kaniko-在k8s集群中构建容器镜像

本文涉及的产品
容器镜像服务 ACR,镜像仓库100个 不限时长
简介: kaniko-在k8s集群中构建容器镜像

前言

通常情况下,我们在使用dockerfile构建镜像的时候要与Docker后台进程交互访问,也就是需要本机root权限。如果是在Docker后台进程无法暴露的场景下,生成容器镜像就变得很困难。kaniko是Google开源的一个工具,可以帮助开发及运维人员从容器或Kubernetes集群内的Dockerfile构建容器镜像,而无需访问Docker守护程序。这样,您可以在容器内执行构建作业,而无需授予对主机文件系统的任何访问权限,你只需要将构建清单创建为Kubernetes批处理作业,然后使用你选择的任何CI工具将其应用于集群。该工作负责构建映像并将其上传到指定的容器注册表。

kaniko的工作方式

1.读取指定的Dockerfile

2.将基本映像(在FROM指令中指定)提取到容器文件系统中。

3.在独立的Dockerfile中分别运行每个命令

4.每次运行后都会对用户空间文件系统的做快照。

5.每次运行时,将快照层附加到基础层。

kaniko工作原理


kaniko作为一个容器镜像运行,它接受三个参数:一个 Dockerfile ,一个构建上下文以及将镜像推送到的注册表。它在执行程序镜像中提取基本镜像的文件系统。然后,在Dockerfile中执行任何命令,快照用户空间中的文件系统。Kaniko在每个命令后都会将一层已更改的文件附加到基本镜像。最后,执行程序将新镜像推送到指定的注册表。由于Kaniko在执行程序镜像的用户空间中完全执行了这些操作,因此它完全避免了在用户计算机上需要任何特权访问。



使用kaniko

Kaniko解决了在Kubernetes构建的问题,但是构建的项目、目标 registry 的认证、Dockerfile的分发,还是需要我们自己考虑。

前提条件:

1.需要一个运行的 kubernetes 集群;

安装k8s集群可参考如下:

k8s1.18多master节点高可用集群安装-超详细中文官方文档

2.需要有一个用来存储dockerfile和kubernetes资源清单yaml文件的github仓库

3.需要有一个存储docker镜像的docker hub镜像仓库

创建一个容器注册表的secret

让我们从设置容器注册表secret开始。必须通过容器注册表进行身份验证才能推送生成的映像。

将需要以下内容:

docker-server—需要在其中托管映像的Docker注册表服务器。如果使用的是Docker Hub,请使用https://index.docker.io/v1/。
docker-username — Docker注册表用户名。
docker-password — Docker注册表密码。
docker-email —在Docker注册表上配置的电子邮件。

运行以下命令,替换上面的值:


kubectl create secret docker-registry regcred --docker-server=<docker-server> --docker-username=<username> --docker-password=<password> --docker-email=<email>

通过dockerfile构建一个镜像

cat dockerfile

FROM nginx
RUN echo 'This is version 3' > /usr/share/nginx/html/index.html

cat build.yaml

apiVersion: batch/v1
kind: Job
metadata:
  name: kaniko
spec:
  template:
    spec:
      containers:
      - name: kaniko
        image: gcr.io/kaniko-project/executor:latest
        args: ["--dockerfile=Dockerfile",
               "--context=git://github.com/bharatmicrosystems/kubernetes-kaniko-nginx.git#refs/heads/master",
               "--destination=bharamicrosystems/nginx:v3"]
        volumeMounts:
        - name: kaniko-secret
          mountPath: "/kaniko/.docker"
      restartPolicy: Never
      volumes:
      - name: kaniko-secret
        secret:
          secretName: regcred
          items:
          - key: .dockerconfigjson
            path: config.json

上面的资源清单build.yaml文件是一个Job控制器。清单使用gcr.io/kaniko-project/executor:latest镜像创建一个容器,并使用以下参数运行它:

  • docker-file — dockerfile的路径。
  • context — Docker上下文。在这种情况下,我们已经指出了我们的GitHub存储库
  • destination —用于推送构建映像的Docker存储库。


