使用Kubeadm引导隔离集群
内容提要
本文讨论了如何在与互联网隔离的环境中部署Kubernetes集群，特别是在涉及敏感数据的情况下。文章详细介绍了在Fedora Linux上设置Kubernetes集群的步骤，包括准备虚拟机、下载所需软件和配置网络，并介绍了如何使用Zarf工具在隔离环境中部署应用程序。
延伸解读
隔离环境部署的挑战与应对
在电力、水务、银行等敏感领域，系统常与互联网物理隔离，软件部署需通过硬盘、USB等物理介质传输。文章以Fedora Linux和kubeadm为例，演示了在隔离虚拟机中引导Kubernetes集群的完整流程，包括系统配置、组件下载与传输。这种部署方式耗时且易出错，每个遗漏的依赖都可能导致数小时甚至数周的延误，因此提前识别所有必要组件至关重要。
实验环境与真实隔离的差异
文章使用单台虚拟机模拟隔离环境，通过注入默认路由到虚拟网卡使互联网不可达，但保留与主机的连接以便用scp传输数据。真实隔离环境可能涉及数据二极管等昂贵设备，且通常会在安全侧进行恶意软件扫描。实验环境简化了这些环节，实际部署时需考虑更严格的隔离措施和安全性检查，不能直接照搬实验步骤。
Zarf工具简化声明式部署
Zarf是一个开源工具，采用声明式方法打包和交付软件，特别适合隔离环境。通过zarf.yaml定义应用组件，使用zarf package create生成单个包文件，只需传输该文件即可完成部署。文章以Podinfo应用为例，展示了从构建包到在隔离集群中部署的完整过程，相比手动传输多个组件，Zarf显著减少了跨隔离传输的复杂性和出错概率。
安全配置的权衡与注意事项
在实验环境中，为简化部署，文章禁用了防火墙、SELinux和swap，并配置了不安全的本地镜像仓库。这些操作在演示中可行，但生产环境中需谨慎评估。例如，禁用SELinux可能降低系统安全性，使用不安全的仓库可能引入风险。此外，Docker的allow-nondistributable-artifacts选项允许推送通常受限制的镜像层，在隔离环境中可能必要，但需注意许可和分发合规性。
Q&A
如何在与互联网隔离的环境中部署Kubernetes集群？
在隔离环境中部署Kubernetes集群需要准备虚拟机、下载所需软件并配置网络，使用物理方式传输软件组件。
在隔离环境中如何传输软件组件？
软件组件需要通过物理方式传输，例如使用硬盘、USB等，或使用scp命令在主机和虚拟机之间传输数据。
在Fedora Linux上安装Kubernetes前需要进行哪些配置？
需要禁用防火墙、关闭SELinux、配置DNS等系统设置，以确保Kubernetes能够正常运行。
Zarf工具在隔离环境中有什么作用？
Zarf工具可以以声明性方式部署应用程序，简化软件打包和交付的过程，适用于隔离环境。
在隔离环境中使用Kubernetes的主要应用场景是什么？
主要应用于处理敏感数据的领域，如电力、水务、银行和医疗等。
如何在隔离的虚拟机上安装Kubernetes组件？
在虚拟机上下载所有必要的Kubernetes组件和依赖项后，使用dnf命令安装这些RPM包。
