Membina Pelanggan Kubernetes untuk Enjin Kubernetes Google (GKE) dalam Python

Siaran blog ini memperkenalkan kaedah yang berkesan untuk mencipta klien Kubernetes untuk GKE dalam Python. Dengan memanfaatkan perpustakaan google-cloud-container, google-auth dan kubernetes, anda boleh menggunakan kod yang sama untuk berinteraksi dengan API Kubernetes tidak kira sama ada aplikasi anda berjalan secara setempat atau di Google Cloud. Fleksibiliti ini datang daripada menggunakan Application Default Credentials (ADC) untuk mengesahkan dan membina secara dinamik permintaan yang diperlukan untuk interaksi API Kubernetes, menghapuskan keperluan untuk alatan tambahan atau fail konfigurasi seperti kubeconfig.

Apabila dijalankan secara setempat, pendekatan biasa ialah menggunakan perintah mendapatkan kelayakan kluster kontena gcloud untuk menjana fail kubeconfig dan berinteraksi dengan API Kubernetes menggunakan kubectl. Walaupun aliran kerja ini semulajadi dan berkesan untuk persediaan setempat, aliran kerja ini menjadi kurang praktikal dalam persekitaran seperti Cloud Run atau perkhidmatan Google Cloud yang lain.

Dengan ADC, anda boleh menyelaraskan akses kepada API Kubernetes untuk kelompok GKE dengan mengkonfigurasi klien Kubernetes secara dinamik. Pendekatan ini memastikan cara yang konsisten dan cekap untuk menyambung ke kluster anda tanpa overhed mengurus fail konfigurasi luaran atau memasang alatan tambahan.

---

Prasyarat

1. Pengesahan dengan Google Cloud

Jika anda menjalankan kod secara setempat, hanya sahkan menggunakan arahan berikut:

gcloud auth application-default login

Ini akan menggunakan kelayakan akaun pengguna anda sebagai Bukti Kelayakan Lalai Aplikasi (ADC).

Jika anda menjalankan kod pada perkhidmatan Google Cloud seperti Cloud Run, anda tidak perlu mengendalikan pengesahan secara manual. Cuma pastikan perkhidmatan tersebut mempunyai akaun perkhidmatan yang dikonfigurasikan dengan betul yang dilampirkan dengan kebenaran yang diperlukan untuk mengakses gugusan GKE.

---

2. Kumpulkan Butiran Kluster Anda

Sebelum menjalankan skrip, pastikan anda mempunyai butiran berikut:

• ID Projek Awan Google: ID projek tempat gugusan GKE anda dihoskan.
• Lokasi Kluster: Rantau atau zon tempat kluster anda berada (cth., us-central1-a).
• Nama Kluster: Nama kluster Kubernetes yang ingin anda sambungkan.

---

Skrip

Di bawah ialah fungsi Python yang menyediakan klien Kubernetes untuk gugusan GKE.

gcloud auth application-default login

---

Bagaimana Ia Berfungsi

1. Menyambung ke Kluster GKE

Fungsi get_k8s_client bermula dengan mengambil butiran kluster daripada GKE menggunakan pustaka google-cloud-container. Pustaka ini berinteraksi dengan perkhidmatan GKE, membolehkan anda mendapatkan maklumat seperti titik akhir API dan pihak berkuasa sijil (CA) kluster. Butiran ini penting untuk mengkonfigurasi klien Kubernetes.

from google.cloud import container_v1
import google.auth
import google.auth.transport.requests
from kubernetes import client as kubernetes_client
from tempfile import NamedTemporaryFile
import base64
import yaml

def get_k8s_client(project_id: str, location: str, cluster_id: str) -> kubernetes_client.CoreV1Api:
    """
    Fetches a Kubernetes client for the specified GCP project, location, and cluster ID.

