update dashboard 1.8.3

551685830 · Mar 7, 2018 · 117448d · 117448d
1 parent 83285d0
commit 117448d
Show file tree

Hide file tree

Showing 5 changed files with 153 additions and 143 deletions.
diff --git a/docs/guide/dashboard-1.8.2.md → docs/guide/dashboard.1.6.3.md b/docs/guide/dashboard-1.8.2.md → docs/guide/dashboard.1.6.3.md
@@ -1,65 +1,54 @@
 ## dashboard
 
-本文档基于 dashboard 1.8.2版本，k8s版本 1.9.x。
+本文档基于 dashboard 1.6.3版本，目前 dashboard 已出 1.8.x版本，在安全控制方面已有很大改进，升级[dashboard 1.8.x](dashboard.md)。
 
-### 部署
-
-如果之前已按照本项目部署dashboard1.6.3，先删除旧版本：`kubectl delete -f /etc/ansible/manifests/dashboard/`
++ 注意：实际测试k8s版本<=1.9.1支持dashboard 1.6.3, 建议k8s 1.9.x使用[dashboard 1.8.x](dashboard.md)
 
-1.8.2配置文件参考[官方文档](https://raw.githubusercontent.com/kubernetes/dashboard/master/src/deploy/recommended/kubernetes-dashboard.yaml)
+### 部署
 
-+ 增加了通过`api-server`方式访问dashboard
-+ 增加了`NodePort`方式暴露服务，这样集群外部可以使用 `https://NodeIP:NodePort` (注意是https不是http，区别于1.6.3版本) 直接访问 dashboard，生产环境建议关闭该访问途径。
+配置文件参考 `https://github.com/kubernetes/kubernetes` 项目目录 `kubernetes/cluster/addons/dashboard`
 
 安装部署
 
 ``` bash
 # 部署dashboard 主yaml配置文件
-$ kubectl create -f /etc/ansible/manifests/dashboard/1.8.2/kubernetes-dashboard.yaml
+$ kubectl create -f /etc/ansible/manifests/dashboard/1.6.3/kubernetes-dashboard.yaml
 # 部署基本密码认证配置[可选]，密码文件位于 /etc/kubernetes/ssl/basic-auth.csv
 $ kubectl create -f /etc/ansible/manifests/dashboard/ui-admin-rbac.yaml
 $ kubectl create -f /etc/ansible/manifests/dashboard/ui-read-rbac.yaml
 ```
 
+请在另外窗口打开 [kubernetes-dashboard.yaml](../../manifests/dashboard/1.6.3/kubernetes-dashboard.yaml)
+
++ 由于 kube-apiserver 启用了 RBAC授权，dashboard使用的 ServiceAccount `kubernetes-dashboard` 必须有相应的权限去访问apiserver(在新版本1.8.0中，该访问权限已按最小化方式授权)，在1.6.3 版本，先粗放一点，把`kubernetes-dashboard` 与 集群角色 `cluster-admin` 绑定，这样dashboard就拥有了所有访问apiserver的权限。
++ 开发测试环境为了方便配置dashboard-service时候，指定了 `NodePort`方式暴露服务，这样集群外部可以使用 `http://NodeIP:NodePort` 方式直接访问 dashboard，生产环境建议关闭该访问途径。
+
 ### 验证
 
 ``` bash
 # 查看pod 运行状态
 kubectl get pod -n kube-system | grep dashboard
-kubernetes-dashboard-7c74685c48-9qdpn   1/1       Running   0          22s
+kubernetes-dashboard-86bd8778bf-w4974      1/1       Running   0          12h
 # 查看dashboard service
 kubectl get svc -n kube-system|grep dashboard
-kubernetes-dashboard   NodePort    10.68.219.38   <none>        443:24108/TCP                   53s
+kubernetes-dashboard   NodePort    10.68.7.67      <none>        80:5452/TCP	12h
 # 查看集群服务
 kubectl cluster-info|grep dashboard
-kubernetes-dashboard is running at https://192.168.1.1:6443/api/v1/namespaces/kube-system/services/https:kubernetes-dashboard:/proxy
+kubernetes-dashboard is running at https://192.168.1.10:6443/api/v1/namespaces/kube-system/services/kubernetes-dashboard/proxy
 # 查看pod 运行日志，关注有没有错误
-kubectl logs kubernetes-dashboard-7c74685c48-9qdpn -n kube-system
+kubectl logs kubernetes-dashboard-86bd8778bf-w4974 -n kube-system
 ```
 
