混合版本代理

功能狀態：Kubernetes v1.28 [alpha] (預設啟用：false)

Kubernetes 1.34 包含一個 Alpha 功能，它允許 API 伺服器將資源請求代理到其他_對等_ API 伺服器。當單個叢集中執行多個不同版本 Kubernetes 的 API 伺服器時（例如，在新版本 Kubernetes 的長期滾動升級期間），此功能非常有用。

這使得叢集管理員能夠透過在升級期間將資源請求定向到正確的 kube-apiserver，從而配置更安全地升級的高可用叢集。這種代理可以防止使用者看到因升級過程引起的意外的 404 Not Found 錯誤。

此機制稱為_混合版本代理_。

啟用混合版本代理

確保在啟動 API 伺服器時啟用了 UnknownVersionInteroperabilityProxy 功能門。

kube-apiserver \
--feature-gates=UnknownVersionInteroperabilityProxy=true \
# required command line arguments for this feature
--peer-ca-file=<path to kube-apiserver CA cert>
--proxy-client-cert-file=<path to aggregator proxy cert>,
--proxy-client-key-file=<path to aggregator proxy key>,
--requestheader-client-ca-file=<path to aggregator CA cert>,
# requestheader-allowed-names can be set to blank to allow any Common Name
--requestheader-allowed-names=<valid Common Names to verify proxy client cert against>,

# optional flags for this feature
--peer-advertise-ip=`IP of this kube-apiserver that should be used by peers to proxy requests`
--peer-advertise-port=`port of this kube-apiserver that should be used by peers to proxy requests`

# …and other flags as usual

API 伺服器之間的代理傳輸和身份驗證

源 kube-apiserver 重用現有的 API 伺服器客戶端身份驗證標誌 --proxy-client-cert-file 和 --proxy-client-key-file 來提供其身份，該身份將由其對等方（目標 kube-apiserver）驗證。目標 API 伺服器根據您使用 --requestheader-client-ca-file 命令列引數指定的配置來驗證對等連線。
為了驗證目標伺服器的服務證書，您必須透過向**源** API 伺服器指定 --peer-ca-file 命令列引數來配置證書頒發機構包。

對等 API 伺服器連線配置

要設定對等方將用於代理請求的 kube-apiserver 的網路位置，請使用 --peer-advertise-ip 和 --peer-advertise-port 命令列引數來 kube-apiserver 或在 API 伺服器配置檔案中指定這些欄位。如果未指定這些標誌，對等方將使用 --advertise-address 或 --bind-address 命令列引數的值。如果這些也未設定，則使用主機的預設介面。