01创建证书和环境准备

1.创建指定的目录 {ssl,backup,yml,.kube}

2.给目录设置权限

3.准备CA配置文件和签名请求

4.生成 CA 证书和私钥

5.创建和集群交互信息的配置文件kubelet.kubeconfig

  1).生成admin用户的ca请求文件
  2).生成admin用户的ca证书文件 ca.pem ca-key.pem
  3).设置集群参数 
      (1).加载ca.pem证书文件
      (2).启用证书验证
      (3).指定apiserver入口
      (4).指定kubectl配置文件   
   4).设置客户端认证参数
      (1).加载admin用户的ca证书
      (2).加载admin用户的ca私钥证书
      (3).启用ssl验证
      (4).指定kubectl配置文件
   5).绑定集群和用户信息
   6).使用集群和用户信息
<font color=red>6.创建和集群交互信息的配置文件kube-proxy.kubeconfig</font>
   1).生成system:kube-proxy用户的ca请求文件
   2).生成system:kube-proxy用户的ca证书文件 ca.pem ca-key.pem
   3).设置集群参数
      (1).加载ca.pem证书文件
      (2).启用证书验证
      (3).指定apiserver入口
      (4).指定kube-proxy配置文件
   4).设置客户端认证参数
      (1).加载system:kube-proxy用户的ca证书
      (2).加载system:kube-proxy用户的ca私钥证书
      (3).启用ssl验证
      (4).指定kube-proxy.kubeconfig配置文件
   5).绑定集群和用户信息
   6).使用集群和用户信息
   PS:system:kube-proxy这个用户绑定到了system:node-proxier这个xlusterrole角色上 所以会有对应的权限

[root@rstx-204 ~]# kubectl describe clusterrolebinding system:node-proxier
Name:         system:node-proxier
Labels:       kubernetes.io/bootstrapping=rbac-defaults
Annotations:  rbac.authorization.kubernetes.io/autoupdate: true
Role:
  Kind:  ClusterRole
  Name:  system:node-proxier
Subjects:
  Kind  Name               Namespace
  ----  ----               ---------
  User  system:kube-proxy  

6.创建和集群交互信息的配置文件system:kube-controller-manager.kubeconfig

   1).生成system:kube-controller-manager用户的ca请求文件
   2).生成system:kube-controller-manager用户的ca证书文件 ca.pem ca-key.pem
   3).设置集群参数
      (1).加载ca.pem证书文件
      (2).启用证书验证
      (3).指定apiserver入口
      (4).指定kube-controller-manager.kubeconfig配置文件
   4).设置客户端认证参数
      (1).加载system:kube-controller-manager用户的ca证书
      (2).加载system:kube-controller-manager用户的ca私钥证书
      (3).启用ssl验证
      (4).指定kube-controller-manager.kubeconfig配置文件
   5).绑定集群和用户信息
   6).使用集群和用户信息
   PS: kube-controller-manager这个用户通过clusterrolebinding资源绑定kube-controller-manager这个clusterrole这个角色

[root@rstx-204 ~]# kubectl describe clusterrolebinding system:kube-controller-manager
Name:         system:kube-controller-manager
Labels:       kubernetes.io/bootstrapping=rbac-defaults
Annotations:  rbac.authorization.kubernetes.io/autoupdate: true
Role:
  Kind:  ClusterRole
  Name:  system:kube-controller-manager
Subjects:
  Kind  Name                            Namespace
  ----  ----                            ---------
  User  system:kube-controller-manager  

7.创建和集群交互信息的配置文件system:kube-scheduler.kubeconfig

   1).生成system:kube-scheduler用户的ca请求文件
   2).生成system:kube-scheduler用户的ca证书文件 ca.pem ca-key.pem
   3).设置集群参数
      (1).加载ca.pem证书文件
      (2).启用证书验证
      (3).指定apiserver入口
      (4).指定system:kube-scheduler.kubeconfig配置文件
   4).设置客户端认证参数
      (1).加载system:kube-scheduler用户的ca证书
      (2).加载system:kube-scheduler用户的ca私钥证书
      (3).启用ssl验证
      (4).指定system:kube-scheduler.kubeconfig配置文件
   5).绑定集群和用户信息
   6).使用集群和用户信息
   PS: system:kube-scheduler这个用户通过clusterrolebinding资源绑定system:kube-scheduler这个clusterrole这个角色

