安装 Calico 网络策略引擎附加组件

使用 Tigera 说明安装 Calico 版本 3.25。有关更多信息，请参阅 Calico 文档中的安装 Calico。

在 tigera-operator 命名空间中查看资源。

kubectl get all -n tigera-operator

输出示例如下。

NAME                                   READY   STATUS    RESTARTS   AGE
pod/tigera-operator-768d489967-6cv58   1/1     Running   0          27m

NAME                              READY   UP-TO-DATE   AVAILABLE   AGE
deployment.apps/tigera-operator   1/1     1            1           27m

NAME                                         DESIRED   CURRENT   READY   AGE
replicaset.apps/tigera-operator-768d489967   1         1         1       27m

replicaset 的 DESIRED 和 READY 列中的值应该相一致。

在 calico-system 命名空间中查看资源。

kubectl get all -n calico-system

输出示例如下。

NAME                                         READY   STATUS    RESTARTS   AGE
pod/calico-kube-controllers-55c98678-gh6cc   1/1     Running   0          4m29s
pod/calico-node-khw4w                        1/1     Running   0          4m29s
pod/calico-node-rrz8k                        1/1     Running   0          4m29s
pod/calico-typha-696bcd55cb-49prr            1/1     Running   0          4m29s
pod/csi-node-driver-6v2z5                    2/2     Running   0          4m29s
pod/csi-node-driver-wrw2d                    2/2     Running   0          4m29s

NAME                                      TYPE        CLUSTER-IP     EXTERNAL-IP   PORT(S)    AGE
service/calico-kube-controllers-metrics   ClusterIP   None           <none>        9094/TCP   4m23s
service/calico-typha                      ClusterIP   10.100.67.39   <none>        5473/TCP   4m30s

NAME                             DESIRED   CURRENT   READY   UP-TO-DATE   AVAILABLE   NODE SELECTOR            AGE
daemonset.apps/calico-node       2         2         2       2            2           kubernetes.io/os=linux   4m29s
daemonset.apps/csi-node-driver   2         2         2       2            2           kubernetes.io/os=linux   4m29s

NAME                                      READY   UP-TO-DATE   AVAILABLE   AGE
deployment.apps/calico-kube-controllers   1/1     1            1           4m29s
deployment.apps/calico-typha              1/1     1            1           4m29s

NAME                                               DESIRED   CURRENT   READY   AGE
replicaset.apps/calico-kube-controllers-55c98678   1         1         1       4m29s
replicaset.apps/calico-typha-696bcd55cb            1         1         1       4m29s

calico-node daemonset 的 DESIRED和 READY 列中的值应该相一致。两个 replicasets 的 DESIRED 和 READY 列中的值也应该一致。daemonset.apps/calico-node 的 DESIRED 列中的数量因集群中的节点数量而异。

请确认其中一个 calico-node、calico-typha 和 tigera-operator pods 的日志不包含 ERROR。请将以下命令中的值替换为上一步的输出中返回的值。

kubectl logs tigera-operator-768d489967-6cv58 -n tigera-operator | grep ERROR
kubectl logs calico-node-khw4w -c calico-node -n calico-system | grep ERROR
kubectl logs calico-typha-696bcd55cb-49prr -n calico-system | grep ERROR

如果之前的命令没有返回任何输出，那么日志中不存在 ERROR，并且一切都应该正常运行。

如果您使用 Amazon VPC CNI plugin for Kubernetes 的版本 1.9.3 或更高版本，则启用插件以将容器组（pod）IP 地址添加到 calico-kube-controllers-55c98678-gh6cc 容器组（pod）规范中的注释中。有关此设置的更多信息，请参阅 GitHub 上的 ANNOTATE_POD_IP。

1. 可以使用以下命令查看集群上安装的插件版本。

   kubectl describe daemonset aws-node -n kube-system | grep amazon-k8s-cni: | cut -d ":" -f 3
   

   输出示例如下。

   v1.12.2-eksbuild.1

2. 创建一个可以应用于集群的配置文件，以向 aws-node Kubernetes clusterrole 授予权限来修补 pods。

   cat << EOF > append.yaml
   - apiGroups:
     - ""
     resources:
     - pods
     verbs:
     - patch
   EOF
   

3. 将更新权限应用于集群。

   kubectl apply -f <(cat <(kubectl get clusterrole aws-node -o yaml) append.yaml)