 ### 访问
 
-因为dashboard 作为k8s 原生UI，能够展示各种资源信息，甚至可以有修改、增加、删除权限，所以有必要对访问进行认证和控制，本项目部署的集群有以下安全设置：详见 [apiserver配置模板](../../roles/kube-master/templates/kube-apiserver.service.j2)
+因为dashboard 作为k8s 原生UI，能够展示各种资源信息，甚至可以有修改、增加、删除权限，所以有必要对访问进行认证和控制，本项目预置部署的集群有以下安全设置：详见 [apiserver配置模板](../../roles/kube-master/templates/kube-apiserver.service.j2)
 
 + 启用 `TLS认证` `RBAC授权`等安全特性
 + 关闭 apiserver非安全端口8080的外部访问`--insecure-bind-address=127.0.0.1`
 + 关闭匿名认证`--anonymous-auth=false`
 + 补充启用基本密码认证 `--basic-auth-file=/etc/kubernetes/ssl/basic-auth.csv`，[密码文件模板](../../roles/kube-master/templates/basic-auth.csv.j2)中按照每行(密码,用户名,序号)的格式，可以定义多个用户
 
-新版本dashboard登陆可以分为两步，类似流行的双因子登陆系统：
-
-+ 第一步通过api-server本身安全认证流程，与之前1.6.3版本相同
-+ 第二步通过dashboard自带的登陆流程，使用`Kubeconfig` `Token`等方式登陆
-
-#### 1. 临时访问：使用 `https://NodeIP:NodePort` 方式直接访问 dashboard，生产环境建议关闭该途径
-打开页面出现dashboard 新版本自带的登陆页面，我们选择“令牌(Token)”方式登陆，关于令牌的获取[参考](https://github.com/kubernetes/dashboard/wiki/Creating-sample-user)
-
-``` bash
-# 创建Service Account 和 ClusterRoleBinding
-$ kubectl create -f /etc/ansible/manifests/dashboard/1.8.2/admin-user-sa-rbac.yaml
-# 获取 Bearer Token，找到输出中 ‘token:’ 开头那一行
-$ kubectl -n kube-system describe secret $(kubectl -n kube-system get secret | grep admin-user | awk '{print $1}')
-```
+#### 1. 临时访问：使用 `http://NodeIP:NodePort` 方式直接访问 dashboard，生产环境建议关闭该途径
 
