租约
分布式系统通常需要**租约**,它提供一种机制来锁定共享资源并协调集合成员之间的活动。在 Kubernetes 中,租约概念由 `coordination.k8s.io` API 组中的 Lease 对象表示,用于系统关键能力,例如节点心跳和组件级领导者选举。
节点心跳
Kubernetes 使用 Lease API 向 Kubernetes API 服务器传达 kubelet 节点心跳。对于每个 `Node`,在 `kube-node-lease` 命名空间中都有一个同名的 `Lease` 对象。在底层,每个 kubelet 心跳都是对此 `Lease` 对象的更新请求,更新该 Lease 的 `spec.renewTime` 字段。Kubernetes 控制平面使用此字段的时间戳来确定此 `Node` 的可用性。
有关更多详细信息,请参阅节点 Lease 对象。
领导者选举
Kubernetes 还使用租约来确保在任何给定时间只有一个组件实例在运行。HA 配置中的控制平面组件(例如 `kube-controller-manager` 和 `kube-scheduler`)也使用此功能,在这些配置中,只有一个组件实例应该处于活动运行状态,而其他实例则处于备用状态。
阅读协调的领导者选举,了解 Kubernetes 如何基于 Lease API 来选择哪个组件实例充当领导者。
API 服务器身份
从 Kubernetes v1.26 开始,每个 `kube-apiserver` 使用 Lease API 将其身份发布给系统的其余部分。虽然它本身不是特别有用,但这为客户端提供了一种机制来发现有多少个 `kube-apiserver` 实例正在运行 Kubernetes 控制平面。`kube-apiserver` 租约的存在为将来可能需要各个 `kube-apiserver` 之间协调的功能提供了支持。
你可以通过检查 `kube-system` 命名空间中名称为 `apiserver-
kubectl -n kube-system get lease -l apiserver.kubernetes.io/identity=kube-apiserver
NAME HOLDER AGE
apiserver-07a5ea9b9b072c4a5f3d1c3702 apiserver-07a5ea9b9b072c4a5f3d1c3702_0c8914f7-0f35-440e-8676-7844977d3a05 5m33s
apiserver-7be9e061c59d368b3ddaf1376e apiserver-7be9e061c59d368b3ddaf1376e_84f2a85d-37c1-4b14-b6b9-603e62e4896f 4m23s
apiserver-1dfef752bcb36637d2763d1868 apiserver-1dfef752bcb36637d2763d1868_c5ffa286-8a9a-45d4-91e7-61118ed58d2e 4m43s
租约名称中使用的 SHA256 哈希值基于该 API 服务器所看到的操作系统主机名。每个 `kube-apiserver` 都应该配置一个在集群中唯一的主机名。使用相同主机名的新 `kube-apiserver` 实例将使用新的持有者身份接管现有租约,而不是实例化新的 Lease 对象。你可以通过检查 `kubernetes.io/hostname` 标签的值来查看 `kube-apisever` 使用的主机名。
kubectl -n kube-system get lease apiserver-07a5ea9b9b072c4a5f3d1c3702 -o yaml
apiVersion: coordination.k8s.io/v1
kind: Lease
metadata:
creationTimestamp: "2023-07-02T13:16:48Z"
labels:
apiserver.kubernetes.io/identity: kube-apiserver
kubernetes.io/hostname: master-1
name: apiserver-07a5ea9b9b072c4a5f3d1c3702
namespace: kube-system
resourceVersion: "334899"
uid: 90870ab5-1ba9-4523-b215-e4d4e662acb1
spec:
holderIdentity: apiserver-07a5ea9b9b072c4a5f3d1c3702_0c8914f7-0f35-440e-8676-7844977d3a05
leaseDurationSeconds: 3600
renewTime: "2023-07-04T21:58:48.065888Z"
不再存在的 `kube-apiserver` 的过期租约将在 1 小时后由新的 `kube-apiserver` 进行垃圾回收。
你可以通过禁用 `APIServerIdentity` 特性门控来禁用 API 服务器身份租约。
工作负载
你自己的工作负载可以定义其对租约的使用。例如,你可能运行一个自定义的控制器,其中一个主或领导者成员执行其他对等成员不执行的操作。你定义一个租约,以便控制器副本可以使用 Kubernetes API 进行协调,选择或选举一个领导者。如果你确实使用了租约,一个好的做法是为租约定义一个明显与产品或组件相关的名称。例如,如果你的组件名为 Example Foo,则使用名为 `example-foo` 的租约。
如果集群操作员或其他最终用户可以部署组件的多个实例,请选择一个名称前缀并选择一种机制(例如 Deployment 名称的哈希值)来避免租约名称冲突。
只要能够达到同样的结果,你可以使用另一种方法:不同的软件产品彼此不冲突。