五rancher-ha-Helm安装Rancher

Posted

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了五rancher-ha-Helm安装Rancher相关的知识，希望对你有一定的参考价值。

参考
https://www.cnrancher.com/docs/rancher/v2.x/cn/installation/ha-install/

1. 添加Chart仓库地址

使用helm repo add命令添加Rancher chart仓库地址,访问Rancher tag和Chart版本

替换<CHART_REPO>为您要使用的Helm仓库分支(即latest或stable）。

helm repo list
NAME    URL                                             
stable  https://kubernetes-charts.storage.googleapis.com
local   http://127.0.0.1:8879/charts

添加rancher的chart库：

helm repo add rancher-stable https://releases.rancher.com/server-charts/stable

查看helm的repo源

helm repo list
NAME            URL                                              
stable          https://kubernetes-charts.storage.googleapis.com 
local           http://127.0.0.1:8879/charts                     
rancher-stable  https://releases.rancher.com/server-charts/stable

2. 使用自签名或者权威SSL证书安装Rancher server

Rancher server设计默认需要开启SSL/TLS配置来保证安全，将ssl证书以Kubernetes Secret卷的形式传递给rancher server或Ingress Controller。首先创建证书密文，以便Rancher和Ingress Controller可以使用。由于是测试环境采用自签名ssl证书。

如果没有自签名ssl证书，可以参考自签名ssl证书，一键生成ssl证书；

一键生成ssl自签名证书脚本将自动生成tls.crt、tls.key、cacerts.pem三个文件，文件名称不能修改。如果使用您自己生成的自签名ssl证书，则需要将服务证书和CA中间证书链合并到tls.crt文件中,将私钥复制到或者重命名为tls.key文件，将CA证书复制到或者重命名为cacerts.pem。

使用脚本创建ca证书

详见rancher官网自签名ssl证书

我将官网脚本搬过来，方便操作，我只是个搬运工，能不动脑子就不动

#!/bin/bash -e

help ()

    echo  ‘ ================================================================ ‘
    echo  ‘ --ssl-domain: 生成ssl证书需要的主域名，如不指定则默认为localhost，如果是ip访问服务，则可忽略；‘
    echo  ‘ --ssl-trusted-ip: 一般ssl证书只信任域名的访问请求，有时候需要使用ip去访问server，那么需要给ssl证书添加扩展IP，多个IP用逗号隔开；‘
    echo  ‘ --ssl-trusted-domain: 如果想多个域名访问，则添加扩展域名（SSL_TRUSTED_DOMAIN）,多个扩展域名用逗号隔开；‘
    echo  ‘ --ssl-size: ssl加密位数，默认2048；‘
    echo  ‘ --ssl-date: ssl有效期，默认10年；‘
    echo  ‘ --ca-date: ca有效期，默认10年；‘
    echo  ‘ --ssl-cn: 国家代码(2个字母的代号),默认CN;‘
    echo  ‘ 使用示例:‘
    echo  ‘ ./create_self-signed-cert.sh --ssl-domain=www.test.com --ssl-trusted-domain=www.test2.com \ ‘
    echo  ‘ --ssl-trusted-ip=1.1.1.1,2.2.2.2,3.3.3.3 --ssl-size=2048 --ssl-date=3650‘
    echo  ‘ ================================================================‘


case "$1" in
    -h|--help) help; exit;;
esac

if [[ $1 == ‘‘ ]];then
    help;
    exit;
fi

CMDOPTS="$*"
for OPTS in $CMDOPTS;
do
    key=$(echo $OPTS | awk -F"=" ‘print $1‘ )
    value=$(echo $OPTS | awk -F"=" ‘print $2‘ )
    case "$key" in
        --ssl-domain) SSL_DOMAIN=$value ;;
        --ssl-trusted-ip) SSL_TRUSTED_IP=$value ;;
        --ssl-trusted-domain) SSL_TRUSTED_DOMAIN=$value ;;
        --ssl-size) SSL_SIZE=$value ;;
        --ssl-date) SSL_DATE=$value ;;
        --ca-date) CA_DATE=$value ;;
        --ssl-cn) CN=$value ;;
    esac
done

