使用 Helm Chart 部署 MinIO 租户

概述

Helm 是一种用于自动将应用程序部署到 Kubernetes 集群的工具。一个 Helm Chart 是一组 YAML 文件、模板和其他定义部署细节的文件。以下过程使用 Helm Chart 部署由 MinIO 运算符管理的租户。

此过程要求 Kubernetes 集群具有有效的运算符部署。您不能使用 MinIO 运算符租户图表来部署独立于运算符的租户。

重要

MinIO 运算符租户图表与社区管理的 MinIO 图表不同。

社区 Helm Chart 由社区构建、维护和支持。MinIO 不保证支持任何引用该图表的错误、功能请求或更新。

该运算符租户图表由 MinIO 正式维护和支持。MinIO 强烈建议在生产环境中使用官方的 Helm Chart 用于运算符和租户。

先决条件

您必须满足以下要求才能使用 Helm 安装 MinIO 租户

现有的 Kubernetes 集群
本地主机上的 kubectl CLI 工具，其版本与集群匹配。
Helm 版本 3.8 或更高版本。
yq 版本 4.18.1 或更高版本。
现有的 MinIO 运算符安装。

此过程假设您的 Kubernetes 集群访问权限授予您广泛的管理权限。

有关租户安装要求的更多信息，包括受支持的 Kubernetes 版本和 TLS 证书，请参阅租户部署先决条件。

此过程假设您熟悉引用的 Kubernetes 概念和实用程序。虽然本文档可能会提供有关配置或部署 Kubernetes 相关资源的指导，但它不能替代官方的 Kubernetes 文档。

使用 Helm Chart 部署 MinIO 租户

以下过程使用 MinIO 运算符 Chart 存储库部署 MinIO 租户。与本地 Chart 安装相比，此方法支持简化的安装路径。

以下过程使用 Helm 部署 MinIO 租户，使用官方的 MinIO 租户 Chart。

重要

如果您使用 Helm 部署 MinIO 租户，则必须使用 Helm 来管理或升级该部署。请勿使用 kubectl krew、Kustomize 或类似方法来管理或升级 MinIO 租户。

此过程并非涵盖租户图表中所有可能的配置选项。它提供了一个基线，您可以根据需要修改和调整租户。

验证您的 MinIO Operator 仓库配置

MinIO 在 https://operator.min.io 维护了一个与 Helm 兼容的仓库。如果该仓库尚不存在于您的本地 Helm 配置中，请在继续之前添加它。

helm repo add minio-operator https://operator.min.io

您可以使用 helm search 验证仓库内容。

helm search repo minio-operator

响应应类似于以下内容

NAME                            CHART VERSION   APP VERSION     DESCRIPTION
minio-operator/minio-operator   4.3.7           v4.3.7          A Helm chart for MinIO Operator
minio-operator/operator         6.0.4           v6.0.4          A Helm chart for MinIO Operator
minio-operator/tenant           6.0.4           v6.0.4          A Helm chart for MinIO Operator

创建 Helm values.yaml 的本地副本以进行修改
```
curl -sLo values.yaml https://raw.githubusercontent.com/minio/operator/master/helm/tenant/values.yaml
```
在您首选的文本编辑器中打开 values.yaml 对象。

配置租户拓扑

以下字段共享 tenant.pools[0] 前缀，并控制在租户中部署的所有 Pod 的服务器数量、每个服务器的卷数和存储类。

字段	描述
`servers`	要在服务器池中部署的 MinIO Pod 数量。
`volumesPerServer`	要附加到每个 MinIO Pod (`servers`) 的持久卷数量。Operator 为租户生成 `volumesPerServer x servers` 持久卷声明。
`storageClassName`	要与生成的持久卷声明关联的 Kubernetes 存储类。如果没有与指定值匹配的存储类或如果指定的存储类无法满足请求的 PVC 或存储容量数量，则租户可能无法启动。
`size`	为每个生成的 PVC 请求的存储量。

