities for etcd
  /etcd-server                 Generate the certificate for serving etcd
  /etcd-peer                   Generate the certificate for etcd nodes to communicate with each other
  /etcd-healthcheck-client     Generate the certificate for liveness probes to healthcheck etcd
  /apiserver-etcd-client       Generate the certificate the apiserver uses to access etcd
  /sa                          Generate a private key for signing service account tokens along with its public key
kubeconfig                   Generate all kubeconfig files necessary to establish the control plane and the admin kubeconfig file
  /admin                       Generate a kubeconfig file for the admin to use and for kubeadm itself
  /kubelet                     Generate a kubeconfig file for the kubelet to use *only* for cluster bootstrapping purposes
  /controller-manager          Generate a kubeconfig file for the controller manager to use
  /scheduler                   Generate a kubeconfig file for the scheduler to use
kubelet-start                Write kubelet settings and (re)start the kubelet
control-plane                Generate all static Pod manifest files necessary to establish the control plane
  /apiserver                   Generates the kube-apiserver static Pod manifest
  /controller-manager          Generates the kube-controller-manager static Pod manifest
  /scheduler                   Generates the kube-scheduler static Pod manifest
etcd                         Generate static Pod manifest file for local etcd
  /local                       Generate the static Pod manifest file for a local, single-node local etcd instance
upload-config                Upload the kubeadm and kubelet configuration to a ConfigMap
  /kubeadm                     Upload the kubeadm ClusterConfiguration to a ConfigMap
  /kubelet                     Upload the kubelet component config to a ConfigMap
upload-certs                 Upload certificates to kubeadm-certs
mark-control-plane           Mark a node as a control-plane
bootstrap-token              Generates bootstrap tokens used to join a node to a cluster
kubelet-finalize             Updates settings relevant to the kubelet after TLS bootstrap
  /experimental-cert-rotation  Enable kubelet client certificate rotation
addon                        Install required addons for passing Conformance tests
  /coredns                     Install the CoreDNS addon to a Kubernetes cluster
  /kube-proxy                  Install the kube-proxy addon to a Kubernetes cluster

kubeadm init [flags]

选项

从父命令继承的选项

1.28 -

使用此命令可以调用 init 工作流程的单个阶段

概要

使用此命令可以调用 init 工作流程的单个阶段

选项

继承于父命令的选择项

1.29 -

安装必要的插件以通过一致性测试

概要

此命令并非设计用来单独运行。请参阅可用子命令列表。

kubeadm init phase addon [flags]

选项

继承于父命令的选项

1.30 -

安装所有插件

概要

安装所有插件（addon）

kubeadm init phase addon all [flags]

选项

继承于父命令的选项

1.31 -

将 CoreDNS 插件安装到 Kubernetes 集群

概要

通过 API 服务器安装 CoreDNS 附加组件。请注意，即使 DNS 服务器已部署，在安装 CNI 之前 DNS 服务器不会被调度执行。

kubeadm init phase addon coredns [flags]

选项

继承于父命令的选项

1.32 -

将 kube-proxy 插件安装到 Kubernetes 集群

概要

通过 API 服务器安装 kube-proxy 附加组件。

kubeadm init phase addon kube-proxy [flags]

选项

继承于父命令的选项

1.33 -

生成用于将节点加入集群的引导令牌

概要

启动引导令牌（bootstrap token）用于在即将加入集群的节点和控制平面节点之间建立双向信任。

该命令使启动引导令牌（bootstrap token）所需的所有配置生效，然后创建初始令牌。

kubeadm init phase bootstrap-token [flags]

示例

# 进行所有引导令牌配置，并创建一个初始令牌，功能上与 kubeadm init 生成的令牌等效。
kubeadm init phase bootstrap-token

选项

继承于父命令的选项

1.34 -

证书生成

概要

此命令并非设计用来单独运行。请参阅可用子命令列表。

kubeadm init phase certs [flags]

选项

从父指令中继承的选项

1.35 -

生成所有证书

概要

生成所有证书

kubeadm init phase certs all [flags]

选项

继承于父命令的选项

1.36 -

生成 apiserver 用来访问 etcd 的证书

概要

生成 apiserver 用于访问 etcd 的证书，并将其保存到 apiserver-etcd-client.crt 和 apiserver-etcd-client.key 文件中。

如果两个文件都已存在，则 kubeadm 将跳过生成步骤，使用现有文件。

Alpha 免责声明：此命令当前为 Alpha 功能。

kubeadm init phase certs apiserver-etcd-client [flags]

选项

继承于父命令的选项

1.37 -

生成供 API 服务器连接 kubelet 的证书

概要

生成供 API 服务器连接 kubelet 的证书，并将其保存到 apiserver-kubelet-client.crt 和 apiserver-kubelet-client.key 文件中。

如果两个文件都已存在，则 kubeadm 将跳过生成步骤，使用现有文件。

Alpha 免责声明：此命令当前为 Alpha 功能。

kubeadm init phase certs apiserver-kubelet-client [flags]

选项

继承于父命令的选项

1.38 -

生成用于服务 Kubernetes API 的证书

概要

生成用于服务 Kubernetes API 的证书，并将其保存到 apiserver.crt 和 apiserver.key 文件中。

如果两个文件都已存在，则 kubeadm 将跳过生成步骤，使用现有文件。

Alpha 免责声明：此命令当前为 Alpha 功能。

kubeadm init phase certs apiserver [flags]

选项

继承于父命令的选项

1.39 -

生成自签名的 Kubernetes CA 以便为其他 Kubernetes 组件提供身份标识

概要

生成自签名的 Kubernetes CA 以便为其他 Kubernetes 组件提供身份标识，并将其保存到 ca.crt 和 ca.key 文件中。

如果两个文件都已存在，则 kubeadm 将跳过生成步骤，使用现有文件。

Alpha 免责声明：此命令当前为 Alpha 功能。

kubeadm init phase certs ca [flags]

选项

继承于父命令的选项

1.40 -

生成用于为 etcd 设置身份的自签名 CA

概要

生成用于为 etcd 设置身份的自签名 CA，并将其保存到 etcd/ca.crt 和 etcd/ca.key 文件中。

如果两个文件都已存在，则 kubeadm 将跳过生成步骤，使用现有文件。

Alpha 免责声明：此命令当前为 Alpha 功能。

kubeadm init phase certs etcd-ca [flags]

选项

继承于父命令的选项

1.41 -

生成用于 etcd 健康检查的活跃性探针的证书

概要

生成用于 etcd 健康检查的活跃性探针的证书，并将其保存到 etcd/healthcheck-client.crt 和 etcd/healthcheck-client.key 文件中。

如果两个文件都已存在，则 kubeadm 将跳过生成步骤，使用现有文件。

Alpha 免责声明：此命令当前为 alpha 功能。

kubeadm init phase certs etcd-healthcheck-client [flags]

选项

继承于父命令的选项

1.42 -

生成 etcd 节点相互通信的证书

概要

生成 etcd 节点相互通信的证书，并将其保存到 etcd/peer.crt 和 etcd/peer.key 文件中。

默认 SAN 为 localhost、127.0.0.1、127.0.0.1、:: 1

如果两个文件都已存在，则 kubeadm 将跳过生成步骤，使用现有文件。

Alpha 免责声明：此命令当前为 alpha 功能。

kubeadm init phase certs etcd-peer [flags]

选项

继承于父命令的选项

1.43 -

概要

生成用于提供 etcd 服务的证书，并将其保存到 etcd/server.crt 和 etcd/server.key 文件中。

默认 SAN 为 localhost、127.0.0.1、127.0.0.1、:: 1

如果两个文件都已存在，则 kubeadm 将跳过生成步骤，使用现有文件。

Alpha 免责声明：此命令当前为 alpha 功能。

kubeadm init phase certs etcd-server [flags]

