• 禁用代理服务器
  • 指定 Ingress
  • 安装命令行选项
• 启用 TLS 通信
• 通过 gitlab.kas.privateApi 属性启用 TLS 通信（已废弃）
• 测试 kas chart

使用 GitLab kas chart

kas 子 chart 提供了 GitLab 代理服务器 (KAS) 的可配置部署。 代理服务器是您与 GitLab 一起安装的组件，管理 Kubernetes 的 GitLab 代理。

此 chart 依赖于对 GitLab API 和 Gitaly 服务器的访问。 当您启用此 chart 时，将部署一个 Ingress。

为了消耗最少的资源，kas 容器使用 distroless 镜像。 部署的服务由 Ingress 公开，该 Ingress 使用 WebSocket 代理 进行通信。 此代理允许与外部组件 agentk 的长期连接。agentk 是 Kubernetes 集群端代理对应物。

访问服务的路径取决于您的 Ingress 配置。

禁用代理服务器

极狐GitLab 代理服务器 (kas) 默认启用。 要在极狐GitLab 实例上禁用它，请将 Helm 属性 global.kas.enabled 设置为 false。

例如：

helm upgrade --install kas --set global.kas.enabled=false

指定 Ingress

当您将 chart 的 Ingress 与默认配置一起使用时，代理服务器的服务可在子域名上访问。 例如，对于 global.hosts.domain: example.com，代理服务器可在 kas.example.com 访问。

KAS Ingress 可以使用与 global.hosts.domain 不同的域名。

设置 global.hosts.kas.name，例如：

global.hosts.kas.name: kas.my-other-domain.com

此示例仅使用 kas.my-other-domain.com 作为 KAS Ingress 的 host。 其余服务（包括 GitLab、Registry、MinIO 等）使用 global.hosts.domain 中指定的域名。

安装命令行选项

下表包含可以使用 --set 标志提供给 helm install 命令的所有可能的 chart 配置。

启用 TLS 通信

• gitlab.kas.privateApi.tls.enabled 和 gitlab.kas.privateApi.tls.secretName 属性在 15.8 版本中已弃用，并将在 17.0 版本中删除。改为通过全局 KAS 属性启用 TLS。

在您的 kas Pod 和其他 chart 组件之间启用 TLS 通信，through the global KAS attribute.

通过 gitlab.kas.privateApi 属性启用 TLS 通信（已废弃）

先决条件：

• 使用 15.5.1 或更高版本。您可以使用 global.gitlabVersion: <version> 设置您的极狐GitLab 版本。如果您需要在初始部署后强制更新镜像，还可以设置 global.image.pullPolicy: Always。

1. 创建您的 kas pod 将信任的证书颁发机构和证书。
2. 配置您的 chart，使用受信任的证书。
3. 可选。配置用于 TLS 的 Redis。

要配置 kas 使用您创建的证书，请设置以下值。

例如，您可以使用此 values.yaml 文件来部署您的 chart：

   .internal-ca: &internal-ca gitlab-internal-tls-ca # The secret name you used to share your TLS CA.
   .internal-tls: &internal-tls gitlab-internal-tls # The secret name you used to share your TLS certificate.

   global:
     certificates:
       customCAs:
       - secret: *internal-ca
     hosts:
       domain: gitlab.example.com # Your gitlab domain
     appConfig:
       gitlab_kas:
         internalUrl: "grpcs://RELEASE-kas.NAMESPACE.svc:8153" # Replace RELEASE and NAMESPACE with your chart's release and namespace

   gitlab:
     kas:
       privateApi:
         tls:
           enabled: true
           secretName: *internal-tls
       customConfig:
         api:
           listen:
             certificate_file: /etc/kas/tls.crt
             key_file: /etc/kas/tls.key
         agent:
           listen:
             certificate_file: /etc/kas/tls.crt
             key_file: /etc/kas/tls.key
           kubernetes_api:
             listen:
               certificate_file: /etc/kas/tls.crt
               key_file: /etc/kas/tls.key
       ingress:
         annotations:
           nginx.ingress.kubernetes.io/backend-protocol: https
           nginx.ingress.kubernetes.io/proxy-ssl-name: RELEASE-kas.NAMESPACE.svc # Replace RELEASE and NAMESPACE with your chart's release and namespace
           nginx.ingress.kubernetes.io/proxy-ssl-secret: NAMESPACE/CA-SECRET-NAME # Replace NAMESPACE and CA-SECRET-NAME with your chart's namespace and CA secret name. The same you used for &internal-ca.
           nginx.ingress.kubernetes.io/proxy-ssl-verify: on

测试 kas chart

要安装此 chart：

1. 创建 Kubernetes 集群。
2. 检出合并请求的工作分支。

3. 从本地 chart 分支安装（或升级）极狐GitLab，默认情况下启用 kas：

   helm upgrade --force --install gitlab . \
     --timeout 600s \
     --set global.hosts.domain=your.domain.com \
     --set global.hosts.externalIP=XYZ.XYZ.XYZ.XYZ \
     --set certmanager-issuer.email=your@email.com
   

4. 使用 GDK 运行进程以配置和使用 GitLab Kubernetes 代理：（您也可以按照步骤手动配置和使用代理。）

   1. 从您的 GDK GitLab 仓库，移动到 QA 文件夹：cd qa。

   2. 执行以下命令，进行 QA 测试。

      GITLAB_USERNAME=$ROOT_USER
      GITLAB_PASSWORD=$ROOT_PASSWORD
      GITLAB_ADMIN_USERNAME=$ROOT_USER
      GITLAB_ADMIN_PASSWORD=$ROOT_PASSWORD
      bundle exec bin/qa Test::Instance::All https://your.gitlab.domain/ -- --tag orchestrated --tag quarantine qa/specs/features/ee/api/7_configure/kubernetes/kubernetes_agent_spec.rb
      

      您还可以自定义 agentk 版本以使用环境变量进行安装：GITLAB_AGENTK_VERSION=v13.7.1。