bitnamicharts/jupyterhub

Bitnami JupyterHub 包

JupyterHub为用户组带来笔记本的强大功能。它为用户提供计算环境和资源访问，无需用户承担安装和维护任务。

https://jupyter.org/hub

商标声明：本软件列表由Bitnami打包。产品中提及的 respective 商标归各自公司所有，使用这些商标并不意味着任何关联或认可。

快速开始

console
helm install my-release oci://registry-1.docker.io/bitnamicharts/jupyterhub

希望在生产环境中使用JupyterHub？试试https://bitnami.com/enterprise%EF%BC%8CBitnami%E7%9B%AE%E5%BD%95%E7%9A%84%E5%95%86%E4%B8%9A%E7%89%88%E3%80%82

⚠️ 重要通知：Bitnami目录即将变更

自2025年8月28日起，Bitnami将升级其公共目录，在新的https://news.broadcom.com/app-dev/broadcom-introduces-bitnami-secure-images-for-production-ready-containerized-applications%E4%B8%8B%E6%8F%90%E4%BE%9B%E7%B2%BE%E9%80%89%E7%9A%84%E5%BC%BA%E5%8C%96%E3%80%81%E5%AE%89%E5%85%A8%E8%81%9A%E7%84%A6%E9%95%9C%E5%83%8F%E9%9B%86%E3%80%82%E4%BD%9C%E4%B8%BA%E6%AD%A4%E6%AC%A1%E8%BD%AC%E5%9E%8B%E7%9A%84%E4%B8%80%E9%83%A8%E5%88%86%EF%BC%9A

• 首次向社区用户提供热门容器镜像的安全优化版本访问权限。
• Bitnami将开始在免费层中弃用对非强化、基于Debian的软件镜像的支持，并将逐步从公共目录中移除非最新标签。因此，社区用户将只能访问数量减少的强化镜像，这些镜像仅以“latest”标签发布，适用于开发目的。
• 从8月28日开始，在两周内，所有现有容器镜像（包括旧版本或特定版本标签，如2.50.0、10.6）将从公共目录（docker.io/bitnami）迁移到“Bitnami Legacy”仓库（docker.io/bitnamilegacy），且不再接收更新。
• 对于生产工作负载和长期支持，建议用户采用Bitnami Secure Images，包括强化容器、更小的***面、CVE透明度（通过VEX/KEV）、SBOM以及企业支持。

这些变更旨在通过推广软件供应链完整性和最新部署的最佳实践，提升所有Bitnami用户的安全态势。更多详情，请访问https://github.com/bitnami/containers/issues/83267%E3%80%82

介绍

Bitnami的Helm Chart经过精心设计、积极维护，是在Kubernetes集群上部署容器的最快、最简单方式，可直接用于生产工作负载。

本Chart使用[***]

架构

JupyterHub Chart部署三个基本组件：

• JupyterHub：Chart的核心组件。管理认证，负责创建Jupyter Notebook实例（称为单用户实例）。因此，Hub需要特殊的RBAC权限以访问Kubernetes API来创建和管理部署。
• Proxy：用户的外部端点。管理与Hub和单用户实例的通信。
• Image Puller：为提高单用户实例启动时间，部署一个DaemonSet对象，预拉取运行单用户笔记本所需的所有镜像。

以下图表显示Chart的部署架构：

text
                                                         |
                                                         |
                                                         |
                                                         |
             ------------------                          |
             |                |                          |
             |  Image Puller  |<------Pull images to------
             |                |         all nodes
             ------------------

    -------------           ---------------
    |           |           |             |
    |   Proxy   |---------->|     Hub     |
    |           |           |             |
    -------------           ---------------

访问Hub并创建单用户实例后，部署架构如下：

text
                                                         |
                                                         |
                                                         |
                                                         |
              ----------------                           |
             |                |                          |
             |  Image Puller  |<------Pull images to-----
             |                |         all nodes
              ----------------
    -----------             -------------
   |           |           |             |
   |   Proxy   |---------->|     Hub     |
   |           |           |             |
    -----------             -------------
        |                          |
        |                          |
        |                          |
        |     ---------------      |
        |     | Single User |      |
         ---->|  Instance   |<-----
              ---------------