选项

继承于父命令的选项

1.44 -

生成自签名 CA 来提供前端代理的身份

概要

生成自签名 CA 来提供前端代理的身份，并将其保存到 front-proxy-ca.cert 和 front-proxy-ca.key 文件中。

如果两个文件都已存在，kubeadm 将跳过生成步骤并将使用现有文件。

Alpha 免责声明：此命令目前是 alpha 阶段。

kubeadm init phase certs front-proxy-ca [flags]

选项

从父命令继承的选项

1.45 -

为前端代理客户端生成证书

概要

为前端代理客户端生成证书，并将其保存到 front-proxy-client.crt 和 front-proxy-client.key 文件中。 如果两个文件都已存在，kubeadm 将跳过生成步骤并将使用现有文件。 Alpha 免责声明：此命令目前是 alpha 阶段。

kubeadm init phase certs front-proxy-client [flags]

选项

从父命令继承的选项

1.46 -

生成用来签署服务账号令牌的私钥及其公钥

概要

生成用来签署服务账号令牌的私钥及其公钥，并将其保存到 sa.key 和 sa.pub 文件中。 如果两个文件都已存在，则 kubeadm 会跳过生成步骤，而将使用现有文件。

Alpha 免责声明：此命令当前为 alpha 阶段。

kubeadm init phase certs sa [flags]

选项

继承于父命令的选项

1.47 -

生成建立控制平面所需的静态 Pod 清单文件

概要

此命令并非设计用来单独运行。请参阅可用子命令列表。

kubeadm init phase control-plane [flags]

选项

继承于父命令的选项

1.48 -

生成所有静态 Pod 清单文件

概要

生成所有的静态 Pod 清单文件

kubeadm init phase control-plane all [flags]

示例

# 为控制平面组件生成静态 Pod 清单文件，其功能等效于 kubeadm init 生成的文件。
kubeadm init phase control-plane all

# 使用从某配置文件中读取的选项为生成静态 Pod 清单文件。
kubeadm init phase control-plane all --config config.yaml

选项

从父指令继承的选项

1.49 -

生成 kube-apiserver 静态 Pod 清单

概要

生成 kube-apiserver 静态 Pod 清单

kubeadm init phase control-plane apiserver [flags]

选项

继承于父命令的选项

1.50 -

生成 kube-controller-manager 静态 Pod 清单

概要

生成 kube-controller-manager 静态 Pod 清单

kubeadm init phase control-plane controller-manager [flags]

选项

从父命令继承的选项

1.51 -

生成 kube-scheduler 静态 Pod 清单

概要

生成 kube-scheduler 静态 Pod 清单

kubeadm init phase control-plane scheduler [flags]

选项

继承于父命令的选项

1.52 -

为本地 etcd 生成静态 Pod 的清单文件

概要

此命令并非设计用来单独运行。请参阅可用子命令列表。

kubeadm init phase etcd [flags]

选项

继承于父命令的选项

1.53 -

为本地单节点 etcd 实例生成静态 Pod 清单文件

概要

为本地单节点 etcd 实例生成静态 Pod 清单文件

kubeadm init phase etcd local [flags]

示例

# 为 etcd 生成静态 Pod 清单文件，其功能等效于 kubeadm init 生成的文件。
kubeadm init phase etcd local

# 使用从配置文件读取的选项为 etcd 生成静态 Pod 清单文件。
kubeadm init phase etcd local --config config.yaml

选项

继承于父命令的选项

1.54 -

生成所有建立控制平面和管理员（admin）所需的 kubeconfig 文件

概要

此命令并非设计用来单独运行。请阅读可用子命令列表。

kubeadm init phase kubeconfig [flags]

选项

从父命令继承的选项

1.55 -

为管理员（admin）和 kubeadm 本身生成 kubeconfig 文件

概要

为管理员和 kubeadm 本身生成 kubeconfig 文件，并将其保存到 admin.conf 文件中。

kubeadm init phase kubeconfig admin [flags]

选项

继承于父命令的选项

1.56 -

生成所有 kubeconfig 文件

概要

生成所有 kubeconfig 文件

kubeadm init phase kubeconfig all [flags]

选项

继承于父命令的选项

1.57 -

生成控制器管理器要使用的 kubeconfig 文件

概要

生成控制器管理器要使用的 kubeconfig 文件，并保存到 controller-manager.conf 文件中。

kubeadm init phase kubeconfig controller-manager [flags]

选项

继承于父命令的选项

1.58 -

为 kubelet 生成一个 kubeconfig 文件，仅仅用于集群引导目的

概要

生成 kubelet 要使用的 kubeconfig 文件，并将其保存到 kubelet.conf 文件。

请注意，该操作目的是仅应用于引导集群。在控制平面启动之后，应该从 CSR API 请求所有 kubelet 凭据。

kubeadm init phase kubeconfig kubelet [flags]

选项

继承于父命令的选项

1.59 -

生成调度器使用的 kubeconfig 文件

概要

生成调度器（scheduler）要使用的 kubeconfig 文件，并保存到 scheduler.conf 文件中。

kubeadm init phase kubeconfig scheduler [flags]

选项

继承于父命令的选项

1.60 -

TLS 引导后更新与 kubelet 相关的设置

概要

TLS 引导后更新与 kubelet 相关的设置

kubeadm init phase kubelet-finalize [flags]

示例

  # 在 TLS 引导后更新与 kubelet 相关的设置
  kubeadm init phase kubelet-finalize all --config

选项

继承于父命令的选项

1.61 -

运行 kubelet-finalize 的所有阶段

概要

运行 kubelet-finalize 的所有阶段

kubeadm init phase kubelet-finalize all [flags]

示例

# 在 TLS 引导后更新与 kubelet 相关的设置
kubeadm init phase kubelet-finalize all --config

选项

继承于父命令的选项

1.62 -

启用 kubelet 客户端证书轮换

概要

启用 kubelet 客户端证书轮换

kubeadm init phase kubelet-finalize experimental-cert-rotation [flags]

选项

继承于父命令的选项

1.63 -

编写 kubelet 配置并（重新）启动 kubelet

概要

使用 kubelet 配置文件编写一个文件，并使用特定节点的 kubelet 设置编写一个环境文件，然后（重新）启动 kubelet。

kubeadm init phase kubelet-start [flags]

示例

# 将来自 InitConfiguration 文件中的 kubelet 参数写入一个动态环境文件。
kubeadm init phase kubelet-start --config config.yaml

选项

从父命令继承的选项

1.64 -

标记节点为控制平面节点

概要

标记 Node 节点为控制平面节点

kubeadm init phase mark-control-plane [flags]

示例

# 将控制平面标签和污点应用于当前节点，其功能等效于 kubeadm init执行的操作。
kubeadm init phase mark-control-plane --config config.yaml

# 将控制平面标签和污点应用于特定节点
kubeadm init phase mark-control-plane --node-name myNode

选项

从父命令继承的选项

1.65 -

运行启动检查

概要

运行 kubeadm init 前的启动检查。

kubeadm init phase preflight [flags]

案例

# 使用配置文件对 kubeadm init 进行启动检查。
kubeadm init phase preflight --config kubeadm-config.yaml

选项

继承于父命令的选项

1.66 -

将证书上传到 kubeadm-certs

概要

此命令并非设计用来单独运行。请参阅可用子命令列表。

kubeadm init phase upload-certs [flags]

选项

从父命令继承的选项

1.67 -

上传 kubeadm 和 kubelet 配置到 ConfigMap 中

概要

此命令并非设计用来单独运行。请参阅可用的子命令列表。

kubeadm init phase upload-config [flags]

选项

从父命令中继承的选项

1.68 -

将所有配置上传到 ConfigMap

概要

将所有配置上传到 ConfigMap

kubeadm init phase upload-config all [flags]

选项

从父命令继承的选项

1.69 -

将 kubeadm ClusterConfiguration 上传到 ConfigMap

概要

将 kubeadm ClusterConfiguration 上传到 kube-system 命名空间中名为 kubeadm-config 的 ConfigMap 中。 这样就可以正确配置系统组件，并在升级时提供无缝的用户体验。

