InfoQ Geekathon 大模型技术应用创新大赛 了解详情
写点什么

Helm:三思而后用

  • 2018-10-20
  • 本文字数:0 字

    阅读完需:约 1 分钟

Helm 是 Kubernetes 的包管理器。它可以大幅简化发布过程,但有时候也会带来问题。近日,Helm 已经正式提升为顶级的 CNCF 项目,并且在社区得到了广泛的应用。这说明 Helm 确实是个不错的项目了,但我将和你分享我对于 Helm 的一些思考。

本文将说明我不相信那些大肆宣传的原因。

Helm 的真正价值是什么?

到现在我仍然不清楚 Helm 的价值。它没有提供任何特别的东西。Tiller 带来了什么价值(服务器端部分)?

许多 Helm 图表还很不完善,需要花些功夫才能把它们用在 Kubernetes 集群上,例如,缺少 RBAC、资源限制或网络策略;这意味着你无法以二进制方式安装 Helm 图表,忘记里面有什么吧。

我希望有人可以向我解释一下安全的多租户生产环境方面,而不仅仅是使用 hello world 的例子吹嘘它有多酷。

Linus Torvalds 说过,"Talk is cheap. Show me the code."

另一个身份验证 & 访问控制层

有人把 Tiller 比作“巨型 sudo 服务器”。对我来说,它只是另一个授权层,没有访问控制,而且需要维护额外的 TLS 证书。为什么不利用 Kubernetes API,依赖现有的具有适当审计和 RBAC 功能的安全模型呢?

它只是一个被美化了的模板工具?

它就是使用 values.yaml 中的配置渲染和检查 go-template 文件。然后,把渲染好的 Kuberentes 清单以及相应的元数据存储在 ConfigMap 中。

这可以使用几个简单的命令替代:

复制代码
$ # 使用 golang 或 python 脚本渲染 go-template 文件 
$ kubectl apply --dry-run -f .
$ kubectl apply -f .

据我观察,团队常常在每个环境中都有一个 values.yaml 文件,甚或是在使用之前从 values.yaml.tmpl 渲染它。

对于 Kubernetes Secrets 来说,这是没有意义的,因为它们通常是在库中进行加密和版本化。你既可以使用 helm-secrets 插件来实现这一点,也可以使用 set key=value 来覆盖它,但它还是增加了另外一层复杂性。

Helm 作为基础设施生命周期管理工具

忘了它吧。它不会奏效,特别是对于核心的 Kubernetes 组件,如 kube-dns、CNI 提供程序、“集群自动定标器(cluster autoscaler)”等。这些组件有不同的生命周期,Helm 不适合这些组件。

根据我使用 Helm 的经验,对于使用基础 Kubernetes 资源(很容易地从头重新创建,而且没有复杂的发布过程)的简单部署,它可以做得很好。

遗憾的是,Helm 不能处理更高级和频繁的部署,包括名称空间、RBAC、网络策略、ResourceQuota 或 PodSecurityPolicy。

我知道这可能会冒犯对 Helm 着迷的人,但这是一个可悲的事实。

Helm 状态

Tiller 服务器将信息存储在位于 Kubernetes 内部的 ConfigMaps 中。它不需要自己的数据库。

遗憾的是,由于 etcd 的限制,ConfigMap 的限值仅有1MB

希望有人能想出个注意来扩展 ConfigMap 存储驱动程序,在存储之前压缩序列化的版本,但在我看来,这仍然不能解决实际问题。

随机故障和错误处理

这是我最担心的事情——我不能依赖它。

Error: UPGRADE FAILED: "foo" has no deployed releases

错误:升级失败:“foo"没有已部署的版本

恕我直言,这是 Helm 令人讨厌的问题之一。

如果第一次发布失败,那么随后的每次尝试都会返回一个错误,说它无法从未知状态升级。

下面 PR 通过添加 --forceflag 来“修复”它,但实际上是通过执行 helm delete&helm install --replace 隐藏了问题: https://github.com/kubernetes/helm/pull/3597

然而,大多数情况下,你最终会彻底清理该发布。

helm delete --purge $RELEASE_NAME

如果 ServiceAccount 缺失或 RBAC 不允许创建特定的资源,Helm 将返回以下错误消息:

Error: release foo failed: timed out waiting for the condition

很遗憾,Helm 并没有提供出现这种情况的根本原因:

kubectl -n foo get events --sort-by='{.lastTimestamp}'
Error creating: pods "foo-5467744958" is forbidden: error looking up service account foo/foo: serviceaccount "foo" not found

有个别情况下,Helm 成功失败而不做任何事情。例如,有时它不更新资源限制。

helm init 运行单副本 Tiller——非 HA

在默认情况下,Tiller 不是 HA 的,下面的 PR 仍处于打开状态: https://github.com/helm/helm/issues/2334

有一天,这可能会导致宕机……

Helm 3? Operators? 未来?

