MinIO Kubernetes Operator

Kubernetes 版本

MinIO 支持使用 受维护的 Kubernetes API 来部署 Operator。

如果 Kubernetes 基础设施运行的是生命周期已结束的 API 版本，在部署 Operator 时可能出现意料之外或不期望的行为。

Kustomize 和 kubectl

Kustomize 是一个基于 YAML 的模板工具，可让你以声明式、可重复的方式定义 Kubernetes 资源。 Kustomize 已内置在 kubectl 命令行工具中。

本步骤默认你的本地主机既安装了与 Kubernetes 集群版本匹配的 kubectl，也具备在该集群中创建新资源所需的访问权限。

默认的 MinIO Operator Kustomize 模板 为本地环境定制配置提供了一个起点。 你可以修改默认的 Kustomization 文件，或应用自己的 patches，以针对 Kubernetes 集群定制 Operator 部署。

Kubernetes TLS Certificate API

MinIO Operator 使用 Kubernetes certificates.k8s.io TLS certificate management API 管理 TLS Certificate Signing Requests (CSR)，并在以下场景中创建已签名的 TLS 证书：

• 当启用 autoCert 时。

• 当 MINIO_CONSOLE_TLS_ENABLE 环境变量设置为 on 时，用于 MinIO Console。

• 当 OPERATOR_STS_ENABLED 环境变量设置为 on 时，用于 STS service。

• 用于获取集群健康状态。

MinIO Operator 会读取 operator-ca-tls secret 中的证书，并在 tenant 命名空间内同步该 secret，以信任私有证书颁发机构，例如使用 cert-manager 时的场景。

在上述任一场景下，MinIO Operator 都 要求 Kubernetes kube-controller-manager 的配置中包含以下 配置项：

• --cluster-signing-key-file - 指定用于签发集群级证书的 PEM 编码 RSA 或 ECDSA 私钥。

• --cluster-signing-cert-file - 指定用于签发集群级证书的 PEM 编码 x.509 Certificate Authority 证书。

Kubernetes TLS API 会使用 CA 的签名算法生成新的 TLS 证书。 与 RSA 相比，ECDSA（例如 NIST P-256 curve）或 EdDSA（例如 Curve25519）对计算资源的需求更低，因此 MinIO 推荐使用这类 TLS 私钥/证书。 有关受支持 TLS Cipher Suites 的完整列表，请参阅 支持的 TLS Cipher Suite。

如果 Kubernetes 集群未配置为对生成的 CSR 作出响应，Operator 将无法完成初始化。 某些 Kubernetes 提供方默认不会指定这些配置值。

若要检查 kube-controller-manager 是否指定了集群签名密钥和证书文件，请使用以下命令：

kubectl get pod kube-controller-manager-$CLUSTERNAME-control-plane \
  -n kube-system -o yaml

• 将 $CLUSTERNAME 替换为 Kubernetes 集群名称。

确认输出中包含高亮标出的行。 上例命令的输出可能与你终端中的实际输出不同：

 spec:
 containers:
 - command:
     - kube-controller-manager
     - --allocate-node-cidrs=true
     - --authentication-kubeconfig=/etc/kubernetes/controller-manager.conf
     - --authorization-kubeconfig=/etc/kubernetes/controller-manager.conf
     - --bind-address=127.0.0.1
     - --client-ca-file=/etc/kubernetes/pki/ca.crt
     - --cluster-cidr=10.244.0.0/16
     - --cluster-name=my-cluster-name
     - --cluster-signing-cert-file=/etc/kubernetes/pki/ca.crt
     - --cluster-signing-key-file=/etc/kubernetes/pki/ca.key
 ...