另外，可以使用 kubeadm 配置。

kubeadm init phase upload-config kubeadm [flags]

示例

# 上传集群配置
kubeadm init phase upload-config --config=myConfig.yaml

选项

从父命令继承的选项

1.70 -

将 kubelet 组件配置上传到 ConfigMap

概要

将从 kubeadm InitConfiguration 对象提取的 kubelet 配置上传到集群中的 kubelet-config ConfigMap。

kubeadm init phase upload-config kubelet [flags]

示例

# 将 kubelet 配置从 kubeadm 配置文件上传到集群中的 ConfigMap。
kubeadm init phase upload-config kubelet --config kubeadm.yaml

选项

从父命令继承的选项

1.71 -

在你希望加入现有集群的任何机器上运行它

摘要

当节点加入 kubeadm 初始化的集群时，我们需要建立双向信任。 这个过程可以分解为发现（让待加入节点信任 Kubernetes 控制平面节点）和 TLS 引导（让 Kubernetes 控制平面节点信任待加入节点）两个部分。

有两种主要的发现方案。 第一种方法是使用共享令牌和 API 服务器的 IP 地址。 第二种是以文件形式提供标准 kubeconfig 文件的一个子集。 发现/kubeconfig 文件支持令牌、client-go 鉴权插件（“exec”）、“tokenFile" 和 "authProvider"。该文件可以是本地文件，也可以通过 HTTPS URL 下载。 格式是 kubeadm join --discovery-token abcdef.1234567890abcdef 1.2.3.4:6443、 kubeadm join --discovery-file path/to/file.conf 或者 kubeadm join --discovery-file https://url/file.conf。 只能使用其中一种。 如果发现信息是从 URL 加载的，必须使用 HTTPS。 此外，在这种情况下，主机安装的 CA 包用于验证连接。

如果使用共享令牌进行发现，还应该传递 --discovery-token-ca-cert-hash 参数来验证 Kubernetes 控制平面节点提供的根证书颁发机构（CA）的公钥。 此参数的值指定为 "<hash-type>:<hex-encoded-value>"， 其中支持的哈希类型为 "sha256"。哈希是通过 Subject Public Key Info（SPKI）对象的字节计算的（如 RFC7469）。 这个值可以从 "kubeadm init" 的输出中获得，或者可以使用标准工具进行计算。 可以多次重复 --discovery-token-ca-cert-hash 参数以允许多个公钥。

如果无法提前知道 CA 公钥哈希，则可以通过 --discovery-token-unsafe-skip-ca-verification 参数禁用此验证。 这削弱了 kubeadm 安全模型，因为其他节点可能会模仿 Kubernetes 控制平面节点。

TLS 引导机制也通过共享令牌驱动。 这用于向 Kubernetes 控制平面节点进行临时的身份验证，以提交本地创建的密钥对的证书签名请求（CSR）。 默认情况下，kubeadm 将设置 Kubernetes 控制平面节点自动批准这些签名请求。 这个令牌通过 --tls-bootstrap-token abcdef.1234567890abcdef 参数传入。

通常两个部分会使用相同的令牌。 在这种情况下可以使用 --token 参数，而不是单独指定每个令牌。

"join [api-server-endpoint]" 命令执行下列阶段：

preflight              Run join pre-flight checks
control-plane-prepare  Prepare the machine for serving a control plane
  /download-certs        [EXPERIMENTAL] Download certificates shared among control-plane nodes from the kubeadm-certs Secret
  /certs                 Generate the certificates for the new control plane components
  /kubeconfig            Generate the kubeconfig for the new control plane components
  /control-plane         Generate the manifests for the new control plane components
kubelet-start          Write kubelet settings, certificates and (re)start the kubelet
control-plane-join     Join a machine as a control plane instance
  /etcd                  Add a new local etcd member
  /update-status         Register the new control-plane node into the ClusterStatus maintained in the kubeadm-config ConfigMap (DEPRECATED)
  /mark-control-plane    Mark a node as a control-plane

kubeadm join [api-server-endpoint] [flags]

选项

从父命令继承的选项

1.72 -

使用此命令来调用 join 工作流程的某个阶段

概要

使用此命令来调用 join 工作流程的某个阶段

选项

从父命令中继承的选项

1.73 -

添加作为控制平面实例的机器

概要

添加作为控制平面实例的机器

kubeadm join phase control-plane-join [flags]

示例

# 将机器作为控制平面实例加入
kubeadm join phase control-plane-join all

选项

从父命令中继承的选项

1.74 -

添加作为控制平面实例的机器

概要

添加作为控制平面实例的机器

kubeadm join phase control-plane-join all [flags]

选项

从父命令继承的选项

1.75 -

添加一个新的本地 etcd 成员

概要

添加新的本地 etcd 成员

kubeadm join phase control-plane-join etcd [flags]

选项

从父命令中继承的选项

1.76 -

将节点标记为控制平面节点

概要

将节点标记为控制平面节点

kubeadm join phase control-plane-join mark-control-plane [flags]

选项

从父命令中继承的选项

1.77 -

将新的控制平面节点注册到 kubeadm-config ConfigMap 维护的 ClusterStatus 中（已弃用）

概要

将新的控制平面节点注册到 kubeadm-config ConfigMap 维护的 ClusterStatus 中（已弃用）

kubeadm join phase control-plane-join update-status [flags]

选项

从父命令中继承的选项

1.78 -

准备为控制平面服务的机器

概要

准备为控制平面服务的机器

kubeadm join phase control-plane-prepare [flags]

示例

# 准备为控制平面服务的机器
kubeadm join phase control-plane-prepare all

选项

从父命令中继承的选项

1.79 -

准备为控制平面服务的机器

概要

准备为控制平面服务的机器

kubeadm join phase control-plane-prepare all [api-server-endpoint] [flags]

选项

从父命令继承的选项

1.80 -

为新的控制平面组件生成证书

概要

为新的控制平面组件生成证书

kubeadm join phase control-plane-prepare certs [api-server-endpoint] [flags]

选项

从父命令继承的选项

1.81 -

为新的控制平面组件生成清单

概要

为新的控制平面组件生成清单（manifest）

kubeadm join phase control-plane-prepare control-plane [flags]

选项

从父命令中继承的选项

1.82 -

[实验]从 kubeadm-certs Secret 下载控制平面节点之间共享的证书

概要

[实验]从 kubeadm-certs Secret 下载控制平面节点之间共享的证书

kubeadm join phase control-plane-prepare download-certs [api-server-endpoint] [flags]

选项

从父命令中继承的选项

1.83 -

为新的控制平面组件生成 kubeconfig

概要

为新的控制平面组件生成 kubeconfig

kubeadm join phase control-plane-prepare kubeconfig [api-server-endpoint] [flags]

选项

从父命令中继承的选项

1.84 -

配置 Kubelet、证书并（重新）启动 Kubelet

概要

生成一个包含 KubeletConfiguration 的文件和一个包含特定于节点的 kubelet 配置的环境文件，然后（重新）启动 kubelet。

kubeadm join phase kubelet-start [api-server-endpoint] [flags]

选项

从父命令继承的选项

1.85 -

运行 join 命令前检查

概要

运行 kubeadm join 命令添加节点前检查。

kubeadm join phase preflight [api-server-endpoint] [flags]

示例

# 使用配置文件运行 kubeadm join 命令添加节点前检查。
kubeadm join phase preflight --config kubeadm-config.yaml

选项

从父命令继承的选项

1.86 -

Kubeconfig 文件工具。

概要

kubeconfig 文件工具。

选项

从父命令继承的选项

1.87 -

为其他用户输出一个 kubeconfig 文件。

概要

为其他用户输出一个 kubeconfig 文件。

kubeadm alpha kubeconfig user [flags]