Helm 的下个版本将带来一些值得期待的特性:

  • 不分客户端 / 服务器端的单服务架构——无需 Tiller
  • 嵌入式 Lua 脚本引擎
  • 拉式 DevOps 工作流, 一个新的 Helm Controller 项目将会启动

要了解更多信息,请查看 Helm 3 设计提案。

我非常喜欢无 Tiller 架构的想法,但对于 Lua 脚本,我不确定,因为它会额外增加图表的复杂性。

最近我发现 Operators 有一个大的变化,与 Helm 图表相比,它更像是 Kubernetes 原生的。

我真希望社区能尽快解决这个问题,但与此同时,我更倾向于尽可能少地使用 Helm。

不要误解我——我花了一些时间在 Kubernetes 之上构建了一个混合云部署平台,以上这些只是我从中得出的个人观点。

查看英文原文: Think twice before using Helm

感谢张婵对本文的审校。

活动推荐:

2023年9月3-5日,「QCon全球软件开发大会·北京站」 将在北京•富力万丽酒店举办。此次大会以「启航·AIGC软件工程变革」为主题,策划了大前端融合提效、大模型应用落地、面向 AI 的存储、AIGC 浪潮下的研发效能提升、LLMOps、异构算力、微服务架构治理、业务安全技术、构建未来软件的编程语言、FinOps 等近30个精彩专题。咨询购票可联系票务经理 18514549229(微信同手机号)。

2018-10-20 17:332054
用户头像

发布了 1008 篇内容, 共 361.7 次阅读, 收获喜欢 334 次。

关注

评论 1 条评论

发布
暂无评论
发现更多内容

Sealem Finance打造Web3去中心化金融平台基础设施

股市老人

Django 介绍与安装

海拥(haiyong.site)

django 6月月更

safePoint讲解及其安插思路分析

北洋

6月月更

Fabric.js 动态设置字号大小 🎄

德育处主任

canvas 前端可视化 FabricJS Fabric.js 6月月更

详解Java中的值传递

秋名山码民

6月月更

你还不懂线程池的设计及原理吗?掰开揉碎了教你设计线程池

C++后台开发

线程 线程池 后端开发 Linux服务器开发 C++后台开发

远程办公经验 | 社区征文

弑着去忘记う

初夏征文

C#入门系列(十一) -- 多维数组

陈言必行

C# 6月月更

Linux开发_ Linux命令复习与文件目录复习

DS小龙哥

6月月更

【sql语句基础】——删(delete) /改(update)

写代码两年半

数据库 sql :MySQL 数据库 6月月更

InfoQ 极客传媒 15 周年庆征文|Dubbo入门实战:Spring + Zookeeper + Dubbo

No Silver Bullet

zookeeper 架构 dubbo 6月月更 InfoQ极客传媒15周年庆

开源项目那么多,这次带你了解个版本的区别,明白alpha版、beta版、rc版是什么意思

迷彩

开源 记录 6月月更

InfoQ 极客传媒 15 周年庆征文|容器运行时技术深度剖析

liuzhen007

容器 运维 热门活动 InfoQ极客传媒15周年庆

spring的BeanFactory和ApplicationContext

程序员欣宸

Java spring 6月月更

Vue-6-计算属性

Python研究所

6月月更

数据结构进阶(一)稀疏矩阵

No Silver Bullet

稀疏矩阵 6月月更

tornado环境搭建及基本框架搭建——熟悉的hello world

孤寒者

Python tornado 6月月更 hello world

测试基础之:黑盒测试

甜甜的白桃

测试用例 黑盒测试 6月月更

【LeetCode】 极大极小游戏Java题解

Albert

LeetCode 6月月更

有哪些ABAP关键字和语法,到了ABAP云环境上就没办法用了?

Jerry Wang

云原生 SAP abap Netweaver 6月月更

SDN系统方法 | 5. 交换机操作系统

俞凡

架构 网络 sdn SDN系统方法

浅析分布式系统之体系结构-事务与隔离级别(多对象、多操作)下篇

snlfsnef

InfoQ 极客传媒 15 周年庆征文|Webpack 性能优化措施汇总

No Silver Bullet

性能优化 前端 webpack 6月月更 InfoQ极客传媒15周年庆

485天,远程办公的 21 条心得分享|社区征文

悟空聊架构

远程办公 悟空聊架构 热门活动 初夏征文 社区征文

Web3生态去中心化金融平台——Sealem Finance

EOSdreamer111

利用 VSCode 的代码模板提高 MobX 的编码效率

岛上码农

flutter ios 前端 安卓开发 6月月更

浅谈居家办公后的感想| 社区征文

雪雷

居家办公 初夏征文

远程办公经验分享 | 社区征文

Geek_ac6fb9

初夏征文

Es6新特性——箭头函数

大熊G

JavaScript 前端 6月月更

【高并发】关于线程池,蚂蚁金服面试官问了我这些内容!!

冰河

并发编程 多线程 高并发 异步编程 6月月更

网络流媒体协议的联系与区别(RTP RTCP RTSP RTMP HLS)

赖猫

音视频 流媒体

  • 扫码添加小助手
    领取最新资料包
Helm:三思而后用_DevOps & 平台工程_Bartłomiej Antoniak_InfoQ精选文章