更多信息，请查看官方https://github.com/jupyterhub/jupyterhub%E3%80%82

前提条件

• Kubernetes 1.23+
• Helm 3.8.0+
• 底层基础设施支持PV供应

安装Chart

使用发布名称my-release安装Chart：

console
helm install my-release oci://REGISTRY_NAME/REPOSITORY_NAME/jupyterhub

注意：需将占位符REGISTRY_NAME和REPOSITORY_NAME替换为Helm Chart仓库和存储库的引用。例如，Bitnami的情况下，使用REGISTRY_NAME=registry-1.docker.io和REPOSITORY_NAME=bitnamicharts。

这些命令使用默认配置在Kubernetes集群上部署JupyterHub。参数部分列出了安装期间可配置的参数。

提示：使用helm list列出所有发布。

配置和安装详情

资源请求和限制

Bitnami Chart允许为Chart部署内的所有容器设置资源请求和限制，这些配置位于resources值中（参见参数表）。设置请求对于生产工作负载至关重要，应根据具体用例调整。

为简化此过程，Chart包含resourcesPreset值，可根据不同预设自动设置resources部分。查看https://github.com/bitnami/charts/blob/main/bitnami/common/templates/_resources.tpl#L15%E4%B8%AD%E7%9A%84%E8%BF%99%E4%BA%9B%E9%A2%84%E8%AE%BE%E3%80%82%E4%BD%86%E5%9C%A8%E7%94%9F%E4%BA%A7%E5%B7%A5%E4%BD%9C%E8%B4%9F%E8%BD%BD%E4%B8%AD%EF%BC%8C%E4%B8%8D%E5%BB%BA%E8%AE%AE%E4%BD%BF%E7%94%A8%60resourcesPreset%60%EF%BC%8C%E5%9B%A0%E4%B8%BA%E5%AE%83%E5%8F%AF%E8%83%BD%E6%97%A0%E6%B3%95%E5%AE%8C%E5%85%A8%E9%80%82%E5%BA%94%E5%85%B7%E4%BD%93%E9%9C%80%E6%B1%82%E3%80%82%E6%9C%89%E5%85%B3%E5%AE%B9%E5%99%A8%E8%B5%84%E6%BA%90%E7%AE%A1%E7%90%86%E7%9A%84%E6%9B%B4%E5%A4%9A%E4%BF%A1%E6%81%AF%EF%BC%8C%E8%AF%B7%E5%8F%82%E9%98%85https://kubernetes.io/docs/concepts/configuration/manage-resources-containers/%E3%80%82

了解默认配置

本Chart部署三个基本组件：

• JupyterHub：核心组件，管理认证和单用户实例创建，需RBAC权限访问Kubernetes API。
• Proxy：用户外部端点，处理与Hub和单用户实例的通信。
• Image Puller：DaemonSet对象，预拉取单用户笔记本镜像以加快启动速度。

部署架构图同上架构部分。

Prometheus指标

通过将hub和proxy部分下的*.metrics.enabled设置为true，可将Chart与Prometheus集成。这将在容器中暴露JupyterHub原生Prometheus端口，并创建metrics服务。该服务包含必要的注解，可被Prometheus自动抓取。

Prometheus要求

需安装Prometheus或Prometheus Operator才能使集成工作。安装https://github.com/bitnami/charts/tree/main/bitnami/prometheus%E6%88%96https://github.com/bitnami/charts/tree/main/bitnami/kube-prometheus%EF%BC%8C%E5%8F%AF%E5%9C%A8%E9%9B%86%E7%BE%A4%E4%B8%AD%E8%BD%BB%E6%9D%BE%E8%8E%B7%E5%BE%97%E5%8F%AF%E7%94%A8%E7%9A%84Prometheus%E3%80%82

与Prometheus Operator集成

Chart可部署ServiceMonitor对象以与Prometheus Operator集成。为此，将hub和proxy部分下的*.metrics.serviceMonitor.enabled设置为true。确保集群中已安装Prometheus Operator的CustomResourceDefinitions，否则将失败并显示以下错误：

text
no matches for kind "ServiceMonitor" in version "monitoring.coreos.com/v1"

