混合版本代理

功能狀態： Kubernetes v1.28 [alpha] (預設啟用： false)

Kubernetes 1.32 包含一個 Alpha 功能，可讓 API 伺服器將資源請求代理到其他同級 API 伺服器。當一個叢集中有多個執行不同 Kubernetes 版本的 API 伺服器時（例如，在長期發布到新版本的 Kubernetes 期間），這非常有用。

這使叢集管理員能夠配置高可用性叢集，這些叢集可以更安全地升級，方法是將資源請求（在升級期間發出）導向到正確的 kube-apiserver。這種代理可防止使用者看到因升級過程而產生的意外 404 Not Found 錯誤。

此機制稱為混合版本代理。

啟用混合版本代理

啟動 API 伺服器時，請確保已啟用 UnknownVersionInteroperabilityProxy 功能閘道

kube-apiserver \
--feature-gates=UnknownVersionInteroperabilityProxy=true \
# required command line arguments for this feature
--peer-ca-file=<path to kube-apiserver CA cert>
--proxy-client-cert-file=<path to aggregator proxy cert>,
--proxy-client-key-file=<path to aggregator proxy key>,
--requestheader-client-ca-file=<path to aggregator CA cert>,
# requestheader-allowed-names can be set to blank to allow any Common Name
--requestheader-allowed-names=<valid Common Names to verify proxy client cert against>,

# optional flags for this feature
--peer-advertise-ip=`IP of this kube-apiserver that should be used by peers to proxy requests`
--peer-advertise-port=`port of this kube-apiserver that should be used by peers to proxy requests`

# …and other flags as usual

API 伺服器之間的代理傳輸與身份驗證

來源 kube-apiserver 重複使用現有的 APIserver 用戶端身份驗證標誌 --proxy-client-cert-file 和 --proxy-client-key-file 來呈現其身份，該身份將由其同級伺服器（目的地 kube-apiserver）驗證。目的地 API 伺服器根據您使用 --requestheader-client-ca-file 命令列引數指定的組態，驗證同級連線。
若要驗證目的地伺服器的服務憑證，您必須透過指定 --peer-ca-file 命令列引數給來源 API 伺服器來設定憑證授權單位套件。

同級 API 伺服器連線的組態

若要設定 kube-apiserver 的網路位置，同級伺服器將使用該位置來代理請求，請使用 kube-apiserver 的 --peer-advertise-ip 和 --peer-advertise-port 命令列引數，或在 API 伺服器組態檔中指定這些欄位。如果未指定這些標誌，同級伺服器將使用 --advertise-address 或 --bind-address 命令列引數中的值給 kube-apiserver。如果這些也未設定，則會使用主機的預設介面。