示例

# 使用名为 bar 的 kubeadm 配置文件为名为 foo 的另一用户输出 kubeconfig 文件
kubeadm kubeconfig user --client-name=foo --config=bar

选项

从父命令继承的选项

1.88 -

尽最大努力还原通过 'kubeadm init' 或者 'kubeadm join' 操作对主机所作的更改

概要

尽最大努力还原通过 'kubeadm init' 或者 'kubeadm join' 操作对主机所作的更改

"reset" 命令执行以下阶段：

preflight              Run reset pre-flight checks
update-cluster-status  Remove this node from the ClusterStatus object.
remove-etcd-member     Remove a local etcd member.
cleanup-node           Run cleanup node.

kubeadm reset [flags]

选项

从父命令继承的选项

1.89 -

使用此命令来调用 reset 工作流程的某个阶段

概要

使用此命令来调用 reset 工作流程的某个阶段

选项

从父命令继承的选项

1.90 -

执行 cleanup node（清理节点）操作。

概要

执行 cleanup node（清理节点）操作。

kubeadm reset phase cleanup-node [flags]

选项

从父命令继承的选项

1.91 -

运行重置启动前检查

概要

kubeadm reset（重置）前运行启动前检查。

kubeadm reset phase preflight [flags]

选项

从父命令继承的选项

1.92 -

删除本地 etcd 成员

概要

删除控制平面节点的本地 etcd 成员

kubeadm reset phase remove-etcd-member [flags]

选项

从父命令继承的选项

1.93 -

管理引导令牌

概要

此命令管理引导令牌（bootstrap token）。它是可选的，仅适用于高级用例。

简而言之，引导令牌（bootstrap token）用于在客户端和服务器之间建立双向信任。 当客户端（例如，即将加入集群的节点）需要时，可以使用引导令牌相信正在与之通信的服务器。 然后可以使用具有 “签名” 的引导令牌。

引导令牌还可以作为一种允许对 API 服务器进行短期身份验证的方法（令牌用作 API 服务器信任客户端的方式），例如用于执行 TLS 引导程序。

引导令牌准确来说是什么？

• 它是位于 kube-system 命名空间中类型为 “bootstrap.kubernetes.io/token” 的一个 Secret。
• 引导令牌的格式必须为 “[a-z0-9]{6}.[a-z0-9]{16}”，前一部分是公共令牌 ID，而后者是令牌秘钥，必须在任何情况下都保密！
• 必须将 Secret 的名称命名为 “bootstrap-token-(token-id)”。

你可以在此处阅读有关引导令牌（bootstrap token）的更多信息： /docs/admin/bootstrap-tokens/

kubeadm token [flags]

选项

从父命令继承的选项

1.94 -

在服务器上创建引导令牌

概要

这个命令将为你创建一个引导令牌。 你可以设置此令牌的用途，"有效时间" 和可选的人性化的描述。

这里的 [token] 是指将要生成的实际令牌。 该令牌应该是一个通过安全机制生成的随机令牌，形式为 "[a-z0-9]{6}.[a-z0-9]{16}"。 如果没有给出 [token]，kubeadm 将生成一个随机令牌。

kubeadm token create [token]

选项

从父命令继承的选项

1.95 -

删除服务器上的引导令牌

概要

这个命令将为你删除指定的引导令牌列表。

[token-value] 是要删除的 "[a-z0-9]{6}.[a-z0-9]{16}" 形式的完整令牌或者是 "[a-z0-9]{6}" 形式的令牌 ID。

kubeadm token delete [token-value] ...

选项

从父命令继承的选项

1.96 -

生成并打印一个引导令牌，但不要在服务器上创建它

概要

此命令将打印一个随机生成的可以被 "init" 和 "join" 命令使用的引导令牌。 您不必使用此命令来生成令牌。你可以自己设定，只要格式符合 "[a-z0-9]{6}.[a-z0-9]{16}"。这个命令提供是为了方便生成规定格式的令牌。 您也可以使用 "kubeadm init" 并且不指定令牌，该命令会生成一个令牌并打印出来。

kubeadm token generate [flags]

选项

从父命令继承的选项

1.97 -

列出服务器上的引导令牌

概要

此命令将为你列出所有的引导令牌。

kubeadm token list [flags]

选项

从父命令继承的选项

1.98 -

此命令能将集群平滑升级到新版本

概要

此命令能将集群平滑升级到新版本

kubeadm upgrade [flags]

选项

继承于父命令的选项

1.99 -

将 Kubernetes 集群升级到指定版本

概要

将 Kubernetes 集群升级到指定版本

kubeadm upgrade apply [version]

选项

从父命令继承的选项

1.100 -

显示哪些差异将被应用于现有的静态 pod 资源清单。参考: kubeadm upgrade apply --dry-run

概述

显示哪些差异将被应用于现有的静态 pod 资源清单。参考: kubeadm upgrade apply --dry-run

kubeadm upgrade diff [version] [flags]

选项

从父命令继承的选项

1.101 -

升级集群中某个节点的命令

概要

升级集群中某个节点的命令

"node" 命令执行以下阶段：

preflight       执行节点升级前检查
control-plane   如果存在的话，升级部署在该节点上的管理面实例
kubelet-config  更新该节点上的 kubelet 配置

kubeadm upgrade node [flags]

选项

从父命令继承的选项

1.102 -

使用此命令调用 node 工作流的某个阶段

概要

使用此命令调用 node 工作流的某个阶段

选项

从父命令继承的选项

1.103 -

升级部署在此节点上的控制平面实例，如果有的话

概要

升级部署在此节点上的控制平面实例，如果有的话

kubeadm upgrade node phase control-plane [flags]

选项

从父命令继承的选项

1.104 -

升级此节点的 kubelet 配置

概要

从集群中 ConfigMap kubelet-config 下载 kubelet 配置

kubeadm upgrade node phase kubelet-config [flags]

选项

从父命令继承的选项

1.105 -

执行升级节点的预检

概要

执行 kubeadm 升级节点的预检。

kubeadm upgrade node phase preflight [flags]

选项

继承于父命令的选项

1.106 -

概述

检查可升级到哪些版本，并验证你当前的集群是否可升级。 要跳过互联网检查，请传递可选的 [version] 参数

kubeadm upgrade plan [version] [flags]

选项

从父命令继承的选项

1.107 -

打印 kubeadm 的版本

概要

打印 kubeadm 的版本

kubeadm version [flags]

