一、下載k8s二進制文件

下載地址：
https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG/CHANGELOG
-1.20.md

注：打開鏈接你會發現里面有很多包，下載一個 server 包就夠了，包含了 Master 和 Worker Node 二進制文件。

二、解壓二進制包

# 創建工作目錄
mkdir -p /opt/kubernetes/{bin,cfg,ssl,logs}
# 解壓
tar zxvf kubernetes-server-linux-amd64.tar.gz
cd kubernetes/server/bin
cp kube-apiserver kube-scheduler kube-controller-manager /opt/kubernetes/bin
cp kubectl /usr/bin/

三、部署 kube-apiserver

3.1 創建配置文件

cat > /opt/kubernetes/cfg/kube-apiserver.conf << EOF
KUBE_APISERVER_OPTS="--logtostderr=false \\
--v=2 \\
--log-dir=/opt/kubernetes/logs \\
--etcd-servers=https://192.168.1.20:2379,https://192.168.1.21:2379,https://192.168.1.22:2379 \\
--bind-address=192.168.1.20 \\
--secure-port=6443 \\
--advertise-address=192.168.1.20 \\
--allow-privileged=true \\
--service-cluster-ip-range=10.0.0.0/24 \\
--enable-admission-plugins=NamespaceLifecycle,LimitRanger,ServiceAccount,ResourceQuota,NodeRestriction\\
--authorization-mode=RBAC,Node \\
--enable-bootstrap-token-auth=true \\
--token-auth-file=/opt/kubernetes/cfg/token.csv \\
--service-node-port-range=30000-32767 \\
--kubelet-client-certificate=/opt/kubernetes/ssl/server.pem \\
--kubelet-client-key=/opt/kubernetes/ssl/server-key.pem \\
--tls-cert-file=/opt/kubernetes/ssl/server.pem \\
--tls-private-key-file=/opt/kubernetes/ssl/server-key.pem \\
--client-ca-file=/opt/kubernetes/ssl/ca.pem \\
--service-account-key-file=/opt/kubernetes/ssl/ca-key.pem \\
--service-account-issuer=api \\
--service-account-signing-key-file=/opt/kubernetes/ssl/server-key.pem \\
--etcd-cafile=/opt/etcd/ssl/ca.pem \\
--etcd-certfile=/opt/etcd/ssl/server.pem \\
--etcd-keyfile=/opt/etcd/ssl/server-key.pem \\
--requestheader-client-ca-file=/opt/kubernetes/ssl/ca.pem \\
--proxy-client-cert-file=/opt/kubernetes/ssl/server.pem \\
--proxy-client-key-file=/opt/kubernetes/ssl/server-key.pem \\
--requestheader-allowed-names=kubernetes \\
--requestheader-extra-headers-prefix=X-Remote-Extra- \\
--requestheader-group-headers=X-Remote-Group \\
--requestheader-username-headers=X-Remote-User \\
--enable-aggregator-routing=true \\
--audit-log-maxage=30 \\
--audit-log-maxbackup=3 \\
--audit-log-maxsize=100 \\
--audit-log-path=/opt/kubernetes/logs/k8s-audit.log"
EOF

注：上面兩個\ \ 第一個是轉義符，第二個是換行符，使用轉義符是為了使用 EOF
保留換行符。
? --logtostderr：啟用日志
? ---v：日志等級
? --log-dir：日志目錄
? --etcd-servers：etcd 集群地址
? --bind-address：監聽地址
? --secure-port：https 安全端口
? --advertise-address：集群通告地址
? --allow-privileged：啟用授權
? --service-cluster-ip-range：Service 虛擬 IP 地址段
? --enable-admission-plugins：準入控制模塊
? --authorization-mode：認證授權，啟用 RBAC 授權和節點自管理
? --enable-bootstrap-token-auth：啟用 TLS bootstrap 機制
? --token-auth-file：bootstrap token 文件
? --service-node-port-range：Service nodeport 類型默認分配端口范圍
? --kubelet-client-xxx：apiserver 訪問 kubelet 客戶端證書
? --tls-xxx-file：apiserver https 證書
? 1.20 版本必須加的參數：--service-account-issuer，--service-account-
signing-key-file
? --etcd-xxxfile：連接 Etcd 集群證書
? --audit-log-xxx：審計日志
? 啟動聚合層相關配置：--requestheader-client-ca-file，--proxy-client-
cert-file，--proxy-client-key-file，--requestheader-allowed-
names，--requestheader-extra-headers-prefix，--requestheader-group-
headers，--requestheader-username-headers，--enable-aggregator-
routing

3.2 拷貝上一篇文章生成的證書

cp ~/TLS/k8s/ca*pem ~/TLS/k8s/server*pem /opt/kubernetes/ssl/

3.3 啟用 TLS Bootstrapping 機制

TLS Bootstraping：Master apiserver 啟用 TLS 認證后，Node 節點 kubelet 和kube-proxy 要與 kube-apiserver 進行通信，必須使用 CA 簽發的有效證書才可以，當 Node 節點很多時，這種客戶端證書頒發需要大量工作，同樣也會增加集群擴展復雜度。為了簡化流程，Kubernetes 引入了 TLS bootstraping 機制來自動頒發客戶端證書，kubelet 會以一個低權限用戶自動向 apiserver 申請證書，kubelet 的證書由 apiserver 動態簽署。所以強烈建議在 Node 上使用這種方式，目前主要用于 kubelet，kube-proxy 還是由我們統一頒發一個證書。

TLS bootstraping 工作流程：

創建上述配置文件中 token 文件：

cat > /opt/kubernetes/cfg/token.csv << EOF
c47ffb939f5ca36231d9e3121a252940,kubelet-bootstrap,10001,"system:node-bootstrapper"
EOF

格式：token，用戶名，UID，用戶組
token 也可自行生成替換：

head -c 16 /dev/urandom | od -An -t x | tr -d ' '

3.4 systemd 管理 apiserver

cat > /usr/lib/systemd/system/kube-apiserver.service << EOF
[Unit]
Description=Kubernetes API Server
Documentation=https://github.com/kubernetes/kubernetes
[Service]
EnvironmentFile=/opt/kubernetes/cfg/kube-apiserver.conf
ExecStart=/opt/kubernetes/bin/kube-apiserver \$KUBE_APISERVER_OPTS
Restart=on-failure
[Install]
WantedBy=multi-user.target
EOF

3.5 啟動并設置開機啟動

systemctl daemon-reload
systemctl start kube-apiserver
systemctl enable kube-apiserver

3.6查看啟動狀態

ps -ef | grep kube-apiserver

輸出：

如果啟動失敗，通過以下方式查看日志：

journalctl -u kube-apiserver