 #### 2. 用户+密码访问：安全性比证书方式差点，务必保管好密码文件`basic-auth.csv`
 
@@ -131,17 +120,14 @@ subjects:
 ```
 - 2.3 访问 `https://x.x.x.x:6443/api/v1/namespaces/kube-system/services/kubernetes-dashboard/proxy` 使用 admin登陆拥有所有权限，比如删除某个部署；使用 readonly登陆只有查看权限，尝试删除某个部署会提示错误 `forbidden: User \"readonly\" cannot delete services/proxy in the namespace \"kube-system\"`
 
-- dashboard自带的登陆流程同上
-
 #### 3. 证书访问：最安全的方式，配置较复杂
 - 使用集群CA 生成客户端证书，可以根据需要生成权限不同的证书，这里为了演示直接使用 kubectl使用的证书和key(在03.kubectl.yml阶段生成)，该证书拥有所有权限
 - 指定格式导出该证书，进入`/etc/kubernetes/ssl`目录，使用命令`openssl pkcs12 -export -in admin.pem -inkey admin-key.pem -out kube-admin.p12` 提示输入证书密码和确认密码，可以用密码再增加一层保护，也可以直接回车跳过，完成后目录下多了 `kube-admin.p12`文件，将它分发给授权的用户
 - 用户将 `kube-admin.p12` 双击导入证书即可，`IE` 和`Chrome` 中输入`https://x.x.x.x:6443/api/v1/namespaces/kube-system/services/kubernetes-dashboard/proxy` 或者 `https://x.x.x.x:6443/ui` 即可访问。补充：最新firefox需要在浏览器中单独导入 [选项] - [隐私与安全] - [证书/查看证书] - [您的证书] 页面点击 [导入] 该证书
-- dashboard自带的登陆流程同上
 
 ### 小结
 
-+ dashboard 访问控制实现较复杂，文档中给出的例子也有助于你理解 RBAC的灵活控制能力，当然最好去[官方文档](https://kubernetes.io/docs/admin/authorization/rbac/)学习一下，这块篇幅不长
++ dashboard 版本 1.6.3 访问控制实现较复杂，文档中给出的例子也有助于你理解 RBAC的灵活控制能力，当然最好去[官方文档](https://kubernetes.io/docs/admin/authorization/rbac/)学习一下，这块篇幅不长
 + 由于还未部署 Heapster 插件，当前 dashboard 不能展示 Pod、Nodes 的 CPU、内存等 metric 图形，后续部署 heapster后自然能够看到
 + 本文中的权限设置仅供演示用，生产环境请在此基础上修改成适合你安全需求的方式
 

diff --git a/docs/guide/dashboard.md b/docs/guide/dashboard.md
@@ -1,44 +1,65 @@
 ## dashboard
 
-本文档基于 dashboard 1.6.3版本，目前 dashboard 已出 1.8.x版本，在安全控制方面已有很大改进，升级dashboard 1.8.2请看[这里](dashboard-1.8.2.md)。
+本文档基于 dashboard 1.8.3版本，k8s版本 1.9.x。旧版文档[dashboard-1.6.3](dashboard.1.6.3.md)
 
 ### 部署
 
-配置文件参考 `https://github.com/kubernetes/kubernetes` 项目目录 `kubernetes/cluster/addons/dashboard`
+如果之前已按照本项目部署dashboard1.6.3，先删除旧版本：`kubectl delete -f /etc/ansible/manifests/dashboard/1.6.3/`
 
-安装很简单 `kubectl create -f manifests/dashboard/`，主要讲解一些注意事项
+1.8.3配置文件参考[官方文档](https://raw.githubusercontent.com/kubernetes/dashboard/master/src/deploy/recommended/kubernetes-dashboard.yaml)
 
-请在另外窗口打开 [kubernetes-dashboard.yaml](../../manifests/dashboard/kubernetes-dashboard.yaml)
++ 增加了通过`api-server`方式访问dashboard
++ 增加了`NodePort`方式暴露服务，这样集群外部可以使用 `https://NodeIP:NodePort` (注意是https不是http，区别于1.6.3版本) 直接访问 dashboard，生产环境建议关闭该访问途径。
 
-+ 由于 kube-apiserver 启用了 RBAC授权，dashboard使用的 ServiceAccount `kubernetes-dashboard` 必须有相应的权限去访问apiserver(在新版本1.8.0中，该访问权限已按最小化方式授权)，在1.6.3 版本，先粗放一点，把`kubernetes-dashboard` 与 集群角色 `cluster-admin` 绑定，这样dashboard就拥有了所有访问apiserver的权限。
-+ 开发测试环境为了方便配置dashboard-service时候，指定了 `NodePort`方式暴露服务，这样集群外部可以使用 `http://NodeIP:NodePort` 方式直接访问 dashboard，生产环境建议关闭该访问途径。
+安装部署
+
+``` bash
+# 部署dashboard 主yaml配置文件
+$ kubectl create -f /etc/ansible/manifests/dashboard/kubernetes-dashboard.yaml
+# 部署基本密码认证配置[可选]，密码文件位于 /etc/kubernetes/ssl/basic-auth.csv
+$ kubectl create -f /etc/ansible/manifests/dashboard/ui-admin-rbac.yaml
+$ kubectl create -f /etc/ansible/manifests/dashboard/ui-read-rbac.yaml
+```
 
 ### 验证
 
