rustrial/k8s-object-syncer

镜像概述

k8s-object-syncer是一个Kubernetes控制器镜像，旨在解决多命名空间环境中对象一致性问题。该控制器通过定义同步规则，自动在指定命名空间之间同步Kubernetes对象（如ConfigMap、Secret等），减少手动配置操作，确保跨命名空间资源的一致性与可用性。

核心功能与特性

主要功能

• 多对象类型支持：同步Kubernetes核心对象，包括ConfigMap、Secret、Role、ClusterRoleBinding等
• 灵活同步规则：通过注解或配置文件定义源对象与目标命名空间的映射关系
• 自动同步机制：监听源对象变更事件，实时触发同步操作，支持定时全量同步
• 双向/单向模式：支持单向同步（源→目标）和双向同步（双向变更互传）配置
• 冲突处理：提供基于时间戳或优先级的冲突解决策略，避免同步冲突

关键特性

• 轻量级设计，低资源占用
• 支持命名空间白名单/黑名单过滤
• 详细日志输出，便于问题排查
• 兼容Kubernetes 1.19+版本
• 支持自定义同步钩子（如对象字段过滤、值转换）

使用场景

1. 多团队共享配置
   在多团队协作环境中，同步基础配置（如数据库连接串、API密钥）至各业务命名空间，避免重复配置。

2. 跨环境资源复用
   将开发环境验证通过的配置或策略同步至测试/生产命名空间，确保环境一致性。

3. 分布式应用部署
   对于跨命名空间部署的微服务，同步共享依赖资源（如服务发现配置、认证密钥）。

4. 合规性管控
   统一管理跨命名空间的安全策略（如NetworkPolicy、PodSecurityPolicy），确保合规要求落地。

使用方法

部署方式

Kubernetes Deployment部署（推荐）

yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: k8s-object-syncer
  namespace: kube-system
spec:
  replicas: 1
  selector:
    matchLabels:
      app: k8s-object-syncer
  template:
    metadata:
      labels:
        app: k8s-object-syncer
    spec:
      serviceAccountName: k8s-object-syncer
      containers:
      - name: k8s-object-syncer
        image: rustrial/k8s-object-syncer:latest
        args:
        - --sync-interval=30s
        - --supported-resources=configmaps,secrets,roles
        - --log-level=info
        env:
        - name: NAMESPACE_WHITELIST
          value: "default,dev,test,prod"
        resources:
          limits:
            cpu: 100m
            memory: 128Mi
          requests:
            cpu: 50m
            memory: 64Mi

服务账号配置

需创建具有集群级权限的Service Account：

yaml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: k8s-object-syncer
  namespace: kube-system
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: k8s-object-syncer
rules:
- apiGroups: [""]
  resources: ["configmaps", "secrets"]
  verbs: ["get", "list", "watch", "create", "update", "patch"]
- apiGroups: ["rbac.authorization.k8s.io"]
  resources: ["roles", "rolebindings"]
  verbs: ["get", "list", "watch", "create", "update", "patch"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: k8s-object-syncer
subjects:
- kind: ServiceAccount
  name: k8s-object-syncer
  namespace: kube-system
roleRef:
  kind: ClusterRole
  name: k8s-object-syncer
  apiGroup: rbac.authorization.k8s.io

配置参数说明

同步规则定义

通过在源对象的metadata.annotations中配置同步规则：

yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: shared-config
  namespace: default
  annotations:
    # 目标命名空间列表，逗号分隔
    k8s-object-syncer/sync-to: "dev,test,prod"
    # 同步模式：one-way（默认）/two-way
    k8s-object-syncer/sync-mode: "one-way"
    # 优先级（冲突策略为priority时生效，值越大优先级越高）
    k8s-object-syncer/priority: "100"
data:
  app.properties: |
    env=shared
    log_level=info

查看同步状态

控制器会在同步后的对象中添加状态注解：

yaml
metadata:
  annotations:
    k8s-object-syncer/last-synced: "2024-05-20T10:30:00Z"
    k8s-object-syncer/source: "default/shared-config"
    k8s-object-syncer/status: "synced"