访问集群上运行的服务

本页介绍了如何连接到 Kubernetes 集群中运行的服务。

开始之前

您需要拥有一个 Kubernetes 集群，并且 kubectl 命令行工具必须配置为与您的集群通信。建议在至少有两个节点（不充当控制平面主机）的集群上运行本教程。如果您还没有集群，可以使用 minikube 创建一个，或者您可以使用以下 Kubernetes 游乐场之一

• Killercoda
• 玩转 Kubernetes

访问集群上运行的服务

在 Kubernetes 中，节点、Pod 和 服务 都有自己的 IP。在许多情况下，集群上的节点 IP、Pod IP 和一些服务 IP 无法路由，因此无法从集群外部的机器（例如您的桌面机器）访问。

连接方式

您有几种选择可以从集群外部连接到节点、Pod 和服务

• 通过公网 IP 访问服务。
  • 使用类型为 NodePort 或 LoadBalancer 的服务，使服务可在集群外部访问。请参阅 服务 和 kubectl expose 文档。
  • 根据您的集群环境，这可能只将服务暴露给您的公司网络，或者可能将服务暴露给互联网。考虑一下要暴露的服务是否安全。它是否执行自己的身份验证？
  • 将 Pod 放置在服务后面。要从一组副本中访问一个特定的 Pod（例如用于调试），请在 Pod 上放置一个唯一的标签，并创建一个选择此标签的新服务。
  • 在大多数情况下，应用程序开发人员不应该直接通过其 nodeIP 访问节点。
• 使用代理动词访问服务、节点或 Pod。
  • 在访问远程服务之前执行 apiserver 身份验证和授权。如果服务不够安全无法暴露给互联网，或者要访问节点 IP 上的端口，或者用于调试，请使用此方法。
  • 代理可能会导致某些 Web 应用程序出现问题。
  • 仅适用于 HTTP/HTTPS。
  • 在 此处 描述。
• 从集群中的节点或 Pod 访问。
  • 运行一个 Pod，然后使用 kubectl exec 连接到其中的 shell。从该 shell 连接到其他节点、Pod 和服务。
  • 某些集群可能允许您通过 ssh 连接到集群中的节点。从那里，您可能能够访问集群服务。这是一种非标准方法，在某些集群上有效，但在其他集群上无效。浏览器和其他工具可能已安装或未安装。集群 DNS 可能无法正常工作。

发现内置服务

通常，kube-system 会在集群上启动多个服务。使用 kubectl cluster-info 命令获取这些服务的列表

kubectl cluster-info

输出类似于以下内容

Kubernetes master is running at https://192.0.2.1
elasticsearch-logging is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy
kibana-logging is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/kibana-logging/proxy
kube-dns is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/kube-dns/proxy
grafana is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/monitoring-grafana/proxy
heapster is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/monitoring-heapster/proxy

这将显示用于访问每个服务的代理动词 URL。例如，此集群启用了集群级日志记录（使用 Elasticsearch），可以通过 https://192.0.2.1/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy/ 访问（如果传递了合适的凭据），或者通过 kubectl 代理访问，例如：http://localhost:8080/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy/。

手动构建 apiserver 代理 URL

如上所述，您使用 kubectl cluster-info 命令检索服务的代理 URL。要创建包含服务端点、后缀和参数的代理 URL，您需要在服务的代理 URL 后添加：http://kubernetes_master_address/api/v1/namespaces/namespace_name/services/[https:]service_name[:port_name]/proxy

如果您没有为端口指定名称，则不必在 URL 中指定 port_name。您还可以使用端口号来代替 port_name，用于命名端口和未命名端口。

默认情况下，API 服务器使用 HTTP 代理到您的服务。要使用 HTTPS，请在服务名称前加上 https:：http://<kubernetes_master_address>/api/v1/namespaces/<namespace_name>/services/<service_name>/proxy

URL 的 <service_name> 部分支持的格式为

• <service_name> - 使用 http 代理到默认端口或未命名端口
• <service_name>:<port_name> - 使用 http 代理到指定的端口名称或端口号
• https:<service_name>: - 使用 https 代理到默认端口或未命名端口（注意尾随冒号）
• https:<service_name>:<port_name> - 使用 https 代理到指定的端口名称或端口号

示例

• 要访问 Elasticsearch 服务端点 _search?q=user:kimchy，您需要使用

  http://192.0.2.1/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy/_search?q=user:kimchy
  

• 要访问 Elasticsearch 集群运行状况信息 _cluster/health?pretty=true，您需要使用

  https://192.0.2.1/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy/_cluster/health?pretty=true
  

  运行状况信息类似于以下内容

  {
    "cluster_name" : "kubernetes_logging",
    "status" : "yellow",
    "timed_out" : false,
    "number_of_nodes" : 1,
    "number_of_data_nodes" : 1,
    "active_primary_shards" : 5,
    "active_shards" : 5,
    "relocating_shards" : 0,
    "initializing_shards" : 0,
    "unassigned_shards" : 5
  }
  

• 要访问 https Elasticsearch 服务运行状况信息 _cluster/health?pretty=true，您需要使用

  https://192.0.2.1/api/v1/namespaces/kube-system/services/https:elasticsearch-logging:/proxy/_cluster/health?pretty=true
  

使用 Web 浏览器访问集群上运行的服务

您可能能够将 apiserver 代理 URL 放入浏览器的地址栏。但是

• Web 浏览器通常无法传递令牌，因此您可能需要使用基本（密码）身份验证。Apiserver 可以配置为接受基本身份验证，但您的集群可能未配置为接受基本身份验证。
• 某些 Web 应用程序可能无法正常工作，特别是那些使用客户端 JavaScript 以不了解代理路径前缀的方式构建 URL 的应用程序。