 ``` bash
 # 查看pod 运行状态
 kubectl get pod -n kube-system | grep dashboard
-kubernetes-dashboard-86bd8778bf-w4974      1/1       Running   0          12h
+kubernetes-dashboard-7c74685c48-9qdpn   1/1       Running   0          22s
 # 查看dashboard service
 kubectl get svc -n kube-system|grep dashboard
-kubernetes-dashboard   NodePort    10.68.7.67      <none>        80:5452/TCP	12h
+kubernetes-dashboard   NodePort    10.68.219.38   <none>        443:24108/TCP                   53s
 # 查看集群服务
 kubectl cluster-info|grep dashboard
-kubernetes-dashboard is running at https://192.168.1.10:6443/api/v1/namespaces/kube-system/services/kubernetes-dashboard/proxy
+kubernetes-dashboard is running at https://192.168.1.1:6443/api/v1/namespaces/kube-system/services/https:kubernetes-dashboard:/proxy
 # 查看pod 运行日志，关注有没有错误
-kubectl logs kubernetes-dashboard-86bd8778bf-w4974 -n kube-system
+kubectl logs kubernetes-dashboard-7c74685c48-9qdpn -n kube-system
 ```
 
 ### 访问
 
-因为dashboard 作为k8s 原生UI，能够展示各种资源信息，甚至可以有修改、增加、删除权限，所以有必要对访问进行认证和控制，本项目预置部署的集群有以下安全设置：详见 [apiserver配置模板](../../roles/kube-master/templates/kube-apiserver.service.j2)
+因为dashboard 作为k8s 原生UI，能够展示各种资源信息，甚至可以有修改、增加、删除权限，所以有必要对访问进行认证和控制，本项目部署的集群有以下安全设置：详见 [apiserver配置模板](../../roles/kube-master/templates/kube-apiserver.service.j2)
 
 + 启用 `TLS认证` `RBAC授权`等安全特性
 + 关闭 apiserver非安全端口8080的外部访问`--insecure-bind-address=127.0.0.1`
 + 关闭匿名认证`--anonymous-auth=false`
 + 补充启用基本密码认证 `--basic-auth-file=/etc/kubernetes/ssl/basic-auth.csv`，[密码文件模板](../../roles/kube-master/templates/basic-auth.csv.j2)中按照每行(密码,用户名,序号)的格式，可以定义多个用户
 
-#### 1. 临时访问：使用 `http://NodeIP:NodePort` 方式直接访问 dashboard，生产环境建议关闭该途径
+新版本dashboard登陆可以分为两步，类似流行的双因子登陆系统：
+
++ 第一步通过api-server本身安全认证流程，与之前1.6.3版本相同
++ 第二步通过dashboard自带的登陆流程，使用`Kubeconfig` `Token`等方式登陆
+
+#### 1. 临时访问：使用 `https://NodeIP:NodePort` 方式直接访问 dashboard，生产环境建议关闭该途径
+打开页面出现dashboard 新版本自带的登陆页面，我们选择“令牌(Token)”方式登陆，关于令牌的获取[参考](https://github.com/kubernetes/dashboard/wiki/Creating-sample-user)
+
+``` bash
+# 创建Service Account 和 ClusterRoleBinding
+$ kubectl create -f /etc/ansible/manifests/dashboard/admin-user-sa-rbac.yaml
+# 获取 Bearer Token，找到输出中 ‘token:’ 开头那一行
+$ kubectl -n kube-system describe secret $(kubectl -n kube-system get secret | grep admin-user | awk '{print $1}')
+```
 
 #### 2. 用户+密码访问：安全性比证书方式差点，务必保管好密码文件`basic-auth.csv`
 
@@ -110,14 +131,17 @@ subjects:
 ```
 - 2.3 访问 `https://x.x.x.x:6443/api/v1/namespaces/kube-system/services/kubernetes-dashboard/proxy` 使用 admin登陆拥有所有权限，比如删除某个部署；使用 readonly登陆只有查看权限，尝试删除某个部署会提示错误 `forbidden: User \"readonly\" cannot delete services/proxy in the namespace \"kube-system\"`
 
