View source for Static Pods, TLS и управление конфигурацией (ConfigMap)

Этот раздел объясняет, как «оживают» компоненты Control Plane и как DevOps-инженер управляет переменными окружения и файлами конфигурации.
----

=== 1. Static Pods (Статичные поды) ===
Статичные поды — это поды, которыми управляет напрямую '''kubelet''', а не API-сервер.

* '''Где находятся:''' Kubelet следит за определенной директорией на хосте (обычно <code>/etc/kubernetes/manifests</code>).
* '''Как работают:''' Если вы положите туда YAML-файл, kubelet сам запустит этот под. Если удалите файл — под исчезнет.
* '''Применение:''' Именно так запускаются основные компоненты Control Plane ('''etcd, kube-apiserver, kube-scheduler, kube-controller-manager''') при использовании <code>kubeadm</code>.
* '''Зачем:''' Это позволяет запустить компоненты управления до того, как сам кластер начнет функционировать.

----

=== 2. TLS-сертификаты в кластере ===
Все компоненты Kubernetes (API-сервер, поды, узлы) общаются между собой через '''mTLS''' (двусторонний TLS).

* '''CA (Certificate Authority):''' Kubernetes создает свои собственные корневые сертификаты при установке.
* '''Срок службы:''' Обычно сертификаты компонентов выпускаются на '''1 год''', а корневой (CA) — на '''10 лет'''.
* '''Обновление:''' Сертификаты нужно обновлять до истечения срока, иначе кластер "развалится" (компоненты перестанут доверять друг другу).
* '''Команда для проверки:''' <code>kubeadm certs check-expiration</code>.

----

=== 3. Переменные окружения (Env Vars) ===
Вы можете передавать настройки в контейнер прямо в манифесте пода.

* '''env:''' Список пар <code>name</code> и <code>value</code>.
* '''Применение:''' Передача портов, имен баз данных, настроек логирования.
* '''Command & Args:''' В Kubernetes <code>command</code> заменяет <code>ENTRYPOINT</code> из Dockerfile, а <code>args</code> заменяет <code>CMD</code>.

----

=== 4. ConfigMap (Конфигурационные карты) ===
ConfigMap позволяет отделить конфигурационные файлы от образа контейнера (принцип '''Decoupling''').

* '''Создание:'''
** Из строки: <code>kubectl create configmap my-config --from-literal=key=value</code>
** Из файла: <code>kubectl create configmap nginx-config --from-file=nginx.conf</code>
* '''Способы использования:'''
*# '''Environment Variables:''' Загрузка данных как переменных окружения.
*# '''Volume Mount:''' Монтирование ConfigMap как файла в файловую систему пода.

----

=== 5. Продвинутые приемы ConfigMap ===

* '''SubPath:''' Используется при монтировании файла в директорию, где уже есть другие файлы. Без <code>subPath</code>монтирование ConfigMap "сотрет" (перекроет) всё содержимое папки.
* '''Обновление "на лету":''' Если вы монтируете ConfigMap как Volume, изменения в ConfigMap через некоторое время (до минуты) автоматически появятся внутри пода без его рестарта.
* '''Immutable ConfigMaps:''' Можно пометить ConfigMap как <code>immutable: true</code>. Это защищает его от случайных изменений и снижает нагрузку на API-сервер.

----

=== 6. Шпаргалка по командам (Cheat Sheet) ===
{| class="wikitable"
|'''Задача'''
|'''Команда'''
|-
|Проверить срок сертификатов
|<code>kubeadm certs check-expiration</code>
|-
|Создать ConfigMap из файла
|<code>kubectl create cm <name> --from-file=<path></code>
|-
|Посмотреть содержимое CM
|<code>kubectl get cm <name> -o yaml</code>
|-
|Отредактировать CM
|<code>kubectl edit cm <name></code>
|-
|Проверить переменные в поде
|<code>kubectl exec <pod> -- printenv</code>
|-
|Посмотреть логи static пода
|<code>journalctl -u kubelet</code> (если под не стартует)
|}
----

=== 💡 Резюме для DevOps-инженера: ===

# '''Не храните конфиги в образах:''' Используйте ConfigMap. Это позволит менять настройки Nginx или DB-клиентов без пересборки Docker-образа.
# '''Static Pods — это база:''' Если <code>kubectl</code> не отвечает, идите на мастер-ноду в <code>/etc/kubernetes/manifests</code> и проверяйте статус файлов.
# '''Следите за сертификатами:''' Настройте мониторинг срока действия сертификатов (Prometheus это умеет), чтобы не проснуться с "мертвым" кластером.
# '''Секретные данные:''' Никогда не храните пароли или приватные ключи в '''ConfigMap'''. Для этого есть объект '''Secret''' (разберем в следующей теме).