混合版本代理

功能状态：Kubernetes v1.28 [alpha] (默认启用：false)

Kubernetes 1.34 包含一个 Alpha 功能，它允许 API 服务器将资源请求代理到其他_对等_ API 服务器。当单个集群中运行多个不同版本 Kubernetes 的 API 服务器时（例如，在新版本 Kubernetes 的长期滚动升级期间），此功能非常有用。

这使得集群管理员能够通过在升级期间将资源请求定向到正确的 kube-apiserver，从而配置更安全地升级的高可用集群。这种代理可以防止用户看到因升级过程引起的意外的 404 Not Found 错误。

此机制称为_混合版本代理_。

启用混合版本代理

确保在启动 API 服务器时启用了 UnknownVersionInteroperabilityProxy 功能门。

kube-apiserver \
--feature-gates=UnknownVersionInteroperabilityProxy=true \
# required command line arguments for this feature
--peer-ca-file=<path to kube-apiserver CA cert>
--proxy-client-cert-file=<path to aggregator proxy cert>,
--proxy-client-key-file=<path to aggregator proxy key>,
--requestheader-client-ca-file=<path to aggregator CA cert>,
# requestheader-allowed-names can be set to blank to allow any Common Name
--requestheader-allowed-names=<valid Common Names to verify proxy client cert against>,

# optional flags for this feature
--peer-advertise-ip=`IP of this kube-apiserver that should be used by peers to proxy requests`
--peer-advertise-port=`port of this kube-apiserver that should be used by peers to proxy requests`

# …and other flags as usual

API 服务器之间的代理传输和身份验证

源 kube-apiserver 重用现有的 API 服务器客户端身份验证标志 --proxy-client-cert-file 和 --proxy-client-key-file 来提供其身份，该身份将由其对等方（目标 kube-apiserver）验证。目标 API 服务器根据您使用 --requestheader-client-ca-file 命令行参数指定的配置来验证对等连接。
为了验证目标服务器的服务证书，您必须通过向**源** API 服务器指定 --peer-ca-file 命令行参数来配置证书颁发机构包。

对等 API 服务器连接配置

要设置对等方将用于代理请求的 kube-apiserver 的网络位置，请使用 --peer-advertise-ip 和 --peer-advertise-port 命令行参数来 kube-apiserver 或在 API 服务器配置文件中指定这些字段。如果未指定这些标志，对等方将使用 --advertise-address 或 --bind-address 命令行参数的值。如果这些也未设置，则使用主机的默认接口。