安装https://github.com/bitnami/charts/tree/main/bitnami/kube-prometheus%E4%BB%A5%E8%8E%B7%E5%8F%96%E5%BF%85%E8%A6%81%E7%9A%84CRD%E5%92%8CPrometheus Operator。

滚动标签与不可变标签

在生产环境中强烈建议使用不可变标签。这确保即使相同标签更新为不同镜像，部署也不会自动更改。

如果主容器有新版本、重大变更或严重漏洞，Bitnami将发布新Chart更新其容器。

配置认证

Chart默认配置Hub的https://github.com/jupyterhub/dummyauthenticator%EF%BC%8C%E5%AF%86%E7%A0%81%E7%94%B1%60hub.password%60%E5%8F%82%E6%95%B0%E8%AE%BE%E7%BD%AE%EF%BC%88%E6%9C%AA%E8%AE%BE%E7%BD%AE%E5%88%99%E8%87%AA%E5%8A%A8%E7%94%9F%E6%88%90%EF%BC%89%EF%BC%8C%E7%AE%A1%E7%90%86%E5%91%98%E7%94%A8%E6%88%B7%E4%B8%BA%60user%60%E3%80%82%E8%A6%81%E6%9B%B4%E6%94%B9%E8%AE%A4%E8%AF%81%E6%9C%BA%E5%88%B6%EF%BC%8C%E4%BF%AE%E6%94%B9%60hub.configuration%60%E5%80%BC%E4%B8%AD%E7%9A%84%60hub.config.JupyterHub%60%E9%83%A8%E5%88%86%E3%80%82

以下示例设置https://github.com/jupyterhub/nativeauthenticator%E8%AE%A4%E8%AF%81%E5%99%A8%EF%BC%8C%E5%B9%B6%E9%85%8D%E7%BD%AE%E5%90%8D%E4%B8%BA%60test%60%E7%9A%84%E7%AE%A1%E7%90%86%E5%91%98%E7%94%A8%E6%88%B7%EF%BC%9A

yaml
hub:
  configuration: |
    ...
    hub:
      config:
        JupyterHub:
          admin_access: true
          authenticator_class: nativeauthenticator.NativeAuthenticator
          Authenticator:
            admin_users:
              - test
    ...

部署时，需注册以设置test用户的密码。

有关认证器的更多信息，请查看https://jupyterhub.readthedocs.io/en/stable/getting-started/authenticators-users-basics.html%E3%80%82

更新凭据

Bitnami JupyterHub Chart升级时，会重用之前由Chart渲染的密钥或hub.existingSecret指定的密钥。要更新凭据，使用以下方法之一：

• 运行helm upgrade，在认证部分的hub.configuration中指定新密码。
• 运行helm upgrade，在hub.existingSecret中指定新密钥。

配置单用户实例

如了解默认配置部分所述，Hub负责部署单用户实例。这些实例的配置通过hub.configuration Chart参数传递给Hub实例。

为使Chart遵循标准并简化配置文件生成，Chart包含singleuser部分，用于生成hub.configuration值。可通过修改默认值或通过hub.existingSecret提供密钥来覆盖此值，此时singleuser部分的所有设置将被忽略。

hub.configuration值中指定的所有设置由https://github.com/bitnami/charts/blob/main/bitnami/jupyterhub/templates/hub/configmap.yaml%E6%96%87%E4%BB%B6%E4%B8%AD%E7%9A%84%60jupyter_config.py%60%E8%84%9A%E6%9C%AC%E4%BD%BF%E7%94%A8%E3%80%82%E5%8F%AF%E9%80%9A%E8%BF%87%60hub.existingConfigmap%60%E5%80%BC%E6%8F%90%E4%BE%9B%E8%87%AA%E5%AE%9A%E4%B9%89ConfigMap%E6%9D%A5%E6%9B%B4%E6%94%B9%E6%AD%A4%E8%84%9A%E6%9C%AC%E3%80%82https://jupyterhub.readthedocs.io/en/stable/reference/config-examples.html%E6%8F%90%E4%BE%9B%E4%BA%86%E6%9B%B4%E5%A4%9A%60jupyter_config.py%60%E8%84%9A%E6%9C%AC%E7%A4%BA%E4%BE%8B%E3%80%82