    Args:
        project_id (str): Google Cloud Project ID
        location (str): Location of the cluster (e.g., "us-central1-a")
        cluster_id (str): Name of the Kubernetes cluster

    Returns:
        kubernetes_client.CoreV1Api: Kubernetes CoreV1 API client
    """

    # Retrieve cluster information
    gke_cluster = container_v1.ClusterManagerClient().get_cluster(request={
        "name": f"projects/{project_id}/locations/{location}/clusters/{cluster_id}"
    })

    # Obtain Google authentication credentials
    creds, _ = google.auth.default()
    auth_req = google.auth.transport.requests.Request()
    # Refresh the token
    creds.refresh(auth_req)

    # Initialize the Kubernetes client configuration object
    configuration = kubernetes_client.Configuration()
    # Set the cluster endpoint
    configuration.host = f'https://{gke_cluster.endpoint}'

    # Write the cluster CA certificate to a temporary file
    with NamedTemporaryFile(delete=False) as ca_cert:
        ca_cert.write(base64.b64decode(gke_cluster.master_auth.cluster_ca_certificate))
        configuration.ssl_ca_cert = ca_cert.name

    # Set the authentication token
    configuration.api_key_prefix['authorization'] = 'Bearer'
    configuration.api_key['authorization'] = creds.token

    # Create and return the Kubernetes CoreV1 API client
    return kubernetes_client.CoreV1Api(kubernetes_client.ApiClient(configuration))


def main():
    project_id = "your-project-id"  # Google Cloud Project ID
    location = "your-cluster-location"  # Cluster region (e.g., "us-central1-a")
    cluster_id = "your-cluster-id"  # Cluster name

    # Retrieve the Kubernetes client
    core_v1_api = get_k8s_client(project_id, location, cluster_id)

    # Fetch the kube-system Namespace
    namespace = core_v1_api.read_namespace(name="kube-system")

    # Output the Namespace resource in YAML format
    yaml_output = yaml.dump(namespace.to_dict(), default_flow_style=False)
    print(yaml_output)

if __name__ == "__main__":
    main()

Perlu ambil perhatian bahawa pustaka google-cloud-container direka untuk berinteraksi dengan GKE sebagai perkhidmatan, bukan secara langsung dengan API Kubernetes. Contohnya, semasa anda boleh menggunakan pustaka ini untuk mendapatkan maklumat kluster, naik taraf kluster atau mengkonfigurasi dasar penyelenggaraan—sama seperti yang anda boleh lakukan dengan perintah kluster bekas gcloud—anda tidak boleh menggunakannya untuk mendapatkan klien API Kubernetes secara langsung. Perbezaan inilah sebabnya fungsi membina klien Kubernetes secara berasingan selepas mengambil butiran kluster yang diperlukan daripada GKE.

---

2. Mengesahkan dengan Google Cloud

Untuk berinteraksi dengan API GKE dan Kubernetes, fungsi ini menggunakan Bukti Kelayakan Lalai Aplikasi (ADC) Google Cloud untuk mengesahkan. Begini cara setiap langkah proses pengesahan berfungsi:

google.auth.default()

Fungsi ini mendapatkan semula ADC untuk persekitaran di mana kod sedang dijalankan. Bergantung pada konteks, ia mungkin kembali:

• Bukti kelayakan akaun pengguna (cth., daripada log masuk lalai aplikasi auth gcloud dalam persediaan pembangunan setempat).
• Kelayakan akaun perkhidmatan (cth., apabila dijalankan dalam persekitaran Google Cloud seperti Cloud Run).

Ia juga mengembalikan ID projek yang berkaitan jika tersedia, walaupun dalam kes ini, hanya bukti kelayakan digunakan.

google.auth.transport.requests.Request()

Ini mencipta objek permintaan HTTP untuk mengendalikan permintaan rangkaian berkaitan pengesahan. Ia menggunakan perpustakaan permintaan Python secara dalaman dan menyediakan cara piawai untuk memuat semula bukti kelayakan atau meminta token akses.

creds.refresh(auth_req)

Apabila ADC diambil menggunakan google.auth.default(), objek bukti kelayakan pada mulanya tidak termasuk token akses (sekurang-kurangnya dalam persekitaran setempat). Kaedah refresh() secara eksplisit mendapatkan token akses dan melampirkannya pada objek bukti kelayakan, membolehkannya untuk mengesahkan permintaan API.

Kod berikut menunjukkan cara anda boleh mengesahkan tingkah laku ini:

gke_cluster = container_v1.ClusterManagerClient().get_cluster(request={
    "name": f"projects/{project_id}/locations/{location}/clusters/{cluster_id}"
})

contoh output:

# Obtain Google authentication credentials
creds, _ = google.auth.default()
auth_req = google.auth.transport.requests.Request()

# Inspect credentials before refreshing
print(f"Access Token (before refresh()): {creds.token}")
print(f"Token Expiry (before refresh()): {creds.expiry}")

# Refresh the token
creds.refresh(auth_req)

# Inspect credentials after refreshing
print(f"Access Token (after): {creds.token}")
print(f"Token Expiry (after): {creds.expiry}")

Sebelum memanggil refresh(), atribut token ialah Tiada. Selepas muat semula() digunakan, bukti kelayakan diisi dengan token akses yang sah dan masa tamat tempohnya.

