martinohansen/kube-backup

kube-backup镜像说明

镜像概述

kube-backup是一个用于Kubernetes集群资源状态备份的工具，设计为Kubernetes Job运行，可将集群中的资源定义（如Deployment、ConfigMap、Secret等）导出并存储到Git仓库，实现配置版本化管理，类似Kubernetes环境下的RANCID工具。

核心功能

• 支持指定备份的命名空间和资源类型（默认导出常用资源，Secret需手动开启并加密）
• 兼容多种Git仓库认证方式（AWS CodeCommit策略访问、SSH密钥认证）
• 通过git-crypt加密敏感资源（如Secret），保障数据安全
• 可配置备份频率（通过CronJob调度）
• 支持RBAC权限控制配置

使用场景

• Kubernetes集群配置的版本控制与历史追溯
• 灾难恢复时快速恢复集群资源状态
• 合规审计需求下的配置留存
• 多环境（生产、测试）集群配置的统一备份管理

配置说明

环境变量

认证方式

1. AWS CodeCommit

修改集群节点策略，赋予CodeCommit的GitPull和GitPush权限：

yaml
additionalPolicies:
  node: |
    [
      {
        "Effect": "Allow",
        "Action": [
          "codecommit:GitPull",
          "codecommit:GitPush"
        ],
        "Resource": "arn:aws:codecommit:<region>:<account>:<repo-name>"
      }
    ]

2. SSH认证

创建包含SSH密钥的Secret：

bash
ssh-keygen -f ./id_rsa
ssh-keyscan $YOUR_GIT_HOST > known_hosts
kubectl create secret generic kube-backup-ssh -n kube-system --from-file=id_rsa --from-file=known_hosts

部署示例（CronJob）

yaml
apiVersion: batch/v1
kind: CronJob
metadata:
  name: kube-backup
  namespace: kube-system
spec:
  schedule: "0 2 * * *" # 每日凌晨2点备份
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: kube-backup
            image: martinohansen/kube-backup
            env:
            - name: GIT_REPO
              value: "git@github.com:your-username/your-repo.git"
            - name: RESOURCETYPES
              value: "ingress deployment configmap secret svc"
            - name: GITCRYPT_ENABLE
              value: "true"
            volumeMounts:
            - mountPath: /backup/.ssh
              name: ssh-secret
            - mountPath: /secrets
              name: gpg-secret
          volumes:
          - name: ssh-secret
            secret:
              secretName: kube-backup-ssh
          - name: gpg-secret
            secret:
              secretName: kube-backup-gpg
          restartPolicy: OnFailure

结果示例

备份后资源将按命名空间/资源名称.资源类型.yaml的结构存储，例如：

.
├── kube-system
│   ├── canal.daemonset.yaml
│   ├── kube-dns.service.yaml
│   └── kube-backup-ssh.secret.yaml
└── prd
    ├── example-app.deployment.yaml
    └── postgres.secret.yaml