配置租户亲和性或反亲和性

租户图表支持以下 Kubernetes 选择器、亲和性和反亲和性配置
- 节点选择器 (tenant.nodeSelector)
- 节点/Pod 亲和性或反亲和性 (spec.pools[n].affinity)
MinIO 建议使用 Pod 反亲和性配置租户，以确保 Kubernetes 调度程序不会在同一工作节点上调度多个 Pod。

如果您有要部署租户的特定工作节点，请将这些节点标签或过滤器传递给 nodeSelector 或 affinity 字段，以限制调度程序将 Pod 放置在这些节点上。

配置网络加密

MinIO 租户 CRD 提供了以下字段，您可以使用这些字段配置租户 TLS 网络加密

字段	描述
`tenant.certificate.requestAutoCert`	启用或禁用 MinIO 自动 TLS 证书生成。默认为 `true` 或如果省略则启用。
`tenant.certificate.certConfig`	自定义自动 TLS 的行为（如果已启用）。
`tenant.certificate.externalCertSecret`	通过服务器名称指示 (SNI) 为多个主机名启用 TLS。指定一个或多个类型为 `kubernetes.io/tls` 或 `cert-manager` 的 Kubernetes 密钥。
`tenant.certificate.externalCACertSecret`	启用对由未知、第三方或内部证书颁发机构 (CA) 签名的客户端 TLS 证书的验证。指定一个或多个类型为 `kubernetes.io/tls` 的 Kubernetes 密钥，其中包含给定颁发机构的完整 CA 证书链。

配置 MinIO 环境变量

您可以使用 tenant.configuration 字段设置 MinIO 服务器环境变量。

字段	描述
`tenant.configuration`	指定一个 Kubernetes 不透明密钥，其数据有效负载 `config.env` 包含您要设置的每个 MinIO 环境变量。 `config.env` 数据有效负载必须是 Base64 编码的字符串。您可以创建一个本地文件，设置您的环境变量，然后使用 `cat LOCALFILE \| base64` 创建有效负载。

字段

描述

tenant.configuration

指定一个 Kubernetes 不透明密钥，其数据有效负载 config.env 包含您要设置的每个 MinIO 环境变量。

config.env 数据有效负载**必须**是 Base64 编码的字符串。您可以创建一个本地文件，设置您的环境变量，然后使用 cat LOCALFILE | base64 创建有效负载。

YAML 包含一个对象 kind: Secret，其中 metadata.name: storage-configuration 设置根用户名、密码、擦除奇偶校验设置并启用租户控制台。

根据需要修改此内容以反映您的租户需求。

部署租户

使用 helm 安装租户图表，并使用您的 values.yaml 作为覆盖。

helm install \
--namespace TENANT-NAMESPACE \
--create-namespace \
--values values.yaml \
TENANT-NAME minio-operator/tenant

您可以使用以下命令监控进度

watch kubectl get all -n TENANT-NAMESPACE

公开租户 MinIO S3 API 端口

要从您的本地计算机测试 MinIO 客户端 mc，请转发 MinIO 端口并创建一个别名。
- 转发租户的 MinIO 端口
```
kubectl port-forward svc/TENANT-NAME-hl 9000 -n TENANT-NAMESPACE
```
- 为租户服务创建别名
```
mc alias set myminio http://127.0.0.1:9000 minio minio123 --insecure
```
您可以使用 mc mb 在租户上创建存储桶。
```
mc mb myminio/mybucket --insecure
```
如果您使用受信任的证书颁发机构 (CA) 颁发的 TLS 证书部署了 MinIO 租户，则可以省略 --insecure 标志。

有关连接到租户的外部连接的其他文档，请参阅连接到租户。

使用本地 Helm 图表部署租户

以下过程使用 Helm 图表的本地副本部署租户。与基于仓库的安装相比，此方法可能支持更轻松地预配置租户。

下载 Helm 图表

在您的本地主机上，将租户 Helm 图表下载到一个方便的目录中。
```
curl -O https://raw.githubusercontent.com/minio/operator/master/helm-releases/tenant-6.0.4.tgz
```
每个图表都包含一个 values.yaml 文件，您可以根据需要自定义它。有关 MinIO 租户 values.yaml 中可用选项的详细信息，请参阅租户 Helm 图表。

