使用 Helm Chart 部署 MinIO 租户

概述

Helm 是一个用于自动将应用程序部署到 Kubernetes 集群的工具。一个 Helm Chart 是一组 YAML 文件、模板和其他定义部署详细信息的文件。以下过程使用 Helm Chart 来部署由 MinIO 运算符管理的租户。

此过程要求 Kubernetes 集群具有有效的运算符部署。您不能使用 MinIO 运算符租户 Chart 来部署独立于运算符的租户。

重要

MinIO 运算符租户 Chart 与社区管理的 MinIO Chart 不同。

社区 Helm Chart 由社区构建、维护和支持。MinIO 不保证支持任何参考该 Chart 的特定错误、功能请求或更新。

运算符租户 Chart 由 MinIO 官方维护和支持。MinIO 强烈建议在生产环境中使用官方 Helm Chart 进行运算符和租户部署。

先决条件

您必须满足以下要求才能使用 Helm 安装 MinIO 租户

一个现有的 Kubernetes 集群
本地主机上的 kubectl CLI 工具，版本与集群匹配。
Helm 版本 3.8 或更高版本。
yq 版本 4.18.1 或更高版本。
一个现有的 MinIO 运算符安装。

此过程假设您的 Kubernetes 集群访问权限授予您广泛的管理权限。

有关租户安装要求的更多信息，包括支持的 Kubernetes 版本和 TLS 证书，请参阅租户部署先决条件。

此过程假设您熟悉所引用的 Kubernetes 概念和实用程序。虽然本文档可能会提供关于配置或部署 Kubernetes 相关资源的最佳实践指南，但它不能替代官方的Kubernetes 文档。

使用 Helm Chart 部署 MinIO 租户

以下过程使用 MinIO Operator Chart 仓库部署 MinIO 租户。与本地 Chart 安装相比，此方法支持简化的安装路径。

以下过程使用 Helm 部署 MinIO 租户，使用官方的 MinIO 租户 Chart。

重要

如果使用 Helm 部署 MinIO 租户，则必须使用 Helm 来管理或升级该部署。请勿使用kubectl krew、Kustomize 或类似方法来管理或升级 MinIO 租户。

此过程并非涵盖租户 Chart中所有可能的配置选项。它提供了一个基线，您可以根据需要修改和调整租户。

验证您的 MinIO Operator Repo 配置

MinIO 在https://operator.min.io维护一个与 Helm 兼容的仓库。如果该仓库在您的本地 Helm 配置中尚不存在，请在继续之前添加它。

helm repo add minio-operator https://operator.min.io

您可以使用helm search验证仓库内容。

helm search repo minio-operator

响应应该类似于以下内容

NAME                            CHART VERSION   APP VERSION     DESCRIPTION
minio-operator/minio-operator   4.3.7           v4.3.7          A Helm chart for MinIO Operator
minio-operator/operator         6.0.4           v6.0.4          A Helm chart for MinIO Operator
minio-operator/tenant           6.0.4           v6.0.4          A Helm chart for MinIO Operator

创建 Helm values.yaml 的本地副本以进行修改
```
curl -sLo values.yaml https://raw.githubusercontent.com/minio/operator/master/helm/tenant/values.yaml
```
在您首选的文本编辑器中打开values.yaml对象。

配置租户拓扑

以下字段共享tenant.pools[0]前缀，并控制在租户中部署的所有 Pod 的服务器数量、每个服务器的卷数和存储类。

字段	描述
`servers`	要在服务器池中部署的 MinIO Pod 数量。
`volumesPerServer`	要附加到每个 MinIO Pod (`servers`) 的持久卷数量。Operator 为租户生成`volumesPerServer x servers`持久卷声明。
`storageClassName`	要与生成的持久卷声明关联的 Kubernetes 存储类。如果不存在与指定值匹配的存储类或如果指定的存储类无法满足请求的 PVC 数量或存储容量，则租户可能无法启动。
`size`	为每个生成的 PVC 请求的存储量。

