Utilizza un repository gerarchico

Questa pagina descrive in che modo Config Sync legge le configurazioni da una fonte attendibile gerarchica e applica automaticamente la configurazione risultante ai cluster.

Se vuoi maggiore flessibilità strutturale (ad esempio, vuoi creare sottocartelle di risorse), puoi creare una fonte di attendibilità non strutturata. Per la maggior parte dei casi d'uso sono consigliate fonti di attendibilità non strutturate. Se utilizzi già una fonte attendibile gerarchica, puoi convertirla in una fonte attendibile non strutturata.

Per capire in che modo Config Sync utilizza un repository gerarchico, è utile se conosci i repository Git e l'interfaccia a riga di comando git.

Struttura della directory

Per le origini gerarchiche, Config Sync sfrutta le strutture simili a file system e utilizza la directory per determinare a quali cluster o spazi dei nomi è pertinente una configurazione.

namespaces/

La directory namespaces/ contiene configurazioni per spazi dei nomi e oggetti con ambito dello spazio dei nomi. La struttura all'interno di namespaces/ è il meccanismo che gestisce l'ereditarietà dello spazio dei nomi. Puoi limitare gli spazi dei nomi che possono ereditare una configurazione utilizzando un NamespaceSelector.

cluster/

La directory cluster/ contiene configurazioni che si applicano a interi cluster, anziché a spazi dei nomi. Per impostazione predefinita, qualsiasi configurazione nella directory cluster/ si applica a tutti i cluster registrati in Config Sync. Puoi limitare i cluster interessati da una configurazione utilizzando un ClusterSelector.

clusterregistry/

La directory clusterregistry/ è facoltativa e contiene configurazioni per ClusterSelectors. ClusterSelectors limita i cluster a cui viene applicata una configurazione e fa riferimento nelle configurazioni trovate nelle directory cluster/ e namespaces/.

system/

La directory system/ contiene le configurazioni dell'operatore.

Esempio di fonte di riferimento gerarchica

La seguente struttura di directory mostra come utilizzare una fonte attendibile gerarchica di Config Sync per configurare un cluster Kubernetes condiviso da due diversi team, team-1 e team-2.

  • Ogni team ha il proprio spazio dei nomi Kubernetes, account di servizio Kubernetes, quote delle risorse, criteri di rete e associazioni di ruoli.
  • L'amministratore del cluster configura un criterio in namespaces/limit-range.yaml per limitare le allocazioni delle risorse (a pod o container) in entrambi gli spazi dei nomi.
  • L'amministratore del cluster configura anche ClusterRoles e ClusterRoleBinding.

Un'origine gerarchica di Config Sync valida deve includere tre sottodirectory: cluster/, namespaces/ e system/.

La directory cluster/ contiene configurazioni che si applicano a interi cluster (come ClusterRole, ClusterRoleBinding) anziché a spazi dei nomi.

La directory namespaces/ contiene configurazioni per gli oggetti dello spazio dei nomi e per gli oggetti con ambito dello spazio dei nomi. Ogni sottodirectory in namespaces/ include le configurazioni per un oggetto dello spazio dei nomi e tutti gli oggetti con ambito dello spazio dei nomi presenti nello spazio dei nomi. Il nome di una sottodirectory deve corrispondere al nome dell'oggetto spazio dei nomi. Gli oggetti con ambito a livello di spazio dei nomi che devono essere creati in ogni spazio dei nomi possono essere inseriti direttamente sotto namespaces/ (ad esempio, namespaces/limit-range.yaml).

La directory system/ contiene le configurazioni dell'operatore ConfigManagement.

├── cluster
│   ├── clusterrolebinding-namespace-reader.yaml
│   ├── clusterrole-namespace-reader.yaml
│   ├── clusterrole-secret-admin.yaml
│   └── clusterrole-secret-reader.yaml
├── namespaces
│   ├── limit-range.yaml
│   ├── team-1
│   │   ├── namespace.yaml
│   │   ├── network-policy-default-deny-egress.yaml
│   │   ├── resource-quota-pvc.yaml
│   │   ├── rolebinding-secret-reader.yaml
│   │   └── sa.yaml
│   └── team-2
│       ├── namespace.yaml
│       ├── network-policy-default-deny-all.yaml
│       ├── resource-quota-pvc.yaml
│       ├── rolebinding-secret-admin.yaml
│       └── sa.yaml
├── README.md
└── system
    └── repo.yaml

Utilizza l'ereditarietà dello spazio dei nomi e quelli astratti

Con una fonte attendibile gerarchica, puoi utilizzare il concetto di ereditarietà degli spazi dei nomi per applicare automaticamente le configurazioni ai gruppi di spazi dei nomi in tutti i cluster in cui questi spazi dei nomi esistono (o dovrebbero esistere).