在您首选的文本编辑器中打开 values.yaml 对象。

配置租户拓扑

以下字段共享 tenant.pools[0] 前缀，并控制在租户中部署的所有 Pod 的服务器数量、每个服务器的卷数和存储类。

字段	描述
`servers`	要在服务器池中部署的 MinIO Pod 数量。
`volumesPerServer`	要附加到每个 MinIO Pod (`servers`) 的持久卷数量。Operator 为租户生成 `volumesPerServer x servers` 持久卷声明。
`storageClassName`	要与生成的持久卷声明关联的 Kubernetes 存储类。如果没有与指定值匹配的存储类或如果指定的存储类无法满足请求的 PVC 或存储容量数量，则租户可能无法启动。
`size`	为每个生成的 PVC 请求的存储量。

配置租户亲和性或反亲和性

租户图表支持以下 Kubernetes 选择器、亲和性和反亲和性配置
- 节点选择器 (tenant.nodeSelector)
- 节点/Pod 亲和性或反亲和性 (spec.pools[n].affinity)
MinIO 建议使用 Pod 反亲和性配置租户，以确保 Kubernetes 调度程序不会在同一工作节点上调度多个 Pod。

如果您有要部署租户的特定工作节点，请将这些节点标签或过滤器传递给 nodeSelector 或 affinity 字段，以限制调度程序将 Pod 放置在这些节点上。

配置网络加密

MinIO 租户 CRD 提供了以下字段，您可以使用这些字段配置租户 TLS 网络加密

字段	描述
`tenant.certificate.requestAutoCert`	启用或禁用 MinIO 自动 TLS 证书生成
`tenant.certificate.certConfig`	控制自动 TLS 的设置。需要 `spec.requestAutoCert: true`
`tenant.certificate.externalCertSecret`	指定一个或多个类型为 `kubernetes.io/tls` 或 `cert-manager` 的 Kubernetes 密钥。MinIO 使用这些证书根据主机名 (服务器名称指示) 执行 TLS 握手。
`tenant.certificate.externalCACertSecret`	指定一个或多个类型为 `kubernetes.io/tls` 的 Kubernetes 密钥，其中包含租户必须信任的证书颁发机构 (CA) 链，以允许客户端 TLS 连接。

配置 MinIO 环境变量

您可以使用 tenant.configuration 字段设置 MinIO 服务器环境变量。

该字段必须指定一个 Kubernetes 不透明密钥，其数据有效负载 config.env 包含您要设置的每个 MinIO 环境变量。

YAML 包含一个对象 kind: Secret，其中 metadata.name: storage-configuration 设置根用户名、密码、擦除奇偶校验设置并启用租户控制台。

根据需要修改此内容以反映您的租户需求。
以下 Helm 命令使用标准图表创建 MinIO 租户
```
helm install \
--namespace TENANT-NAMESPACE \
--create-namespace \
TENANT-NAME tenant-6.0.4.tgz
```
要部署多个租户，请使用新租户的详细信息创建一个 Helm 图表，然后重复部署步骤。重新部署相同的图表会更新之前部署的租户。
公开租户 MinIO 端口

要从您的本地计算机测试 MinIO 客户端 mc，请转发 MinIO 端口并创建一个别名。
- 转发租户的 MinIO 端口
```
kubectl port-forward svc/TENANT-NAME-hl 9000 -n TENANT-NAMESPACE
```
- 为租户服务创建别名
```
mc alias set myminio http://127.0.0.1:9000 minio minio123 --insecure
```
  此示例使用非 TLS myminio-hl 服务，这需要 --insecure。
  
  如果您配置了 TLS 证书，请省略 --insecure 并使用 svc/minio 代替。
您可以使用 mc mb 在租户上创建存储桶。
mc mb myminio/mybucket --insecure

有关连接到租户的外部连接的其他文档，请参阅连接到租户。