使用 CLI 安裝 Headlamp 附加元件

1. 將「container-service」外掛程式更新至最新版本。

   ibmcloud update && ibmcloud plugin update container-service
   

2. 針對您的群集。

   ibmcloud ks cluster config --cluster CLUSTER_NAME_OR_ID
   

3. 啟用「headlamp」附加元件。

   ibmcloud ks cluster addon enable headlamp --cluster CLUSTER_NAME_OR_ID
   

4. 確認 Headlamp 附加元件的狀態為 Addon Ready。

   ibmcloud ks cluster addon ls --cluster CLUSTER_NAME_OR_ID
   

   輸出範例：

   NAME       Version   Health State   Health Status
   headlamp   0.1.0     normal         Addon Ready
   

5. 請確認頭燈模組是否正常運作。

   kubectl get pods -n ibm-system -l app.kubernetes.io/name=addon-headlamp
   

使用 CLI 停用 Headlamp 附加元件

1. 停用 Headlamp 附加元件。

   ibmcloud ks cluster addon disable headlamp --cluster <cluster_name_or_ID>
   

2. 請確認該附加元件已移除。

   ibmcloud ks cluster addon ls --cluster <cluster_name_or_ID>
   

開始之前

• 啟用受管理的 Istio add-on。
• 將 kubectl 設定為以該叢集為目標。

1. 開啟 headlamp-values ConfigMap 進行編輯，以停用 Headlamp 附加元件所建立的預設 Ingress 資源。

   kubectl edit cm -n ibm-system headlamp-values
   

   請在 data 區段中加入以下內容，以防止此附加元件建立預設的 NGINX 及 Traefik Ingress 資源。

   data:
     values.yaml: |-
       createDefaultPublicIngressNginx: false
       createDefaultPrivateIngressNginx: false
       createDefaultPublicIngressTraefik: false
       createDefaultPrivateIngressTraefik: false
   

2. 請等待最多 5 分鐘，讓更新後的數值傳播至叢集。

3. 請確認已移除預設的 Ingress 資源。

   kubectl get ingress -n ibm-system
   

4. 取得 istio-ingressgateway 負載平衡器的 IP 位址（傳統叢集）或主機名稱（VPC 叢集）。

   • 標準叢集：

       kubectl get service istio-ingressgateway -n istio-system -o jsonpath='{.status.loadBalancer.ingress[0].ip}'
       ```
   * VPC 叢集：
   ```sh {: pre}
       kubectl get service istio-ingressgateway -n istio-system -o jsonpath='{.status.loadBalancer.ingress[0].hostname}'
       ```
   若該指令傳回空值，表示負載平衡器尚未完成配置。 請確認該服務是否具有外部 IP，並檢查服務事件中是否存在錯誤，例如負載平衡器的配額限制。
   {: note}
   
   ```sh {: pre}
   kubectl describe service istio-ingressgateway -n istio-system
   

5. 透過建立由 IBM 提供的子網域，來註冊負載平衡器的 IP 位址（傳統模式）或主機名稱（VPC）。 請為 TLS 機密指定 istio-system 命名空間，以便 TLS 憑證可供 istio-ingressgateway`` 使用。