L'ereditarietà dello spazio dei nomi si applica alla directory namespaces/ del repository gerarchico e a tutte le sue sottodirectory. Le configurazioni in altre directory del repository, ad esempio cluster/, non sono soggette all'ereditarietà.

In una fonte di riferimento gerarchica, la directory namespaces/ può contenere due diversi tipi di sottodirectory:

  • Una directory dello spazio dei nomi contiene una configurazione per uno spazio dei nomi. Il nome del file contenente la configurazione non è importante, ma la configurazione deve avere kind: Namespace. Una directory dello spazio dei nomi può anche contenere configurazioni per altri tipi di oggetti Kubernetes. Una directory dello spazio dei nomi non può contenere sottodirectory. La configurazione di uno spazio dei nomi rappresenta uno spazio dei nomi effettivo in un cluster.

  • Una directory dello spazio dei nomi astratta contiene directory dello spazio dei nomi. Può contenere anche configurazioni per altri oggetti Kubernetes, ma non può contenere direttamente una configurazione per uno spazio dei nomi. Una directory dello spazio dei nomi astratta non rappresenta un oggetto in un cluster Kubernetes, a differenza delle directory dello spazio dei nomi discendenti.

Per garantire che le origini dello spazio dei nomi e quelle astratte abbiano il tipo corretto di configurazioni e struttura, in caso di problemi viene segnalato l'errore KNV1003: IllegalNamespaceSubdirectoryError.

Le configurazioni in una directory dello spazio dei nomi si applicano solo a quello spazio dei nomi. Tuttavia, le configurazioni in una directory dello spazio dei nomi astratta vengono applicate a tutte le directory discendenti dello spazio dei nomi astratto (o agli spazi dei nomi discendenti che corrispondono a NamespaceSelector di una configurazione, se presente).

L'ereditarietà di una configurazione nella directory namespaces/ si basa in gran parte sulla sua posizione all'interno della struttura di directory nella fonte di riferimento. Per capire quali configurazioni vengono applicate a un dato spazio dei nomi in un cluster, puoi sfogliare il repository di esempio di ereditarietà dello spazio dei nomi.

Spazi dei nomi limitati

config-management-system è uno spazio dei nomi limitato. Non puoi usarla come directory dello spazio dei nomi astratta. Puoi definire uno spazio dei nomi config-management-system, ma l'unico tipo di risorsa consentito per lo spazio dei nomi config-management-system è RootSync.

Apportare modifiche alla fonte di riferimento

Quando apporti una modifica nella tua fonte attendibile che crea o elimina le directory dello spazio dei nomi all'interno della directory namespaces/, potresti ricevere risultati imprevisti a seconda dell'azione:

  • Creazione di una directory: quando viene eseguito il commit di una gerarchia namespaces/ valida nella sorgente di dati, Config Sync crea gli spazi dei nomi e quindi crea gli oggetti Kubernetes in questi spazi dei nomi per ogni configurazione che la directory dello spazio dei nomi contiene o eredita.
  • Eliminazione di una directory: l'eliminazione di una directory dello spazio dei nomi è un'operazione distruttiva. Lo spazio dei nomi e i suoi contenuti vengono eliminati su ogni cluster gestito da Config Sync in cui si trova lo spazio dei nomi. Se elimini una directory dello spazio dei nomi astratta contenente directory dello spazio dei nomi discendente, tutti questi spazi dei nomi e i relativi contenuti vengono eliminati da ogni cluster gestito da Config Sync.

  • Rinominazione di una directory: la ridenominazione di una directory dello spazio dei nomi è un'eliminazione, seguita da una creazione, ed è considerata un'operazione distruttiva. La ridenominazione di una directory dello spazio dei nomi astratto non ha effetto visibile all'esterno.

  • Spostamento di una directory: lo spostamento di uno spazio dei nomi o di una directory astratta dello spazio dei nomi all'interno di namespaces/ non elimina lo spazio dei nomi o gli oggetti al suo interno, tranne nel caso in cui lo spazio dei nomi inizi o smetta di ereditare una configurazione da una directory dello spazio dei nomi astratta, a causa di una modifica nella sua gerarchia.

Passaggi successivi