[root@rstx-204 ~]# kubectl describe clusterrolebinding system:kube-scheduler
Name:         system:kube-scheduler
Labels:       kubernetes.io/bootstrapping=rbac-defaults
Annotations:  rbac.authorization.kubernetes.io/autoupdate: true
Role:
  Kind:  ClusterRole
  Name:  system:kube-scheduler
Subjects:
  Kind  Name                   Namespace
  ----  ----                   ---------
  User  system:kube-scheduler  

8.控制端为ezctl ezdown工具创建软链接

9.kubectl命令补全 写环境变量

证书创建分发剧本

bin_dir="/opt/kube/bin"

base_dir="/etc/kubeasz"

cluster_dir="/etc/kubeasz/clusters/k8s-01"

[root@rstx4-53 tasks]# cat /root/kubeasz/kubeasz/roles/deploy/tasks/main.yml 
#循环创建目录
- name: prepare some dirs
  file: name={{ item }} state=directory
  with_items:
  - "{{ cluster_dir }}/ssl"
  - "{{ cluster_dir }}/backup"
  - "{{ cluster_dir }}/yml"
  - "~/.kube"

- name: 本地设置 bin 目录权限
  file: path={{ base_dir }}/bin state=directory mode=0755 recurse=yes

# 注册变量p，根据p的stat信息判断是否已经生成过ca证书，如果没有，下一步生成证书
# 如果已经有ca证书，为了保证整个安装的幂等性，跳过证书生成的步骤
- name: 读取ca证书stat信息
  stat: path="{{ cluster_dir }}/ssl/ca.pem"
  register: p

#参考文档https://docs.ansible.com/ansible/latest/collections/ansible/builtin/stat_module.html#return-stat/isreg
#如果没有ca的配置文件请求文件则发送文件到ssl目录
- name: 准备CA配置文件和签名请求
  template: src={{ item }}.j2 dest={{ cluster_dir }}/ssl/{{ item }}
  with_items:
  - "ca-config.json"
  - "ca-csr.json"
  when: p.stat.isreg is not defined
#生成证书和私钥
- name: 生成 CA 证书和私钥
  when: p.stat.isreg is not defined
  shell: "cd {{ cluster_dir }}/ssl && \
	 {{ base_dir }}/bin/cfssl gencert -initca ca-csr.json | {{ base_dir }}/bin/cfssljson -bare ca" 

#----------- 创建配置文件: /root/.kube/config
- import_tasks: create-kubectl-kubeconfig.yml
  tags: create_kctl_cfg

#----------- 创建个性化客户端配置文件
- import_tasks: add-custom-kubectl-kubeconfig.yml
  tags: add-kcfg
  when: "ADD_KCFG|bool"

#------------创建配置文件: kube-proxy.kubeconfig
- import_tasks: create-kube-proxy-kubeconfig.yml

#------------创建配置文件: kube-controller-manager.kubeconfig
- import_tasks: create-kube-controller-manager-kubeconfig.yml

#------------创建配置文件: kube-scheduler.kubeconfig
- import_tasks: create-kube-scheduler-kubeconfig.yml

# ansible 控制端一些易用性配置
- name: 本地创建 ezdown/ezctl 工具的软连接
  file: src={{ base_dir }}/{{ item }} dest=/usr/bin/{{ item }} state=link
  with_items:
  - ezdown
  - ezctl

- name: ansible 控制端创建 kubectl 软链接
  file: src={{ base_dir }}/bin/kubectl dest=/usr/bin/kubectl state=link
  ignore_errors: true

# 注册变量以判断是否容器化运行ansible控制端，如果容器化运行那么进程数小于50
- name: 注册变量以判断是否容器化运行ansible控制端
  shell: "ps aux|wc -l"
  register: procs

- name: ansible 控制端写入环境变量$PATH
  lineinfile:
    dest: ~/.bashrc
    state: present
    regexp: 'kubeasz'
    line: 'export PATH={{ base_dir }}/bin/:$PATH # generated by kubeasz'
  when: "procs.stdout|int > 50"
  ignore_errors: true

- name: ansible 控制端添加 kubectl 自动补全
  lineinfile:
    dest: ~/.bashrc
    state: present
    regexp: 'kubectl completion'
    line: 'source <(kubectl completion bash)'
  when: "procs.stdout|int > 50"
  ignore_errors: true