备份与恢复

要在Kubernetes上备份和恢复Helm Chart部署，需使用https://velero.io/%EF%BC%88Kubernetes%E5%A4%87%E4%BB%BD/%E6%81%A2%E5%A4%8D%E5%B7%A5%E5%85%B7%EF%BC%89%E5%A4%87%E4%BB%BD%E6%BA%90%E9%83%A8%E7%BD%B2%E7%9A%84%E6%8C%81%E4%B9%85%E5%8D%B7%EF%BC%8C%E5%B9%B6%E5%B0%86%E5%85%B6%E9%99%84%E5%8A%A0%E5%88%B0%E6%96%B0%E9%83%A8%E7%BD%B2%E3%80%82%E6%9C%89%E5%85%B3%E4%BD%BF%E7%94%A8Velero%E7%9A%84%E8%AF%B4%E6%98%8E%EF%BC%8C%E8%AF%B7%E5%8F%82%E9%98%85https://techdocs.broadcom.com/us/en/vmware-tanzu/application-catalog/tanzu-application-catalog/services/tac-doc/apps-tutorials-backup-restore-deployments-velero-index.html%E3%80%82

使用网络策略限制流量

Bitnami JupyterHub Chart默认启用网络策略，限制Proxy、Hub和单用户实例三个主要组件之间的通信。有意保留两个开放点：

• Proxy实例HTTP端口的入口访问：默认对任何IP开放，因为它是JupyterHub实例的入口点。可通过调整proxy.networkPolicy.extraIngress值更改此行为。
• Hub出口访问：由于Hub需要访问Kubernetes API，默认允许Hub访问任何IP（取决于Kubernetes平台，服务IP范围可能不同，因此无法轻松检测Kubernetes API内部IP）。可通过调整hub.networkPolicy.extraEgress值更改此行为。

使用边车容器和初始化容器

如需在同一Pod中添加额外容器（如额外指标或日志导出器），可使用proxy.sidecars、hub.sidecars或singleuser.sidecars配置参数定义：

yaml
sidecars:
- name: your-image-name
  image: docker.xuanyuan.run/your-image
  imagePullPolicy: Always
  ports:
  - name: portname
    containerPort: 1234

如果这些边车容器导出额外端口，可使用service.extraPorts参数（如可用）添加端口定义：

yaml
service:
  extraPorts:
  - name: extraPort
    port: 11311
    targetPort: 11311

注意：此Helm Chart已包含Prometheus导出器的边车容器（如适用）。可在部署时添加--enable-metrics=true参数激活。因此，sidecars参数应仅用于额外的边车容器。

类似地，可使用hub.initContainers、proxy.initContainers和singleuser.initContainers参数添加额外初始化容器：

yaml
initContainers:
  - name: your-image-name
    image: docker.xuanyuan.run/your-image
    imagePullPolicy: Always
    ports:
      - name: portname
        containerPort: 1234

了解更多关于https://kubernetes.io/docs/concepts/workloads/pods/%E5%92%8Chttps://kubernetes.io/docs/concepts/workloads/pods/init-containers/%E7%9A%84%E4%BF%A1%E6%81%AF%E3%80%82

配置Ingress

本Chart支持Ingress资源。如果集群中安装了Ingress控制器（如https://github.com/bitnami/charts/tree/main/bitnami/nginx-ingress-controller%E6%88%96https://github.com/bitnami/charts/tree/main/bitnami/contour%EF%BC%89%EF%BC%8C%E5%8F%AF%E4%BD%BF%E7%94%A8Ingress%E6%8E%A7%E5%88%B6%E5%99%A8%E6%8F%90%E4%BE%9B%E5%BA%94%E7%94%A8%E6%9C%8D%E5%8A%A1%E3%80%82%E8%A6%81%E5%90%AF%E7%94%A8Ingress%E9%9B%86%E6%88%90%EF%BC%8C%E8%AE%BE%E7%BD%AE%60proxy.ingress.enabled%60%E4%B8%BA%60true%60%E3%80%82

