如何在Kubernetes集群Pod中访问etcd容器以采集其指标？

首先得搞清楚你遇到的问题根源：用Kubespray部署的Kubernetes集群，默认会把etcd作为节点级Docker容器部署在master节点上，而不是作为Kubernetes Pod来管理——这就是为什么你用kubectl get pods -A | grep etcd看不到任何结果，但登录master节点用docker ps能找到etcd容器的原因。这种部署方式是为了避免etcd依赖Kubernetes本身，让集群初始化更可靠，但也导致集群内的Pod没法通过Kubernetes DNS直接访问到etcd。

下面给你几个可行的解决方案，一步步来：

1. 确认etcd的监听配置 #

首先登录到master节点，检查etcd容器的启动参数，确认它不是只监听本地127.0.0.1：

# 替换成你的etcd容器名，通常是etcd或者etcd-<节点名>
docker inspect etcd | grep -A5 Listen

如果看到--listen-client-urls参数只有https://127.0.0.1:2379，那得修改etcd的配置（Kubespray生成的配置一般在/etc/etcd/config.yml或者启动脚本里），让它监听master节点的集群IP或者0.0.0.0，这样集群内的Pod才能通过master节点的IP访问到etcd的2379端口。修改后记得重启etcd容器。

2. 用Endpoint+Service让Pod能解析到etcd #

既然etcd不在Kubernetes的Pod管理里，我们可以手动创建Endpoint和Service来把etcd的节点IP映射成集群内部可访问的服务名：

第一步：创建Endpoint #

先收集所有master节点的IP，然后创建一个etcd-endpoints.yaml文件：

apiVersion: v1
kind: Endpoints
metadata:
  name: etcd-cluster
  namespace: monitoring # 假设你的Prometheus在monitoring命名空间下，按需修改
subsets:
  - addresses:
      - ip: 10.0.0.10 # 第一个master节点IP
      - ip: 10.0.0.11 # 第二个master节点IP
      - ip: 10.0.0.12 # 第三个master节点IP
    ports:
      - port: 2379
        name: client

执行kubectl apply -f etcd-endpoints.yaml创建Endpoint。

第二步：创建对应的Service #

再创建一个etcd-service.yaml文件：

apiVersion: v1
kind: Service
metadata:
  name: etcd-cluster
  namespace: monitoring
spec:
  ports:
    - port: 2379
      name: client

执行kubectl apply -f etcd-service.yaml。

现在你的Prometheus Pod就可以通过etcd-cluster.monitoring.svc.cluster.local:2379这个域名访问到etcd集群了。

3. 处理etcd的TLS认证 #

etcd一般默认开启了TLS认证，所以你还需要把etcd的认证证书挂载到Prometheus Pod里：

1. 从master节点的etcd配置目录（通常是/etc/etcd/ssl/）复制ca.crt、client.crt、client.key这三个文件。
2. 在Prometheus所在的命名空间创建一个Secret：

kubectl create secret generic etcd-ssl --from-file=ca.crt=./ca.crt --from-file=client.crt=./client.crt --from-file=client.key=./client.key -n monitoring

3. 修改Prometheus的Deployment，把这个Secret挂载到Pod里，比如挂载到/etc/prometheus/etcd/目录。
4. 最后修改Prometheus的配置文件，添加etcd的采集任务并配置TLS：

scrape_configs:
  - job_name: 'etcd'
    static_configs:
      - targets: ['etcd-cluster.monitoring.svc.cluster.local:2379']
    tls_config:
      ca_file: /etc/prometheus/etcd/ca.crt
      cert_file: /etc/prometheus/etcd/client.crt
      key_file: /etc/prometheus/etcd/client.key

4. 检查防火墙和网络策略 #

最后别忘了确认：

• master节点的防火墙规则允许集群内部Pod访问2379端口（比如iptables -A INPUT -s <集群CIDR> -p tcp --dport 2379 -j ACCEPT）。
• 如果你的集群配置了NetworkPolicy，要确保Prometheus所在的命名空间有访问etcd对应端口的权限。

备注：内容来源于stack exchange，提问作者E. Jaep