+- dashboard自带的登陆流程同上
+
 #### 3. 证书访问：最安全的方式，配置较复杂
 - 使用集群CA 生成客户端证书，可以根据需要生成权限不同的证书，这里为了演示直接使用 kubectl使用的证书和key(在03.kubectl.yml阶段生成)，该证书拥有所有权限
 - 指定格式导出该证书，进入`/etc/kubernetes/ssl`目录，使用命令`openssl pkcs12 -export -in admin.pem -inkey admin-key.pem -out kube-admin.p12` 提示输入证书密码和确认密码，可以用密码再增加一层保护，也可以直接回车跳过，完成后目录下多了 `kube-admin.p12`文件，将它分发给授权的用户
 - 用户将 `kube-admin.p12` 双击导入证书即可，`IE` 和`Chrome` 中输入`https://x.x.x.x:6443/api/v1/namespaces/kube-system/services/kubernetes-dashboard/proxy` 或者 `https://x.x.x.x:6443/ui` 即可访问。补充：最新firefox需要在浏览器中单独导入 [选项] - [隐私与安全] - [证书/查看证书] - [您的证书] 页面点击 [导入] 该证书
+- dashboard自带的登陆流程同上
 
 ### 小结
 
-+ dashboard 版本 1.6.3 访问控制实现较复杂，文档中给出的例子也有助于你理解 RBAC的灵活控制能力，当然最好去[官方文档](https://kubernetes.io/docs/admin/authorization/rbac/)学习一下，这块篇幅不长
++ dashboard 访问控制实现较复杂，文档中给出的例子也有助于你理解 RBAC的灵活控制能力，当然最好去[官方文档](https://kubernetes.io/docs/admin/authorization/rbac/)学习一下，这块篇幅不长
 + 由于还未部署 Heapster 插件，当前 dashboard 不能展示 Pod、Nodes 的 CPU、内存等 metric 图形，后续部署 heapster后自然能够看到
 + 本文中的权限设置仅供演示用，生产环境请在此基础上修改成适合你安全需求的方式
 

diff --git a/...dashboard/1.8.2/kubernetes-dashboard.yaml → ...dashboard/1.6.3/kubernetes-dashboard.yaml b/...dashboard/1.8.2/kubernetes-dashboard.yaml → ...dashboard/1.6.3/kubernetes-dashboard.yaml
@@ -1,4 +1,4 @@
-# Copyright 2017 The Kubernetes Authors.
+# Copyright 2015 Google Inc. All Rights Reserved.
 #
 # Licensed under the Apache License, Version 2.0 (the "License");
 # you may not use this file except in compliance with the License.
@@ -13,87 +13,33 @@
 # limitations under the License.
 
 # Configuration to deploy release version of the Dashboard UI compatible with
-# Kubernetes 1.8.
+# Kubernetes 1.6 (RBAC enabled).
 #
 # Example usage: kubectl create -f <this_file>
 
