Accès à un cluster avec l'option Headlamp

Utilisez Headlamp Desktop lorsque vous souhaitez accéder à un ou plusieurs clusters à partir d'une station de travail sans déployer Headlamp dans les clusters.

Pour utiliser Headlamp Desktop pour accéder à un cluster :

1. Si vous ne l'avez pas encore fait, suivez les étapes permettant de configurer le fichier de configuration Kubeconfig du cluster et (si nécessaire) de définir la variable d'environnement KUBECONFIG de sorte qu'elle pointe vers le fichier. Vous devez configurer votre propre fichier Kubeconfig. Vous ne pouvez pas accéder à un cluster à l'aide d'un fichier Kubeconfig configuré par un autre utilisateur. Reportez-vous à Configuration de l'accès à un cluster.

2. Vérifiez que le fichier kubeconfig contient le contexte Kubernetes du cluster auquel vous voulez accéder en saisissant la commande suivante :

   kubectl config get-contexts

3. Installez Headlamp Desktop en suivant les instructions de votre système d'exploitation dans la documentation sur Headlamp Desktop.

   Par exemple, sur macOS, vous pouvez installer Headlamp Desktop à l'aide de Homebrew en saisissant :

   brew install --cask headlamp

4. Démarrez le bureau des projecteurs.
5. Sélectionnez le cluster ou le contexte Kubernetes auquel vous voulez accéder.
6. Terminez l'authentification si vous y êtes invité.

Le projecteur affiche les ressources Kubernetes auxquelles l'identité du fichier kubeconfig est autorisée à accéder. Les opérations disponibles dans Headlamp dépendent des droits d'accès RBAC Kubernetes accordés à cette identité.

Etant donné que Headlamp Desktop est exécuté sur votre poste de travail, il ne consomme pas de ressources de noeud de processus actif et n'est pas lui-même soumis à des restrictions de charge de travail de noeud virtuel.

Déployez Headlamp dans un cluster lorsque vous souhaitez fournir une interface basée sur un navigateur partagé.

Avant d'installer Headlamp, assurez-vous que :

• Vous avez configuré l'accès au cluster. Vous pouvez vérifier l'accès en entrant kubectl get nodes. Reportez-vous à Configuration de l'accès à un cluster.
• Helm est installé et disponible dans votre environnement. Vous pouvez vérifier l'installation en saisissant helm version.
• Votre identité Kubernetes dispose de droits d'accès suffisants pour créer les ressources dans le graphique Helm Headlamp.

Pour installer Headlamp à l'aide de Helm :

1. Ajoutez le référentiel Headlamp Helm en saisissant :

   helm repo add headlamp https://kubernetes-sigs.github.io/headlamp/

   helm repo update

2. Créez un espace de noms pour Headlamp en saisissant la commande suivante :

   kubectl create namespace headlamp

3. Installez le projecteur en saisissant :

   helm install headlamp headlamp/headlamp --namespace headlamp

4. Vérifiez l'installation:

   kubectl get deployment,pods,service -n headlamp

   Attendez que le pod de phare soit en cours d'exécution et prêt.

Headlamp utilise l'authentification Kubernetes et le contrôle d'accès basé sur les rôles pour déterminer les ressources de cluster auxquelles les utilisateurs peuvent accéder.

Pour vous authentifier au déploiement de projecteur installé à l'aide du graphique Helm :

1. Vérifiez le compte de service Headlamp en saisissant :

   kubectl get serviceaccount headlamp -n headlamp

2. Vérifiez ClusterRoleBinding en saisissant ce qui suit :

   kubectl get clusterrolebinding headlamp-admin -o yaml

   Important
   
   

   Par défaut, le graphique Helm Headlamp crée une liaison ClusterRoleBinding headlamp-admin qui accorde le rôle cluster-admin au compte de service headlamp. Le rôle cluster-admin fournit un accès illimité au cluster. Pour une utilisation en production, accordez uniquement les droits d'accès requis pour votre environnement.

3. Créez un jeton temporaire pour le compte de service Headlamp en saisissant :

   kubectl create token headlamp -n headlamp

4. Copiez le jeton à partir de la sortie de commande. Vous entrez ce jeton lorsque vous accédez à Headlamp.

Pour les déploiements partagés, envisagez de configurer l'authentification OpenID Connect (OIDC) au lieu de distribuer des jetons de compte de service. Reportez-vous à la documentation sur le projecteur dans le cluster.

Pour l'accès administratif local, vous pouvez utiliser kubectl port-forward pour accéder au service Headlamp.

1. Transférez le port local 8080 vers le service de phare en entrant :

   kubectl port-forward -n headlamp service/headlamp 8080:80

2. Ouvrez un navigateur et accédez à:

   http://localhost:8080

3. Lorsque vous y êtes invité, entrez le jeton d'authentification que vous avez créé précédemment.

Pour l'accès de production partagé, configurez l'entrée, TLS et un mécanisme d'authentification approprié plutôt que de compter sur le transfert de port. Reportez-vous à la documentation sur le projecteur dans le cluster.

Vous pouvez utiliser Headlamp avec des clusters qui contiennent des pools de noeuds virtuels.

• Headlamp Desktop s'exécute en dehors du cluster et n'est pas lui-même soumis à des restrictions de charge de travail de noeud virtuel. Les charges de travail que vous inspectez ou gérez restent soumises aux capacités et aux limites du type de noeud sur lequel elles s'exécutent.
• Un déploiement de projecteur intégré au cluster s'exécute en tant que pods Kubernetes. Si les pods Headlamp sont programmés sur des noeuds virtuels, ils sont soumis aux mêmes contraintes de fonctionnalité, de réseau, de stockage et de ressource Kubernetes que les autres charges globales exécutées sur des noeuds virtuels.

En particulier, kubectl port-forward n'est pas pris en charge pour les pods sur les noeuds virtuels. Reportez-vous à Comparaison de noeuds virtuels avec des noeuds gérés et à Ressources allouées aux pods provisionnés par des noeuds virtuels.

Après la connexion au cluster à l'aide du projecteur :

1. Sélectionnez le groupe.
2. Sélectionner un espace de noms.
3. Ouvrez Charges de travail.
4. Sélectionnez Déploiements ou Pods.
5. Sélectionnez une ressource pour afficher ses détails, événements, journaux et ressources associées.

Les ressources et les opérations affichées dépendent des droits d'accès RBAC Kubernetes accordés à l'identité utilisée pour accéder au cluster.

Si le serveur de mesures Kubernetes est installé dans le cluster, Headlamp peut également afficher des informations sur l'utilisation des ressources. Pour plus d'informations sur le serveur de mesures Kubernetes, reportez-vous à Déploiement du serveur de mesures Kubernetes sur un cluster.

Pour enlever le déploiement de projecteur créé dans cette rubrique :

1. Désinstallez la version Helm du projecteur en entrant :

   helm uninstall headlamp -n headlamp

2. Supprimez l'espace de noms Headlamp en saisissant ce qui suit :

   kubectl delete namespace headlamp

La suppression du bureau des projecteurs de votre poste de travail ne modifie pas les clusters auxquels vous avez accédé.