首页 > 其他分享 >Sealos 云操作系统私有化部署教程

Sealos 云操作系统私有化部署教程

时间：2023-11-27 13:44:25浏览次数：47  
标签：教程 证书 私有化 域名 io Sealos 节点 cloud

Sealos 私有云已经正式发布了，它为企业用云提供了一种革命性的新方案。Sealos 的核心优势在于，它允许企业在自己的机房中一键构建一个功能与 Sealos 公有云完全相同的私有云。这意味着企业可以在自己的控制和安全范围内，享受到公有云所提供的灵活性和扩展性。这对于需要高度数据安全和个性化服务的企业来说，具有极大的吸引力。

而且 Sealos 私有云的维护成本极低，只需要半个人力资源即可。极大地减轻了企业的运营负担，特别是对于那些没有大量 IT 支持的中小型企业来说尤为重要。

本文我们将详细介绍如何在本地环境中一键部署 Sealos 私有云。

大规模集群以及企业生产环境强烈建议使用 Sealos 私有云的企业版或者定制版。

准备工作

服务器

以下是一些基本的要求：

  • 每个集群节点应该有不同的主机名。
  • 所有节点的时间需要同步。
  • 建议使用干净的操作系统来创建集群。不要自己装 Docker！
  • 支持大多数 Linux 发行版，例如：Ubuntu、Debian、CentOS、Rocky linux。
  • 系统内核版本在 5.4 及以上。

推荐使用 Ubuntu 22.04 LTS 操作系统，内核版本在 5.4 及以上，配置如下：

操作系统 内核版本 CPU 内存 存储 Masters Nodes
Ubuntu 22.04 LTS ≥ 5.4 4C 8GB 100GB 奇数台 任意

Kubernetes 和 Sealos Cloud 的系统组件在每个 Master 节点上大约需要 2 核心（2c）和 2GB 内存（2g），在每个 Node 节点上则需要大约
1 核心（1c）和 1GB 内存（1g），请确保集群中每个节点都有足够的计算资源以支持系统组件的运行。

网络

  • 所有节点之间网络互通；
  • 需要在 Kubernetes 集群的第一个 Master 节点上执行脚本，目前集群外的节点不支持集群安装；
  • 所有节点之间可以互相通信。

域名

  • 需要一个域名用于访问 Sealos 及相关服务；
  • 如果您没有域名，可以使用 nip.io 提供的免费域名服务。

证书

Sealos 需要使用证书来保证通信安全，默认在您不提供证书的情况下我们会使用 cert-manager 来自动签发证书。

如果您能提供证书，证书需要解析下列域名 (假设您提供的域名为：cloud.example.io)：

  • *.cloud.example.io
  • cloud.example.io

安装步骤

为了便于部署，我们提供了一个一键安装脚本。该脚本可以从零开始部署 Sealos 集群，也可以在已有的 Kubernetes 集群上部署 Sealos
集群（在已有集群上执行时请谨慎操作）。

该脚本只支持在 “使用 Sealos 安装的 Kubernetes 集群” 上部署 Sealos 集群，暂不支持其他方式部署的 Kubernetes。

关于如何使用 Sealos 部署 Kubernetes 集群，可以参考：安装 Kubernetes 集群，支持 Docker Hub 中的几乎所有 Kubernetes 版本（暂不支持 1.28 及以上版本）。

如果您的机器还没有安装过 Kubernetes，建议直接使用该脚本连同 Kubernetes 和 Sealos 集群一起安装。

根据您的域名情况，可以分为以下几种安装方式：

1、无公网域名，也不想自定义域名

如果您没有公网域名，也不需要自定义域名，可以选择直接使用 nip.io 提供的免费域名服务。nip.io 是一个免费的通配符 DNS 服务，它可以将动态分配的 IP 地址映射到一个固定的子域名上，特别适合用于本地开发环境。具体的工作原理为：

您可以使用任何 IP 地址作为 nip.io 子域名的一部分，而 nip.io 会将它解析回相应的 IP 地址。例如，如果你有一个内网 IP 地址 192.168.1.10，你可以使用 192.168.1.10.nip.io 作为域名，所有向这个域名发送的请求都会被解析到 192.168.1.10 这个 IP 地址上。这样就无需修改本地 hosts 文件，也不需要搭建内网 DNS 服务，直接通过这个域名就能访问内网服务了。

