使用极狐GitLab Shell chart

gitlab-shell 子 chart 为 SSH 访问极狐GitLab 提供了一个 SSH 服务器配置。

要求#

这个 chart 依赖于对 Workhorse 服务的访问，可以是完整极狐GitLab chart 的一部分，也可以是 Kubernetes 集群中可以访问的外部服务。

设计选择#

为了更容易支持 SSH 副本并避免为 SSH 授权密钥使用共享存储，我们使用 SSH AuthorizedKeysCommand 来对极狐GitLab 授权密钥端点进行身份验证。因此，我们不在这些 pod 内持久化或更新 AuthorizedKeys 文件。

配置#

gitlab-shell chart 分为两部分配置：外部服务 和 chart 设置。通过 Ingress 暴露的端口使用 global.shell.port 配置，默认值为 22。服务的外部端口也由 global.shell.port 控制。

安装命令行选项#

Chart 配置示例#

extraEnv#

extraEnv 允许你在 pod 中所有容器中暴露额外的环境变量。

以下是 extraEnv 的示例用法：

yaml
extraEnv:
  SOME_KEY: some_value
  SOME_OTHER_KEY: some_other_value

启动容器时，你可以确认环境变量已暴露：

shell
env | grep SOME
SOME_KEY=some_value
SOME_OTHER_KEY=some_other_value

extraEnvFrom#

extraEnvFrom 允许你从其他数据源在 pod 中所有容器中暴露额外的环境变量。

以下是 extraEnvFrom 的示例用法：

yaml
1extraEnvFrom:
2  MY_NODE_NAME:
3    fieldRef:
4      fieldPath: spec.nodeName
5  MY_CPU_REQUEST:
6    resourceFieldRef:
7      containerName: test-container
8      resource: requests.cpu
9  SECRET_THING:
10    secretKeyRef:
11      name: special-secret
12      key: special_token
13      # optional: boolean
14  CONFIG_STRING:
15    configMapKeyRef:
16      name: useful-config
17      key: some-string
18      # optional: boolean

image.pullSecrets#

pullSecrets 允许你通过身份验证从私有注册表拉取 pod 的镜像。

有关私有注册表及其身份验证方法的更多详细信息，请参阅 Kubernetes 文档。

以下是 pullSecrets 的示例用法：

yaml
1image:
2  repository: my.shell.repository
3  tag: latest
4  pullPolicy: Always
5  pullSecrets:
6  - name: my-secret-name
7  - name: my-secondary-secret-name

serviceAccount#

此部分控制是否应创建 ServiceAccount 以及是否应在 pod 中挂载默认访问令牌。

livenessProbe/readinessProbe#

deployment.livenessProbe 和 deployment.readinessProbe 提供了一种机制来帮助在某些情况下控制 Pod 的终止。

较大的存储库受益于调整活跃性和就绪性探测时间以匹配其典型的长时间连接。将就绪性探测持续时间设置得比活跃性探测持续时间短，以最大程度地减少 clone 和 push 操作期间的潜在中断。增加 terminationGracePeriodSeconds 并在调度器终止 pod 之前为这些操作提供更多时间。考虑以下示例作为调整极狐GitLab Shell pod 的起点，以提高较大存储库工作负载的稳定性和效率。

yaml
1deployment:
2  livenessProbe:
3    initialDelaySeconds: 10
4    periodSeconds: 20
5    timeoutSeconds: 3
6    successThreshold: 1
7    failureThreshold: 10
8  readinessProbe:
9    initialDelaySeconds: 10
10    periodSeconds: 5
11    timeoutSeconds: 2
12    successThreshold: 1
13    failureThreshold: 3
14  terminationGracePeriodSeconds: 300

有关此配置的更多详细信息，请参考官方 Kubernetes 文档。

tolerations#

tolerations 允许你在有污点的工作节点上调度 pod

以下是 tolerations 的示例用法：

yaml
1tolerations:
2- key: "node_label"
3  operator: "Equal"
4  value: "true"
5  effect: "NoSchedule"
6- key: "node_label"
7  operator: "Equal"
8  value: "true"
9  effect: "NoExecute"

affinity#

有关更多信息，请参阅 affinity。

annotations#

annotations 允许你向极狐GitLab Shell pod 添加注释。

以下是 annotations 的示例用法

yaml
annotations:
  kubernetes.io/example-annotation: annotation-value

外部服务#

此 chart 应连接到 Workhorse 服务。

Workhorse#

yaml
workhorse:
  host: workhorse.example.com
  serviceName: webservice
  port: 8181

Chart 设置#

以下值用于配置极狐GitLab Shell Pods。

hostKeys.secret#

从 Kubernetes secret 获取 SSH 主机密钥的名称。密钥中的密钥必须以 ssh_host_ 开头，才能被极狐GitLab Shell 使用。

authToken#

极狐GitLab Shell 在与 Workhorse 通信中使用身份验证令牌。使用共享密钥与极狐GitLab Shell 和 Workhorse 共享令牌。

yaml
authToken:
 secret: gitlab-shell-secret
 key: secret

LoadBalancer 服务#

如果 service.type 设置为 LoadBalancer，你可以选择指定 service.loadBalancerIP 来创建具有用户指定 IP 的 LoadBalancer（如果你的云提供商支持）。

