Kubernetes 新概念 “Initializers”解析(上):能让你为集群编写插件的新模型

Kubernetes v1.7 新增了 Initializers,它可以用来方便地扩展准入控制,今天的文章来自 Google Kubernetes 现役工程师 Ahmet Alp Balkan,让他带领我们详解 Initializer。上期将带大家做一个简单的了解,明白 Initializers 到底能为我们带来什么。

Kubernetes 如今能大展拳脚的原因有二:一是,因为他社区的无限优势;二是,源于 Kubernetes API 的灵活性,以及能轻而易举地在其上编写自定义扩展或者插件。而在本文中,我将深入剖析一个新的概念:Initalizers,它能在实际创建之前修改 Kubernetes 动态资源和可插拔方式。

Initializers 已经在 Kubernetes 1.7 中作为 Alpha 功能。举个例子来说,我们可以在 Google Container Engine 中使用 Intializers 来扩展 Kubernetes 的基础功能,也可以根据需求实现新的 initializers 设置。

到目前为止,Kubernetes 只有在 plug-in 创建之前用准入控制插件来拦截资源。例如,你可以使用一个准入插件来强制让所有容器镜像来自特定的注册表,并组织其他镜像被部署在 pod 中。有相当多的准入控制器提供的功能,如执行限制、应用创建检查,并为缺少的字段设置默认值。

但准入控制器也存在如下问题:

  1. 他们被编译在 Kubernetes:如果你寻找的目标缺失,你需要 fork Kubernetes,并且写一个准入插件,并自己保持 fork。
  2. 您需要通过将其名称传递给 kube-apiserver 的 –admission-control 标志来启用每个准入插件 。在很多情况下,这意味着重新部署集群。
  3. 某些托管集群的供应商可能不允许自定义 API 服务器标志,因此可能无法启用源代码中可用的所有准入控制器。

于是便提出了动态/外部准入控制器来解决这些问题。目前有两种类型的插件: Initializers 和 web 钩子。Initializers 类似于准入控制器 plug-ins, 你可以在创建资源之前截取它。但它们也与准入控制器 plug-ins 不同, 因为它们不是 Kubernetes 源代码的一部分, 也不是编译而成的。你需要自己写一个控制器。

你能用 Initializers 做什么?

当你在创建 Kubernetes 对象之前截取它们时, 存在着无穷的变数: 你可以以任何方式来变换对象, 或防止对象被创建。

以下是对 Initializers 的一些想法,每个都在你的集群中实施一个特定的策略:

  • 如果该容器开放 80 端口或具有特定的注释, 则向该 pod 注入一个代理 sidecar 容器。
  • 将带有测试证书的卷自动插入测试命名空间中的所有 pod。
  • 如果一个隐藏密令少于 20 个字符(有可能是密码),则阻止其创建。

如果您不打算修改对象并拦截只读对象, web 钩子可能会是一个更快和更精简的选择来获取有关对象的通知。

上面列出的一些功能,例如注入 sidecar 容器或卷,也可以使用 Pod Presets 以牺牲灵活性来进行实现。

下期导读:将为你具体解析 Initializers,并指出其优势和缺陷,同时手把手教你开发你自己的 Initializers。

原文链接:https://ahmet.im/blog/initializers/

作者简介

Ahmet Alp Balkan

Kubernetes 和 Google 容器引擎现役工程师,负责开发开源软件,精益开发经验并传播相应技术细节。