使用 nip.io 作为 Sealos 的域名非常简单，只需在第一个 Master 节点上执行以下命令，并根据提示输入参数：

$ curl -sfL https://mirror.ghproxy.com/https://raw.githubusercontent.com/labring/sealos/main/scripts/cloud/install.sh -o /tmp/install.sh && bash /tmp/install.sh \
  --image-registry=registry.cn-shanghai.aliyuncs.com --zh \
  --proxy-prefix=https://mirror.ghproxy.com

当需要你输入 Sealos Cloud 域名时，你需要输入这种格式的域名：[ip].nip.io，其中 [ip] 是你的 Master 节点 IP。

安装完成后，终端会输出 Sealos 访问域名以及用户名和密码，例如：

Sealos cloud login info:
Cloud Version: latest
URL: https://10.214.210.102.nip.io
admin Username: admin
admin Password: sealos2023

2、有公网域名，想公网访问

如果你有自己的公网域名，并且想通过公网访问 Sealos，那你就需要准备好公网受信任的 SSL/TLS 证书。你可以通过 acme.sh 等工具自动签发证书，也可以从域名提供商处下载免费证书或者购买商业证书。

准备好域名证书后，需要将证书放到第一个 Master 节点的某个目录中，例如 /root/certs/。

您还需要在域名服务商处添加一条该域名的 A 记录，地址解析到第一个 Master 节点的公网 IP 地址。同时还需要添加一条泛解析记录，将该域名的子域名也解析到第一个 Master 节点的公网 IP 地址。

