• 要求
• 设计选择
• 配置
• 安装命令行选项
• Chart 配置示例
  • extraEnv
  • extraEnvFrom
  • image.pullSecrets
  • livenessProbe/readinessProbe
  • tolerations
  • annotations
• 外部服务
  • Workhorse
• Chart 设置
  • hostKeys.secret
  • authToken
  • LoadBalancer Service
  • 配置 networkpolicy
  • 网络策略示例

使用 GitLab Shell chart

gitlab-shell 子 chart 提供了一个配置用于 Git SSH 访问极狐GitLab 的 SSH 服务器。

要求

此 chart 依赖于对 Workhorse 服务的访问，可以作为完成 GitLab chart 的一部分，或者作为从此 chart 部署到 Kubernetes 集群访问的外部服务。

设计选择

为了轻松支持 SSH 副本，并避免使用共享存储来存储 SSH 授权密钥，我们使用 SSH AuthorizedKeysCommand 针对 GitLab 授权密钥端点进行身份验证。 因此，我们不会保留或更新这些 pod 中的 AuthorizedKeys 文件。

配置

gitlab-shell chart 配置为两部分：外部服务和 chart设置。通过 Ingress 暴露的端口配置global.shell.port，默认为 22。Service 的外部端口也由global.shell.port 控制。

安装命令行选项

Chart 配置示例

extraEnv

extraEnv 允许您在 Pod 的所有容器中暴露额外的环境变量。

extraEnv 示例如下：

extraEnv:
  SOME_KEY: some_value
  SOME_OTHER_KEY: some_other_value

当容器启动时，您可以确认环境变量是否暴露：

env | grep SOME
SOME_KEY=some_value
SOME_OTHER_KEY=some_other_value

extraEnvFrom

extraEnvFrom 允许您从 pod 中的所有容器中的其它数据源，暴露其它环境变量。

下面是一个使用 extraEnvFrom 的示例：

extraEnvFrom:
  MY_NODE_NAME:
    fieldRef:
      fieldPath: spec.nodeName
  MY_CPU_REQUEST:
    resourceFieldRef:
      containerName: test-container
      resource: requests.cpu
  SECRET_THING:
    secretKeyRef:
      name: special-secret
      key: special_token
      # optional: boolean
  CONFIG_STRING:
    configMapKeyRef:
      name: useful-config
      key: some-string
      # optional: boolean

image.pullSecrets

pullSecrets 允许您对私有仓库进行身份验证，以拉取 pod 的镜像。

有关私有仓库及其身份验证方法的其它详细信息，请参见 Kubernetes 文档。

下面是一个使用 pullSecrets 的例子：

image:
  repository: my.shell.repository
  tag: latest
  pullPolicy: Always
  pullSecrets:
  - name: my-secret-name
  - name: my-secondary-secret-name

livenessProbe/readinessProbe

deployment.livenessProbe 和 deployment.readinessProbe 提供了一种机制来帮助控制某些场景下 Pod 的终止。

较大的仓库受益于调整 liveness 和 readiness 时间，以匹配其典型的长时间运行的连接。readiness 探测持续时间比 liveness 探测持续时间短，以最大限度地减少 clone 和 push 操作期间的潜在中断。增加terminationGracePeriodSeconds，并在调度程序终止 pod 之前为这些操作提供更多时间。考虑将以下示例作为调整 GitLab Shell pod 的起点，以提高更大的仓库的工作负载稳定性和效率。

deployment:
  livenessProbe:
    initialDelaySeconds: 10
    periodSeconds: 20
    timeoutSeconds: 3
    successThreshold: 1
    failureThreshold: 10
  readinessProbe:
    initialDelaySeconds: 10
    periodSeconds: 5
    timeoutSeconds: 2
    successThreshold: 1
    failureThreshold: 3
  terminationGracePeriodSeconds: 300

有关此配置的其它详细信息，请参考官方 Kubernetes 文档。

tolerations

tolerations 允许您调度 Pod 到受污染的工作节点上。

下面是一个使用 tolerations 的例子：

tolerations:
- key: "node_label"
  operator: "Equal"
  value: "true"
  effect: "NoSchedule"
- key: "node_label"
  operator: "Equal"
  value: "true"
  effect: "NoExecute"

annotations

annotations 允许您向 registry pod 添加 annotation。

下面是 annotations 的一个使用示例：

annotations:
  kubernetes.io/example-annotation: annotation-value

外部服务

Workhorse service 附在此 chart 中。

Workhorse

workhorse:
  host: workhorse.example.com
  serviceName: webservice
  port: 8181

Chart 设置

以下值用于配置 GitLab Shell Pod。

hostKeys.secret

用于获取 SSH 主机密钥的 Kubernetes secret 的名称。 Secret 中的 keys 必须以密钥名称 ssh_host_ 开头，以便 GitLab Shell 使用。

authToken

GitLab Shell 使用身份验证令牌与 Workhorse 进行通信。 GitLab Shell 和 Workhorse 使用共享 Secret 从而共享令牌。

authToken:
 secret: gitlab-shell-secret
 key: secret

LoadBalancer Service

如果service.type 设置为LoadBalancer，您可以选择指定 service.loadBalancerIP，以创建具有用户指定 IP 的LoadBalancer（如果您的云提供商支持）。

您还可以选择指定 service.loadBalancerSourceRanges 列表，来限制可以访问 LoadBalancer 的 CIDR 范围（如果您的云提供商支持）。

有关 LoadBalancer Service 类型的其它信息可以查看 Kubernetes 文档

service:
  type: LoadBalancer
  loadBalancerIP: 1.2.3.4
  loadBalancerSourceRanges:
  - 5.6.7.8/32
  - 10.0.0.0/8

配置 networkpolicy

此部分控制 NetworkPolicy。此配置是可选的，用于将 Pod 的 Egress 和 Ingress 限制为特定端点。

网络策略示例

gitlab-shell 服务需要端口 22 的 Ingress 连接和到各种默认 workhorse 端口 8181 的 Egress 连接。此示例添加以下网络策略：

• 允许来自 TCP 0.0.0.0/0 端口 2222 上的网络的所有 Ingress 请求
• DNS 允许在 UDP 10.0.0.0/8 端口 53 上对网络的所有 Egress 请求
• Workhorse 允许在 TCP 10.0.0.0/8 端口 8181 上对网络的所有 Egress 请求
• Gitaly 允许在 TCP 10.0.0.0/8 端口 8075 上对网络的所有 Egress 请求

请注意，提供的示例仅为示例，可能并不完整

networkpolicy:
  enabled: true
  ingress:
    enabled: true
    rules:
      - from:
        - ipBlock:
            cidr: 0.0.0.0/0
        ports:
          - port: 2222
            protocol: TCP
  egress:
    enabled: true
    rules:
      - to:
        - ipBlock:
            cidr: 10.0.0.0/8
        ports:
          - port: 8181
            protocol: TCP
          - port: 8075
            protocol: TCP
          - port: 53
            protocol: UDP