與目標集群的通信

通過onectl連接注冊集群與目標集群時，onectl需要在目標集群中部署注冊集群agent，此時，onectl將按照以下優先級依次嘗試使用對應的KubeConfig與目標集群進行通信。

1. kubeconfig參數

   例如，通過以下命令使用~/.kube/config配置文件與目標集群通信，并將目標集群連接至注冊集群。

   onectl cluster connect --cluster-id **** --kubeconfig ~/.kube/config

2. KUBECONFIG環境變量

   若上述kubeconfig參數未指定，onectl會使用KUBECONFIG環境變量指向的KubeConfig配置文件。

3. onectl配置文件~/.onectl/config.json中的Kubeconfig Path字段

   若以上兩個字段都不存在，則使用該字段指向的配置文件。該字段的配置請參見步驟二：配置onectl RAM用戶。

4. ~/.kube/config

   若上述字段均為空，則默認使用該配置文件。

連接注冊集群

onectl連接注冊集群時，將依次執行以下操作。

1. 獲取注冊集群的連接信息，并保存到本地名為agent.yaml的文件中。

2. 根據此YAML文件的內容，在目標集群中部署注冊集群agent。

例如，執行以下命令，連接注冊集群與目標集群。

onectl cluster connect --cluster-id ****

預期輸出：

Agent information saved as agent.yaml.
Installing ACK One agent using kubeconfig file **** to connect to registered cluster ****.
Confirm? [Y/n]: y
ACK One agent deployed successfully.
Check the running status of deployment ack-cluster-agent to confirm the connection status of registered cluster ****.

組件RAM用戶

注冊集群中已安裝的組件在運行時，需要一個單獨的RAM用戶的AccessKey來訪問云上資源。例如，logtail-ds組件需要訪問日志服務SLS的項目、日志庫等資源，該組件RAM用戶的AK信息保存在集群kube-system命名空間下名為alibaba-addon-secret的Secret中。

• 若集群中已經存在此Secret，onectl會沿用此Secret中的AK信息來運行集群組件。

• 若集群中不存在此Secret，onectl會自動創建并使用名為ack-one-user-[cluster id prefix]的RAM用戶來運行組件。例如，當集群中不存在此Secret時，您可以執行以下命令，創建一個RAM用戶并授予其terway-eniip組件所需要的權限。

  onectl ram-user grant --addon terway-eniip

  預期輸出：

  Ram user ack-one-user-ce313528c3 created successfully.
  Ram policy ack-one-registered-cluster-policy-terway-eniip granted to ram user ack-one-user-ce313528c3 successfully.
  Secret alibaba-addon-secret created under namespace kube-system in the cluster, it stores the access key and secret of ram user ack-one-user-ce313528c3.

組件安裝

通過onectl安裝組件需要管理員權限，onectl會在開始安裝前檢測注冊集群agent的ServiceAccount是否擁有管理員權限。若沒有，onectl將創建一個臨時的管理員角色，并賦予ack賬戶集群的管理員權限。組件安裝完成后，onectl將刪除此臨時管理員角色，將ack賬戶的權限恢復至組件安裝前。

例如，在agent沒有管理員權限時，您可以執行以下命令對agent賬戶進行臨時提權，并在組件安裝完成后撤銷agent的臨時管理員權限。

onectl addon install logtail-ds

預期輸出：

Cluster role ack-admin-tmp created.
Cluster role binding ack-admin-binding-tmp created.
Addon logtail-ds, version **** installed.
Cluster role ack-admin-tmp deleted.
Cluster role binding ack-admin-binding-tmp deleted.

臨時管理員角色的ClusterRole、ClusterRoleBinding內容如下。

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: ack-admin-tmp
  labels:
    ack/creator: "ack"
rules:
- apiGroups:
  - '*'
  resources:
  - '*'
  verbs:
  - '*'
- nonResourceURLs:
  - '*'
  verbs:
  - '*'
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: ack-admin-binding-tmp
  namespace: kube-system
  labels:
    ack/creator: "ack"
subjects:
- kind: ServiceAccount
  name: ack
  namespace: kube-system
roleRef:
  kind: ClusterRole
  name: ack-admin-tmp
  apiGroup: rbac.authorization.k8s.io