混合版本代理

特性状态： Kubernetes v1.28 [alpha] (默认启用：false)

Kubernetes 1.33 包含一个 Alpha 特性，该特性使得 API 服务器能够将资源请求代理到其他 对等 (peer) API 服务器。这在集群中运行多个不同版本 Kubernetes 的 API 服务器时非常有用（例如，在向新版 Kubernetes 进行长期滚动更新期间）。

这使得集群管理员可以配置高可用性集群，通过将（在升级期间发出的）资源请求导向正确的 kube-apiserver，从而更安全地进行升级。这种代理机制可以防止用户看到源自升级过程中出现的意外 404 Not Found 错误。

这种机制称为 混合版本代理（Mixed Version Proxy）。

启用混合版本代理

启动 API 服务器时，确保 UnknownVersionInteroperabilityProxy 特性门控已启用。

kube-apiserver \
--feature-gates=UnknownVersionInteroperabilityProxy=true \
# required command line arguments for this feature
--peer-ca-file=<path to kube-apiserver CA cert>
--proxy-client-cert-file=<path to aggregator proxy cert>,
--proxy-client-key-file=<path to aggregator proxy key>,
--requestheader-client-ca-file=<path to aggregator CA cert>,
# requestheader-allowed-names can be set to blank to allow any Common Name
--requestheader-allowed-names=<valid Common Names to verify proxy client cert against>,

# optional flags for this feature
--peer-advertise-ip=`IP of this kube-apiserver that should be used by peers to proxy requests`
--peer-advertise-port=`port of this kube-apiserver that should be used by peers to proxy requests`

# …and other flags as usual

API 服务器之间的代理传输和身份认证

源端 kube-apiserver 重用现有的 API 服务器客户端身份认证参数 --proxy-client-cert-file 和 --proxy-client-key-file 来提供其身份，该身份将由其对等端（目标端 kube-apiserver）验证。目标端 API 服务器基于你使用 --requestheader-client-ca-file 命令行参数指定的配置来验证该对等连接。
为了对目标服务器的服务证书进行身份认证，你必须通过向源端 API 服务器指定 --peer-ca-file 命令行参数来配置证书颁发机构捆绑包。

对等 API 服务器连接配置

要设置对等端用于代理请求的 kube-apiserver 的网络位置，请使用 --peer-advertise-ip 和 --peer-advertise-port 命令行参数来启动 kube-apiserver，或在 API 服务器配置文件中指定这些字段。如果这些标志未指定，对等端将使用 kube-apiserver 的 --advertise-address 或 --bind-address 命令行参数的值。如果这些参数也未设置，则使用主机的默认接口。