此外,它还会在/kaniko/.docker目录下安装docker config JSON文件以实现docker存储库的身份验证。上面我们已经定义过了。

cat nginx-deployment.yaml

---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  namespace: web
  annotations:
    fluxcd.io/automated: "true"
spec:
  selector:
    matchLabels:
      app: nginx
  replicas: 2
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: bharamicrosystems/nginx:v3
        ports:
        - containerPort: 80

上面是通过deployment部署的nginx,使用的镜像bharamicrosystems/nginx:v3就是我们在build.yaml文件中构建的镜像,将NGINX容器暴露给外部负载均衡器。


cat nginx-service.yaml

apiVersion: v1
kind: Service
metadata:
  name: nginx-service
  namespace: web
spec:
  selector:
    app: nginx
  ports:
    - port: 80
      targetPort: 80
  type: NodePort

使用Kaniko构建容器映像

    kubectl apply -f build.yaml

    验证是否部署成功

      kubectl get pod

      显示如下说明部署成功:

      NAME           READY   STATUS    RESTARTS   AGE
      kaniko-jztf6   1/1     Running   0          66s

      查看对应的pod日志,输出如下

        kubectl logs kaniko-jztf6 -f
        E0523 15:36:17.247145       1 aws_credentials.go:77] while getting AWS credentials NoCredentialProviders: no valid providers in chain. Deprecated.
                For verbose messaging see aws.Config.CredentialsChainVerboseErrors
        INFO[0001] Retrieving image manifest nginx
        INFO[0001] Retrieving image manifest nginx
        INFO[0002] Built cross stage deps: map[]
        INFO[0002] Retrieving image manifest nginx
        INFO[0002] Retrieving image manifest nginx
        INFO[0003] Executing 0 build triggers
        INFO[0003] Unpacking rootfs as cmd RUN echo 'This is version 3' > /usr/share/nginx/html/index.html requires it.
        INFO[0005] RUN echo 'This is version 3' > /usr/share/nginx/html/index.html
        INFO[0005] Taking snapshot of full filesystem...
        INFO[0007] Resolving 5400 paths
        INFO[0008] cmd: /bin/sh
        INFO[0008] args: [-c echo 'This is version 3' > /usr/share/nginx/html/index.html]
        INFO[0008] Running: [/bin/sh -c echo 'This is version 3' > /usr/share/nginx/html/index.html]
        INFO[0008] Taking snapshot of full filesystem...
        INFO[0008] Resolving 5400 paths
        nginx-service.yaml和nginx-deployment.yaml通过kubectl更新

        kubectl apply -f nginx-service.yaml

        kubectl apply -f nginx-service.yaml

        Kaniko一些构建参数

        与其他工具的比较

        与kaniko相似的工具包括imgorca-build。像kaniko一样,这两个工具都可以从Dockerfiles构建容器映像,但是具有不同的方法和安全性的取舍。img工具在容器中以非特权用户身份构建,而kaniko在容器中以非特权用户身份以root用户身份构建。orca-build工具通过包装runc来执行构建,该runc使用内核命名间隔技术执行RUN命令。通过在容器中以root用户身份执行命令,我们可以在kaniko中完成相同的任务。

