利用脚本实现一键安装Kubernetes基础组件-Golang-PHP中文网

kubeadm init镜像拉取失败主因是默认从k8s.gcr.io拉取镜像，国内网络无法稳定访问该仓库，导致[ERROR ImagePull]报错；解决方法是使用--image-repository参数指定阿里云镜像源registry.aliyuncs.com/google_containers。

利用脚本实现一键安装kubernetes基础组件

为什么直接运行 install.sh 往往失败

多数一键脚本（比如社区常见的 install-k8s.sh）默认假设系统干净、网络通畅、内核模块已加载，但现实里常卡在 modprobe br_netfilter 报错或 curl -L https://dl.k8s.io/release/.../bin/kubectl 超时。这不是脚本写得不好，而是它没做环境兜底。

真正能“一键”跑通的关键，在于把三类检查前置：内核参数是否就绪、cgroup 驱动是否匹配、镜像源是否可用。

运行前先执行 lsmod | grep br_netfilter，缺失就补 sudo modprobe br_netfilter && echo 'br_netfilter' | sudo tee -a /etc/modules
kubeadm init 默认用 systemd cgroup 驱动，但 Docker 可能用 cgroupfs —— 必须统一，否则 failed to run Kubelet: misconfiguration
国内用户必须替换 kubeadm config images pull 的 registry，否则等 10 分钟还拉不到 k8s.gcr.io/kube-apiserver:v1.28.2

如何让 kubeadm init 不再因镜像问题中断

最省事的方式不是改 kubeadm init --image-repository 参数，而是提前用 crictl 或 ctr 手动载入所有组件镜像。kubeadm 本身不校验镜像是否存在，只在启动时才拉取，出错就退出。

推荐做法是：用 kubeadm config images list 获取当前版本所需镜像列表，再批量替换域名并导入本地容器运行时：

export KUBE_VERSION=v1.28.2
kubeadm config images list --kubernetes-version $KUBE_VERSION | \
  sed 's/k8s.gcr.io/registry.aliyuncs.com\/google_containers/g' | \
  xargs -I {} crictl pull {}

注意：crictl 默认连 /run/containerd/containerd.sock，如果用 Docker，得先装 cri-dockerd 并确认 criSocket 配置正确，否则 crictl pull 会报 connection refused。

初始化后 kubelet 启动失败的典型原因

常见现象是 systemctl status kubelet 显示 failed to load Kubeconfig 或 Failed to run kubelet，根本原因往往不是配置写错，而是 /var/lib/kubelet/config.yaml 里指定的 cgroupDriver 和实际运行时不一致。

Kubernetes RBAC Audit

审计 Kubernetes 集群 RBAC 配置，识别过度宽松的角色、通配符权限、危险的 ClusterRoleBinding 及服务账号滥用

下载

验证方法很简单：

查 Docker 的驱动：docker info | grep "Cgroup Driver" → 输出 Cgroup Driver: systemd？
查 kubelet 当前配置：ps aux | grep kubelet | grep cgroup-driver，看有没有显式传参
若没传参，就依赖 /var/lib/kubelet/kubeadm-flags.env 里的 --cgroup-driver=systemd

一旦不一致，手动改 /var/lib/kubelet/kubeadm-flags.env 并重启：sudo systemctl daemon-reload && sudo systemctl restart kubelet。

跳过 swap 检查却仍被 kubeadm 拒绝

加了 --ignore-preflight-errors=Swap 还报错？那大概率是因为 kubeadm 版本 ≥ 1.25 后，Swap 错误被升级为强制失败项（Fatal），--ignore-preflight-errors 对它失效了。

可行解只有两个：

彻底关闭 swap：sudo swapoff -a && sudo sed -i '/swap/d' /etc/fstab
或降级到 1.24.x（不推荐），或改用 kubeadm init --config + 自定义配置文件，在 nodeRegistration 下加 ignorePreflightErrors: ["Swap"]，但该字段在 v1.25+ 已被移除

所以别信“加个 ignore 就行”，得看 kubeadm 版本和错误类型是否真支持忽略 —— Swap 在新版本里就是硬性要求。