4. 设置插件的环境变量。

   kubectl set env daemonset aws-node -n kube-system ANNOTATE_POD_IP=true

5. 删除 calico-kube-controllers-55c98678-gh6cc

   kubectl delete pod calico-kube-controllers-55c98678-gh6cc -n calico-system

6. 再次查看 calico-system 命名空间中的容器组以查看新 calico-kube-controllers 容器组的 ID，Kubernetes 会将您在上一步中删除的 calico-kube-controllers-55c98678-gh6cc 容器组替换为该内容。

   kubectl get pods -n calico-system

7. 确认 vpc.amazonaws.com/pod-ips 注释已添加到新的 calico-kube-controllers 容器组。

   1. 将 5cd7d477df-2xqpd 替换为上一步中返回的容器组（pod）的 ID。

      kubectl describe pod calico-kube-controllers-5cd7d477df-2xqpd -n calico-system | grep vpc.amazonaws.com/pod-ips

      输出示例如下。

      vpc.amazonaws.com/pod-ips: 192.168.25.9

应用前端、后端、客户端和管理用户界面服务：

kubectl apply -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/manifests/00-namespace.yaml
kubectl apply -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/manifests/01-management-ui.yaml
kubectl apply -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/manifests/02-backend.yaml
kubectl apply -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/manifests/03-frontend.yaml
kubectl apply -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/manifests/04-client.yaml

请查看集群上的所有 pods。

kubectl get pods -A

输出示例如下。

在输出中，您应该会在以下输出中显示的命名空间中看到 pods。READY 列中的 pod NAMES 和 pods 数量与以下输出中的不同。在看到具有相似名称的 pods 并且它们在 STATUS 列中都具有 Running 之前，请不要继续。

NAMESPACE         NAME                                       READY   STATUS    RESTARTS   AGE
...
client            client-xlffc                               1/1     Running   0          5m19s
...
management-ui     management-ui-qrb2g                        1/1     Running   0          5m24s
stars             backend-sz87q                              1/1     Running   0          5m23s
stars             frontend-cscnf                             1/1     Running   0          5m21s
...

要连接到管理用户界面，请将您的本地端口 9001 转发至集群上运行的 management-ui 服务：

kubectl port-forward service/management-ui -n management-ui 9001

在本地系统上打开浏览器，然后将其指向 http://localhost:9001/。您应该会看到管理用户界面。C 节点是客户端服务，F 节点是前端服务，B 节点是后端服务。每个节点都有到所有其他节点的完整通信访问权限（如粗体、彩色行所示）。

应用以下网络策略以隔离各个服务：

kubectl apply -n stars -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/policies/default-deny.yaml
kubectl apply -n client -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/policies/default-deny.yaml

刷新您的浏览器。您可以看到管理用户界面不再能访问任何节点，因此它们不会显示在用户界面中。

应用以下网络策略以允许管理用户界面访问这些服务：

kubectl apply -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/policies/allow-ui.yaml
kubectl apply -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/policies/allow-ui-client.yaml

刷新您的浏览器。您可以看到管理用户界面可以再次访问节点，但各节点无法相互通信。

应用以下网络策略以允许流量从前端服务传到后端服务：

kubectl apply -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/policies/backend-policy.yaml

刷新您的浏览器。您将看到前端可以与后端进行通信。

应用以下网络策略以允许流量从客户端传到前端服务。

kubectl apply -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/policies/frontend-policy.yaml

刷新您的浏览器。您将看到客户端可以与前端服务进行通信。前端服务仍可以与后端服务进行通信。

（可选）完成该演示后，您可以删除其资源。

kubectl delete -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/manifests/04-client.yaml
kubectl delete -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/manifests/03-frontend.yaml
kubectl delete -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/manifests/02-backend.yaml
kubectl delete -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/manifests/01-management-ui.yaml
kubectl delete -f https://docs.projectcalico.org/v3.5/getting-started/kubernetes/tutorials/stars-policy/manifests/00-namespace.yaml

甚至在删除资源后，节点上仍然存在一些 iptables 规则，这些规则可能以意外方式干扰集群中的联网。删除 Calico 的唯一可靠方法是终止所有节点并将它们回收。要终止所有节点，请将 Auto Scaling 组所需计数设置为 0，然后创建所需数量的备份，或者仅终止节点。如果您无法回收节点，请参阅 Calico GitHub 存储库中的禁用和删除 Calico 策略以了解最后的解决方法。