选项

从父命令继承的选项

1.108 -

此目录下的所有文件都是从其他仓库自动生成的。 不要人工编辑它们。 你必须在上游仓库中编辑它们

2 - kubeadm init

此命令初始化一个 Kubernetes 控制平面节点。

运行此命令以安装 Kubernetes 控制平面。

概要

运行此命令来搭建 Kubernetes 控制平面节点。

"init" 命令执行以下阶段：

preflight                    Run pre-flight checks
certs                        Certificate generation
  /ca                          Generate the self-signed Kubernetes CA to provision identities for other Kubernetes components
  /apiserver                   Generate the certificate for serving the Kubernetes API
  /apiserver-kubelet-client    Generate the certificate for the API server to connect to kubelet
  /front-proxy-ca              Generate the self-signed CA to provision identities for front proxy
  /front-proxy-client          Generate the certificate for the front proxy client
  /etcd-ca                     Generate the self-signed CA to provision identities for etcd
  /etcd-server                 Generate the certificate for serving etcd
  /etcd-peer                   Generate the certificate for etcd nodes to communicate with each other
  /etcd-healthcheck-client     Generate the certificate for liveness probes to healthcheck etcd
  /apiserver-etcd-client       Generate the certificate the apiserver uses to access etcd
  /sa                          Generate a private key for signing service account tokens along with its public key
kubeconfig                   Generate all kubeconfig files necessary to establish the control plane and the admin kubeconfig file
  /admin                       Generate a kubeconfig file for the admin to use and for kubeadm itself
  /kubelet                     Generate a kubeconfig file for the kubelet to use *only* for cluster bootstrapping purposes
  /controller-manager          Generate a kubeconfig file for the controller manager to use
  /scheduler                   Generate a kubeconfig file for the scheduler to use
kubelet-start                Write kubelet settings and (re)start the kubelet
control-plane                Generate all static Pod manifest files necessary to establish the control plane
  /apiserver                   Generates the kube-apiserver static Pod manifest
  /controller-manager          Generates the kube-controller-manager static Pod manifest
  /scheduler                   Generates the kube-scheduler static Pod manifest
etcd                         Generate static Pod manifest file for local etcd
  /local                       Generate the static Pod manifest file for a local, single-node local etcd instance
upload-config                Upload the kubeadm and kubelet configuration to a ConfigMap
  /kubeadm                     Upload the kubeadm ClusterConfiguration to a ConfigMap
  /kubelet                     Upload the kubelet component config to a ConfigMap
upload-certs                 Upload certificates to kubeadm-certs
mark-control-plane           Mark a node as a control-plane
bootstrap-token              Generates bootstrap tokens used to join a node to a cluster
kubelet-finalize             Updates settings relevant to the kubelet after TLS bootstrap
  /experimental-cert-rotation  Enable kubelet client certificate rotation
addon                        Install required addons for passing Conformance tests
  /coredns                     Install the CoreDNS addon to a Kubernetes cluster
  /kube-proxy                  Install the kube-proxy addon to a Kubernetes cluster

kubeadm init [flags]

选项

从父命令继承的选项

Init 命令的工作流程

kubeadm init 命令通过执行下列步骤来启动一个 Kubernetes 控制平面节点。

1. 在做出变更前运行一系列的预检项来验证系统状态。一些检查项目仅仅触发警告， 其它的则会被视为错误并且退出 kubeadm，除非问题得到解决或者用户指定了 --ignore-preflight-errors=<错误列表> 参数。

2. 生成一个自签名的 CA 证书来为集群中的每一个组件建立身份标识。 用户可以通过将其放入 --cert-dir 配置的证书目录中（默认为 /etc/kubernetes/pki） 来提供他们自己的 CA 证书以及/或者密钥。 APIServer 证书将为任何 --apiserver-cert-extra-sans 参数值提供附加的 SAN 条目，必要时将其小写。

3. 将 kubeconfig 文件写入 /etc/kubernetes/ 目录以便 kubelet、控制器管理器和调度器用来连接到 API 服务器，它们每一个都有自己的身份标识，同时生成一个名为 admin.conf 的独立的 kubeconfig 文件，用于管理操作。

4. 为 API 服务器、控制器管理器和调度器生成静态 Pod 的清单文件。假使没有提供一个外部的 etcd 服务的话，也会为 etcd 生成一份额外的静态 Pod 清单文件。

   静态 Pod 的清单文件被写入到 /etc/kubernetes/manifests 目录； kubelet 会监视这个目录以便在系统启动的时候创建 Pod。

   一旦控制平面的 Pod 都运行起来，kubeadm init 的工作流程就继续往下执行。

5. 对控制平面节点应用标签和污点标记以便不会在它上面运行其它的工作负载。

6. 生成令牌，将来其他节点可使用该令牌向控制平面注册自己。 如 kubeadm token 文档所述， 用户可以选择通过 --token 提供令牌。

7. 为了使得节点能够遵照启动引导令牌和 TLS 启动引导 这两份文档中描述的机制加入到集群中，kubeadm 会执行所有的必要配置：

   • 创建一个 ConfigMap 提供添加集群节点所需的信息，并为该 ConfigMap 设置相关的 RBAC 访问规则。

   • 允许启动引导令牌访问 CSR 签名 API。

   • 配置自动签发新的 CSR 请求。

   更多相关信息，请查看 kubeadm join。

8. 通过 API 服务器安装一个 DNS 服务器 (CoreDNS) 和 kube-proxy 附加组件。 在 Kubernetes 版本 1.11 和更高版本中，CoreDNS 是默认的 DNS 服务器。 请注意，尽管已部署 DNS 服务器，但直到安装 CNI 时才调度它。

   警告：

   从 v1.18 开始，在 kubeadm 中使用 kube-dns 的支持已被废弃，并已在 v1.21 版本中移除。

在 kubeadm 中使用 init 阶段

Kubeadm 允许你使用 kubeadm init phase 命令分阶段创建控制平面节点。

要查看阶段和子阶段的有序列表，可以调用 kubeadm init --help。 该列表将位于帮助屏幕的顶部，每个阶段旁边都有一个描述。 注意，通过调用 kubeadm init，所有阶段和子阶段都将按照此确切顺序执行。

某些阶段具有唯一的标志，因此，如果要查看可用选项的列表，请添加 --help，例如：

sudo kubeadm init phase control-plane controller-manager --help

你也可以使用 --help 查看特定父阶段的子阶段列表：

sudo kubeadm init phase control-plane --help

kubeadm init 还公开了一个名为 --skip-phases 的参数，该参数可用于跳过某些阶段。 参数接受阶段名称列表，并且这些名称可以从上面的有序列表中获取。

例如：

sudo kubeadm init phase control-plane all --config=configfile.yaml
sudo kubeadm init phase etcd local --config=configfile.yaml
# 你现在可以修改控制平面和 etcd 清单文件
sudo kubeadm init --skip-phases=control-plane,etcd --config=configfile.yaml

该示例将执行的操作是基于 configfile.yaml 中的配置在 /etc/kubernetes/manifests 中写入控制平面和 etcd 的清单文件。 这允许你修改文件，然后使用 --skip-phases 跳过这些阶段。 通过调用最后一个命令，你将使用自定义清单文件创建一个控制平面节点。

或者，你可以使用 InitConfiguration 下的 skipPhases 字段。

结合一份配置文件来使用 kubeadm init

通过一份配置文件而不是使用命令行参数来配置 kubeadm init 命令是可能的， 但是一些更加高级的功能只能够通过配置文件设定。 这份配置文件通过 --config 选项参数指定的， 它必须包含 ClusterConfiguration 结构，并可能包含更多由 ---\n 分隔的结构。 在某些情况下，可能不允许将 --config 与其他标志混合使用。

可以使用 kubeadm config print 命令打印出默认配置。

如果你的配置没有使用最新版本， 推荐使用 kubeadm config migrate 命令进行迁移。

关于配置的字段和用法的更多信息，你可以访问 API 参考页面。

使用 kubeadm init 时设置特性门控

Kubeadm 支持一组独有的特性门控，只能在 kubeadm init 创建集群期间使用。 这些特性可以控制集群的行为。特性门控会在毕业到 GA 后被移除。

你可以使用 --feature-gates 标志来为 kubeadm init 设置特性门控， 或者你可以在用 --config 传递配置文件时添加条目到 featureGates 字段中。

直接传递 Kubernetes 核心组件的特性门控给 kubeadm 是不支持的。 相反，可以通过使用 kubeadm API 的自定义组件来传递。

特性门控的列表：

特性门控的描述：

PublicKeysECDSA

可用于创建集群时使用 ECDSA 证书而不是默认 RSA 算法。 支持用 kubeadm certs renew 更新现有 ECDSA 证书， 但你不能在集群运行期间或升级期间切换 RSA 和 ECDSA 算法。

RootlessControlPlane

设置此标志来配置 kubeadm 所部署的控制平面组件中的静态 Pod 容器 kube-apiserver、kube-controller-manager、kube-scheduler 和 etcd 以非 root 用户身份运行。 如果未设置该标志，则这些组件以 root 身份运行。 你可以在升级到更新版本的 Kubernetes 之前更改此特性门控的值。

