kuboard-env

2020-02-14 22:40:02 +08:00
parent 6787f31a62
commit b809c71b8d
11 changed files with 161 additions and 39 deletions
--- a/.vuepress/components/ad-list.js
+++ b/.vuepress/components/ad-list.js
@ -7,6 +7,13 @@ module.exports = [
    url: 'https://github.com/fanux/sealos',
    weight: 60
  },
+  {
+    name: 'Suven',
+    description: '趣丸网络科技 Suven 免费提供的视频课',
+    strong: '免费学习',
+    url: 'https://www.bilibili.com/video/av88798402',
+    weight: 50,
+  },
  // {
  //   name: '阳明的博客',
  //   description: 'Kubernetes，',
@ -23,14 +30,14 @@ module.exports = [
  //   url: 'https://time.geekbang.org/column/intro/100036601?code=0Totv3yN%2FohiumTclUF4ky4qRYs9Ecq6ZK4IdgNf88M%3D',
  //   weight: 1
  // },
-  // {
-  //   name: '腾讯云',
-  //   description: '腾讯云双十二活动，',
-  //   strong: '百款云产品一折起',
-  //   action: '去抢',
-  //   url: 'https://cloud.tencent.com/act/cps/redirect?redirect=1052&cps_key=2ee6baa049659f4713ddc55a51314372&from=console',
-  //   weight: 60
-  // },
+  {
+    name: '腾讯云',
+    description: '【腾讯云】云产品采购季，助力行业复工。',
+    strong: '1核2G云服务器，首年99元',
+    action: '去抢',
+    url: 'https://cloud.tencent.com/act/cps/redirect?redirect=1053&cps_key=2ee6baa049659f4713ddc55a51314372&from=console',
+    weight: 60
+  },
  // {
  //   name: '阿里云',
  //   description: '双十二，主会场，',
--- a/install/install-dashboard.md
+++ b/install/install-dashboard.md
@ -238,6 +238,8 @@ http://任意一个Worker节点的IP地址:32567/console/yournamespace/yourpod?c

 :tada: :tada: :tada:

+- 了解 [Kuboard 的环境变量](./install-kuboard-env.html)
+
 - 使用 Kuboard 工作负载编辑器 [创建第一个应用](/guide/example/busybox.html) （10分钟）

 - [使用 GitHub/GitLab 账号登录 Kubernetes](/learning/k8s-advanced/sec/authenticate/install.html)
--- a/install/install-k8s.md
+++ b/install/install-k8s.md
@ -41,9 +41,8 @@ meta:

 <div> -->

-[【腾讯云】12.12云产品限时秒杀，爆款1核2G云服务器，99元/1年](https://cloud.tencent.com/act/cps/redirect?redirect=1052&cps_key=2ee6baa049659f4713ddc55a51314372&from=console)
+[【腾讯云】云产品采购季，助力行业复工。1核2G云服务器，首年99元](https://cloud.tencent.com/act/cps/redirect?redirect=1053&cps_key=2ee6baa049659f4713ddc55a51314372&from=console)

-<!-- [腾讯云限时1折秒杀](https://cloud.tencent.com/act/cps/redirect?redirect=1044&cps_key=2ee6baa049659f4713ddc55a51314372&from=console) -->

 <!-- [阿里云，双十二主会场，低至一折](https://www.aliyun.com/1212/2019/home?userCode=obezo3pg) -->

