本页面介绍了如何在将 AlloyDB Omni 部署到 Kubernetes 集群后运行并连接到 AlloyDB Omni。
本页面上特定于 Kubernetes 的说明假定您基本熟悉如何操作 Kubernetes。
运行 AlloyDB Omni
您用于运行 AlloyDB Omni 的过程取决于您是否在 Kubernetes 集群上运行 AlloyDB Omni。
启动 AlloyDB Omni
通过在其清单定义中将 isStopped 设置为 false 来启动已停止的数据库集群。
您可以使用 kubectl 在命令行中执行此操作：
kubectl patch dbclusters.alloydbomni.dbadmin.goog DB_CLUSTER_NAME \
-p '{"spec":{"primarySpec":{"isStopped":false}}}' --type=merge -n DB_CLUSTER_NAMESPACE替换以下内容：
DB_CLUSTER_NAME：此数据库集群的名称，例如my-db-cluster。DB_CLUSTER_NAMESPACE（可选）：您在其中创建此数据库集群的命名空间，例如my-db-cluster-namespace。
检查 AlloyDB Omni 的状态
kubectl get dbclusters.alloydbomni.dbadmin.goog DB_CLUSTER_NAME -n DB_CLUSTER_NAMESPACE替换以下内容：
DB_CLUSTER_NAME：您的数据库集群的名称。DB_CLUSTER_NAMESPACE（可选）：您在其中创建数据库集群的命名空间。
停止 AlloyDB Omni
如需停止数据库集群，请在其清单定义中将 isStopped 设置为 true。
您可以使用 kubectl 在命令行中执行此操作：
kubectl patch dbclusters.alloydbomni.dbadmin.goog DB_CLUSTER_NAME -p '{"spec":{"primarySpec":{"isStopped":true}}}' --type=merge -n DB_CLUSTER_NAMESPACE替换以下内容：
* `DB_CLUSTER_NAME`: the name of this database cluster—for example, `my-db-cluster`.
* `DB_CLUSTER_NAMESPACE` (Optional): the namespace where you created this database cluster—for example, `my-db-cluster-namespace`.
连接到 Kubernetes 上运行的 AlloyDB Omni
AlloyDB Omni Kubernetes 操作器允许从同一 Kubernetes 集群中连接到数据库集群，并可选择使用证书进行身份验证。
使用预安装的 psql 进行连接
您可以使用已在运行数据库的 Pod 上安装的 psql 客户端进行测试连接。
为此，请运行以下命令：
export DBPOD=`kubectl get pod --selector=alloydbomni.internal.dbadmin.goog/dbcluster=DB_CLUSTER_NAME,alloydbomni.internal.dbadmin.goog/task-type=database -n DB_CLUSTER_NAMESPACE -o jsonpath='{.items[0].metadata.name}'`kubectl exec -ti $DBPOD -n DB_CLUSTER_NAMESPACE -c database -- psql -h localhost -U postgres
将 DB_CLUSTER_NAME 替换为您的数据库集群的名称。这是您在创建数据库集群时声明的同一个名称。
如果您是在默认命名空间中创建了数据库集群，则可以跳过设置 DB_CLUSTER_NAMESPACE 的操作。
输入该命令后，数据库服务器会提示您输入密码。
输入您在创建数据库集群时，提供其 base64 编码版本作为 Kubernetes Secret 的密码。例如，如果您使用 Q2hhbmdlTWUxMjM= Secret 创建了数据库集群，那么此处使用的登录密码为 ChangeMe123。
AlloyDB Omni 操作器会将您以 postgres 用户角色连接到服务器，并显示 postgres=# 命令提示符。现在，您可以运行 psql 命令和 SQL 查询。
如需退出 psql，请运行 \q 命令。
从同一集群中的单独 Pod 进行连接
默认情况下，运行 AlloyDB Omni 数据库集群的 Pod 允许从同一 Kubernetes 集群内进行连接。建议的最佳实践是使用 TLS 保护与数据库集群的所有连接。
如需提供您自己的服务器 TLS 证书，请在配置数据库集群时指定证书 Secret。如果您未指定证书 Secret，AlloyDB Omni Kubernetes 操作器会根据由自签名证书授权机构签名的证书为您创建 TLS 证书 Secret。无论是哪种情况，您都可以要求数据库客户端 Pod 对每个连接强制进行证书验证，以确保 TLS 安全性。
如需使用 TLS 建立安全的数据库连接，请执行以下操作：
在定义进行客户端连接的 Pod 的清单中，指定 TLS 证书 Secret。可以是下列选项之一：
您已在 Kubernetes 集群中创建的 TLS 证书 Secret。如需详细了解如何在 Kubernetes 中使用 TLS 证书 Secret，请参阅 TLS Secret。
当您未在数据库集群的清单中指定 TLS Secret 时，AlloyDB Omni Kubernetes 操作器为您创建的默认证书 Secret，其名称为
DB_CLUSTER_NAME-ca-cert。
每当客户端 Pod 连接到数据库集群时，都必须在建立连接之前定义以下环境变量：
将
PGSSLMODE设置为"verify-ca"。将
PGSSLROOTCERT设置为客户端 Pod 文件系统中相关ca.crt文件的绝对路径。
以下清单示例展示了如何配置用于安装官方 PostgreSQL 映像（其中包含 psql 命令行客户端）的 Pod。此示例假定您未在定义数据库集群的清单中指定任何 TLS Secret 配置。因此，AlloyDB Omni Kubernetes 操作器会使用默认的 TLS Secret，其名称为 dbs-al-cert-DB_CLUSTER_NAME。
apiVersion: v1
kind: Pod
metadata:
name: postgres
namespace: DB_CLUSTER_NAMESPACE
spec:
containers:
- image: "docker.io/library/postgres:latest"
command:
- "sleep"
- "604800"
imagePullPolicy: IfNotPresent
name: db-client
volumeMounts:
- name: ca-cert
mountPath: "/DB_CLUSTER_NAME-ca-cert"
readOnly: true
volumes:
- name: ca-cert
secret:
secretName: dbs-al-cert-DB_CLUSTER_NAME
restartPolicy: Always
替换以下内容：
DB_CLUSTER_NAME：您的数据库集群的名称。这是您在创建数据库集群时声明的同一个名称。DB_CLUSTER_NAMESPACE（可选）：您在其中创建数据库集群的命名空间。
现在，您可以使用以下步骤通过 Pod 安全地连接到数据库集群：
确定数据库集群的内部 IP 地址：
kubectl get dbclusters.alloydbomni.dbadmin.goog -n DB_CLUSTER_NAMESPACE输出类似以下内容：
NAME PRIMARYENDPOINT PRIMARYPHASE DBCLUSTERPHASE DB_CLUSTER_NAME IP_ADDRESS Ready DBClusterReady记下
IP_ADDRESS，在后续步骤中会使用它。使用
psql从客户端 Pod 连接到集群，并设置用于启用和要求进行 TLS 证书验证的环境变量：kubectl exec -it postgres -n DB_CLUSTER_NAMESPACE -- bashPGSSLMODE="verify-ca" PGSSLROOTCERT=/DB_CLUSTER_NAME-ca-cert/ca.crt psql -h IP_ADDRESS -p 5432 -U postgres -d postgres将
IP_ADDRESS替换为您在上一步中确定的内部 IP 地址。