-# ------------------- Dashboard Secret ------------------- #
-
-apiVersion: v1
-kind: Secret
-metadata:
-  labels:
-    k8s-app: kubernetes-dashboard
-  name: kubernetes-dashboard-certs
-  namespace: kube-system
-type: Opaque
-
----
-# ------------------- Dashboard Service Account ------------------- #
-
 apiVersion: v1
 kind: ServiceAccount
 metadata:
   labels:
     k8s-app: kubernetes-dashboard
   name: kubernetes-dashboard
   namespace: kube-system
-
----
-# ------------------- Dashboard Role & Role Binding ------------------- #
-
-kind: Role
-apiVersion: rbac.authorization.k8s.io/v1
-metadata:
-  name: kubernetes-dashboard-minimal
-  namespace: kube-system
-rules:
-  # Allow Dashboard to create 'kubernetes-dashboard-key-holder' secret.
-- apiGroups: [""]
-  resources: ["secrets"]
-  verbs: ["create"]
-  # Allow Dashboard to create 'kubernetes-dashboard-settings' config map.
-- apiGroups: [""]
-  resources: ["configmaps"]
-  verbs: ["create"]
-  # Allow Dashboard to get, update and delete Dashboard exclusive secrets.
-- apiGroups: [""]
-  resources: ["secrets"]
-  resourceNames: ["kubernetes-dashboard-key-holder", "kubernetes-dashboard-certs"]
-  verbs: ["get", "update", "delete"]
-  # Allow Dashboard to get and update 'kubernetes-dashboard-settings' config map.
-- apiGroups: [""]
-  resources: ["configmaps"]
-  resourceNames: ["kubernetes-dashboard-settings"]
-  verbs: ["get", "update"]
-  # Allow Dashboard to get metrics from heapster.
-- apiGroups: [""]
-  resources: ["services"]
-  resourceNames: ["heapster"]
-  verbs: ["proxy"]
-- apiGroups: [""]
-  resources: ["services/proxy"]
-  resourceNames: ["heapster", "http:heapster:", "https:heapster:"]
-  verbs: ["get"]
-
 ---
 apiVersion: rbac.authorization.k8s.io/v1
-kind: RoleBinding
+kind: ClusterRoleBinding
 metadata:
-  name: kubernetes-dashboard-minimal
-  namespace: kube-system
+  name: kubernetes-dashboard
+  labels:
+    k8s-app: kubernetes-dashboard
 roleRef:
   apiGroup: rbac.authorization.k8s.io
-  kind: Role
-  name: kubernetes-dashboard-minimal
+  kind: ClusterRole
+  name: cluster-admin
 subjects:
 - kind: ServiceAccount
   name: kubernetes-dashboard
   namespace: kube-system
-
 ---
-# ------------------- Dashboard Deployment ------------------- #
-
 kind: Deployment
 apiVersion: apps/v1
 metadata:
@@ -114,45 +60,28 @@ spec:
     spec:
       containers:
       - name: kubernetes-dashboard
-        #image: k8s.gcr.io/kubernetes-dashboard-amd64:v1.8.2
-        image: mirrorgooglecontainers/kubernetes-dashboard-amd64:v1.8.2
+        #image: gcr.io/google_containers/kubernetes-dashboard-amd64:v1.6.3
+        image: mirrorgooglecontainers/kubernetes-dashboard-amd64:v1.6.3
         ports:
-        - containerPort: 8443
+        - containerPort: 9090
           protocol: TCP
         args:
-          - --auto-generate-certificates
           # Uncomment the following line to manually specify Kubernetes API server Host
           # If not specified, Dashboard will attempt to auto discover the API server and connect
           # to it. Uncomment only if the default does not work.
           # - --apiserver-host=http://my-address:port
-        volumeMounts:
-        - name: kubernetes-dashboard-certs
-          mountPath: /certs
-          # Create on-disk volume to store exec logs
-        - mountPath: /tmp
-          name: tmp-volume
         livenessProbe:
           httpGet:
-            scheme: HTTPS
             path: /
-            port: 8443
+            port: 9090
           initialDelaySeconds: 30
           timeoutSeconds: 30
-      volumes:
-      - name: kubernetes-dashboard-certs
-        secret:
-          secretName: kubernetes-dashboard-certs
-      - name: tmp-volume
-        emptyDir: {}
       serviceAccountName: kubernetes-dashboard
       # Comment the following tolerations if Dashboard must not be deployed on master
       tolerations:
       - key: node-role.kubernetes.io/master
         effect: NoSchedule
-
 ---
-# ------------------- Dashboard Service ------------------- #
-
 kind: Service
 apiVersion: v1
 metadata:
@@ -164,8 +93,8 @@ metadata:
   namespace: kube-system
 spec:
   ports:
-    - port: 443
-      targetPort: 8443
+  - port: 80
+    targetPort: 9090
   selector:
     k8s-app: kubernetes-dashboard
   type: NodePort
diff --git a/...s/dashboard/1.8.2/admin-user-sa-rbac.yaml → manifests/dashboard/admin-user-sa-rbac.yaml b/...s/dashboard/1.8.2/admin-user-sa-rbac.yaml → manifests/dashboard/admin-user-sa-rbac.yaml