UnversionedKubeletConfigMap

此标志控制 kubeadm 存储 kubelet 配置数据的 ConfigMap 的名称。 在未指定此标志或设置为 true 的情况下，此 ConfigMap 被命名为 kubelet-config。 如果将此标志设置为 false，则此 ConfigMap 的名称会包括 Kubernetes 的主要版本和次要版本（例如：kubelet-config-1.25）。 Kubeadm 会确保用于读写 ConfigMap 的 RBAC 规则适合你设置的值。 当 kubeadm 写入此 ConfigMap 时（在 kubeadm init 或 kubeadm upgrade apply 期间）， kubeadm 根据 UnversionedKubeletConfigMap 的设置值来执行操作。 当读取此 ConfigMap 时（在 kubeadm join、kubeadm reset、kubeadm upgrade ... 期间）， kubeadm 尝试首先使用无版本（后缀）的 ConfigMap 名称； 如果不成功，kubeadm 将回退到使用该 ConfigMap 的旧（带版本号的）名称。

添加 kube-proxy 参数

kubeadm 配置中有关 kube-proxy 的说明请查看：

• kube-proxy 参考

使用 kubeadm 启用 IPVS 模式的说明请查看：

• IPVS

向控制平面组件传递自定义的命令行参数

有关向控制平面组件传递命令行参数的说明请查看：

• 控制平面命令行参数

在没有互联网连接的情况下运行 kubeadm

要在没有互联网连接的情况下运行 kubeadm，你必须提前拉取所需的控制平面镜像。

你可以使用 kubeadm config images 子命令列出并拉取镜像：

kubeadm config images list
kubeadm config images pull

你可以通过 --config 把 kubeadm 配置文件 传递给上述命令来控制 kubernetesVersion 和 imageRepository 字段。

kubeadm 需要的所有默认 registry.k8s.io 镜像都支持多种硬件体系结构。

使用自定义的镜像

默认情况下，kubeadm 会从 registry.k8s.io 仓库拉取镜像。如果请求的 Kubernetes 版本是 CI 标签 （例如 ci/latest），则使用 gcr.io/k8s-staging-ci-images。

你可以通过使用带有配置文件的 kubeadm 来重写此操作。 允许的自定义功能有：

• 提供影响镜像版本的 kubernetesVersion。
• 使用其他的 imageRepository 来代替 registry.k8s.io。
• 为 etcd 或 CoreDNS 提供特定的 imageRepository 和 imageTag。

由于向后兼容的原因，使用 imageRepository 所指定的定制镜像库可能与默认的 registry.k8s.io 镜像路径不同。例如，某镜像的子路径可能是 registry.k8s.io/subpath/image， 但使用自定义仓库时默认为 my.customrepository.io/image。

确保将镜像推送到 kubeadm 可以使用的自定义仓库的路径中，你必须：

• 使用 kubeadm config images {list|pull} 从 registry.k8s.io 的默认路径中拉取镜像。
• 将镜像推送到 kubeadm config images list --config=config.yaml 的路径， 其中 config.yaml 包含自定义的 imageRepository 和/或用于 etcd 和 CoreDNS 的 imageTag。
• 将相同的 config.yaml 传递给 kubeadm init。

定制沙箱（pause）镜像

如果需要为这些组件设置定制的镜像， 你需要在你的容器运行时中完成一些配置。 参阅你的容器运行时的文档以了解如何改变此设置。 对于某些容器运行时而言， 你可以在容器运行时主题下找到一些建议。

将控制平面证书上传到集群

通过将参数 --upload-certs 添加到 kubeadm init，你可以将控制平面证书临时上传到集群中的 Secret。 请注意，此 Secret 将在 2 小时后自动过期。这些证书使用 32 字节密钥加密，可以使用 --certificate-key 指定该密钥。 通过将 --control-plane 和 --certificate-key 传递给 kubeadm join， 可以在添加其他控制平面节点时使用相同的密钥下载证书。

以下阶段命令可用于证书到期后重新上传证书：

kubeadm init phase upload-certs --upload-certs --certificate-key=SOME_VALUE --config=SOME_YAML_FILE

如果未将参数 --certificate-key 传递给 kubeadm init 和 kubeadm init phase upload-certs， 则会自动生成一个新密钥。

以下命令可用于按需生成新密钥：

kubeadm certs certificate-key

使用 kubeadm 管理证书

有关使用 kubeadm 进行证书管理的详细信息， 请参阅使用 kubeadm 进行证书管理。 该文档包括有关使用外部 CA、自定义证书和证书续订的信息。

管理 kubeadm 为 kubelet 提供的 systemd 配置文件

kubeadm 包自带了关于 systemd 如何运行 kubelet 的配置文件。 请注意 kubeadm 客户端命令行工具永远不会修改这份 systemd 配置文件。 这份 systemd 配置文件属于 kubeadm DEB/RPM 包。

有关更多信息，请阅读管理 systemd 的 kubeadm 内嵌文件。

结合 CRI 运行时使用 kubeadm

默认情况下，kubeadm 尝试检测你的容器运行环境。有关此检测的更多详细信息，请参见 kubeadm CRI 安装指南。

设置节点的名称

默认情况下，kubeadm 基于机器的主机地址分配一个节点名称。你可以使用 --node-name 参数覆盖此设置。 此标识将合适的 --hostname-override 值传递给 kubelet。

要注意，重载主机名可能会与云驱动发生冲突。

kubeadm 自动化

除了像文档 kubeadm 基础教程中所描述的那样， 将从 kubeadm init 取得的令牌复制到每个节点，你还可以并行地分发令牌以实现更简单的自动化。 要实现自动化，你必须知道控制平面节点启动后将拥有的 IP 地址，或使用 DNS 名称或负载均衡器的地址。

1. 生成一个令牌。这个令牌必须采用的格式为：<6 个字符的字符串>.<16 个字符的字符串>。 更加正式的说法是，它必须符合正则表达式：[a-z0-9]{6}\.[a-z0-9]{16}。

   kubeadm 可以为你生成一个令牌：

   kubeadm token generate
   

2. 使用这个令牌同时启动控制平面节点和工作节点。这些节点一旦运行起来应该就会互相寻找对方并且形成集群。 同样的 --token 参数可以同时用于 kubeadm init 和 kubeadm join 命令。

3. 当接入其他控制平面节点时，可以对 --certificate-key 执行类似的操作。可以使用以下方式生成密钥：

   kubeadm certs certificate-key
   

一旦集群启动起来，你就可以从控制平面节点的 /etc/kubernetes/admin.conf 文件获取管理凭证， 并使用这个凭证同集群通信。

注意这种搭建集群的方式在安全保证上会有一些宽松，因为这种方式不允许使用 --discovery-token-ca-cert-hash 来验证根 CA 的哈希值 （因为当配置节点的时候，它还没有被生成）。 更多信息请参阅 kubeadm join 文档。

接下来

• 进一步阅读了解 kubeadm init 阶段
• kubeadm join 启动一个 Kubernetes 工作节点并且将其加入到集群
• kubeadm upgrade 将 Kubernetes 集群升级到新版本
• kubeadm reset 恢复 kubeadm init 或 kubeadm join 命令对节点所作的变更

3 - kubeadm join

此命令用来初始化 Kubernetes 工作节点并将其加入集群。

在你希望加入现有集群的任何机器上运行它

摘要

当节点加入 kubeadm 初始化的集群时，我们需要建立双向信任。 这个过程可以分解为发现（让待加入节点信任 Kubernetes 控制平面节点）和 TLS 引导（让 Kubernetes 控制平面节点信任待加入节点）两个部分。

有两种主要的发现方案。 第一种方法是使用共享令牌和 API 服务器的 IP 地址。 第二种是以文件形式提供标准 kubeconfig 文件的一个子集。 发现/kubeconfig 文件支持令牌、client-go 鉴权插件（“exec”）、“tokenFile" 和 "authProvider"。该文件可以是本地文件，也可以通过 HTTPS URL 下载。 格式是 kubeadm join --discovery-token abcdef.1234567890abcdef 1.2.3.4:6443、 kubeadm join --discovery-file path/to/file.conf 或者 kubeadm join --discovery-file https://url/file.conf。 只能使用其中一种。 如果发现信息是从 URL 加载的，必须使用 HTTPS。 此外，在这种情况下，主机安装的 CA 包用于验证连接。