---

3. Mengkonfigurasi Pelanggan Kubernetes

Klien Kubernetes dikonfigurasikan menggunakan titik akhir API kluster, fail sementara untuk sijil CA dan token Pembawa yang dimuat semula. Ini memastikan bahawa pelanggan boleh mengesahkan dan berkomunikasi dengan gugusan dengan selamat.

gcloud auth application-default login

Sijil CA disimpan sementara dan dirujuk oleh pelanggan untuk komunikasi SSL yang selamat. Dengan tetapan ini, klien Kubernetes dikonfigurasikan sepenuhnya dan bersedia untuk berinteraksi dengan kluster.

---

Contoh Output

Berikut ialah contoh output YAML untuk Ruang Nama sistem kube:

from google.cloud import container_v1
import google.auth
import google.auth.transport.requests
from kubernetes import client as kubernetes_client
from tempfile import NamedTemporaryFile
import base64
import yaml

def get_k8s_client(project_id: str, location: str, cluster_id: str) -> kubernetes_client.CoreV1Api:
    """
    Fetches a Kubernetes client for the specified GCP project, location, and cluster ID.

    Args:
        project_id (str): Google Cloud Project ID
        location (str): Location of the cluster (e.g., "us-central1-a")
        cluster_id (str): Name of the Kubernetes cluster

    Returns:
        kubernetes_client.CoreV1Api: Kubernetes CoreV1 API client
    """

    # Retrieve cluster information
    gke_cluster = container_v1.ClusterManagerClient().get_cluster(request={
        "name": f"projects/{project_id}/locations/{location}/clusters/{cluster_id}"
    })

    # Obtain Google authentication credentials
    creds, _ = google.auth.default()
    auth_req = google.auth.transport.requests.Request()
    # Refresh the token
    creds.refresh(auth_req)

    # Initialize the Kubernetes client configuration object
    configuration = kubernetes_client.Configuration()
    # Set the cluster endpoint
    configuration.host = f'https://{gke_cluster.endpoint}'

    # Write the cluster CA certificate to a temporary file
    with NamedTemporaryFile(delete=False) as ca_cert:
        ca_cert.write(base64.b64decode(gke_cluster.master_auth.cluster_ca_certificate))
        configuration.ssl_ca_cert = ca_cert.name

    # Set the authentication token
    configuration.api_key_prefix['authorization'] = 'Bearer'
    configuration.api_key['authorization'] = creds.token

    # Create and return the Kubernetes CoreV1 API client
    return kubernetes_client.CoreV1Api(kubernetes_client.ApiClient(configuration))


def main():
    project_id = "your-project-id"  # Google Cloud Project ID
    location = "your-cluster-location"  # Cluster region (e.g., "us-central1-a")
    cluster_id = "your-cluster-id"  # Cluster name

    # Retrieve the Kubernetes client
    core_v1_api = get_k8s_client(project_id, location, cluster_id)

    # Fetch the kube-system Namespace
    namespace = core_v1_api.read_namespace(name="kube-system")

    # Output the Namespace resource in YAML format
    yaml_output = yaml.dump(namespace.to_dict(), default_flow_style=False)
    print(yaml_output)

if __name__ == "__main__":
    main()

---

Kesimpulan

Pendekatan ini menyerlahkan kemudahalihan menggunakan kod yang sama untuk berinteraksi dengan API Kubernetes, sama ada berjalan secara setempat atau pada perkhidmatan Google Cloud seperti Cloud Run. Dengan memanfaatkan Bukti Kelayakan Lalai Aplikasi (ADC), kami telah menunjukkan kaedah yang fleksibel untuk menjana klien API Kubernetes secara dinamik tanpa bergantung pada fail konfigurasi pra-jana atau alatan luaran. Ini memudahkan untuk membina aplikasi yang boleh menyesuaikan dengan lancar kepada persekitaran yang berbeza, memudahkan kedua-dua aliran kerja pembangunan dan penggunaan.

Atas ialah kandungan terperinci Membina Pelanggan Kubernetes untuk Enjin Kubernetes Google (GKE) dalam Python. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!