--- a/install/install-kuboard-env.assets/image-20200214211230317.png
+++ b/install/install-kuboard-env.assets/image-20200214211230317.png
--- a/install/install-kuboard-env.assets/image-20200214211506647.png
+++ b/install/install-kuboard-env.assets/image-20200214211506647.png
--- a/install/install-kuboard-env.md
+++ b/install/install-kuboard-env.md
@ -0,0 +1,129 @@
+---
+vssueId: 126
+description: Kubernetes_Dashboard_是Kubernetes的官方WebUI_本文描述了在K8S集群上安装Kuberentes_Dashboard后_如何修改Kuboard登录页末尾的ICP备案编号_以及其他的一些Kuboard的环境变量
+meta:
+  - name: keywords
+    content: Kubernetes Dashboard,安装Kubernetes Dashboard,K8S Dashboard,K8S管理界面
+---
+
+# 安装Kubernetes Dashboard
+
+<AdSenseTitle/>
+
+## 环境变量
+
+安装 Kuboard 后，有如下几个环境变量值得您关注：
+
+| 环境变量名                | 描述                                    | 默认值        |
+| ------------------------- | --------------------------------------- | ------------- |
+| KUBERNETES_CLUSTER_DOMAIN | Kubernetes Cluster Name                 | cluster.local |
+| KUBOARD_ICP_DESCRIPTION   | 您的 ICP 备案号                         | 空            |
+| KUBOARD_SAFE_MODE         | 是否禁用监控套件的转发                  | 空            |
+| OIDC_ISSUER               | OpenID Connect 对应的 Identity Provider | 空            |
+
+## 修改Kuboard环境变量
+
+* 打开 Kuboard 界面，并导航到 Kuboard 工作负载编辑页：
+
+  kube-system 名称空间 --> Kuboard 工作负载 --> 编辑
+
+* 也可以按如下方式直接进入 Kuboard 工作负载编辑页：
+
+  打开链接 `http://节点IP:32567/namespace/kube-system/workload/edit/Deployment/kuboard`
+
+
+
+在 Kuboard 工作负载编辑页，为 `kuboard` 容器添加、修改环境变量，如下图，正在修改 `KUBOARD_ICP_DESCRIPTION` 的取值
+
+![image-20200214211230317](./install-kuboard-env.assets/image-20200214211230317.png)
+
+## KUBERNETES_CLUSTER_DOMAIN
+
+如果您通过 kubeadm 安装 Kubernetes 集群，执行命令
+``` sh
+kubeadm config view
+```
+
+可以查看到输出结果中的 `networking.dnsDomain` 字段，该字段通常取值为 `cluster.local`，如下所示：
+``` yaml {19}
+apiServer:
+  extraArgs:
+    authorization-mode: Node,RBAC
+  timeoutForControlPlane: 4m0s
+apiVersion: kubeadm.k8s.io/v1beta2
+certificatesDir: /etc/kubernetes/pki
+clusterName: kubernetes
+controlPlaneEndpoint: apiserver.demo:6443
+controllerManager: {}
+dns:
+  type: CoreDNS
+etcd:
+  local:
+    dataDir: /var/lib/etcd
+imageRepository: gcr.azk8s.cn/google-containers
+kind: ClusterConfiguration
+kubernetesVersion: v1.16.4
+networking:
+  dnsDomain: cluster.local
+  serviceSubnet: 10.96.0.0/12
+scheduler: {}
+```
+
+少数情况下，您安装集群时可能修改了这个字段的取值，此时，请确保您为 Kuboard 设置了 `KUBERNETES_CLUSTER_DOMAIN` 这个环境变量，并将其取值设置与 `networking.dnsDomain` 的取值相同。否则 Kuboard 的一部分功能将无法正常工作。
+
+## KUBOARD_ICP_DESCRIPTION
+
+自 Kuboard v1.0.6.3 开始，用户可以修改 Kuboard 登录页面页尾的 ICP 备案编号及URL。
+
+为 Kuboard 增加环境变量 `KUBOARD_ICP_DESCRIPTION`  取值为您的 ICP 备案号，例如 `京ICP备19008693号-2`，应用生效后，进入 Kuboard 登录界面，将在页尾显示您的 ICP 备案编号，如下图所示：