如果使用共享令牌进行发现，还应该传递 --discovery-token-ca-cert-hash 参数来验证 Kubernetes 控制平面节点提供的根证书颁发机构（CA）的公钥。 此参数的值指定为 "<hash-type>:<hex-encoded-value>"， 其中支持的哈希类型为 "sha256"。哈希是通过 Subject Public Key Info（SPKI）对象的字节计算的（如 RFC7469）。 这个值可以从 "kubeadm init" 的输出中获得，或者可以使用标准工具进行计算。 可以多次重复 --discovery-token-ca-cert-hash 参数以允许多个公钥。

如果无法提前知道 CA 公钥哈希，则可以通过 --discovery-token-unsafe-skip-ca-verification 参数禁用此验证。 这削弱了 kubeadm 安全模型，因为其他节点可能会模仿 Kubernetes 控制平面节点。

TLS 引导机制也通过共享令牌驱动。 这用于向 Kubernetes 控制平面节点进行临时的身份验证，以提交本地创建的密钥对的证书签名请求（CSR）。 默认情况下，kubeadm 将设置 Kubernetes 控制平面节点自动批准这些签名请求。 这个令牌通过 --tls-bootstrap-token abcdef.1234567890abcdef 参数传入。

通常两个部分会使用相同的令牌。 在这种情况下可以使用 --token 参数，而不是单独指定每个令牌。

"join [api-server-endpoint]" 命令执行下列阶段：

preflight              Run join pre-flight checks
control-plane-prepare  Prepare the machine for serving a control plane
  /download-certs        [EXPERIMENTAL] Download certificates shared among control-plane nodes from the kubeadm-certs Secret
  /certs                 Generate the certificates for the new control plane components
  /kubeconfig            Generate the kubeconfig for the new control plane components
  /control-plane         Generate the manifests for the new control plane components
kubelet-start          Write kubelet settings, certificates and (re)start the kubelet
control-plane-join     Join a machine as a control plane instance
  /etcd                  Add a new local etcd member
  /update-status         Register the new control-plane node into the ClusterStatus maintained in the kubeadm-config ConfigMap (DEPRECATED)
  /mark-control-plane    Mark a node as a control-plane

kubeadm join [api-server-endpoint] [flags]

选项

从父命令继承的选项

join 工作流

kubeadm join 初始化 Kubernetes 工作节点或控制平面节点并将其添加到集群中。 对于工作节点，该操作包括以下步骤：

1. kubeadm 从 API 服务器下载必要的集群信息。 默认情况下，它使用引导令牌和 CA 密钥哈希来验证数据的真实性。 也可以通过文件或 URL 直接发现根 CA。

2. 一旦知道集群信息，kubelet 就可以开始 TLS 引导过程。

   TLS 引导程序使用共享令牌与 Kubernetes API 服务器进行临时的身份验证，以提交证书签名请求 (CSR)； 默认情况下，控制平面自动对该 CSR 请求进行签名。

3. 最后，kubeadm 配置本地 kubelet 使用分配给节点的确定标识连接到 API 服务器。

对于控制平面节点，执行额外的步骤：

1. 从集群下载控制平面节点之间共享的证书（如果用户明确要求）。

2. 生成控制平面组件清单、证书和 kubeconfig。

3. 添加新的本地 etcd 成员。

使用 kubeadm 的 join phase 命令

Kubeadm 允许你使用 kubeadm join phase 分阶段将节点加入集群。

要查看阶段和子阶段的有序列表，可以调用 kubeadm join --help。 该列表将位于帮助屏幕的顶部，每个阶段旁边都有一个描述。 注意，通过调用 kubeadm join，所有阶段和子阶段都将按照此确切顺序执行。

有些阶段具有唯一的标志，因此，如果要查看可用选项列表，请添加 --help，例如：

kubeadm join phase kubelet-start --help

类似于 kubeadm init phase 命令， kubeadm join phase 允许你使用 --skip-phases 标志跳过阶段列表。

例如：

sudo kubeadm join --skip-phases=preflight --config=config.yaml

或者，你可以使用 JoinConfiguration 中的 skipPhases 字段。

发现要信任的集群 CA

Kubeadm 的发现有几个选项，每个选项都有安全性上的优缺点。 适合你的环境的正确方法取决于节点是如何准备的以及你对网络的安全性期望 和节点的生命周期特点。

带 CA 锁定模式的基于令牌的发现

这是 kubeadm 的默认模式。 在这种模式下，kubeadm 下载集群配置（包括根 CA）并使用令牌验证它， 并且会验证根 CA 的公钥与所提供的哈希是否匹配， 以及 API 服务器证书在根 CA 下是否有效。

CA 键哈希格式为 sha256:<hex_encoded_hash>。 默认情况下，在 kubeadm init 最后打印的 kubeadm join 命令 或者 kubeadm token create --print-join-command 的输出信息中返回哈希值。 它使用标准格式（请参考 RFC7469） 并且也能通过第三方工具或者制备系统进行计算。 例如，使用 OpenSSL CLI：

openssl x509 -pubkey -in /etc/kubernetes/pki/ca.crt | openssl rsa -pubin -outform der 2>/dev/null | openssl dgst -sha256 -hex | sed 's/^.* //'

kubeadm join 命令示例

对于工作节点：

kubeadm join --discovery-token abcdef.1234567890abcdef --discovery-token-ca-cert-hash sha256:1234..cdef 1.2.3.4:6443

对于控制面节点：

kubeadm join --discovery-token abcdef.1234567890abcdef --discovery-token-ca-cert-hash sha256:1234..cdef --control-plane 1.2.3.4:6443

如果使用 --upload-certs 调用 kubeadm init 命令， 你也可以对控制平面节点调用带 --certificate-key 参数的 join 命令， 将证书复制到该节点。

优势：

• 允许引导节点安全地发现控制平面节点的信任根，即使其他工作节点或网络受到损害。

• 方便手动执行，因为所需的所有信息都可放到一个 kubeadm join 命令中。

劣势：

• CA 哈希通常在控制平面节点被提供之前是不知道的，这使得构建使用 kubeadm 的自动化配置工具更加困难。 通过预先生成 CA，你可以解除这个限制。

无 CA 锁定模式的基于令牌的发现

此模式仅依靠对称令牌来签署 (HMAC-SHA256) 为控制平面建立信任根的发现信息。 要使用该模式，加入节点必须使用 --discovery-token-unsafe-skip-ca-verification 跳过 CA 公钥的哈希验证。 如果可以，你应该考虑使用其他模式。

kubeadm join 命令示例

kubeadm join --token abcdef.1234567890abcdef --discovery-token-unsafe-skip-ca-verification 1.2.3.4:6443

优势

• 仍然可以防止许多网络级攻击。

• 可以提前生成令牌并与控制平面节点和工作节点共享，这样控制平面节点和工作节点就可以并行引导而无需协调。 这允许它在许多配置场景中使用。

劣势

• 如果攻击者能够通过某些漏洞窃取引导令牌，那么他们可以使用该令牌（连同网络级访问） 为其它处于引导过程中的节点提供假冒的控制平面节点。 在你的环境中，这可能是一个适当的折衷方法，也可能不是。

基于 HTTPS 或文件发现

这种方案提供了一种带外方式在控制平面节点和引导节点之间建立信任根。 如果使用 kubeadm 构建自动配置，请考虑使用此模式。 发现文件的格式为常规的 Kubernetes kubeconfig 文件。

如果发现文件不包含凭据，则将使用 TLS 发现令牌。

kubeadm join 命令示例：

• kubeadm join --discovery-file path/to/file.conf（本地文件）

• kubeadm join --discovery-file https://url/file.conf（远程 HTTPS URL）

优势：

• 允许引导节点安全地发现控制平面节点的信任根，即使网络或其他工作节点受到损害。

劣势：

• 要求你有某种方法将发现信息从控制平面节点传送到引导节点。 如果发现文件包含凭据，你必须对其保密并通过安全通道进行传输。 这可能通过你的云提供商或供应工具来实现。

