如何让 kubernetes 仪表板通过普通 http 访问？

Question

从基本上几周开始，我一直在为此苦苦挣扎...从字面上看，没有一个例子在整个互联网上做到这一点。它实际上是安静的搞笑。

我的仪表板部署：

spec:
  progressDeadlineSeconds: 600
  replicas: 1
  revisionHistoryLimit: 10
  selector:
    matchLabels:
      k8s-app: kubernetes-dashboard
  strategy:
    rollingUpdate:
      maxSurge: 25%
      maxUnavailable: 25%
    type: RollingUpdate
  template:
    metadata:
      creationTimestamp: null
      labels:
        k8s-app: kubernetes-dashboard
    spec:
      containers:
      - args:
        - --namespace=kube-system
        - --enable-insecure-login
        - --insecure-bind-address=0.0.0.0
        image: kubernetesui/dashboard:v2.3.0
        imagePullPolicy: IfNotPresent
        livenessProbe:
          failureThreshold: 3
          httpGet:
            path: /
            port: 9090
            scheme: HTTP
          initialDelaySeconds: 30
          periodSeconds: 10
          successThreshold: 1
          timeoutSeconds: 30
        name: kubernetes-dashboard
        ports:
        - containerPort: 9090
          name: http
          protocol: TCP
        resources: {}
        securityContext:
          allowPrivilegeEscalation: false
          readOnlyRootFilesystem: true
          runAsGroup: 2001
          runAsUser: 1001
        terminationMessagePath: /dev/termination-log
        terminationMessagePolicy: File
        volumeMounts:
        - mountPath: /certs
          name: kubernetes-dashboard-certs
        - mountPath: /tmp

请注意以下内容：

在官方仪表板参数文档

我将参数添加到仪表板部署中：

--enable-insecure-login

启用不安全的登录：意味着默认端口9090将在仪表板上可用（我猜是容器）。

如您所见，我进一步使该容器在Kubernetes Pod本身上

ports:
        - containerPort: 9090
          name: http
          protocol: TCP

本身都可以访问。

这是我的服务。yaml：

apiVersion: v1
kind: Service
metadata:
  annotations:
    kubectl.kubernetes.io/last-applied-configuration: |
      {"apiVersion":"v1","kind":"Service","metadata":{"annotations":{},"labels":{"k8s-app":"kubernetes-dashboard"},"name":"kubernetes-dashboard","namespace":"kube-system"},"spec":{"ports":[{"port":443,"targetPort":8443}],"selector":{"k8s-app":"kubernetes-dashboard"}}}
  creationTimestamp: "2022-04-05T13:11:22Z"
  labels:
    k8s-app: kubernetes-dashboard
  name: kubernetes-dashboard
  namespace: kube-system
  resourceVersion: "12795"
  selfLink: /api/v1/namespaces/kube-system/services/kubernetes-dashboard
  uid: 01bb1897-e18f-418e-949d-465069b561de
spec:
  clusterIP: 10.152.183.208
  clusterIPs:
  - 10.152.183.208
  externalTrafficPolicy: Cluster
  internalTrafficPolicy: Cluster
  ipFamilies:
  - IPv4
  ipFamilyPolicy: SingleStack
  ports:
  - nodePort: 30838
    port: 9090
    protocol: TCP
    targetPort: 9090
  selector:
    k8s-app: kubernetes-dashboard
  sessionAffinity: None
  type: NodePort
status:
  loadBalancer: {}

这里我们可以很好地看到端口都正确分配了：

- nodePort: 30838
    port: 443
    protocol: TCP
    targetPort: 9090

nodePort是可选的。.它将是服务将所有这些都展示到外界的端口（aka）浏览器等。）

端口是该服务将在群集内公开的端口。我选择将其留在其默认值中。

最后，targetPort必须匹配POD上最初暴露的端口。而且确实如此。

当然，我已经设置了- 不安全bind-address = 0.0.0.0在仪表板参数内，以允许在任何地址上提供不安全的端口。

当我尝试使用浏览器访问它时，它就死了。没有回应，什么都没有。

那我出了什么问题？

真的没有例子吗？如果我设法使它工作，那么，作为事实，我计划正式提出解决Kubernetes本身或一些主要辅导服务的解决方案。我看到数百人在为此挣扎，最终放弃等。

Answer 1

查看 kubernetes-dashboard 源代码，它要么提供 HTTPS，要么提供 HTTP（但不能同时提供两者）。具有 --insecure-bind-address=0.0.0.0、insecure-port=9090 并且没有有关 cert/TLS 的参数（即删除默认值 --auto-generate-certificates）为我解决了这个问题。

仍然存在身份验证问题 - 使用 HTTP，仪表板不提供登录机制 - 它将使用服务帐户进行 k8s 身份验证。请参阅 此 SO 线程 和 这篇文章了解更多详细信息。