ghcr.io/k8sgpt-ai/k8sgpt-operator:dev-202606132006

K8sGPT Operator

该 Operator 旨在在 Kubernetes 集群中启用 K8sGPT。它允许您创建自定义资源，用于定义托管 K8sGPT 工作负载的行为和范围。分析和输出也可配置，以便集成到现有工作流中。

安装

helm repo add k8sgpt https://charts.k8sgpt.ai/
helm repo update
helm install release k8sgpt/k8sgpt-operator -n k8sgpt-operator-system --create-namespace

运行示例

• 从“安装”部分安装 Operator。 从“安装”部分安装 Operator。

• 创建密钥： 创建密钥：

kubectl create secret generic k8sgpt-sample-secret --from-literal=openai-api-key=$OPENAI_TOKEN -n k8sgpt-operator-system

• 应用 K8sGPT 配置对象：

kubectl apply -f - # 如果希望保持 webhook URL 私有，请使用接收器密钥
# secret:
# name: slack-webhook
# key: url
#extraOptions:
# backstage:
# enabled: true
EOF

• 应用自定义资源后，将安装 K8sGPT 部署，几分钟后（如果集群中存在任何问题）您将能够看到分析的 Results 对象：

❯ kubectl get results -n k8sgpt-operator-system -o json | jq .
{
"apiVersion": "v1",
"items": [
{
"apiVersion": "core.k8sgpt.ai/v1alpha1",
"kind": "Result",
"spec": {
"details": "The error message means that the service in Kubernetes doesn't have any associated endpoints, which should have been labeled with \"control-plane=controller-manager\". \n\nTo solve this issue, you need to add the \"control-plane=controller-manager\" label to the endpoint that matches the service. Once the endpoint is labeled correctly, Kubernetes can associate it with the service, and the error should be resolved.",

监控多个集群

k8sgpt.ai Operator 允许通过提供 kubeconfig 值来监控多个集群。

k8sgpt.ai kubeconfig 此功能对于希望采用平台工程（例如为多个利益相关者运行 Kubernetes 集群舰队）的场景非常有吸引力。k8sgpt.ai Operator 专为基于 Cluster API 的基础设施设计，将安装在同一个 Cluster API 管理集群中：该管理集群负责根据基础设施提供商为种子集群创建所需的集群。

k8sgpt.ai 一旦基于 Cluster API 的集群配置完成，符合命名约定 ${CLUSTERNAME}-kubeconfig 的 kubeconfig 将在同一命名空间中可用：常规的 Secret 数据键为 value，可用于指示 k8sgpt.ai Operator 监控远程集群，而无需在种子集群上部署任何资源。

kubeconfig ${CLUSTERNAME}-kubeconfig value k8sgpt.ai

$: kubectl get clusters
NAME PHASE AGE VERSION
capi-quickstart Provisioned 8s v1.28.0

$: kubectl get secrets
NAME TYPE DATA AGE
capi-quickstart-kubeconfig Opaque 1 8s

[!IMPORTANT] 安全注意事项 如果您的设置需要遵循最小权限原则，则必须提供不同的 kubeconfig，因为 Cluster API 生成的 kubeconfig 绑定到具有 cluster-admin 权限的 admin 用户。

kubeconfig admin cluster-admin 拥有有效的 kubeconfig 后，可以按如下方式创建 k8sgpt 实例。

kubeconfig k8sgpt

apiVersion: core.k8sgpt.ai/v1alpha1
kind: K8sGPT
metadata:
name: capi-quickstart
namespace: k8sgpt-operator-system
spec:
ai:
anonymized: true
backend: openai
language: english
model: gpt-4o-mini
secret:
key: api_key
name: my_openai_secret
kubeconfig:
key: value
name: capi-quickstart-kubeconfig

应用后，k8sgpt.ai Operator 将使用 /spec/kubeconfig 字段中定义的种子集群 kubeconfig 创建 k8sgpt.ai Deployment。

k8sgpt.ai k8sgpt.ai kubeconfig /spec/kubeconfig 生成的 Result 对象将在部署 k8sgpt.ai 实例的同一命名空间中可用，并使用以下键进行标签标注：

Result k8sgpt.ai

• k8sgpts.k8sgpt.ai/name: k8sgpt.ai 实例名称 k8sgpts.k8sgpt.ai/name k8sgpt.ai
• k8sgpts.k8sgpt.ai/namespace: k8sgpt.ai 实例命名空间 k8sgpts.k8sgpt.ai/namespace k8sgpt.ai
• k8sgpts.k8sgpt.ai/backend: AI 后端（如已指定） k8sgpts.k8sgpt.ai/backend 借助这些标签，可以根据指定的受监控集群筛选结果，而不会用 k8sgpt.ai CRD 污染底层集群、消耗种子集群的计算工作负载，同时还能保持 AI 后端驱动程序凭据的机密性。

k8sgpt.ai

[!NOTE] 若缺少 /spec/kubeconfig 字段，k8sgpt.ai Operator 将跟踪其部署所在的集群：这可以通过挂载提供的 ServiceAccount 实现。

