前提條件

• 已部署好Kubernetes集群，且集群的版本屬于1.13~1.30版本。

• 如果您的Kubernetes集群部署在線下IDC，請確保已通過高速通道、智能接入網關或者VPN網關打通IDC和云上網絡。相關參考如下：

  • 高速通道

  • 智能接入網關

  • VPN網關

準備工作

操作前，請準備創建VNode所需的參數信息，并了解VNode所需的權限信息。需要準備的參數如下表所示。

創建VNode時，需要配置相關權限，包括原生K8s節點使用的標準權限，以及VNode所需的額外權限，具體如下表所示。

配置集群

VNode需要使用kubeconfig來接入集群。因此，創建VNode前需要為VNode簽發證書（即kubeconfig）。

1. 連接集群。

2. 下載并執行配置腳本，生成kubeconfig。

   選擇TLS Bootstrap或ServiceAccount方式，根據您的Kubernetes集群的版本執行對應命令生成kubeconfig。

   TLS Bootstrap

   如果有安全性要求，建議采用TLS Bootstrap方式。采用該方式時，將自動部署vnode-approver組件。vnode-approver組件用于簽發Vnode提交的CSR請求，目前已開源至GitHub。更多信息，請參見vnode-approver。

   • 集群版本為1.14~1.22

     curl -fsSL https://eci-docs.oss-cn-beijing.aliyuncs.com/vnode/vnode-deploy.sh | bash -s -- bootstrap

   • 集群版本為1.13

   • 1.13版本的集群需要endpoints資源進行選主，腳本中需配置額外權限（EXTRA_PRIVILEDGE=true）。

   curl -fsSL https://eci-docs.oss-cn-beijing.aliyuncs.com/vnode/vnode-deploy.sh | env EXTRA_PRIVILEDGE=true bash -s -- bootstrap

   ServiceAccount

   該方式不支持證書輪換。簽發證書時需確保token有足夠的有效期（或者設置為不過期），防止因證書過期導致VNode無法正常工作。

   • 集群版本為1.14~1.22

     curl -fsSL https://eci-docs.oss-cn-beijing.aliyuncs.com/vnode/vnode-deploy.sh | bash -s -- common

   • 集群版本為1.13

     1.13版本的集群需要endpoints資源進行選主，腳本中需配置額外權限（EXTRA_PRIVILEDGE=true）。

     curl -fsSL https://eci-docs.oss-cn-beijing.aliyuncs.com/vnode/vnode-deploy.sh | env EXTRA_PRIVILEDGE=true bash -s -- common

3. 檢查kubeconfig。

   生成的kubeconfig名為vnode-config。執行以下命令查看kubeconfig。

   cat vnode-config

   檢查時，請注意以下幾點：

   • 確認待創建VNode的VPC網絡能夠連接到server地址（處于同一VPC或已打通網絡）。

     • 如果server地址是IP地址，需確保VNode所在VPC能夠訪問該IP地址。

     • 如果server地址是域名，需確保阿里云VPC內能夠解析該域名，且VNode所在VPC可以訪問域名解析后的IP地址。

   • 如果certificate-authority-data的內容為空，請檢查~/.kube/config中的相應字段是否使用了PATH。

   kubeconfig的內容示例如下：

   TLS Bootstrap

   apiVersion: v1
   kind: Config
   current-context: kubernetes-admin@kubernetes
   contexts:
   - name: kubernetes-admin@kubernetes
     context:
       cluster: kubernetes-admin@kubernetes
       user: vnode
       namespace: kube-system
   clusters:
   - name: kubernetes-admin@kubernetes
     cluster:
       certificate-authority-data: "*****************************************=="
       server: https://10.16.XX.XX:6443
   users:
   - name: vnode
     user:
       token: ******.****************

   ServiceAccount

   apiVersion: v1
   kind: Config
   current-context: kubernetes-admin@kubernetes
   contexts:
   - name: kubernetes-admin@kubernetes
     context:
       cluster: kubernetes-admin@kubernetes
       user: vnode
       namespace: kube-system
   clusters:
   - name: kubernetes-admin@kubernetes
     cluster:
       certificate-authority-data: "*****************************************=="
       server: https://10.16.XX.XX:6443
   users:
   - name: vnode
     user:
       token: ***********************************************

創建VNode

操作步驟

您可以通過彈性容器實例控制臺或者OpenAPI來創建VNode。

禁止DaemonSet調度到VNode

由于VNode不是真實節點，因此無法運行DaemonSet。創建VNode后，您需要修改kube-proxy的DaemonSet，配置nodeAffinity來禁止DaemonSet調度到VNode。

1. 修改DaemonSet配置。

   kubectl -n kube-system edit ds kube-proxy

2. 配置nodeAffinity。

   在spec>template>spec下添加以下YAML：

   affinity:
     nodeAffinity:
       requiredDuringSchedulingIgnoredDuringExecution:
         nodeSelectorTerms:
         - matchExpressions:
           - key: type
             operator: NotIn
             values:
             - virtual-kubelet

調度Pod到VNode

創建VNode后，您可以通過以下方式將Pod調度到VNode上，以使用ECI來運行Pod。

• 手動調度

  通過配置nodeSelector和tolerations、指定nodeName的方式，可以手動將Pod調度到VNode。具體操作，請參見將Pod調度到VNode。

• 自動調度

  部署eci-profile組件后，可以自定義配置Selector，將滿足條件的Pod自動調度到VNode。具體操作，請參見使用eci-profile調度Pod到VNode。