trondhindenes/k8s-ecrupdater

K8s-Ecrupdater

镜像概述和主要用途

K8s-Ecrupdater镜像用于解决AWS ECR容器镜像仓库的凭证定期刷新问题。它每小时从ECR拉取最新凭证，并将其注入到Kubernetes集群中，确保集群能够持续从私有ECR仓库拉取镜像。该镜像特别适用于Kubernetes集群运行在非AWS云服务提供商环境，或不想为集群节点配置EC2角色的场景。

容器镜像获取地址：https://cloud.docker.com/u/trondhindenes/repository/docker/trondhindenes/k8s-ecrupdater

核心功能和特性

• 定期凭证刷新：默认每小时从ECR获取最新访问凭证，可通过配置调整刷新间隔
• Kubernetes凭证注入：自动更新指定的Kubernetes拉取密钥
• 缺失密钥创建：支持在所有命名空间自动创建缺失的拉取密钥（需设置特定环境变量）
• 灵活的AWS凭证配置：支持通过环境变量或kube2iam等替代方式提供AWS凭证
• 可配置日志：支持通过日志配置文件或环境变量调整日志级别和格式

使用场景和适用范围

• Kubernetes集群部署在非AWS云环境（如Azure、GCP或私有云）
• 不想为Kubernetes节点配置EC2 IAM角色的场景
• 需要跨多个命名空间管理ECR镜像拉取凭证的集群
• 需定期更新ECR访问凭证以确保镜像拉取权限的环境

配置说明

通过以下环境变量进行配置：

K8S_PULL_SECRET_NAME: 要更新的Kubernetes拉取密钥名称
ECR_UPDATE_INTERVAL: （可选，秒为单位）凭证刷新间隔时间
ECR_CREATE_MISSING: 若设置为`true`，将在所有命名空间创建缺失的拉取密钥（在1.11之前的旧集群可能失败）
AWS_DEFAULT_REGION: （必填）AWS区域
AWS_ACCESS_KEY_ID: AWS访问密钥ID（若使用kube2iam等替代方式可省略）
AWS_SECRET_ACCESS_KEY: AWS密钥（若使用kube2iam等替代方式可省略）
LOG_CONFIG: （可选）日志配置文件路径（默认值：./logging.json）
LOG_LEVEL: （可选）当未找到日志配置文件时生效的日志级别（默认值：INFO）

使用方法

前提条件

• 已设置AWS ECR仓库
• 拥有具有ECR访问权限的IAM用户
• kubectl已配置并能与Kubernetes集群通信

部署步骤

1. 创建初始拉取密钥（仅当ECR_CREATE_MISSING未设置为true时需要）
   创建一个名为ecr的密钥（内容无关，后续会被自动更新）：

   bash
   kubectl create secret docker-registry ecr --docker-username=smash --docker-password=lol --docker-email lol@lol.com
   

   注意：ecrupdater会更新所有命名空间中指定名称的密钥（如示例中的ecr）。如需按命名空间分离管理，可运行多个ecrupdater实例并配置更严格的权限。

2. 应用授权配置
   创建允许ecr-updater与Kubernetes API交互的授权资源：

   bash
   kubectl apply -f example_deployment/01_authorization.yml
   

3. 配置AWS凭证

   • 创建具有ECR读取权限的IAM用户
   • 对访问密钥和密钥进行base64编码（使用-n选项避免换行）：

     bash
     echo -n "PUT_ACCESSKEY_HERE" | base64
     echo -n "PUT_SECRETKEY_HERE" | base64
     

   • 将编码后的凭证填入example_deployment/01_aws_credentials.yml文件
   • 创建存储AWS凭证的Kubernetes密钥：

     bash
     kubectl apply -f example_deployment/01_aws_credentials.yml
     

4. 部署ecr-updater
   该部署包含ecr-updater主容器和kubectl-proxy sidecar容器（用于与Kubernetes API通信）：

   • 在example_deployment/02_deployment.yml中设置正确的AWS区域
   • 部署：

     bash
     kubectl apply -f example_deployment/02_deployment.yml
     

5. 测试部署
   使用私有ECR镜像创建测试部署（注意：ecrupdater启动后会暂停60秒，需等待凭证更新）：

   bash
   kubectl apply -f example_deployment/03_pullsecret_test.yml
   

日志配置

默认使用Python logging包和python-json-logger包进行JSON格式日志记录。

自定义日志配置

• 默认日志配置文件路径：./logging.json
• 可通过LOG_CONFIG环境变量指定自定义配置文件路径（需通过ConfigMap挂载）

日志配置示例（INFO级别JSON日志）

json
{
  "version": 1,
  "disable_existing_loggers": false,
  "formatters": {
    "json": {
      "format": "%(asctime)s %(levelname)s %(message)s %(pathname)s %(lineno)d %(threadName)s",
      "class": "pythonjsonlogger.jsonlogger.JsonFormatter"
    }
  },
  "handlers": {
    "json": {
      "class": "logging.StreamHandler",
      "formatter": "json"
    }
  },
  "loggers": {
    "": {
      "handlers": ["json"],
      "level": "INFO"
    }
  }
}

日志配置文档

• https://docs.python.org/3/library/logging.config.html