Kubernetes集群中如何让Python脚本Pod获取kube-ovn命令输出？

以下是几个符合你需求的实现方案，按部署工作量从小到大排序：

方案1：在Python脚本Pod内直接执行kubectl ko nbctl show #

核心思路 #

利用你提到的kubectl ko nbctl与CNI Pod内ovn-nbctl show输出一致的特性，让Python脚本Pod通过Kubernetes权限直接执行该命令，无需依赖CNI Pod的共享资源。

具体步骤 #

1. 配置Pod权限

   • 创建一个具有足够权限的ServiceAccount，并绑定对应的ClusterRole/ClusterRoleBinding。最小权限只需允许访问kube-ovn的nbctl操作，示例配置如下：

     apiVersion: rbac.authorization.k8s.io/v1
     kind: ClusterRole
     metadata:
       name: ovn-nbctl-access
     rules:
     - apiGroups: ["kubeovn.io"]
       resources: ["nbctls"]
       verbs: ["create"]
     ---
     apiVersion: rbac.authorization.k8s.io/v1
     kind: ClusterRoleBinding
     metadata:
       name: ovn-nbctl-access-binding
     roleRef:
       apiGroup: rbac.authorization.k8s.io
       kind: ClusterRole
       name: ovn-nbctl-access
     subjects:
     - kind: ServiceAccount
       name: python-script-sa
       namespace: <你的脚本Pod所在命名空间>
     

   • 在Python脚本Pod的Deployment中指定使用该ServiceAccount：

     spec:
       serviceAccountName: python-script-sa
     

2. 在Pod内准备kubectl和kubectl-ko工具

   • 推荐用Init容器方式，避免修改基础镜像：

     initContainers:
     - name: copy-kubectl-tools
       image: kubeovn/kube-ovn:<你的集群kube-ovn版本>
       command: ["cp", "/usr/bin/kubectl", "/usr/bin/kubectl-ko", "/tools/"]
       volumeMounts:
       - name: tools
         mountPath: /tools
     volumes:
     - name: tools
       emptyDir: {}
     

     主容器挂载该卷后，即可通过/tools/kubectl ko nbctl show执行命令。

3. 脚本内实现定时执行与解析

   • 在Python脚本中用循环加睡眠实现定期调用，直接捕获命令输出并统计。示例代码片段：

     import subprocess
     import time
     
     while True:
         result = subprocess.run(
             ["/tools/kubectl", "ko", "nbctl", "show"],
             capture_output=True,
             text=True
         )
         if result.returncode == 0:
             output = result.stdout
             # 在这里编写你的浮动IP统计逻辑
         time.sleep(30)  # 按需求调整间隔时间
     

优势 #

• Pod重启后权限和工具依然有效，满足持久化需求；
• 定时逻辑在脚本内实现，无需额外配置；
• 仅需调整Pod的ServiceAccount和增加Init容器，部署工作量极小。

方案2：挂载OVN Northbound数据库套接字到脚本Pod #

核心思路 #

ovn-nbctl本质通过UNIX套接字连接OVN Northbound数据库，若kube-ovn CNI Pod已将该套接字挂载到宿主机，可直接将宿主机上的套接字路径挂载到Python脚本Pod，让脚本直接执行原生ovn-nbctl show命令。

具体步骤 #

1. 确认套接字路径

   • 执行kubectl exec -it <kube-ovn-cni-pod-name> -n kube-system -- ls /var/run/openvswitch/，找到ovnnb_db.sock的路径（通常为/var/run/openvswitch/ovnnb_db.sock），并确认该路径是CNI Pod挂载的宿主机hostPath卷。

2. 配置脚本Pod挂载套接字

   • 在脚本Pod的Deployment中添加hostPath卷挂载：

     volumes:
     - name: ovn-nb-sock
       hostPath:
         path: /var/run/openvswitch/ovnnb_db.sock
         type: Socket
     containers:
     - name: python-script
       image: <你的脚本镜像>
       volumeMounts:
       - name: ovn-nb-sock
         mountPath: /var/run/openvswitch/ovnnb_db.sock
     

3. 在镜像中安装ovn-nbctl工具

   • 基于Python镜像构建新镜像，从kube-ovn镜像中拷贝ovn-nbctl二进制文件，或通过包管理器安装对应版本。

4. 脚本内定时执行命令

   • 类似方案1，脚本中定期执行ovn-nbctl show并解析输出。

优势 #

• 直接调用原生命令，输出与CNI Pod内完全一致；
• 无需依赖Kubernetes API权限，逻辑更直接。

注意事项 #

• 需确保宿主机上的套接字路径在所有节点一致，避免脚本Pod调度到无套接字的节点；
• kube-ovn版本升级时，需同步更新脚本Pod内的ovn-nbctl版本，避免兼容性问题。

内容的提问来源于stack exchange，提问作者Kavi Rakesh