# CA相关配置
CA_DATE=$CA_DATE:-3650
CA_KEY=$CA_KEY:-cakey.pem
CA_CERT=$CA_CERT:-cacerts.pem
CA_DOMAIN=localhost

# ssl相关配置
SSL_CONFIG=$SSL_CONFIG:-$PWD/openssl.cnf
SSL_DOMAIN=$SSL_DOMAIN:-localhost
SSL_DATE=$SSL_DATE:-3650
SSL_SIZE=$SSL_SIZE:-2048

## 国家代码(2个字母的代号),默认CN;
CN=$CN:-CN

SSL_KEY=$SSL_DOMAIN.key
SSL_CSR=$SSL_DOMAIN.csr
SSL_CERT=$SSL_DOMAIN.crt

echo -e "\033[32m ---------------------------- \033[0m"
echo -e "\033[32m       | 生成 SSL Cert |       \033[0m"
echo -e "\033[32m ---------------------------- \033[0m"

if [[ -e ./$CA_KEY ]]; then
    echo -e "\033[32m ====> 1. 发现已存在CA私钥，备份"$CA_KEY"为"$CA_KEY"-bak，然后重新创建 \033[0m"
    mv $CA_KEY "$CA_KEY"-bak
    openssl genrsa -out $CA_KEY $SSL_SIZE
else
    echo -e "\033[32m ====> 1. 生成新的CA私钥 $CA_KEY \033[0m"
    openssl genrsa -out $CA_KEY $SSL_SIZE
fi

if [[ -e ./$CA_CERT ]]; then
    echo -e "\033[32m ====> 2. 发现已存在CA证书，先备份"$CA_CERT"为"$CA_CERT"-bak，然后重新创建 \033[0m"
    mv $CA_CERT "$CA_CERT"-bak
    openssl req -x509 -sha256 -new -nodes -key $CA_KEY -days $CA_DATE -out $CA_CERT -subj "/C=$CN/CN=$CA_DOMAIN"
else
    echo -e "\033[32m ====> 2. 生成新的CA证书 $CA_CERT \033[0m"
    openssl req -x509 -sha256 -new -nodes -key $CA_KEY -days $CA_DATE -out $CA_CERT -subj "/C=$CN/CN=$CA_DOMAIN"
fi

echo -e "\033[32m ====> 3. 生成Openssl配置文件 $SSL_CONFIG \033[0m"
cat > $SSL_CONFIG <<EOM
[req]
req_extensions = v3_req
distinguished_name = req_distinguished_name
[req_distinguished_name]
[ v3_req ]
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
extendedKeyUsage = clientAuth, serverAuth
EOM

if [[ -n $SSL_TRUSTED_IP || -n $SSL_TRUSTED_DOMAIN ]]; then
    cat >> $SSL_CONFIG <<EOM
subjectAltName = @alt_names
[alt_names]
EOM
    IFS=","
    dns=($SSL_TRUSTED_DOMAIN)
    dns+=($SSL_DOMAIN)
    for i in "$!dns[@]"; do
      echo DNS.$((i+1)) = $dns[$i] >> $SSL_CONFIG
    done

    if [[ -n $SSL_TRUSTED_IP ]]; then
        ip=($SSL_TRUSTED_IP)
        for i in "$!ip[@]"; do
          echo IP.$((i+1)) = $ip[$i] >> $SSL_CONFIG
        done
    fi
fi

echo -e "\033[32m ====> 4. 生成服务SSL KEY $SSL_KEY \033[0m"
openssl genrsa -out $SSL_KEY $SSL_SIZE