/spec/kubeconfig k8sgpt.ai ServiceAccount

分布式缓存

Interplex 是一个设计用于 RPC 且针对 K8sGPT 优化的缓存系统。此缓存可以作为常规 helm 安装的一部分在本地集群中安装，无需任何凭据。

• 使用 Interplex 安装 K8sGPT Operator

helm install release k8sgpt/k8sgpt-operator -n k8sgpt-operator-system --create-namespace --set interplex.enabled=true

• 为 AI 后端创建密钥（本示例使用 OPENAI）：

kubectl create secret generic k8sgpt-sample-secret --from-literal=openai-api-key=$OPENAI_TOKEN -n k8sgpt-operator-system

• 将 K8sGPT 自定义资源指向 interplex 缓存：（将 helm 发布名称与缓存前缀匹配，例如 myrelease-interplex-service:8084）

kubectl apply -f - --from-literal=azure_tenant_id= --from-literal=azure_client_secret= -n k8sgpt-
operator-system

• 应用 K8sGPT 配置对象：

kubectl apply -f - --from-literal=aws_secret_access_key= -n k8sgpt-
operator-system

• 应用 K8sGPT 配置对象：

kubectl apply -f - .svc.cluster.local:8080/v1.

`baseUrl` `http://local-ai. .svc.cluster.local:8080/v1`
- 与上述示例中的步骤 4 相同。

## K8sGPT 配置选项

间隔应采用可由 Go 的 time.ParseDuration 函数解析的格式（例如 "30s"、"1m"、"2h"）。若未指定，默认间隔为 30 秒。

示例配置：
```shell
kubectl apply -f -
...

接收器可用的可选参数（'type'、'webhook' 是必需参数）。

监控多个集群

k8sgpt.ai Operator 允许通过提供 kubeconfig 值来监控多个集群。

如果您希望采用平台工程（例如为多个利益相关者运行一组 Kubernetes 集群），此功能会非常实用。k8sgpt.ai Operator 专为基于 Cluster API 的基础设施设计，将安装在同一个 Cluster API 管理集群中：该管理集群负责根据基础设施提供商为种子集群创建所需的集群。

基于 Cluster API 的集群配置完成后，符合命名约定 ${CLUSTERNAME}-kubeconfig 的 kubeconfig 将在同一命名空间中可用：常规的 Secret 数据键为 value，可用于指示 k8sgpt.ai Operator 监控远程集群，而无需在种子集群中部署任何资源。

$: kubectl get clusters
NAME             PHASE         AGE   VERSION
capi-quickstart  Provisioned   8s    v1.28.0

$: kubectl get secrets
NAME                          TYPE     DATA   AGE
capi-quickstart-kubeconfig    Opaque   1      8s

[!IMPORTANT] 安全注意事项

如果您的设置需要遵循最小权限原则，则必须提供不同的 kubeconfig，因为 Cluster API 生成的 kubeconfig 绑定到具有 clustr-admin 权限的 admin 用户。

拥有有效的 kubeconfig 后，可以按以下方式创建 k8sgpt 实例。

apiVersion: core.k8sgpt.ai/v1alpha1
kind: K8sGPT
metadata:
  name: capi-quickstart
  namespace: k8sgpt-operator-system
spec:
  ai:
    anonymized: true
    backend: openai
    language: english
    model: gpt-4o-mini
  secret:
    key: api_key
    name: my_openai_secret
  kubeconfig:
    key: value
    name: capi-quickstart-kubeconfig

应用后，k8sgpt.ai Operator 将使用 /spec/kubeconfig 字段中定义的种子集群 kubeconfig 创建 k8sgpt.ai Deployment。

生成的 Result 对象将在部署 k8sgpt.ai 实例的同一命名空间中可用，并带有以下标签键：

• k8sgpts.k8sgpt.ai/name：k8sgpt.ai 实例名称
• k8sgpts.k8sgpt.ai/namespace：k8sgpt.ai 实例命名空间
• k8sgpts.k8sgpt.ai/backend：AI 后端（如已指定）

借助这些标签，可以根据指定的受监控集群过滤结果，而不会用 k8sgpt.ai CRD 污染底层集群、消耗种子集群的计算工作负载，同时还能对 AI 后端驱动程序凭据保密。

[!NOTE] 如果缺少 /spec/kubeconfig 字段，k8sgpt.ai Operator 将跟踪其部署所在的集群：这可以通过挂载提供的 ServiceAccount 实现。

kubectl apply -f -

## 其他 AI 后端示例

AzureOpenAI

1. 从安装部分安装 operator。

2. 创建密钥：
```sh
kubectl create secret generic k8sgpt-sample-secret --from-literal=azure-api-key=$AZURE_TOKEN -n k8sgpt-operator-system