配置租户亲和性或反亲和性

租户 Chart 支持以下 Kubernetes 选择器、亲和性和反亲和性配置
- 节点选择器 (tenant.nodeSelector)
- 节点/Pod 亲和性或反亲和性 (spec.pools[n].affinity)
MinIO 建议使用 Pod 反亲和性配置租户，以确保 Kubernetes 调度程序不会在同一工作节点上调度多个 Pod。

如果您有要在其上部署租户的特定工作节点，请将这些节点标签或过滤器传递给nodeSelector或affinity字段，以限制调度程序在这些节点上放置 Pod。

配置网络加密

MinIO 租户 CRD 提供以下字段，您可以使用这些字段配置租户 TLS 网络加密

字段	描述
`tenant.certificate.requestAutoCert`	启用或禁用 MinIO自动 TLS 证书生成。默认为`true`或启用（如果省略）。
`tenant.certificate.certConfig`	自定义自动 TLS的行为（如果已启用）。
`tenant.certificate.externalCertSecret`	通过服务器名称指示 (SNI) 为多个主机名启用 TLS。指定一个或多个类型为`kubernetes.io/tls`或`cert-manager`的 Kubernetes 密钥。
`tenant.certificate.externalCACertSecret`	启用对由未知、第三方或内部证书颁发机构 (CA) 签名的客户端 TLS 证书进行验证。指定一个或多个类型为`kubernetes.io/tls`的 Kubernetes 密钥，其中包含给定颁发机构的完整 CA 证书链。

配置 MinIO 环境变量

您可以使用tenant.configuration字段设置 MinIO Server 环境变量。

字段	描述
`tenant.configuration`	指定一个 Kubernetes 不透明密钥，其数据有效负载`config.env`包含您要设置的每个 MinIO 环境变量。 `config.env`数据有效负载必须是 base64 编码的字符串。您可以创建一个本地文件，设置您的环境变量，然后使用`cat LOCALFILE \| base64`创建有效负载。

字段

描述

tenant.configuration

指定一个 Kubernetes 不透明密钥，其数据有效负载config.env包含您要设置的每个 MinIO 环境变量。

config.env数据有效负载**必须**是 base64 编码的字符串。您可以创建一个本地文件，设置您的环境变量，然后使用cat LOCALFILE | base64创建有效负载。

YAML 包含一个对象kind: Secret，其中metadata.name: storage-configuration设置根用户名、密码、擦除奇偶校验设置并启用租户控制台。

根据需要修改此内容以反映您的租户要求。

部署租户

使用helm安装租户 Chart，使用您的values.yaml作为覆盖

helm install \
--namespace TENANT-NAMESPACE \
--create-namespace \
--values values.yaml \
TENANT-NAME minio-operator/tenant

您可以使用以下命令监控进度

watch kubectl get all -n TENANT-NAMESPACE

公开租户 MinIO S3 API 端口

要从本地机器测试 MinIO Client mc，请转发 MinIO 端口并创建一个别名。
- 转发租户的 MinIO 端口
```
kubectl port-forward svc/TENANT-NAME-hl 9000 -n TENANT-NAMESPACE
```
- 为租户服务创建别名
```
mc alias set myminio https://127.0.0.1:9000 minio minio123 --insecure
```
您可以使用mc mb在租户上创建存储桶。
```
mc mb myminio/mybucket --insecure
```
如果您使用受信任的证书颁发机构 (CA) 颁发的 TLS 证书部署了 MinIO 租户，则可以省略--insecure标志。

有关租户外部连接的更多文档，请参阅连接到租户。

使用本地 Helm Chart 部署租户

以下过程使用 Helm Chart 的本地副本部署租户。与基于仓库的安装相比，此方法可能支持更轻松地预配置租户。

下载 Helm Chart

在您的本地主机上，将租户 Helm Chart 下载到一个方便的目录。
```
curl -O https://raw.githubusercontent.com/minio/operator/master/helm-releases/tenant-6.0.4.tgz
```
每个 Chart 都包含一个values.yaml文件，您可以根据需要对其进行自定义。有关 MinIO 租户values.yaml中可用选项的详细信息，请参阅租户 Helm Chart。