例如 (假设你的域名是 cloud.example.io，假设你的 Master 节点内网地址是 192.168.1.10)：

cloud.example.io A 192.168.1.1
*.cloud.example.io A 192.168.1.1


然后在第一个 Master 节点上执行以下命令，并根据提示输入参数：

```bash
$ curl -sfL https://mirror.ghproxy.com/https://raw.githubusercontent.com/labring/sealos/main/scripts/cloud/install.sh -o /tmp/install.sh && bash /tmp/install.sh \
--image-registry=registry.cn-shanghai.aliyuncs.com --zh \
--proxy-prefix=https://mirror.ghproxy.com \
--cloud-domain=<your_domain> \
--cert-path=<your_crt> \
--key-path=<your_key>
  • <your_domain> 需要替换成你自己的公网域名。
  • <your_crt> 需要替换成你的证书位置，通常是 .crt 或 .pem 文件。例如：/root/certs/example.crt。
  • <your_key> 需要替换成你的私钥位置，通常是 .key 或 .pem 文件。例如：/root/certs/example.key。

3、有公网域名，想内网访问

如果您有自己的公网域名，但是只有内网 IP，或者只想在内网访问 Sealos，那您只需要在域名服务商处添加一条该域名的 A 记录，地址解析到第一个 Master 节点的内网 IP 地址。同时还需要添加一条泛解析记录，将该域名的子域名也解析到第一个 Master 节点的内网 IP 地址。

例如 (假设你的域名是 cloud.example.io，假设你的 Master 节点内网地址是 192.168.1.10)：

cloud.example.io   A   192.168.1.1
*.cloud.example.io   A   192.168.1.1

然后在第一个 Master 节点上执行以下命令，并根据提示输入参数：

$ curl -sfL https://mirror.ghproxy.com/https://raw.githubusercontent.com/labring/sealos/main/scripts/cloud/install.sh -o /tmp/install.sh && bash /tmp/install.sh \
  --image-registry=registry.cn-shanghai.aliyuncs.com --zh \
  --proxy-prefix=https://mirror.ghproxy.com \
  --cloud-domain=<your_domain>

其中 <your_domain> 需要替换成你自己的公网域名。

安装过程中 Sealos 会使用 cert-manager 来自签名证书。

4、无公网域名，但想自定义域名

如果您没有公网域名，但是需要自定义域名，那么就需要在内网自建 DNS，然后将自定义域名解析到第一个 Master 节点的内网 IP 地址。

假设您的第一个 Master 节点的内网 IP 地址为 192.168.1.10。假设您的域名为 cloud.example.io。

可以考虑使用 CoreDNS 来自建 DNS 服务，参考配置：

(global_cache) {
    cache {
        # [5, 60]
        success 65536 3600 300
        # [1, 10]
        denial 8192 600 60
        prefetch 1 60m 10%
    }
}

.:53 {
  errors
  health
  ready

  import global_cache

  template IN A cloud.example.io {
    answer "{{ .Name }} 60 IN A 192.168.1.10"
    fallthrough
  }

  forward . 223.5.5.5

  log
  loop
  reload 6s
}

这样不管您访问 cloud.example.io 还是 *.cloud.example.io 都会解析到第一个 Master 节点的内网 IP 地址。

然后在第一个 Master 节点上执行以下命令，并根据提示输入参数：

$ curl -sfL https://mirror.ghproxy.com/https://raw.githubusercontent.com/labring/sealos/main/scripts/cloud/install.sh -o /tmp/install.sh && bash /tmp/install.sh \
  --image-registry=registry.cn-shanghai.aliyuncs.com --zh \
  --proxy-prefix=https://mirror.ghproxy.com \
  --cloud-domain=<your_domain>

其中 <your_domain> 需要替换成你自己的自定义域名。

安装过程中 Sealos 会使用 cert-manager 来自签名证书。

信任自签名证书

如果您选择了上面提供的安装方式中的 1 或 3 或 4，那么您的证书默认是不受浏览器信任的，当你访问 Sealos Cloud 时，浏览器会提示下面的信息：

即使点击继续访问，进入 Sealos Cloud 之后也无法正常显示 App 图标，无法打开 App。

我们需要导出自签名证书，并让系统信任自签名证书。步骤如下。

导出自签名证书

各个浏览器导出自签名证书的步骤略有不同。以下是在一些常用浏览器中导出自签名证书的步骤：

Chrome (以及基于 Chromium 的浏览器如新版 Edge 和 Brave)

  1. 在浏览器地址栏左侧点击 “不安全” 字样。
  2. 点击 “证书无效”，这将打开一个证书信息窗口。
  3. 在打开的证书窗口中，切换到 “详细信息” 标签页。
  4. 在 “详细信息” 标签页中，找到并点击 “导出”。
  5. 选择一个文件名和保存位置，然后完成导出过程。

Firefox

  1. 点击页面中的 “高级”。

  2. 然后点击 “查看证书”。

  3. 在证书页面中点击 “PEM (证书)”。

Safari

  1. 点击页面中的 “显示详细信息”。

  2. 然后点击 “查看此证书”。

  3. 在证书视图中，可以看到一个带有证书链的窗口。

