运行并连接到 AlloyDB Omni

选择文档版本：

本页面介绍了如何在将 AlloyDB Omni 部署到 Kubernetes 集群后运行并连接到 AlloyDB Omni。

准备工作

您需要将 AlloyDB Omni Kubernetes 操作器安装到 Kubernetes 集群上，才能执行本页面中所述的任务。

本页面上特定于 Kubernetes 的说明假定您基本熟悉如何操作 Kubernetes。

运行 AlloyDB Omni

您用于运行 AlloyDB Omni 的过程取决于您是否在 Kubernetes 集群上运行 AlloyDB Omni。

如需控制和监控 AlloyDB Omni，请更新 Kubernetes 集群的清单，如以下各部分所示。

启动 AlloyDB Omni

通过在其清单定义中将 isStopped 设置为 false 来启动已停止的数据库集群。

您可以使用 kubectl 在命令行中执行此操作：

  kubectl patch dbclusters.alloydbomni.dbadmin.goog dbcluster-sample \
  -p '{"spec":{"primarySpec":{"isStopped":false}}}' --type=merge

检查 AlloyDB Omni 的状态

kubectl get dbclusters.alloydbomni.dbadmin.goog DB_CLUSTER_NAME

将 DB_CLUSTER_NAME 替换为您的数据库集群的名称。

停止 AlloyDB Omni

Kubernetes

如需停止数据库集群，请在其清单定义中将 isStopped 设置为 true。

您可以使用 kubectl 在命令行中执行此操作：

  kubectl patch dbclusters.alloydbomni.dbadmin.goog dbcluster-sample -p '{"spec":{"primarySpec":{"isStopped":true}}}' --type=merge

连接到 Kubernetes 上运行的 AlloyDB Omni

AlloyDB Omni Kubernetes 操作器允许从同一 Kubernetes 集群中连接到数据库集群，并可选择使用证书进行身份验证。

使用预安装的 psql 进行连接

您可以使用已在运行数据库的 Pod 上安装的 psql 客户端进行测试连接。

为此，请运行以下命令：

export DBPOD=`kubectl get pod --selector=alloydbomni.internal.dbadmin.goog/dbcluster=DB_CLUSTER_NAME,alloydbomni.internal.dbadmin.goog/task-type=database -o jsonpath='{.items[0].metadata.name}'`
kubectl exec -ti $DBPOD -c database -- /bin/psql -h localhost -U postgres

将 DB_CLUSTER_NAME 替换为您的数据库集群的名称。这是您在创建数据库集群时声明的同一个名称。

输入该命令后，数据库服务器会提示您输入密码。 输入您在创建数据库集群时，提供其 base64 编码版本作为 Kubernetes Secret 的密码。例如，如果您使用 Q2hhbmdlTWUxMjM= Secret 创建了数据库集群，那么此处使用的登录密码为 ChangeMe123。

AlloyDB Omni 操作器会将您以 postgres 用户角色连接到服务器，并显示 postgres=# 命令提示符。现在，您可以运行 psql 命令和 SQL 查询。

如需退出 psql，请运行 \q 命令。

从同一集群中的单独 Pod 进行连接

默认情况下，运行 AlloyDB Omni 数据库集群的 Pod 允许从同一 Kubernetes 集群内进行连接。建议的最佳实践是使用 TLS 保护与数据库集群的所有连接。

如需提供您自己的服务器 TLS 证书，请在配置数据库集群时指定证书 Secret。如果您未指定证书 Secret，AlloyDB Omni Kubernetes 操作器会根据由自签名证书授权机构签名的证书为您创建 TLS 证书 Secret。无论是哪种情况，您都可以要求数据库客户端 Pod 对每个连接强制进行证书验证，以确保 TLS 安全性。

如需使用 TLS 建立安全的数据库连接，请执行以下操作：

  • 在定义进行客户端连接的 Pod 的清单中，指定 TLS 证书 Secret。可以是下列选项之一：

    • 您已在 Kubernetes 集群中创建的 TLS 证书 Secret。如需详细了解如何在 Kubernetes 中使用 TLS 证书 Secret，请参阅 TLS Secret。

    • 当您未在数据库集群的清单中指定 TLS Secret 时，AlloyDB Omni Kubernetes 操作器为您创建的默认证书 Secret，其名称为 DB_CLUSTER_NAME-ca-cert。

  • 每当客户端 Pod 连接到数据库集群时，都必须在建立连接之前定义以下环境变量：

    • 将 PGSSLMODE 设置为 "verify-ca"。

    • 将 PGSSLROOTCERT 设置为客户端 Pod 文件系统中相关 ca.crt 文件的绝对路径。

以下清单示例展示了如何配置用于安装官方 PostgreSQL 映像（其中包含 psql 命令行客户端）的 Pod。此示例假定您未在定义数据库集群的清单中指定任何 TLS Secret 配置。因此，AlloyDB Omni Kubernetes 操作器会使用默认的 TLS Secret，其名称为 dbs-al-cert-DB_CLUSTER_NAME。

apiVersion: v1
kind: Pod
metadata:
  name: postgres
spec:
  containers:
  - image: "docker.io/library/postgres:latest"
    command:
      - "sleep"
      - "604800"
    imagePullPolicy: IfNotPresent
    name: db-client
    volumeMounts:
    - name: ca-cert
      mountPath: "/DB_CLUSTER_NAME-ca-cert"
      readOnly: true
  volumes:
  - name: ca-cert
    secret:
      secretName: dbs-al-cert-DB_CLUSTER_NAME
  restartPolicy: Always

将 DB_CLUSTER_NAME 替换为您的数据库集群的名称。这是您在创建数据库集群时声明的同一个名称。

现在，您可以使用以下步骤通过 Pod 安全地连接到数据库集群：

  1. 确定数据库集群的内部 IP 地址：

    kubectl get dbclusters.alloydbomni.dbadmin.goog

    输出类似以下内容：

    NAME              PRIMARYENDPOINT   PRIMARYPHASE   DBCLUSTERPHASE
DB_CLUSTER_NAME   IP_ADDRESS        Ready          DBClusterReady

    记下 IP_ADDRESS，在后续步骤中会使用它。

  2. 使用 psql 从客户端 Pod 连接到集群，并设置用于启用和要求进行 TLS 证书验证的环境变量：

    kubectl exec -it postgres -- bash
PGSSLMODE="verify-ca" PGSSLROOTCERT=/DB_CLUSTER_NAME-ca-cert/ca.crt psql -h IP_ADDRESS -p 5432 -U postgres -d postgres

    将 IP_ADDRESS 替换为您在上一步中确定的内部 IP 地址。

后续步骤