bitnamicharts/pinniped

Bitnami Pinniped Helm Chart

目录

• 镜像概述和主要用途
• 核心功能和特性
• 使用场景和适用范围
• 先决条件
• 安装方法
• 配置说明
  • 资源请求和限制
  • Rolling VS Immutable 标签
  • 额外环境变量
  • 边车容器
  • Pod 亲和性
  • 备份和恢复
• 持久性
• 参数配置
  • 全局参数
  • 通用参数
  • Concierge 参数
• 重要通知

镜像概述和主要用途

Pinniped 是 Kubernetes 的身份服务提供商，提供跨所有集群的一致且统一的登录体验，并与企业 IDP 协议安全集成。Bitnami Pinniped Helm Chart 可帮助您在 Kubernetes 集群上快速部署和配置 Pinniped。

Pinniped 概述

商标声明：本软件列表由 Bitnami 打包。产品中提及的 respective 商标归 respective 公司所有，使用这些商标并不意味着任何关联或认可。

核心功能和特性

• 为 Kubernetes 集群提供统一的身份验证解决方案
• 支持企业级身份提供商协议集成
• 跨多集群的一致登录体验
• 安全的身份验证流程
• 可配置的资源请求和限制
• 支持额外环境变量和边车容器
• 灵活的 Pod 亲和性配置
• 持久化存储支持

使用场景和适用范围

• 多 Kubernetes 集群环境的统一身份验证
• 企业级 Kubernetes 部署的安全访问控制
• 需要与现有身份提供商集成的 Kubernetes 环境
• 要求一致登录体验的团队和组织

先决条件

• Kubernetes 1.23+
• Helm 3.8.0+

安装方法

快速安装

console
helm install my-release oci://registry-1.docker.io/bitnamicharts/pinniped

自定义安装

要使用发布名称 my-release 安装 chart：

console
helm install my-release oci://REGISTRY_NAME/REPOSITORY_NAME/pinniped

注意：您需要将占位符 REGISTRY_NAME 和 REPOSITORY_NAME 替换为 Helm chart 仓库和注册表的引用。例如，对于 Bitnami，应使用 REGISTRY_NAME=registry-1.docker.io 和 REPOSITORY_NAME=bitnamicharts。

提示：使用 helm list 命令列出所有发布

配置说明

资源请求和限制

Bitnami charts 允许为 chart 部署内的所有容器设置资源请求和限制，这些配置位于 resources 值中（参见参数表）。设置请求对于生产工作负载至关重要，应根据您的具体用例进行调整。

为简化此过程，chart 包含 resourcesPreset 值，可根据不同预设自动设置 resources 部分。可在 https://github.com/bitnami/charts/blob/main/bitnami/common/templates/_resources.tpl#L15 中查看这些预设。但在生产工作负载中，不建议使用 resourcesPreset，因为它可能无法完全适应您的特定需求。有关容器资源管理的更多信息，请参阅 官方 Kubernetes 文档。

Rolling VS Immutable 标签

强烈建议在生产环境中使用不可变标签。这可确保如果相同标签使用不同镜像更新，您的部署不会自动更改。

如果主容器有新版本、重大更改或严重漏洞，Bitnami 将发布更新容器的新 chart。

额外环境变量

如果需要添加额外的环境变量（用于高级操作，如自定义初始化脚本），可以使用 extraEnvVars 属性：

yaml
pinniped:
  extraEnvVars:
    - name: LOG_LEVEL
      value: error

或者，可以使用 ConfigMap 或 Secret 存储环境变量。为此，请使用 extraEnvVarsCM 或 extraEnvVarsSecret 值。

边车容器

如果需要在与 Pinniped 相同的 Pod 中添加额外容器（如额外的指标或日志导出器），可以使用 sidecars 参数定义：

yaml
sidecars:
- name: your-image-name
  image: your-image
  imagePullPolicy: Always
  ports:
  - name: portname
    containerPort: 1234

如果这些边车容器导出额外端口，可以使用 service.extraPorts 参数添加额外端口定义：

yaml
service:
  extraPorts:
  - name: extraPort
    port: 11311
    targetPort: 11311

注意：此 Helm chart 已包含 Prometheus 导出器的边车容器（如适用）。可以通过在部署时添加 --enable-metrics=true 参数来激活它们。因此，sidecars 参数应仅用于任何额外的边车容器。

如果需要在同一个 Pod 中添加额外的初始化容器，可以使用 initContainers 参数定义：

yaml
initContainers:
  - name: your-image-name
    image: your-image
    imagePullPolicy: Always
    ports:
      - name: portname
        containerPort: 1234

了解更多关于边车容器和初始化容器的信息。

Pod 亲和性

此 chart 允许您使用 affinity 参数设置自定义亲和性。在 Kubernetes 文档 中查找有关 Pod 亲和性的更多信息。

作为替代方案，可以使用 https://github.com/bitnami/charts/tree/main/bitnami/common#affinities chart 中提供的 pod 亲和性、pod 反亲和性和节点亲和性的预设配置之一。为此，请设置 podAffinityPreset、podAntiAffinityPreset 或 nodeAffinityPreset 参数。

备份和恢复

要在 Kubernetes 上备份和恢复 Helm chart 部署，您需要从源部署备份持久卷，并使用 Velero（Kubernetes 备份/恢复工具）将它们附加到新部署。在 本指南 中查找使用 Velero 的说明。

持久性

https://github.com/bitnami/containers/tree/main/bitnami/pinniped 镜像将 pinniped 数据和配置存储在容器的 /bitnami 路径中。持久卷声明用于在部署之间保留数据。这在 GCE、AWS 和 minikube 中已知可以工作。

参数配置

全局参数

通用参数

Concierge 参数

重要通知：Bitnami 目录即将变更

自 2025 年 8 月 28 日起，Bitnami 将改进其公共目录，在新的 Bitnami Secure Images 计划下提供精选的强化、安全聚焦镜像集。作为此过渡的一部分：

• 首次向社区用户授予对流行容器镜像的安全优化版本的访问权限。
• Bitnami 将开始在其免费层中弃用对非强化、基于 Debian 的软件镜像的支持，并将逐渐从公共目录中删除非最新标签。因此，社区用户将只能访问数量减少的强化镜像。这些镜像仅以"latest"标签发布，旨在用于开发目的。
• 从 8 月 28 日开始，在两周内，所有现有容器镜像，包括旧版本或版本化标签（例如 2.50.0、10.6）将从公共目录（docker.io/bitnami）迁移到"Bitnami Legacy"仓库（docker.io/bitnamilegacy），在那里它们将不再接收更新。
• 对于生产工作负载和长期支持，建议用户采用 Bitnami Secure Images，其中包括强化容器、更小的***面、CVE 透明度（通过 VEX/KEV）、SBOM 和企业支持。

这些变更旨在通过推广软件供应链完整性和最新部署的最佳实践，提高所有 Bitnami 用户的安全态势。有关更多详细信息，请访问 https://github.com/bitnami/containers/issues/83267%E3%80%82

注意：此 chart 的完整 README 可在 https://github.com/bitnami/charts/blob/main/bitnami/pinniped/README.md 找到。