Kubernetes API Server

Kubernetes API Server 是 Kubernetes 控制平面的核心组件，负责处理所有 RESTful API 请求，管理集群状态，并作为集群内部和外部通信的网关。以下是其核心功能和架构的详细解析。

---

API Server 的核心功能

1. 集群状态管理

• 作为唯一直接与 etcd 交互的组件，API Server 负责存储、检索和更新集群状态。
• 所有资源的创建、更新、删除操作均通过 API Server 验证后持久化到 etcd。

2. 请求处理与验证

• 接收来自客户端（如 kubectl）、控制器、调度器等的 HTTP/HTTPS 请求。
• 对请求进行身份认证（Authentication）、授权（Authorization）和准入控制（Admission Control）。

3. 资源版本控制

• 通过 ResourceVersion 实现乐观并发控制，避免资源冲突。
• 支持多版本 API（如 v1、v1beta1），并提供版本转换机制。

---

API Server 的架构组件

1. 核心层（Kubernetes API）

• 定义所有内置资源（如 Pod、Deployment）的 RESTful 接口。
• 提供标准的 CRUD（Create、Read、Update、Delete）操作。

2. 扩展层（Aggregation Layer）

• 允许扩展 API Server 的功能，通过注册自定义 API（Custom Resource Definitions, CRDs）。
• 支持第三方服务（如 metrics-server）集成到 Kubernetes API 中。

3. 通信机制

• 使用基于 Protobuf 或 JSON 的 HTTP/2 协议。
• 内置 Watch 机制，监听资源变更并推送事件。

---

关键工作流程

1. 请求处理流程

1. 客户端发送请求到 API Server。
2. 认证模块验证请求者身份（如 TLS 证书、Bearer Token）。
3. 授权模块检查权限（如 RBAC、ABAC）。
4. 准入控制器执行动态校验或修改（如 NamespaceLifecycle、ResourceQuota）。
5. 持久化到 etcd 并返回响应。

2. 资源变更通知

• 控制器通过 Watch API 监听资源变化（如 Deployment 的副本数变更）。
• API Server 将事件推送给注册的监听者，触发协调逻辑。

---

高可用与性能优化

1. 高可用部署

• 多实例部署，通过负载均衡（如 kube-apiserver 前的 LB）分发请求。
• 使用 --etcd-servers 参数连接 etcd 集群，确保数据一致性。

2. 性能调优

• 启用 API 优先级和公平性（APF），避免高优先级请求被阻塞。
• 调整 --max-requests-inflight 和 --max-mutating-requests-inflight 限制并发请求数。
• 使用 --enable-garbage-collector 清理孤儿资源。

---

安全配置示例

# kube-apiserver 启动参数片段
apiVersion: kubeadm.k8s.io/v1beta3
kind: ClusterConfiguration
apiServer:
  extraArgs:
    anonymous-auth: "false"          # 禁用匿名访问
    authorization-mode: "RBAC"       # 启用 RBAC
    enable-admission-plugins: "NamespaceLifecycle,ResourceQuota"
    audit-log-path: "/var/log/kubernetes/audit.log"

---

常见问题排查

1. API Server 不可用

• 检查 etcd 集群状态：etcdctl endpoint health。
• 查看 API Server 日志：journalctl -u kube-apiserver。

2. 请求被拒绝

• 使用 kubectl auth can-i 验证权限。
• 检查审计日志或 kubectl get events 获取详细错误。

3. 性能瓶颈

• 监控 API Server 的 CPU/内存使用率。
• 分析请求延迟：kubectl get --raw /metrics | grep apiserver_request_duration_seconds。