容器服务 Kubernetes 版 ACK：通过onectl管理注册集群

与目标集群的通信

通过onectl连接注册集群与目标集群时，onectl需要在目标集群中部署注册集群agent，此时，onectl将按照以下优先级依次尝试使用对应的KubeConfig与目标集群进行通信。

1. kubeconfig参数

   例如，通过以下命令使用~/.kube/config配置文件与目标集群通信，并将目标集群连接至注册集群。

   onectl cluster connect --cluster-id **** --kubeconfig ~/.kube/config

2. KUBECONFIG环境变量

   若上述kubeconfig参数未指定，onectl会使用KUBECONFIG环境变量指向的KubeConfig配置文件。

3. onectl配置文件~/.onectl/config.json中的Kubeconfig Path字段

   若以上两个字段都不存在，则使用该字段指向的配置文件。该字段的配置请参见步骤二：配置onectl RAM用户。

4. ~/.kube/config

   若上述字段均为空，则默认使用该配置文件。

连接注册集群

onectl连接注册集群时，将依次执行以下操作。

1. 获取注册集群的连接信息，并保存到本地名为agent.yaml的文件中。

2. 根据此YAML文件的内容，在目标集群中部署注册集群agent。

例如，执行以下命令，连接注册集群与目标集群。

onectl cluster connect --cluster-id ****

预期输出：

Agent information saved as agent.yaml.
Installing ACK One agent using kubeconfig file **** to connect to registered cluster ****.
Confirm? [Y/n]: y
ACK One agent deployed successfully.
Check the running status of deployment ack-cluster-agent to confirm the connection status of registered cluster ****.

组件RAM用户

注册集群中已安装的组件在运行时，需要一个单独的RAM用户的AccessKey来访问云上资源。例如，logtail-ds组件需要访问日志服务SLS的项目、日志库等资源，该组件RAM用户的AK信息保存在集群kube-system命名空间下名为alibaba-addon-secret的Secret中。

• 若集群中已经存在此Secret，onectl会沿用此Secret中的AK信息来运行集群组件。

• 若集群中不存在此Secret，onectl会自动创建并使用名为ack-one-user-[cluster id prefix]的RAM用户来运行组件。例如，当集群中不存在此Secret时，您可以执行以下命令，创建一个RAM用户并授予其terway-eniip组件所需要的权限。

  onectl ram-user grant --addon terway-eniip

  预期输出：

  Ram user ack-one-user-ce313528c3 created successfully.
  Ram policy ack-one-registered-cluster-policy-terway-eniip granted to ram user ack-one-user-ce313528c3 successfully.
  Secret alibaba-addon-secret created under namespace kube-system in the cluster, it stores the access key and secret of ram user ack-one-user-ce313528c3.

组件安装

通过onectl安装组件需要管理员权限，onectl会在开始安装前检测注册集群agent的ServiceAccount是否拥有管理员权限。若没有，onectl将创建一个临时的管理员角色，并赋予ack账户集群的管理员权限。组件安装完成后，onectl将删除此临时管理员角色，将ack账户的权限恢复至组件安装前。

例如，在agent没有管理员权限时，您可以执行以下命令对agent账户进行临时提权，并在组件安装完成后撤销agent的临时管理员权限。

onectl addon install logtail-ds

预期输出：

Cluster role ack-admin-tmp created.
Cluster role binding ack-admin-binding-tmp created.
Addon logtail-ds, version **** installed.
Cluster role ack-admin-tmp deleted.
Cluster role binding ack-admin-binding-tmp deleted.

临时管理员角色的ClusterRole、ClusterRoleBinding内容如下。

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: ack-admin-tmp
  labels:
    ack/creator: "ack"
rules:
- apiGroups:
  - '*'
  resources:
  - '*'
  verbs:
  - '*'
- nonResourceURLs:
  - '*'
  verbs:
  - '*'
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: ack-admin-binding-tmp
  namespace: kube-system
  labels:
    ack/creator: "ack"
subjects:
- kind: ServiceAccount
  name: ack
  namespace: kube-system
roleRef:
  kind: ClusterRole
  name: ack-admin-tmp
  apiGroup: rbac.authorization.k8s.io