        相关实践学习
        通过容器镜像仓库与容器服务快速部署spring-hello应用
        本教程主要讲述如何将本地Java代码程序上传并在云端以容器化的构建、传输和运行。
        Kubernetes极速入门
        Kubernetes(K8S)是Google在2014年发布的一个开源项目,用于自动化容器化应用程序的部署、扩展和管理。Kubernetes通常结合docker容器工作,并且整合多个运行着docker容器的主机集群。 本课程从Kubernetes的简介、功能、架构,集群的概念、工具及部署等各个方面进行了详细的讲解及展示,通过对本课程的学习,可以对Kubernetes有一个较为全面的认识,并初步掌握Kubernetes相关的安装部署及使用技巧。本课程由黑马程序员提供。 &nbsp; 相关的阿里云产品:容器服务 ACK 容器服务 Kubernetes 版(简称 ACK)提供高性能可伸缩的容器应用管理能力,支持企业级容器化应用的全生命周期管理。整合阿里云虚拟化、存储、网络和安全能力,打造云端最佳容器化应用运行环境。 了解产品详情:&nbsp;https://www.aliyun.com/product/kubernetes
        相关文章
        |
        3天前
        |
        监控 NoSQL 时序数据库
        《docker高级篇(大厂进阶):7.Docker容器监控之CAdvisor+InfluxDB+Granfana》包括:原生命令、是什么、compose容器编排,一套带走
        《docker高级篇(大厂进阶):7.Docker容器监控之CAdvisor+InfluxDB+Granfana》包括:原生命令、是什么、compose容器编排,一套带走
        119 77
        |
        2天前
        |
        人工智能 运维 监控
        阿里云ACK容器服务生产级可观测体系建设实践
        本文整理自2024云栖大会冯诗淳(花名:行疾)的演讲,介绍了阿里云容器服务团队在生产级可观测体系建设方面的实践。冯诗淳详细阐述了容器化架构带来的挑战及解决方案,强调了可观测性对于构建稳健运维体系的重要性。文中提到,阿里云作为亚洲唯一蝉联全球领导者的容器管理平台,其可观测能力在多项关键评测中表现优异,支持AI、容器网络、存储等多个场景的高级容器可观测能力。此外,还介绍了阿里云容器服务在多云管理、成本优化等方面的最新进展,以及即将推出的ACK AI助手2.0,旨在通过智能引擎和专家诊断经验,简化异常数据查找,缩短故障响应时间。
        阿里云ACK容器服务生产级可观测体系建设实践
        |
        2天前
        |
        运维 Kubernetes 调度
        阿里云容器服务 ACK One 分布式云容器企业落地实践
        阿里云容器服务ACK提供强大的产品能力,支持弹性、调度、可观测、成本治理和安全合规。针对拥有IDC或三方资源的企业,ACK One分布式云容器平台能够有效解决资源管理、多云多集群管理及边缘计算等挑战,实现云上云下统一管理,提升业务效率与稳定性。
        |
        2天前
        |
        存储 Kubernetes 关系型数据库
        阿里云ACK备份中心,K8s集群业务应用数据的一站式灾备方案
        本文源自2024云栖大会苏雅诗的演讲,探讨了K8s集群业务为何需要灾备及其重要性。文中强调了集群与业务高可用配置对稳定性的重要性,并指出人为误操作等风险,建议实施周期性和特定情况下的灾备措施。针对容器化业务,提出了灾备的新特性与需求,包括工作负载为核心、云资源信息的备份,以及有状态应用的数据保护。介绍了ACK推出的备份中心解决方案,支持命名空间、标签、资源类型等维度的备份,并具备存储卷数据保护功能,能够满足GitOps流程企业的特定需求。此外,还详细描述了备份中心的使用流程、控制台展示、灾备难点及解决方案等内容,展示了备份中心如何有效应对K8s集群资源和存储卷数据的灾备挑战。
        |
        14天前
        |
        运维 Kubernetes Docker
        深入理解容器化技术:Docker与Kubernetes的协同工作
        深入理解容器化技术:Docker与Kubernetes的协同工作
        33 1
        |
        14天前
        |
        Kubernetes Cloud Native 持续交付
        容器化、Kubernetes与微服务架构的融合
        容器化、Kubernetes与微服务架构的融合
        33 1
        |
        16天前
        |
        Kubernetes Cloud Native API
        深入理解Kubernetes——容器编排的王者之道
        深入理解Kubernetes——容器编排的王者之道
        30 1
        |
        23天前
        |
        Kubernetes Cloud Native 持续交付
        深入理解Kubernetes:容器编排的基石
        深入理解Kubernetes:容器编排的基石
        |
        17天前
        |
        Kubernetes Cloud Native 云计算
        云原生入门:Kubernetes 和容器化基础
        在这篇文章中,我们将一起揭开云原生技术的神秘面纱。通过简单易懂的语言,我们将探索如何利用Kubernetes和容器化技术简化应用的部署和管理。无论你是初学者还是有一定经验的开发者,本文都将为你提供一条清晰的道路,帮助你理解和运用这些强大的工具。让我们从基础开始,逐步深入了解,最终能够自信地使用这些技术来优化我们的工作流程。
        |
        22天前
        |
        Kubernetes 监控 安全
        容器化技术:Docker与Kubernetes的实战应用
        容器化技术:Docker与Kubernetes的实战应用

        热门文章

        最新文章