+
+![image-20200214211506647](./install-kuboard-env.assets/image-20200214211506647.png)
+
+::: tip 安全提示
+
+Kuboard 用于管理的 Kubernetes 集群上部署的各类资源，如果您想通过公有网络访问 Kuboard，请做好安全防护：
+
+* 建议您限制可以访问 Kuboard 的 IP 地址白名单；
+* 不要泄露 ServiceAccount 的 Token，如需要修改 ServiceAccount 的 Token，请参考 [为名称空间创建管理员用户](/learning/k8s-advanced/sec/kuboard.html) 中，关于在 ServiceAccount 界面上删除 Secret 的部分；
+* 请为 Kuboard 配置 https 证书，配置方式有：
+  * 在 `http://节点IP:32567/namespace/kube-system/workload/edit/Deployment/kuboard` 界面上互联网入口（Ingress）这一部分开启 https 即可配置；
+  * 如果您在 Kuboard 前面另外配置了反向代理，请在您自己的反向代理中配置 https 证书；
+* 请设置 [KUBOARD_SAFE_MODE](#KUBOARD_SAFE_MODE)
+
+:::
+
+
+
+## KUBOARD_SAFE_MODE
+
+在 Kuboard 早期版本中，为了尝试监控套件的功能，在 Kuboard 所使用的 nginx 中设置了比较宽泛的动态转发，具体配置如下所示：
+
+``` nginx.conf
+location ^~ /eip-monitor/ {
+    location ~ "^/eip-monitor/namespace/(.*)/service/(.*)/port/(.*)/(.*)" {
+        resolver 127.0.0.1 valid=5s;
+        proxy_pass http://$2.$1.svc.KUBERNETES_CLUSTER_DOMAIN:$3/$4$is_args$args;
+        gzip on;
+    }
+}
+
+location ^~ /addons/ {
+    location ~ "^/addons/namespace/(.*)/service/(.*)/port/(.*)/(.*)" {
+        resolver 127.0.0.1 valid=5s;
+        proxy_pass http://$2.$1.svc.KUBERNETES_CLUSTER_DOMAIN:$3/$4$is_args$args;
+        gzip on;
+    }
+}
+```
+
+得益于这样的 nginx 转发规则，kuboard 可以在监控套件的功能中非常简便地跳转到 Kubernetes 上部署的任意 Service。但是，如果将 Kuboard 直接部署到公网，这种操作也使得 Kuboard 留下了一个安全隐患。
+
+通过将环境变量 `KUBOARD_SAFE_MODE` 的值设置为 `KUBOARD_SAFE_MODE_ENABLED`，可以禁用这个转发规则，以获得更好地安全性。
+
+> * 当前，如果您想使用 Kuboard 的 [全局监控套件](/guide/addon/)，请不要设置 `KUBOARD_SAFE_MODE`，请通过其他方式确保安全性，例如，限制只能在内网访问 Kuboard；
+> * 在 2020年3月份即将发布 Kuboard v1.0.7 的版本中，将引入 Kuboard Proxy 的功能，该功能可以在兼容 Kuboard 套件的情况下，提升安全性，禁止未经授权的访问；届时，将不再需要设置 `KUBOARD_SAFE_MODE`。
+
+## OIDC_ISSUER
+
+`OIDC_ISSUER` 这个环境变量与 Kubernetes Authentication 相关，建议您不要手工设置此环境变量，如果您想通过 OpenID Connect 的方式登录 Kuboard / Kubectl 请参考 [Kubernetes Authentication 安装向导](/learning/k8s-advanced/sec/authenticate/install.html)，在该向导的引导下，您将能够顺利配置 Kuboard 与 GitHub / GitLab 等的单点登录。
+> 设置 `OIDC_ISSUER` 是该向导自动完成的一个步骤。
--- a/install/install-kuboard-icp.md
+++ b/install/install-kuboard-icp.md
@ -1,18 +0,0 @@
---
-vssueId: 126
-description: Kubernetes_Dashboard_是Kubernetes的官方WebUI_本文描述了在K8S集群上安装Kuberentes_Dashboard后_如何修改Kuboard登录页末尾的ICP备案编号
-meta:
-  - name: keywords
-    content: Kubernetes Dashboard,安装Kubernetes Dashboard,K8S Dashboard,K8S管理界面
---
-
-# 安装Kubernetes Dashboard
-
-<AdSenseTitle/>
-
-自 Kuboard v1.0.6.3 开始，用户可以修改 Kuboard 登录页面页尾的 ICP 备案编号及URL。
-
-修改方式：
-
-为 Kuboard 增加环境变量：
-* KUBOARD_ICP_DESCRIPTION  取值为您的 ICP 备案号，例如 `京ICP备19008693号-2`
--- a/learning/k8s-advanced/sec/authenticate/install.md
+++ b/learning/k8s-advanced/sec/authenticate/install.md
@ -8,7 +8,7 @@ meta:

 ---

-# Kubernetes Authenticate 安装向导
+# Kubernetes Authentication 安装向导

 <AdSenseTitle/>

@ -103,14 +103,14 @@ Dex 支持的 Identity Provider 有多种类型，请参考  [Dex](https://githu

 如果选择 GitLab 作为 Identity Provider：

-* 需要在 GitLab 中为 Dex 创建 Application，此时，RedirectURL 参数请从 Kubernetes Authenticate 安装向导的界面上获取，Scopes 请至少选择 `openid`、`read_user` 这两个 scope，如下图所示，
-* 完成 GitLab Application 创建后，需要将 `Client ID`、`Client Secret` 两个字段回填到 Kubernetes Authenticate 安装向导。
+* 需要在 GitLab 中为 Dex 创建 Application，此时，RedirectURL 参数请从 Kubernetes Authentication 安装向导的界面上获取，Scopes 请至少选择 `openid`、`read_user` 这两个 scope，如下图所示，
+* 完成 GitLab Application 创建后，需要将 `Client ID`、`Client Secret` 两个字段回填到 Kubernetes Authentication 安装向导。

 ![Kubernetes - OIDC - GITLAB](./install.assets/image-20200201180554307.png)

 ##### 配置 GitHub Application

-* 请根据向导的提示，在 GitHub 中创建 OAuth Apps，并将 `Client ID`、`Client Secret` 两个字段回填到 Kubernetes Authenticate 安装向导。
+* 请根据向导的提示，在 GitHub 中创建 OAuth Apps，并将 `Client ID`、`Client Secret` 两个字段回填到 Kubernetes Authentication 安装向导。

 #### 直连 Identity Provider

@ -131,11 +131,11 @@ Dex 支持的 Identity Provider 有多种类型，请参考  [Dex](https://githu

 ### 安装Dex

-Kubernetes Authenticate 安装向导中，请按照如下步骤完成 Dex 的安装：
+Kubernetes Authentication 安装向导中，请按照如下步骤完成 Dex 的安装：

 * 填写参数，如下图所示：

-  此步骤中的参数都无需修改，因为在前一个步骤 ***准备*** 环节，已经填写了，其他的参数由 Kubernetes Authenticate 安装向导为您生成。
+  此步骤中的参数都无需修改，因为在前一个步骤 ***准备*** 环节，已经填写了，其他的参数由 Kubernetes Authentication 安装向导为您生成。

  如果您希望多个 Kubernetes 集群都使用这一个 Dex 实例，请在下图表单中新增一个 Dex Client 的信息。

@ -143,7 +143,7 @@ Kubernetes Authenticate 安装向导中，请按照如下步骤完成 Dex 的安

 * 保存上图表单后，点击 **安装** 按钮

-  Kubernetes Authenticate 安装向导将在此 Kubernetes 集群安装 Dex，如需要了解具体安装的内容，可在安装过程中预览 Dex 的安装文件，也可以参考 [Dex](https://github.com/dexidp/dex) 的文档，已了解更多关于 Dex 的知识。
+  Kubernetes Authentication 安装向导将在此 Kubernetes 集群安装 Dex，如需要了解具体安装的内容，可在安装过程中预览 Dex 的安装文件，也可以参考 [Dex](https://github.com/dexidp/dex) 的文档，已了解更多关于 Dex 的知识。

 * 完成 Dex 安装后，Kubernetes Authenticate 安装向导将引导您确认一些信息，点击 ***已确认*** 按钮，可进入下一个步骤，**设定 Kuboard OIDC**

--- a/learning/k8s-advanced/sec/kuboard.md
+++ b/learning/k8s-advanced/sec/kuboard.md
@ -46,7 +46,11 @@ meta:

 * 完成创建后，将自动进入 ServiceAccount 详情页，如下图所示：

-  图中，可以看到 Kubernetes 默认为 ServiceAccount 授予的 ***集群级别权限***
+  * 图中，可以看到 Kubernetes 默认为 ServiceAccount 授予的 ***集群级别权限***
+  * 可以为一个 Service Account 创建多个 Secret
+  * 也可以删除 Service Account 的原有 Secret
+  
+  > 当您使用 Service Account 作为 Kuboard / Kubernetes Dashboard 的登录方式时，这个特性就显得非常有用，您可以定期更换 ServiceAccount 的 Secret Token，以增强系统的安全性。

  ![Kubernetes教程_ServiceAccount](./kuboard.assets/image-20200107221157156.png)

--- a/support/change-log/change-log-on-the-way.md
+++ b/support/change-log/change-log-on-the-way.md
@ -3,7 +3,6 @@ Kuboard v1.0.x 的更新说明


 * 创建工作负载时，layer 不能选择默认
-* KUBE_CLUSTER_NAME

 ------------------

@ -27,7 +26,7 @@ Kuboard v1.0.x 的更新说明
 BUG


-
+* 显示相对时间时，kubectl 使用服务器时间计算相对时间，Kuboard 则使用客户端的机器时间计算相对时间
 * etcd 安装和备份文档
 * kubeadm 安装之后的目录结构

--- a/support/change-log/v1.0.x.md
+++ b/support/change-log/v1.0.x.md
@ -22,7 +22,7 @@ Kuboard v1.0.x 的更新说明

 **优化**

-* [自定义 ICP 备案号](/install/install-kuboard-icp.html)
+* [自定义 ICP 备案号](/install/install-kuboard-env.html)
 * 增加 /robots.txt 文件，禁止搜索引擎抓取
 * 容器镜像版本调整 --> 默认不带查询条件
 * 可通过 KUBOARD_SAFE_MODE 环境变量禁用 /eip-monitor/ 和 /addons/ 代理转发