echo -e "\033[32m ====> 5. 生成服务SSL CSR $SSL_CSR \033[0m"
openssl req -sha256 -new -key $SSL_KEY -out $SSL_CSR -subj "/C=$CN/CN=$SSL_DOMAIN" -config $SSL_CONFIG

echo -e "\033[32m ====> 6. 生成服务SSL CERT $SSL_CERT \033[0m"
openssl x509 -sha256 -req -in $SSL_CSR -CA $CA_CERT     -CAkey $CA_KEY -CAcreateserial -out $SSL_CERT     -days $SSL_DATE -extensions v3_req     -extfile $SSL_CONFIG

echo -e "\033[32m ====> 7. 证书制作完成 \033[0m"
echo
echo -e "\033[32m ====> 8. 以YAML格式输出结果 \033[0m"
echo "----------------------------------------------------------"
echo "ca_key: |"
cat $CA_KEY | sed ‘s/^/  /‘
echo
echo "ca_cert: |"
cat $CA_CERT | sed ‘s/^/  /‘
echo
echo "ssl_key: |"
cat $SSL_KEY | sed ‘s/^/  /‘
echo
echo "ssl_csr: |"
cat $SSL_CSR | sed ‘s/^/  /‘
echo
echo "ssl_cert: |"
cat $SSL_CERT | sed ‘s/^/  /‘
echo

echo -e "\033[32m ====> 9. 附加CA证书到Cert文件 \033[0m"
cat $CA_CERT >> $SSL_CERT
echo "ssl_cert: |"
cat $SSL_CERT | sed ‘s/^/  /‘
echo

echo -e "\033[32m ====> 10. 重命名服务证书 \033[0m"
echo "cp $SSL_DOMAIN.key tls.key"
cp $SSL_DOMAIN.key tls.key
echo "cp $SSL_DOMAIN.crt tls.crt"
cp $SSL_DOMAIN.crt tls.crt

接下来创建ca证书

# 最好创建一个文件夹
mkdir cert.d
cd cert.d
# 脚本加上可执行权限
chmod +x create_self-signed-cert.sh
./create_self-signed-cert.sh --ssl-domain=rancher.test.io --ssl-trusted-ip=172.18.1.4,172.18.1.5,172.18.1.9

使用kubectl在命名空间cattle-system中创建tls-ca和tls-rancher-ingress两个secret;

注意:<br>
证书、私钥、ca名称必须是tls.crt、tls.key、cacerts.pem。

# 创建命名空间
kubectl create namespace cattle-system
# 服务证书和私钥密文
kubectl -n cattle-system create     secret tls tls-rancher-ingress     --cert=./tls.crt     --key=./tls.key
# ca证书密文
kubectl -n cattle-system create secret     generic tls-ca     --from-file=cacerts.pem

查看secret创建是否成功

kubectl -n cattle-system get secret
NAME                  TYPE                                  DATA   AGE
default-token-bwh4k   kubernetes.io/service-account-token   3      4m12s
tls-ca                Opaque                                1      111s
tls-rancher-ingress   kubernetes.io/tls                     2      2m49s

3. 安装rancher server

helm install rancher-stable/rancher     --name rancher     --namespace cattle-system     --set hostname=<您自己的域名>     --set ingress.tls.source=secret     --set privateCA=true

注意:<br>
证书对应的域名需要与hostname选项匹配，否则ingress将无法代理访问Rancher。

4. 配置rancher界面

安装完成后，在自己的hosts里面添加上ip rancher.test.com，在浏览器上访问https://rancher.test.com

配置域名，这边的域名要和之前的一致，直接保存即可
技术图片

设置登录密码

技术图片

至此高可用的rancher server就搭建好了！

以上是关于五rancher-ha-Helm安装Rancher的主要内容，如果未能解决你的问题，请参考以下文章

Rancher Server HA的高可用部署实验-学习笔记

61 k8s + rancher + karmada容器化部署

安装rancher集群

Rancher探秘二：安装Rancher

Rancher安装（新）

Rancher3----安装部署rancher