确保你的安装更加安全

Kubeadm 的默认值可能不适用于所有人。 本节说明如何以牺牲可用性为代价来加强 kubeadm 安装。

关闭节点客户端证书的自动批准

默认情况下，Kubernetes 启用了 CSR 自动批准器，如果在身份验证时使用启动引导令牌， 它会批准对 kubelet 的任何客户端证书的请求。 如果不希望集群自动批准kubelet客户端证书，可以通过执行以下命令关闭它：

kubectl delete clusterrolebinding kubeadm:node-autoapprove-bootstrap

关闭后，kubeadm join 操作将会被阻塞，直到管理员已经手动批准了在途中的 CSR 才会继续：

1. 使用 kubectl get csr，你可以看到原来的 CSR 处于 Pending 状态。

   kubectl get csr
   

   输出类似于：

   NAME                                                   AGE       REQUESTOR                 CONDITION
   node-csr-c69HXe7aYcqkS1bKmH4faEnHAWxn6i2bHZ2mD04jZyQ   18s       system:bootstrap:878f07   Pending
   

2. kubectl certificate approve 允许管理员批准 CSR。 此操作告知证书签名控制器向请求者颁发一个证书，该证书具有 CSR 中所请求的那些属性。

   kubectl certificate approve node-csr-c69HXe7aYcqkS1bKmH4faEnHAWxn6i2bHZ2mD04jZyQ
   

   输出类似于：

   certificatesigningrequest "node-csr-c69HXe7aYcqkS1bKmH4faEnHAWxn6i2bHZ2mD04jZyQ" approved
   

3. 这会将 CRS 资源更改为 Active 状态。

   kubectl get csr
   

   输出类似于：

   NAME                                                   AGE       REQUESTOR                 CONDITION
   node-csr-c69HXe7aYcqkS1bKmH4faEnHAWxn6i2bHZ2mD04jZyQ   1m        system:bootstrap:878f07   Approved,Issued
   

这迫使工作流只有在运行了 kubectl certificate approve 后，kubeadm join 才能成功。

关闭对 cluster-info ConfigMap 的公开访问

为了实现使用令牌作为唯一验证信息的加入工作流，默认情况下会公开带有验证控制平面节点标识所需数据的 ConfigMap。 虽然此 ConfigMap 中没有私有数据，但一些用户可能希望无论如何都关闭它。 这样做需要禁用 kubeadm join 工作流的 --discovery-token 参数。 以下是实现步骤：

• 从 API 服务器获取 cluster-info 文件：

kubectl -n kube-public get cm cluster-info -o yaml | grep "kubeconfig:" -A11 | grep "apiVersion" -A10 | sed "s/    //" | tee cluster-info.yaml

输出类似于：

apiVersion: v1
kind: Config
clusters:
- cluster:
    certificate-authority-data: <ca-cert>
    server: https://<ip>:<port>
  name: ""
contexts: []
current-context: ""
preferences: {}
users: []

• 使用 cluster-info.yaml 文件作为 kubeadm join --discovery-file 参数。

• 关闭 cluster-info ConfigMap 的公开访问：

  kubectl -n kube-public delete rolebinding kubeadm:bootstrap-signer-clusterinfo
  

这些命令应该在执行 kubeadm init 之后、在 kubeadm join 之前执行。

使用带有配置文件的 kubeadm join

可以用配置文件替代命令行参数的方法配置 kubeadm join，一些进阶功能也只有在使用配置文件时才可选用。 该文件通过 --config 参数来传递，并且文件中必须包含 JoinConfiguration 结构。 在某些情况下，不允许将 --config 与其他标志混合使用。

使用 kubeadm config print 命令可以打印默认配置。

如果你的配置没有使用最新版本， 推荐使用 kubeadm config migrate 命令转换。

有关配置的字段和用法的更多信息，你可以导航到我们的 API 参考页。

接下来

• kubeadm init 初始化 Kubernetes 控制平面节点。
• kubeadm token 管理 kubeadm join 的令牌。
• kubeadm reset 将 kubeadm init 或 kubeadm join 对主机的更改恢复到之前状态。

4 - kubeadm upgrade

kubeadm upgrade 是一个对用户友好的命令，它将复杂的升级逻辑包装在一个命令后面，支持升级的规划和实际执行。

kubeadm upgrade 指南

本文档概述 使用 kubeadm 执行升级的步骤。 与 kubeadm 旧版本相关的文档，请参阅 Kubernetes 网站的旧版文档。

你可以使用 kubeadm upgrade diff 来查看将应用于静态 Pod 清单的更改。

在 Kubernetes v1.15.0 和更高版本中，kubeadm upgrade apply 和 kubeadm upgrade node 也将自动续订该节点上的 kubeadm 托管证书，包括存储在 kubeconfig 文件中的证书。 要选择退出，可以传递参数 --certificate-renewal=false。 有关证书续订的更多详细信息请参见证书管理文档。

kubeadm upgrade plan

概述

检查可升级到哪些版本，并验证你当前的集群是否可升级。 要跳过互联网检查，请传递可选的 [version] 参数

kubeadm upgrade plan [version] [flags]

选项

从父命令继承的选项

kubeadm upgrade apply

将 Kubernetes 集群升级到指定版本

概要

将 Kubernetes 集群升级到指定版本

kubeadm upgrade apply [version]

选项

从父命令继承的选项

kubeadm upgrade diff

显示哪些差异将被应用于现有的静态 pod 资源清单。参考: kubeadm upgrade apply --dry-run

概述

显示哪些差异将被应用于现有的静态 pod 资源清单。参考: kubeadm upgrade apply --dry-run

kubeadm upgrade diff [version] [flags]

选项

从父命令继承的选项

kubeadm upgrade node

升级集群中某个节点的命令

概要

升级集群中某个节点的命令

"node" 命令执行以下阶段：

preflight       执行节点升级前检查
control-plane   如果存在的话，升级部署在该节点上的管理面实例
kubelet-config  更新该节点上的 kubelet 配置

kubeadm upgrade node [flags]

选项

从父命令继承的选项

接下来

• 如果你使用 kubeadm v1.7.x 或更低版本初始化集群，则可以参考 kubeadm 配置 配置集群用于 kubeadm upgrade。

5 - kubeadm config

在 kubeadm init 执行期间，kubeadm 将 ClusterConfiguration 对象上传 到你的集群的 kube-system 名字空间下名为 kubeadm-config 的 ConfigMap 对象中。 然后在 kubeadm join、kubeadm reset 和 kubeadm upgrade 执行期间读取此配置。

你可以使用 kubeadm config print 命令打印默认静态配置， kubeadm 运行 kubeadm init and kubeadm join 时将使用此配置。

更多有关 init 和 join 的信息请浏览使用带配置文件的 kubeadm init 或使用带配置文件的 kubeadm join。

有关使用 kubeadm 的配置 API 的更多信息， 请浏览使用 kubeadm API 来自定义组件。

你可以使用 kubeadm config migrate 来转换旧配置文件， 把其中已弃用的 API 版本更新为受支持的 API 版本。

kubeadm config images list 和 kubeadm config images pull 可以用来列出和拉取 kubeadm 所需的镜像。

kubeadm config print

打印配置

概要

此命令打印子命令所提供的配置信息。 相关细节可参阅: https://pkg.go.dev/k8s.io/kubernetes/cmd/kubeadm/app/apis/kubeadm#section-directories

kubeadm config print [flags]

选项

从父命令继承而来的选项

kubeadm config print init-defaults

打印用于 'kubeadm init' 的默认 init 配置

概要

此命令打印对象，例如用于 'kubeadm init' 的默认 init 配置对象。

请注意，Bootstrap Token 字段之类的敏感值已替换为 "abcdef.0123456789abcdef" 之类的占位符值以通过验证，但不执行创建令牌的实际计算。

kubeadm config print init-defaults [flags]

选项

从父命令继承的选项