如何通过LoadBalancer IP地址访问Kubernetes Dashboard？求操作教程

嘿，针对你在CentOS7上搭建的K8S 1.9.6高可用集群，想要通过现有Nginx LoadBalancer的IP访问Dashboard，我整理了一套落地步骤，直接跟着做就行：

一、部署适配版本的Kubernetes Dashboard #

K8S 1.9.6必须搭配v1.8.3版本的Dashboard，版本不匹配会导致各种兼容性问题。先创建一个kubernetes-dashboard.yaml文件，内容如下：

# Copyright 2017 The Kubernetes Authors.
#
# Licensed under the Apache License, Version 2.0 (the "License");
# you may not use this file except in compliance with the License.
# You may obtain a copy of the License at
#
#     http://www.apache.org/licenses/LICENSE-2.0
#
# Unless required by applicable law or agreed to in writing, software
# distributed under the License is distributed on an "AS IS" BASIS,
# WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
# See the License for the specific language governing permissions and
# limitations under the License.

apiVersion: v1
kind: ServiceAccount
metadata:
  labels:
    k8s-app: kubernetes-dashboard
  name: kubernetes-dashboard
  namespace: kube-system
---
kind: Service
apiVersion: v1
metadata:
  labels:
    k8s-app: kubernetes-dashboard
  name: kubernetes-dashboard
  namespace: kube-system
spec:
  ports:
    - port: 443
      targetPort: 8443
  selector:
    k8s-app: kubernetes-dashboard
---
apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  labels:
    k8s-app: kubernetes-dashboard
  name: kubernetes-dashboard
  namespace: kube-system
spec:
  replicas: 1
  revisionHistoryLimit: 10
  selector:
    matchLabels:
      k8s-app: kubernetes-dashboard
  template:
    metadata:
      labels:
        k8s-app: kubernetes-dashboard
    spec:
      containers:
      - name: kubernetes-dashboard
        image: k8s.gcr.io/kubernetes-dashboard-amd64:v1.8.3
        ports:
        - containerPort: 8443
          protocol: TCP
        args:
          - --auto-generate-certificates
        volumeMounts:
        - name: tmp-volume
          mountPath: /tmp
        livenessProbe:
          httpGet:
            scheme: HTTPS
            path: /
            port: 8443
          initialDelaySeconds: 30
          timeoutSeconds: 30
      volumes:
      - name: tmp-volume
        emptyDir: {}
      serviceAccountName: kubernetes-dashboard
      # Comment the following tolerations if Dashboard must not be deployed on master
      tolerations:
      - key: node-role.kubernetes.io/master
        effect: NoSchedule

执行部署命令：

kubectl apply -f kubernetes-dashboard.yaml

部署完成后，检查Pod和Service状态，确保正常运行：

kubectl get pods -n kube-system | grep kubernetes-dashboard
kubectl get svc kubernetes-dashboard -n kube-system

默认的Dashboard Service是ClusterIP类型，只能集群内部访问，接下来我们通过Nginx LB做反向代理来对外开放访问。

二、配置Nginx LoadBalancer反向代理 #

登录你的Nginx LB节点，添加反向代理配置，这里提供两种方式，选一种适合你的即可：

方式1：直接代理到Dashboard的ClusterIP #

先获取Dashboard的ClusterIP：

# 在任意K8S节点执行
kubectl get svc kubernetes-dashboard -n kube-system
# 输出示例：
# NAME                   TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)   AGE
# kubernetes-dashboard   ClusterIP   10.96.150.200   <none>        443/TCP   2m

在Nginx节点上创建配置文件/etc/nginx/conf.d/k8s-dashboard.conf，内容如下（替换CLUSTER_IP为你获取到的IP，LB_IP为Nginx节点的公网/内网IP）：

server {
    listen 443 ssl;
    server_name LB_IP;

    # 如果你有合法SSL证书，替换以下路径
    ssl_certificate /etc/nginx/ssl/dashboard.crt;
    ssl_certificate_key /etc/nginx/ssl/dashboard.key;

    location / {
        proxy_pass https://CLUSTER_IP:443;
        proxy_ssl_verify off; # Dashboard默认用自签名证书，需关闭验证
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

如果暂时没有SSL证书，也可以先配置HTTP访问（生产环境不推荐）：

server {
    listen 80;
    server_name LB_IP;

    location / {
        proxy_pass https://CLUSTER_IP:443;
        proxy_ssl_verify off;
        proxy_set_header Host $host;
    }
}

配置完成后，重启Nginx服务：

systemctl restart nginx

方式2：将Dashboard改为NodePort，再代理到NodePort #

如果担心ClusterIP变化导致Nginx配置失效，可以先把Dashboard Service改为NodePort类型：

kubectl patch svc kubernetes-dashboard -n kube-system -p '{"spec":{"type":"NodePort"}}'

获取分配的NodePort端口：

kubectl get svc kubernetes-dashboard -n kube-system
# 输出中PORT(S)会显示为443:30XXX/TCP，30XXX就是NodePort

然后在Nginx配置文件中，把proxy_pass指向任意Worker节点的NodePort：

proxy_pass https://WORKER_NODE_IP:30XXX;

这种方式的好处是，即使Dashboard的ClusterIP变动，只要NodePort不变，Nginx配置就不用修改。

三、配置Dashboard访问权限 #

K8S 1.9.6的Dashboard默认权限很低，直接登录会提示权限不足，需要创建一个管理员账号：

1. 创建ServiceAccount：
   创建dashboard-admin-sa.yaml文件：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: dashboard-admin
  namespace: kube-system

执行部署：

kubectl apply -f dashboard-admin-sa.yaml

2. 绑定集群管理员权限：
   创建dashboard-admin-rbac.yaml文件：

apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: dashboard-admin
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- kind: ServiceAccount
  name: dashboard-admin
  namespace: kube-system

执行绑定：

kubectl apply -f dashboard-admin-rbac.yaml

3. 获取登录Token：
   执行以下命令获取管理员账号的Token：

kubectl describe secret $(kubectl get secret -n kube-system | grep dashboard-admin | awk '{print $1}') -n kube-system

输出中token字段后面的字符串就是登录Dashboard需要的令牌，复制下来备用。

四、访问Dashboard #

现在打开浏览器，输入https://LB_IP（如果配置的是HTTP就用http://LB_IP），在登录界面选择“令牌”，粘贴刚才复制的Token，点击登录就能进入Dashboard界面了。

注意事项 #

• 务必保证Dashboard版本和K8S版本匹配（1.9.6对应v1.8.3），否则会出现无法登录或功能异常的问题。
• 确保Nginx LB节点能访问到K8S集群的ClusterIP或Worker节点的NodePort，网络不通的话会无法访问。
• 生产环境一定要配置合法的SSL证书，不要长期使用自签名证书和关闭proxy_ssl_verify。

内容的提问来源于stack exchange，提问作者kikas