在您首选的文本编辑器中打开values.yaml对象。

配置租户拓扑

以下字段共享tenant.pools[0]前缀，并控制在租户中部署的所有 Pod 的服务器数量、每个服务器的卷数和存储类。

字段	描述
`servers`	要在服务器池中部署的 MinIO Pod 数量。
`volumesPerServer`	要附加到每个 MinIO Pod (`servers`) 的持久卷数量。Operator 为租户生成`volumesPerServer x servers`持久卷声明。
`storageClassName`	要与生成的持久卷声明关联的 Kubernetes 存储类。如果不存在与指定值匹配的存储类或如果指定的存储类无法满足请求的 PVC 数量或存储容量，则租户可能无法启动。
`size`	为每个生成的 PVC 请求的存储量。

配置租户亲和性或反亲和性

租户 Chart 支持以下 Kubernetes 选择器、亲和性和反亲和性配置
- 节点选择器 (tenant.nodeSelector)
- 节点/Pod 亲和性或反亲和性 (spec.pools[n].affinity)
MinIO 建议使用 Pod 反亲和性配置租户，以确保 Kubernetes 调度程序不会在同一工作节点上调度多个 Pod。

如果您有要在其上部署租户的特定工作节点，请将这些节点标签或过滤器传递给nodeSelector或affinity字段，以限制调度程序在这些节点上放置 Pod。

配置网络加密

MinIO 租户 CRD 提供以下字段，您可以使用这些字段配置租户 TLS 网络加密

字段	描述
`tenant.certificate.requestAutoCert`	启用或禁用 MinIO自动 TLS 证书生成
`tenant.certificate.certConfig`	控制自动 TLS的设置。需要`spec.requestAutoCert: true`
`tenant.certificate.externalCertSecret`	指定一个或多个类型为`kubernetes.io/tls`或`cert-manager`的 Kubernetes 密钥。MinIO 使用这些证书根据主机名（服务器名称指示）执行 TLS 握手。
`tenant.certificate.externalCACertSecret`	指定一个或多个类型为`kubernetes.io/tls`的 Kubernetes 密钥，其中包含租户必须信任的证书颁发机构 (CA) 链，以允许客户端 TLS 连接。

配置 MinIO 环境变量

您可以使用tenant.configuration字段设置 MinIO Server 环境变量。

该字段必须指定一个 Kubernetes 不透明密钥，其数据有效负载config.env包含您要设置的每个 MinIO 环境变量。

YAML 包含一个对象kind: Secret，其中metadata.name: storage-configuration设置根用户名、密码、擦除奇偶校验设置并启用租户控制台。

根据需要修改此内容以反映您的租户要求。
以下 Helm 命令使用标准 Chart 创建 MinIO 租户
```
helm install \
--namespace TENANT-NAMESPACE \
--create-namespace \
TENANT-NAME tenant-6.0.4.tgz
```
要部署多个租户，请使用新租户的详细信息创建一个 Helm Chart，并重复部署步骤。重新部署相同的 Chart 会更新先前部署的租户。
公开租户 MinIO 端口

要从本地机器测试 MinIO Client mc，请转发 MinIO 端口并创建一个别名。
- 转发租户的 MinIO 端口
```
kubectl port-forward svc/TENANT-NAME-hl 9000 -n TENANT-NAMESPACE
```
- 为租户服务创建别名
```
mc alias set myminio https://127.0.0.1:9000 minio minio123 --insecure
```
  此示例使用非 TLSmyminio-hl服务，这需要--insecure。
  
  如果您配置了 TLS 证书，请省略--insecure并改用svc/minio。
您可以使用mc mb在租户上创建存储桶。
mc mb myminio/mybucket --insecure

有关租户外部连接的更多文档，请参阅连接到租户。