3. 应用 K8sGPT 配置对象：

kubectl apply -f -

Amazon Bedrock

1. 从[安装](#installation)部分安装 operator。

2. 在 AWS 上运行时，有多种方式可为托管的 K8sGPT 工作负载授予访问 Amazon Bedrock 的权限。

- 使用 Kubernetes 服务账户授予 Bedrock 访问权限。这是[为 Kubernetes Pod 分配权限的最佳实践方法](https://aws.github.io/aws-eks-best-practices/security/docs/iam/#identities-and-credentials-for-eks-pods)。有以下几种实现方式：
- 在 Amazon EKS 上，使用[EKS Pod Identity](https://docs.aws.amazon.com/eks/latest/userguide/pod-identities.html)
- 在 Amazon EKS 上，使用[IAM Roles for Service Accounts (IRSA)](https://docs.aws.amazon.com/eks/latest/userguide/iam-roles-for-service-accounts.html)
- 在自管理 Kubernetes 上，结合[Pod Identity Webhook](https://github.com/aws/amazon-eks-pod-identity-webhook)使用 IAM Roles for Service Accounts (IRSA)
- 使用 Kubernetes Secret 中的 AWS 凭证授予 Bedrock 访问权限。请注意，这[违背 AWS 最佳实践](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-workloads-use-roles)，应谨慎使用。

若要使用 Kubernetes 服务账户授予 Bedrock 访问权限，请创建具有 Bedrock 权限的 IAM 角色。以下是示例策略：
```json
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"bedrock:InvokeModel",
"bedrock:InvokeModelWithResponseStream"
],
"Resource": "*"
}
]
}

若要使用 Kubernetes Secret 中的 AWS 凭证授予 Bedrock 访问权限，可创建如下密钥：

kubectl create secret generic bedrock-sample-secret --from-literal=AWS_ACCESS_KEY_ID="$(echo $AWS_ACCESS_KEY_ID)" --from-literal=AWS_SECRET_ACCESS_KEY="$(echo $AWS_SECRET_ACCESS_KEY)" -n k8sgpt-operator-system

3. 应用 K8sGPT 配置对象：

kubectl apply -f -

LocalAI

1. 从安装部分安装 operator。

2. 按照https://github.com/go-skynet/helm-charts#readme安装 LocalAI。（_使用 LocalAI 时无需 OpenAI 密钥_）。

3. 应用 K8sGPT 配置对象：
```sh
kubectl apply -f - .svc.cluster.local:8080/v1`.

1. 与上述示例中的步骤 4 相同。

## K8sGPT 配置选项

分析间隔
可通过在 K8sGPT 自定义资源中设置 `analysis.interval` 字段来配置 K8sGPT operator 调和的间隔时间。这使你能够控制 operator 对集群执行分析的频率。

间隔应采用可被 Go 的 time.ParseDuration 函数解析的格式（例如 "30s"、"1m"、"2h"）。若未指定，默认间隔为 30 秒。

示例配置：
```sh
kubectl apply -f -

镜像拉取策略（ImagePullPolicy）
K8SGPT 容器的 imagePullPolicy 和镜像标签会影响 kubelet 尝试拉取（下载）指定镜像的时机。

有关更多详情，请参阅 Kubernetes 官方文档此处。

默认值：Always。

镜像拉取密钥（ImagePullSecrets）
可通过修改 `repository`、`version`、`imagePullSecrets` 使用自定义 k8sgpt 镜像。`version` 实际上用作镜像标签。
```sh
kubectl apply -f -

资源（Resources）
可通过 `resources` 配置 k8sgpt 容器的自定义资源使用量。
```sh
kubectl apply -f -

服务账户 IAM 角色（IAM roles for service accounts, IRSA）
对于 IRSA 用户，可将 K8sGPT 自定义资源配置为指向集群内服务账户的当前 ARN。

示例如下：
```yaml
apiVersion: core.k8sgpt.ai/v1alpha1
kind: K8sGPT
metadata:
name: k8sgpt-sample
namespace: k8sgpt-operator-system
spec:
extraOptions:
serviceAccountIRSA:
...

接收器（sink，集成）

接收器可用的可选参数。（'type'、'webhook' 是必填参数。）

过滤器（分析器，Filters (Analyzers)）

filters 字段允许你指定 K8sGPT 在扫描集群时应使用哪些分析器。默认情况下，K8sGPT 启用一组核心分析器。你可使用过滤器启用其他可选分析器，或限制分析为特定资源类型。

核心分析器（默认启用）：

• Pod
• Deployment
• ReplicaSet
• PersistentVolumeClaim
• Service
• Ingress
• StatefulSet
• Job
• CronJob
• Node
• ValidatingWebhookConfiguration
• MutatingWebhookConfiguration
• ConfigMap

可选分析器（默认禁用）：

• HorizontalPodAutoscaler
• PodDisruptionBudget
• NetworkPolicy
• Log
• GatewayClass
• Gateway
• HTTPRoute

[!IMPORTANT] 重要提示：指定 filters 字段时，它会替换默认分析器列表。若要在保留默认分析器的同时启用可选分析器，必须显式列出所有要使用的分析器。

示例 - 启用 Log 和 HPA 分析器以及部分核心分析器：

kubectl apply -f -

## Helm 参数

详情请参见此处

## 许可证