引言

在 Kubernetes（K8s）中，API Server（API 服务器）是其核心组件之一，扮演着集群管理的关键角色。本文将深入探讨 API Server 的架构设计、主要功能以及提供详细的示例，以帮助读者更好地理解和利用这一核心组件。

API Server 架构设计

组件关系

API Server 是 Kubernetes 控制平面的入口，负责处理来自客户端的请求，执行相应的操作。与其他核心组件（如 Etcd、Controller Manager、Scheduler）协同工作，形成整个 Kubernetes 集群的基础架构。

多层设计

API Server 采用多层架构设计，其中包括：

  • RESTful API 层： 提供基于 HTTP/HTTPS 的 RESTful API，定义了资源的操作方式和行为。
  • 认证授权层： 负责验证请求的合法性，并授予相应的权限。
  • Admission Control 层： 实施额外的访问控制策略，允许插入自定义的逻辑。
  • 业务逻辑层： 处理请求的具体业务逻辑，包括资源的创建、删除、更新等操作。

这种多层设计使得 API Server 具有较好的扩展性和灵活性，方便集成新的特性和功能。

API Server 主要功能

提供 RESTful API

API Server 提供了一套 RESTful API，定义了 Kubernetes 集群中的各类资源（Pod、Service、Deployment 等）以及对这些资源的操作。通过 API Server，用户和其他组件可以使用标准的 HTTP/HTTPS 请求进行集群管理。

认证与授权

API Server 实现了 Kubernetes 集群的身份验证（Authentication）和授权（Authorization）。身份验证确保请求的发起者是合法的用户或组件，而授权则决定该请求是否有足够的权限执行相应的操作。
示例：使用 kubectl 进行身份验证

1
2
3
kubectl config set-credentials myuser --client-certificate=mycert.crt --client-key=mykey.key
kubectl config set-context mycontext --cluster=mycluster --user=myuser
kubectl config use-context mycontext

Admission Control

Admission Control 是一个可插拔的组件，用于在请求进入 API Server 之前和之后执行一系列操作。这些操作包括验证、转换请求的资源对象等。开发者可以通过 Admission Control 自定义集群的行为，增强安全性和可操作性。
示例：禁止创建特定标签的 Pod

1
2
3
4
5
6
7
8
9
10
11
## 在 Admission Control 配置中添加 PodSecurityPolicy
apiVersion: v1
kind: Pod
metadata:
  name: mypod
  labels:
    forbidden-label: "true"
spec:
  containers:
  - name: mycontainer
    image: nginx:latest

业务逻辑处理

API Server 的业务逻辑层包含了对请求的具体处理逻辑，例如创建、删除、更新资源对象等。这一层通过调用不同的存储后端（通常是 Etcd）实现对集群状态的修改。
示例：使用 kubectl 创建一个 Deployment

1
kubectl create deployment my-deployment --image=nginx:latest

示例演示：使用 API Server 操作集群

创建一个命名空间

1
kubectl create namespace mynamespace

部署一个应用程序

1
kubectl create deployment mynginx --image=nginx:latest --namespace=mynamespace

查看 Pod 列表

1
kubectl get pods --namespace=mynamespace

删除应用程序

1
kubectl delete deployment mynginx --namespace=mynamespace

结论

API Server 作为 Kubernetes 控制平面的核心组件，承担着管理整个集群的任务。