如何基于patch.yaml向kube-apiserver.yaml添加命令与卷配置

方法一：使用kubectl patch命令直接修改 #

这种方法适用于集群中kube-apiserver以Static Pod（多数集群默认）或Deployment运行的场景。

针对Static Pod的操作 #

1. 找到kube-apiserver的Static Pod配置文件，通常路径为/etc/kubernetes/manifests/kube-apiserver.yaml
2. 执行patch命令合并配置：

kubectl patch --filename /etc/kubernetes/manifests/kube-apiserver.yaml --patch "$(cat patch.yaml)"

3. 验证修改结果：

# 检查启动命令是否包含审计参数
kubectl describe pod kube-apiserver-$(hostname) -n kube-system | grep -A 20 "Command:"
# 检查VolumeMounts配置
kubectl describe pod kube-apiserver-$(hostname) -n kube-system | grep -A 10 "VolumeMounts:"
# 检查Volumes配置
kubectl describe pod kube-apiserver-$(hostname) -n kube-system | grep -A 10 "Volumes:"

针对Deployment的操作（较少见） #

如果kube-apiserver由Deployment管理，执行：

kubectl patch deployment kube-apiserver -n kube-system --patch "$(cat patch.yaml)"

方法二：使用yq工具手动合并配置文件 #

适合需要先在本地验证合并结果再应用的场景（需安装yq v4版本）：

1. 合并两个配置文件到新文件：

yq eval-all 'select(fileIndex==0) * select(fileIndex==1)' kube-apiserver.yaml patch.yaml > merged-kube-apiserver.yaml

2. 手动检查合并后的文件，重点确认：
   • spec.containers[0].command中是否包含审计相关参数（如--audit-policy-file、--audit-log-path）
   • spec.containers[0].volumeMounts中是否添加了审计文件挂载项
   • spec.volumes中是否包含审计相关卷定义
3. 替换原Static Pod配置文件：

cp merged-kube-apiserver.yaml /etc/kubernetes/manifests/kube-apiserver.yaml

注意事项 #

• 修改后kubelet会自动重启kube-apiserver Pod，等待1-2分钟后验证服务状态
• 确保patch.yaml的结构与kube-apiserver.yaml完全匹配（如容器索引、字段层级），否则patch会失败
• 审计策略文件需提前放置到对应节点路径或存储卷，保证kube-apiserver可访问

内容的提问来源于stack exchange，提问作者landocalrissian