混合版本代理

功能状态: Kubernetes v1.28 [alpha]

Kubernetes 1.31 包含一项 Alpha 功能，允许 API Server 将资源请求代理到其他对等 API Server。当在一个集群中运行着不同版本的 Kubernetes 的多个 API Server 时（例如，在将 Kubernetes 升级到新版本时，升级持续时间很长），这很有用。

这使集群管理员能够配置高可用集群，这些集群可以更安全地升级，方法是将资源请求（在升级期间发出）定向到正确的 kube-apiserver。这种代理可以防止用户看到升级过程导致的意外 404 Not Found 错误。

这种机制称为混合版本代理。

启用混合版本代理

启动 API Server 时，请确保已启用UnknownVersionInteroperabilityProxy 功能网关

kube-apiserver \
--feature-gates=UnknownVersionInteroperabilityProxy=true \
# required command line arguments for this feature
--peer-ca-file=<path to kube-apiserver CA cert>
--proxy-client-cert-file=<path to aggregator proxy cert>,
--proxy-client-key-file=<path to aggregator proxy key>,
--requestheader-client-ca-file=<path to aggregator CA cert>,
# requestheader-allowed-names can be set to blank to allow any Common Name
--requestheader-allowed-names=<valid Common Names to verify proxy client cert against>,

# optional flags for this feature
--peer-advertise-ip=`IP of this kube-apiserver that should be used by peers to proxy requests`
--peer-advertise-port=`port of this kube-apiserver that should be used by peers to proxy requests`

# …and other flags as usual

API Server 之间的代理传输和身份验证

源 kube-apiserver 重用现有的 APIserver 客户端身份验证标志 --proxy-client-cert-file 和 --proxy-client-key-file 来呈现其身份，该身份将由其对等方（目标 kube-apiserver）验证。目标 API Server 基于您使用 --requestheader-client-ca-file 命令行参数指定的配置验证对等连接。
要对目标服务器的服务证书进行身份验证，您必须通过向源 API 服务器指定 --peer-ca-file 命令行参数来配置证书颁发机构捆绑包。

对等 API Server 连接的配置

要设置对等方将用于代理请求的 kube-apiserver 的网络位置，请使用 --peer-advertise-ip 和 --peer-advertise-port 命令行参数到 kube-apiserver，或在 API 服务器配置文件中指定这些字段。如果未指定这些标志，对等方将使用来自 --advertise-address 或 --bind-address 命令行参数到 kube-apiserver 的值。如果这两个值也未设置，则使用主机的默认接口。