你还可以选择指定 service.loadBalancerSourceRanges 列表，以限制可以访问 LoadBalancer 的 CIDR 范围（如果你的云提供商支持）。

有关 LoadBalancer 服务类型的更多信息，请参阅 Kubernetes 文档

yaml
1service:
2  type: LoadBalancer
3  loadBalancerIP: 1.2.3.4
4  loadBalancerSourceRanges:
5  - 5.6.7.8/32
6  - 10.0.0.0/8

OpenSSH 补充配置#

在使用 OpenSSH 的 sshd（通过 .sshDaemon: openssh）时，可以通过两种方式提供补充配置：.opensshd.supplemental_config 和通过挂载配置片段到 /etc/ssh/sshd_config.d/*.conf。

提供的任何配置 必须 符合 sshd_config 的功能要求。

opensshd.supplemental_config#

.opensshd.supplemental_config 的内容将直接放置在容器内的 sshd_config 文件末尾。此值应为多行字符串。

示例，使用 ssh-rsa 密钥交换算法启用较旧的客户端。请注意，启用已弃用的算法，例如 ssh-rsa，会导致 重大安全漏洞。在公开暴露的极狐GitLab 实例上进行这些更改时，利用的可能性会 显著增加。

yaml
opensshd:
    supplemental_config: |-
      HostKeyAlgorithms +ssh-rsa,ssh-rsa-cert-v01@openssh.com
      PubkeyAcceptedAlgorithms +ssh-rsa,ssh-rsa-cert-v01@openssh.com
      CASignatureAlgorithms +ssh-rsa

sshd_config.d#

你可以通过将内容挂载到 /etc/ssh/sshd_config.d 来为 sshd 提供完整的配置片段，文件匹配 *.conf。请注意，这些文件在应用程序在容器内和 chart 内运行所需的默认配置之后被包含。这些值 不会 覆盖 sshd_config 的内容，而是扩展它们。

示例，通过 extraVolumes 和 extraVolumeMounts 将 ConfigMap 的单个项目挂载到容器中：

yaml
1extraVolumes: |
2  - name: gitlab-sshdconfig-extra
3    configMap:
4      name: gitlab-sshdconfig-extra
5
6extraVolumeMounts: |
7  - name: gitlab-sshdconfig-extra
8    mountPath: /etc/ssh/sshd_config.d/extra.conf
9    subPath: extra.conf

配置 networkpolicy#

此部分控制 网络策略。此配置是可选的，用于将 Pod 的出站和入站限制到特定端点。

网络策略示例#

gitlab-shell 服务需要端口 22 的入站连接和不同端口的出站连接到默认的 workhorse 端口 8181。此示例添加以下网络策略：

• 允许入站请求：

  • 从 nginx-ingress pod 到端口 2222

  • 从 prometheus pod 到端口 9122

    仅在 SSH 守护进程设置为 `gitlab-sshd` 时，才需要从 `prometheus` 到端口 `9122` 的访问

• 允许出站请求：

  • 到 webservice pod 到端口 8181
  • 到 gitaly pod 到端口 8075

请注意，提供的示例仅为示例，可能并不完整

该示例基于以下假设：kube-dns 部署在命名空间 kube-system，prometheus 部署在命名空间 monitoring，nginx-ingress 部署在命名空间 nginx-ingress。

yaml
1networkpolicy:
2  enabled: true
3  ingress:
4    enabled: true
5    rules:
6      - from:
7          - namespaceSelector:
8              matchLabels:
9                kubernetes.io/metadata.name: nginx-ingress
10            podSelector:
11              matchLabels:
12                app: nginx-ingress
13                component: controller
14        ports:
15          - port: 2222
16      - from:
17          - namespaceSelector:
18              matchLabels:
19                kubernetes.io/metadata.name: monitoring
20            podSelector:
21              matchLabels:
22                app: prometheus
23                component: server
24                release: gitlab
25        ports:
26          - port: 9122
27  egress:
28    enabled: true
29    rules:
30      - to:
31          - podSelector:
32              matchLabels:
33                app: gitaly
34        ports:
35          - port: 8075
36      - to:
37          - podSelector:
38              matchLabels:
39                app: webservice
40        ports:
41          - port: 8181
42      - to:
43          - namespaceSelector:
44              matchLabels:
45                kubernetes.io/metadata.name: kube-system
46            podSelector:
47              matchLabels:
48                k8s-app: kube-dns
49        ports:
50          - port: 53
51            protocol: UDP

配置 KEDA#

此 keda 部分启用安装 KEDA ScaledObjects，而不是常规 HorizontalPodAutoscalers。此配置是可选的，可以在需要根据自定义或外部指标进行自动缩放时使用。

如果以下条件为真，则根据 hpa 部分中设置的 CPU 和内存阈值自动添加 CPU 和内存触发器：

• triggers 未设置。
• 相应的 request.cpu.request 或 request.memory.request 设置也设置为非零值。

如果未设置触发器，则不会创建 ScaledObject。