  4. 拖动红框圈出来的证书到桌面或文件夹中，证书就会被导出了。

信任自签名证书

macOS

在 macOS 上信任自签名证书可以使用以下命令：

# 假设证书保存在 ~/Downloads/10.214.210.102.nip.io.cer
$ sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain ~/Downloads/10.214.210.102.nip.io.cer

您也可以通过以下步骤来操作：

1、添加证书到钥匙串
  1. 启动钥匙串访问 (Keychain Access) 应用程序，点击左侧 “系统钥匙串” 下方的 “系统” 类别。
  2. 然后打开 “访达”，进入证书保存位置，双击证书文件：这通常是一个 .cer，.crt，或 .pem 文件。
  3. 输入您的用户名和密码以允许修改。
  4. 证书现在应该已经被添加到您的钥匙串中。
2、信任证书
  1. 在钥匙串访问中，从 “系统” 类别的列表中找到刚刚添加的自签名证书，并双击它。
  2. 在打开的窗口中，展开 “信任” 部分。
  3. 在 “当使用此证书时” 选项旁边，有一个下拉菜单，默认设置可能是 “使用系统默认值”。要信任证书，请改为 “始终信任”。
  4. 关闭证书信息窗口，系统可能会提示您验证您的用户名和密码，以确认更改。
  5. 现在，证书已经被标记为受信任。

自签名证书不由第三方证书颁发机构 (CA) 颁发，因此，其他设备也不会信任该证书。如果您是在公司或组织内部使用自签名证书，可能需要在每个需要信任此证书的设备上手动进行上述步骤。

Windows

  1. 在根证书文件点鼠标右键，选择 “安装证书”。
  2. 选择 “当前用户” 或者 “本地计算机”，下一步
  3. “将所有的证书都放入下列存储”，“浏览”，“受信任的根证书颁发机构”，“确定”，下一步。
  4. 完成，“是”，确定。

标签：教程,证书,私有化,域名,io,Sealos,节点,cloud
From： https://www.cnblogs.com/ryanyangcs/p/17859050.html

相关文章

  • 无涯教程-MySQL - NULL 语句
    前面已经介绍了如何利用SQL的SELECT命令配合WHERE子句来获取MySQL表中的数据，但假如尝试给出一个条件，将字段或列值与NULL比对，则会出现异常。为了处理这种情况，MySQL提供了三个运算符-ISNULL      -如果列值为NULL，则此运算符返回true。ISNOTNULL-如果......
  • node版本管理神器nvm安装使用教程（Windows11版本）
    安装前提在安装nvm之前，我们需要先将已有的node.js全部卸载！下载安装包进行安装第一步，下载安装包，nvm下载地址可下载以下文件：nvm-noinstall.zip：绿色免安装版，但使用时需要进行配置。nvm-setup.zip：安装版，推荐使用nvm-setup.exe：无需解压，直接安装，墙裂推荐！！！如下图： 第二步，进行......
  • 无涯教程-MySQL - 安装设置
    MySQL的所有下载均位于MySQL下载中，选择MySQLCommunityServer的版本号，以及将在其上运行的平台。Linux安装建议在Linux系统上安装MySQL的方法是通过RPM。 现在，您将需要遵循以下步骤，继续进行安装-[root@host]#rpm-iMySQL-x.x.xx.i386.rpm您可以在/usr/bin和/usr/sbin......
  • 无涯教程-Linux - 重定向
    在本章中，我们将详细讨论ShellI/O重定向。大多数Unix系统命令从您的终端获取输入，并将输出发送回您的终端输出。输出重定向符号>file命令将输出输出到指定的file中，如检查以下who命令，该命令将输出重定向用户文件中。$who>users请注意，终端上没有输出。这是因为输出已从......
  • 无涯教程-Linux - 引用机制
    在本章中，我们将详细讨论Shell引用机制。我们将从讨论元字符开始。元字符UnixShell提供了各种元字符，这些元字符在任何Shell脚本中使用时都有特殊的含义，并且除非引号引起，否则会导致终止。如，?匹配单个字符，而在目录中列出文件，而*匹配多个字符。这是大多数Shell特殊字符(也称为......
  • 通过 docker-compose 快速部署 Rancher 保姆级教程
    目录一、概述二、开始编排部署Rancher1）部署docker2）部署docker-compose3）创建网络4）构建镜像5）编排docker-compose.yaml部署6）接入K8s集群1）部署k8s集群测试（已有可忽略）2）k8s上执行命令接入集群一、概述Rancher是一个开源的容器管理平台，它为企业提供了一个简化容器化应用部署......
  • 无涯教程-Linux - 替换语句
    当Shell遇到包含一个或多个特殊字符的表达式时，它将执行替换语句。在此，变量的打印值由其值代替。同时，"\n"换行-#!/bin/sha=10echo-e"Learnfk.comofageis$a\n"您将收到以下输出。在这里，-e选项可以解释反斜杠转义符。Learnfk.comofageis10以下是没有-e选项的......
  • 无涯教程-Linux - 条件判断
    在本章中，我们将了解Unix中的Shell判断语句。if...else语句case...esac语句if...else语句UnixShell支持以下形式的if…else语句-if...fi语句if...else...fi语句if...elif...else...fi语句CASE...ESAC声明您可以使用多个if...elif......
  • ggml教程|mnist手写体识别量化推理
    title:ggml教程|mnist手写体识别量化推理banner_img:https://cdn.studyinglover.com/pic/2023/11/fa14d6dfd95fb9d38276a50a5519e2d2.webpdate:2023-11-1218:49:00ggml教程|mnist手写体识别量化推理MNIST手写体识别是经典的机器学习问题，可以被称作机器学习的helloworld......
  • 无涯教程-Linux - 运算符
    每个Shell支持各种运算符。我们将在本章中详细讨论Bourneshell(默认Shell)。我们现在将讨论以下运算符-算术运算符关系运算符布尔运算符字符串运算符BourneShell最初没有任何执行简单算术运算的机制，但它使用外部程序，即awk或expr。以下示例显示如何将两个数字相加-#......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99