   • 標準叢集：

       ibmcloud ks nlb-dns create classic --cluster <cluster_name_or_ID> --ip <istio_ingressgateway_IP> --secret-namespace istio-system
       ```
   * VPC 叢集：
   ```sh {: pre}
       ibmcloud ks nlb-dns create vpc-gen2 --cluster <cluster_name_or_ID> --lb-host <istio_ingressgateway_hostname> --secret-namespace istio-system
       ```
   

6. 請確認子網域已建立，並記錄下該子網域以及 SSL 憑證的機密名稱。

   ibmcloud ks nlb-dns ls --cluster <cluster_name_or_ID>
   

   標準叢集的輸出範例：

   Subdomain                                                                               IP(s)              SSL Cert Status   SSL Cert Secret Name                            Secret Namespace
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["168.1.1.1"]      created           mycluster-a1b2cdef345678g9hi012j3kl4567890-0001 istio-system
   

   VPC 叢集的輸出範例：

   Subdomain                                                                               Target(s)                                     SSL Cert Status   SSL Cert Secret Name                            Secret Namespace
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     1234abcd-us-south.lb.appdomain.cloud          created           mycluster-a1b2cdef345678g9hi012j3kl4567890-0001 istio-system
   

   如果叢集中有多個 NLB-DNS 項目，請透過將「Target(s)」或「IP(s)」欄位與「istio-ingressgateway」負載平衡器位址進行比對，並確認「Secret Namespace」欄位顯示為「istio-system」，來辨識您在上一步驟中建立的子網域。

7. 建立一個名為 headlamp-istio.yaml 的檔案，用以定義Headlamp的 Gateway 與 VirtualService。 請將 <subdomain> 替換為上一步驟中的子網域，並將 <ssl_cert_secret_name> 替換為 SSL 的憑證機密名稱。

   TLS 的憑證機密是建立在 istio-system 命名空間中的。 istio-ingressgateway 會從該命名空間中讀取 credentialName 欄位中所指定的密鑰。 請勿將憑證值複製到「Gateway」資源中。

   apiVersion: networking.istio.io/v1
   kind: Gateway
   metadata:
     name: headlamp-gateway
     namespace: ibm-system
   spec:
     selector:
       istio: ingressgateway
     servers:
     - port:
         number: 443
         name: https
         protocol: HTTPS
       tls:
         mode: SIMPLE
         credentialName: <ssl_cert_secret_name>
       hosts:
       - <subdomain>
   ---
   apiVersion: networking.istio.io/v1
   kind: VirtualService
   metadata:
     name: headlamp
     namespace: ibm-system
   spec:
     hosts:
     - <subdomain>
     gateways:
     - headlamp-gateway
     http:
     - route:
       - destination:
           host: headlamp.ibm-system.svc.cluster.local
           port:
             number: 80
   

8. 請運用「Gateway」及「VirtualService」這兩項資源。

   kubectl apply -f headlamp-istio.yaml
   

9. 請使用您在第 6 步驟中記錄的子網域，在網頁瀏覽器中開啟 Headlamp 儀表板。

   https://<subdomain>
   

   若要從命令列驗證連線狀態，請執行以下指令。 請使用 -k 選項，僅在測試期間跳過憑證驗證 — 請勿在生產環境中使用 -k 。

   curl -k -s -o /dev/null -w "%{http_code}\n" https://<subdomain>
   

無法存取頭燈儀表板

如果無法存取 Headlamp 面板，請確認下列事項：

1. 檢查附加元件是否已安裝且健康。

   ibmcloud ks cluster addon ls --cluster <cluster_name_or_ID>
   

2. 請確認頭燈模組是否正常運作。

   kubectl get pods -n ibm-system -l app.kubernetes.io/name=addon-headlamp
   

3. 檢查入口資源的設定是否正確。

   kubectl get ingress -n ibm-system
   

4. 對於僅限公開存取的叢集，請確認網路安全規則允許向外建立 HTTPS 連線至公開的 IAM 端點。 如有需要，請參閱《 透過公共端點為 Headlamp 附加元件啟用 OIDC 》，以更新 OIDC 設定。

驗證失敗

如果存取 Headlamp 面板時驗證失敗：

1. 確認您擁有存取群集所需的 IAM 權限。

2. 檢查您的瀏覽器是否可以存取 https://iam.cloud.ibm.com。

3. 清除瀏覽器 cookie 並重試。

4. 驗證 OIDC 用戶端 ID 秘密是否存在於群集中。

   kubectl get secret clientid-secrets -n ibm-system
   

Pods 未執行

如果頭燈吊艙未啟動：

1. 檢查 pod 狀態和事件。

   kubectl describe pods -n ibm-system -l app.kubernetes.io/name=addon-headlamp
   

2. 請檢查 Pod 日誌是否有錯誤。

   kubectl logs -n ibm-system -l app.kubernetes.io/name=addon-headlamp