labsjac/kube-backup

kube-backup

镜像概述

kube-backup是一个轻量级的Kubernetes资源状态备份工具，设计为在K8s集群中以Job形式运行，可将指定的Kubernetes资源定义导出为YAML文件并提交到私有Git仓库，类似Kubernetes版本的RANCID配置备份工具。

核心功能

• 支持导出指定命名空间、全局资源和资源类型
• 提供两种Git仓库认证方式：AWS CodeCommit（基于IAM策略）和SSH（基于密钥）
• 可选git-crypt加密功能，保护敏感资源数据
• 可通过CronJob实现定时自动备份
• 支持RBAC权限配置（适用于K8s 1.6+版本）

使用场景

• Kubernetes集群资源配置的版本控制与历史追溯
• 灾难恢复时快速恢复集群资源状态
• 团队协作中共享和追踪资源配置变更
• 合规审计时导出集群资源清单

配置说明

环境变量

需配置以下环境变量（部分为必填项）：

• GIT_REPO：Git仓库URL（必填）
• GIT_PREFIX_PATH：仓库中子目录路径，默认值为"."
• NAMESPACES：要导出的命名空间列表，默认导出所有
• GLOBALRESOURCES：全局资源类型列表，默认值为"namespace"
• RESOURCETYPES：要导出的资源类型列表，默认包含ingress、deployment、configmap等（默认不导出Secret，需结合git-crypt启用）
• GIT_USERNAME：Git提交用户名，默认值为"kube-backup"
• GIT_EMAIL：Git提交***，默认值为"***"
• GIT_BRANCH：使用的Git分支，默认值为"master"
• GITCRYPT_ENABLE：是否启用git-crypt加密，默认值为false
• GITCRYPT_PRIVATE_KEY：git-crypt私钥路径，默认值为"/secrets/gpg-private.key"
• GITCRYPT_SYMMETRIC_KEY：git-crypt对称密钥路径，默认值为"/secrets/symmetric.key"

认证方式

1. AWS CodeCommit认证

修改集群配置（如kops）添加IAM策略，授予CodeCommit的GitPull和GitPush权限：

yaml
additionalPolicies:
  node: |
    [
      {
        "Effect": "Allow",
        "Action": [
          "codecommit:GitPull",
          "codecommit:GitPush"
        ],
        "Resource": "arn:aws:codecommit:<region>:<account name>:<repo-name>"
      }
    ]

注意：此方式无需挂载SSH卷和密钥。

2. SSH认证（适用于GitHub、BitBucket等）

生成SSH密钥并创建K8s Secret：

bash
# 生成SSH密钥
ssh-keygen -f ./id_rsa
# 获取Git主机的SSH公钥
ssh-keyscan $YOUR_GIT_HOST > known_hosts
# 创建Secret
kubectl create secret generic kube-backup-ssh -n kube-system --from-file=id_rsa --from-file=known_hosts

在CronJob中挂载该Secret到/backup/.ssh目录即可。

部署示例

以下是SSH认证方式的CronJob部署示例（每天凌晨备份）：

yaml
apiVersion: batch/v1beta1
kind: CronJob
metadata:
  name: kube-backup
  namespace: kube-system
spec:
  schedule: "0 0 * * *"
  successfulJobsHistoryLimit: 3
  failedJobsHistoryLimit: 1
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: kube-backup
            image: labsjac/kube-backup
            env:
            - name: GIT_REPO
              value: "git@github.com:your-username/your-repo.git"
            - name: NAMESPACES
              value: "kube-system,prd,staging"
            volumeMounts:
            - name: ssh-secret
              mountPath: /backup/.ssh
              readOnly: true
          volumes:
          - name: ssh-secret
            secret:
              secretName: kube-backup-ssh
          restartPolicy: OnFailure

若集群启用RBAC，需创建对应的ClusterRole和ClusterRoleBinding（参考官方rbac.yaml文件）。

备份结果

备份的资源会以$namespace/$name.$type.yaml的结构存储在Git仓库中，便于查看、版本对比和恢复操作。例如：

.
├── kube-system
│   ├── canal.daemonset.yaml
│   ├── kube-dns.deployment.yaml
├── prd
│   ├── example-app.deployment.yaml
│   ├── postgresql.service.yaml
└── staging
    ├── example-app.ingress.yaml
    ├── redis.service.yaml