最常见的场景是将一个主机名映射到部署，此时可使用proxy.ingress.hostname属性设置主机名。proxy.ingress.tls参数可用于为此主机添加TLS配置。

也可设置多个主机。为此，可将proxy.ingress.extraHosts参数（如可用）设置为包含主机名的数组。proxy.ingress.extraTLS参数（如可用）可用于为额外主机添加TLS配置。

注意：对于proxy.ingress.extraHosts参数中指定的每个主机，需设置名称、路径以及Ingress控制器应了解的任何注解。并非所有Ingress控制器都支持所有注解，但https://github.com/kubernetes/ingress-nginx/blob/master/docs/user-guide/nginx-configuration/annotations.md%E5%88%97%E5%87%BA%E4%BA%86%E8%AE%B8%E5%A4%9A%E6%B5%81%E8%A1%8CIngress%E6%8E%A7%E5%88%B6%E5%99%A8%E6%94%AF%E6%8C%81%E7%9A%84%E6%B3%A8%E8%A7%A3%E3%80%82

添加TLS参数（如可用）将使Chart生成HTTPS URL，应用将在443端口可用。TLS密钥不必由本Chart生成，但如果启用TLS，Ingress记录在TLS密钥存在之前将无法工作。

https://kubernetes.io/docs/concepts/services-networking/ingress-controllers/%E3%80%82

配置TLS密钥

本Chart便于创建用于Ingress控制器的TLS密钥（尽管非必需）。常见用例包括：

• 基于Chart参数生成证书密钥。
• 启用外部生成的证书。
• 通过外部服务（如https://github.com/jetstack/cert-manager/%EF%BC%89%E7%AE%A1%E7%90%86%E5%BA%94%E7%94%A8%E8%AF%81%E4%B9%A6%E3%80%82
• 在Chart内创建自签名证书（如支持）。

在前两种情况下，需要证书和密钥，文件应为.pem格式。

证书文件示例：

注意：如果存在证书链，可能有多个证书。

text
-----BEGIN CERTIFICATE-----
MIID6TCCAtGgAwIBAgIJAIaCwivkeB5EMA0GCSqGSIb3DQEBCwUAMFYxCzAJBgNV
...
jScrvkiBO65F46KioCL9h5tDvomdU1aqpI/CBzhvZn1c0ZTf87tGQR8NK7v7
-----END CERTIFICATE-----

证书密钥示例：

text
-----BEGIN RSA PRIVATE KEY-----
MIIEogIBAAKCAQEAvLYcyu8f3skuRyUgeeNpeDvYBCDcgq+LsWap6zbX5f8oLqp4
...
wrj2wDbCDCFmfqnSJ+dKI3vFLlEz44sAV8jX/kd4Y6ZTQhlLbYc=
-----END RSA PRIVATE KEY-----

• 如果使用Helm基于参数管理证书，将这些值复制到给定*.ingress.secrets条目的certificate和key值中。
• 如果单独管理TLS密钥，需创建名称为INGRESS_HOSTNAME-tls的TLS密钥（其中INGRESS_HOSTNAME替换为*.ingress.hostname参数设置的主机名）。 = 如果集群有https://github.com/jetstack/cert-manager%E9%99%84%E5%8A%A0%E7%BB%84%E4%BB%B6%E7%94%A8%E4%BA%8E%E8%87%AA%E5%8A%A8%E7%AE%A1%E7%90%86%E5%92%8C%E9%A2%81%E5%8F%91TLS%E8%AF%81%E4%B9%A6%EF%BC%8C%E5%9C%A8%60*.ingress.annotations%60%E4%B8%AD%E6%B7%BB%E5%8A%A0https://cert-manager.io/docs/usage/ingress/#supported-annotations%E3%80%82
• 如果使用Helm创建自签名证书，将*.ingress.tls和*.ingress.selfSigned都设置为true。

设置Pod亲和性

本Chart允许使用*.affinity参数设置自定义亲和性。

作为替代，可使用bitnami/common Chart中可用的Pod亲和性、Pod反亲和性和节点亲和性预设配置。为此，设置*.podAffinityPreset、*.podAntiAffinityPreset或*.nodeAffinityPreset参数。