混合版本代理

功能状态： Kubernetes v1.28 [alpha]

Kubernetes 1.30 包含一个 alpha 功能，允许 API 服务器将资源请求代理到其他对等 API 服务器。当集群中运行着不同 Kubernetes 版本的多个 API 服务器时（例如，在将 Kubernetes 更新到新版本时），这很有用。

这使集群管理员能够配置高可用性集群，这些集群可以更安全地升级，方法是将资源请求（在升级期间发出）定向到正确的 kube-apiserver。该代理可以防止用户看到升级过程中出现的意外 404 未找到错误。

此机制称为混合版本代理。

启用混合版本代理

启动 API 服务器时，确保已启用 UnknownVersionInteroperabilityProxy 功能门控

kube-apiserver \
--feature-gates=UnknownVersionInteroperabilityProxy=true \
# required command line arguments for this feature
--peer-ca-file=<path to kube-apiserver CA cert>
--proxy-client-cert-file=<path to aggregator proxy cert>,
--proxy-client-key-file=<path to aggregator proxy key>,
--requestheader-client-ca-file=<path to aggregator CA cert>,
# requestheader-allowed-names can be set to blank to allow any Common Name
--requestheader-allowed-names=<valid Common Names to verify proxy client cert against>,

# optional flags for this feature
--peer-advertise-ip=`IP of this kube-apiserver that should be used by peers to proxy requests`
--peer-advertise-port=`port of this kube-apiserver that should be used by peers to proxy requests`

# …and other flags as usual

API 服务器之间的代理传输和身份验证

源 kube-apiserver 重用现有的 APIserver 客户端身份验证标志 --proxy-client-cert-file 和 --proxy-client-key-file 来呈现其身份，该身份将由其对等方（目标 kube-apiserver）进行验证。目标 API 服务器根据您使用 --requestheader-client-ca-file 命令行参数指定的配置来验证对等连接。
要对目标服务器的服务证书进行身份验证，您必须通过将 --peer-ca-file 命令行参数指定给源 API 服务器来配置证书颁发机构捆绑包。

对等 API 服务器连接的配置

要设置对等方将用于代理请求的 kube-apiserver 的网络位置，请使用 --peer-advertise-ip 和 --peer-advertise-port 命令行参数到 kube-apiserver，或在 API 服务器配置文件中指定这些字段。如果未指定这些标志，对等方将使用 --advertise-address 或 --bind-address 命令行参数到 kube-apiserver 的值。如果这些也未设置，则使用主机的默认接口。