节点规划
主机名IPRole
k8s-master01
10.3.1.20
etcd、Master、Node、keepalived
k8s-master02
10.3.1.21
etcd、Master、Node、keepalived
k8s-master03
10.3.1.25
etcd、Master、Node、keepalived
VIP
10.3.1.29
None
版本信息：
来自官网的高可用架构图
高可用最重要的两个组件：
etcd：分布式键值存储、k8s集群数据中心。
kube-apiserver：集群的唯一入口，各组件通信枢纽。apiserver本身无状态，因此分布式很容易。
其它核心组件：
controller-manager和scheduler也可以部署多个，但只有一个处于活跃状态，以保证数据一致性。因为它们会改变集群状态。
集群各组件都是松耦合的，如何高可用就有很多种方式了。
kube-apiserver有多个，那么apiserver客户端应该连接哪个了，因此就在apiserver前面加个传统的类似于haproxy+keepalived方案漂个VIP出来，apiserver客户端，比如kubelet、kube-proxy连接此VIP。
安装前准备1、k8s各节点SSH免密登录。
2、时间同步。
3、各Node必须关闭swap：swapoff -a，否则kubelet启动失败。
4、各节点主机名和IP加入/etc/hosts解析
kubeadm创建高可用集群有两种方法：
etcd集群由kubeadm配置并运行于pod，启动在Master节点之上。
etcd集群单独部署。
etcd集群单独部署，似乎更容易些，这里就以这种方法来部署。
etcd的正常运行是k8s集群运行的提前条件，因此部署k8s集群首先部署etcd集群。
安装CA证书 安装CFSSL证书管理工具直接下载二进制安装包：
wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64
chmod +x cfssl_linux-amd64
mv cfssl_linux-amd64 /opt/bin/cfssl
wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64
chmod +x cfssljson_linux-amd64
mv cfssljson_linux-amd64 /opt/bin/cfssljson
wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64
chmod +x cfssl-certinfo_linux-amd64
mv cfssl-certinfo_linux-amd64 /opt/bin/cfssl-certinfo
echo "export PATH=/opt/bin:$PATH" > /etc/profile.d/k8s.sh
所有k8s的执行文件全部放入/opt/bin/目录下
创建CA配置文件root@k8s-master01:~# mkdir ssl
root@k8s-master01:~# cd ssl/
root@k8s-master01:~/ssl# cfssl print-defaults config > config.json
root@k8s-master01:~/ssl# cfssl print-defaults csr > csr.json
# 根据config.json文件的格式创建如下的ca-config.json文件
# 过期时间设置成了 87600h
root@k8s-master01:~/ssl# cat ca-config.json
{
"signing": {
"default": {
"expiry": "87600h"
},
"profiles": {
"kubernetes": {
"usages": [
"signing",
"key encipherment",
"server auth",
"client auth"
],
"expiry": "87600h"
}
}
}
}
root@k8s-master01:~/ssl# cat ca-csr.json
{
"CN": "kubernetes",
"key": {
"algo": "rsa",
"size": 2048
},
"names": [
{
"C": "CN",
"ST": "GD",
"L": "SZ",
"O": "k8s",
"OU": "System"
}
]
}
root@k8s-master01:~/ssl# cfssl gencert -initca ca-csr.json | cfssljson -bare ca
root@k8s-master01:~/ssl# ls ca*
ca-config.json ca.csr ca-csr.json ca-key.pem ca.pem
root@k8s-master01:~/ssl# mkdir -p /etc/kubernetes/ssl
root@k8s-master01:~/ssl# cp ca* /etc/kubernetes/ssl
root@k8s-master01:~/ssl# scp -r /etc/kubernetes 10.3.1.21:/etc/
root@k8s-master01:~/ssl# scp -r /etc/kubernetes 10.3.1.25:/etc/
有了CA证书后，就可以开始配置etcd了。
root@k8s-master01:$ wget https://github.com/coreos/etcd/releases/download/v3.2.22/etcd-v3.2.22-linux-amd64.tar.gz
root@k8s-master01:$ cp etcd etcdctl /opt/bin/
对于K8s v1.12，其etcd版本不能低于3.2.18
创建etcd证书 创建etcd证书签名请求文件