问题标签 [kops]

我完全失去了。我有一个在 ec2 上运行的 kubernetes 集群。我使用 kops（版本 1.7.3/1.7.0 客户端/服务器）设置它。它已经工作了 4 个月，突然间我在创建新的 pod 时开始收到这个。

我相当确定我没有对 AWS IAM 中的节点或主角色进行任何更改。我的回购网址中没有错误。我可以使用公共图像创建 pod。

我在 cloudtrail 中找不到任何有用的东西。我怎样才能进一步调试正在发生的事情？

kops我已经使用以下命令在 AWS 上成功设置了一个 kubernetes 集群：

集群有 1 个 master 和 2 个 slave。

我正在尝试按照这些指南使用以下命令部署仪表板：

1 .

我收到以下错误：

2 .

我的仪表板无法通过https://<my_master_node_public_ip>/ui

相反，我得到以下信息：

3 .

运行后

并尝试通过以下方式访问仪表板：

按照相关指南的指示，我遇到了完全相同的问题。

编辑：这是关闭验证错误时的结果：

Kops 将 1/8 的 CIDR 分配给其私有子网，并将 1/64 的 CIDR 分配给其实用程序子网。

如果我们创建一个具有 1024 个 IP 和三个区域的多可用区集群，私有子网将覆盖1/8*1024*3 = 384 个 IP ，实用子网将覆盖1/64*1024*3 = 48 个 IP。这是 432 的总和。

• 这大约是 1024 的一半。为什么有这么多 IP 未被使用？
• 为什么 kops 会以这种方式分配 IP？（每个 AZ 中私有子网的 CIDR 的 1/8）。

只是想知道在创建 KOPS 集群时如何在 aws 上使用现有的 Route Tables 和 SecGroups。我可以通过提供它们的 ID 来使用现有的 VPC 和子网进行创建，但它会创建一个新的路由表，并且我的子网已经附加到另一个路由表。

对此有任何想法吗？

我使用 kops 设置了我的 Kubernetes 集群，并且是从本地机器上完成的。所以我的.kube目录存储在我的本地机器上，但我设置kops了状态存储在s3.

我现在正在设置我的 CI 服务器，我想kubectl从那个盒子运行我的命令。如何将现有状态导入该服务器？

根据kops和aws的文档，专用kops用户需要IAMFullAccess权限才能正常操作。

为什么需要此权限？

有没有办法避免（即限制）这种情况，因为创建具有这种权限的用户有点太侵入性？

编辑：可以假设需要特定权限才能将各自的角色附加到主实例和节点实例；

因此，问题/挑战可能变成如何：

• 不使用IAMFullAccess
• 与节点创建/引导过程同步并附加上述角色；（也许在预配置的实例上创建一个集群？ - 不知道 kops 是否提供了这一点）

我在 kops 配置的 AWS 集群上测试了使用 EBS 卷挂载的 kubernetes 部署。这是部署 yml 文件：

之后kubectl create -f <path_to_this_yml>，我在 pod 描述中收到以下消息：

看起来这只是一个权限问题。好的，我检查了节点角色的策略IAM-> Roles->nodes.<my_domain>并发现没有允许操作卷的ec2:DescribeInstances操作，默认情况下只有操作。所以我添加了AttachVolume操作DetachVolume：

这没有帮助。我仍然收到该错误：

我错过了什么吗？

我在aws使用时创建了一个集群kops。

但是，我无法找到证书颁发机构用来生成客户端证书的文件。

kops默认情况下会创建这样的东西吗？

如果是这样，创建客户端证书的推荐过程是什么？

kops文档对此不是很清楚。

我在使用时创建了一个kubernetes集群。awskops

除非我错了，否则ca.crt和ca.key文件位于以下位置，如这个非常有用的答案所示：

但是，我不禁注意到在我的~/.kube/config文件（由 自动创建kops）中，我有一个名为：

其内容与上述两个文件都不同。

在任何情况下，我们在颁发客户端证书时应该使用的 CA 密钥/crt 对是什么？

为什么有（似乎）不止一个 CA？

使用kubectl和kops 1.8

aws当使用kops客户端证书（在client-certificate-data字段中 以字符串形式出现）旋转集群时，~/.kube/config创建的值如下：

除非我错了，从 开始， rganitazionkubernetes 1.4的值被解释为信息（与值关联的字符串就是所谓的用户，因为本来就没有这样的概念）OgroupCNk8s

1：如何查看与system:masters组和/或kubecfg用户关联的权限？

• （与上述有关）：我现在使用的开箱即用的授权方式是什么？RBAC? 我怎样才能检查这个？

2：为什么我的条目没有~/.kube/config包含用户？（而是一个带有我的集群名称的用户和另一个名为的用户？）kubecfgadmin

kubectl归根结底，在执行命令时，我正在与哪个用户执行 api 调用？

更新：我试图弄乱我的价值，client-certificate-data我~/.kube/config得到了

错误：tls：私钥与公钥不匹配

我假设这意味着我正在使用x509基于身份验证（？）

所以我将 api 调用作为kubecfg？