裝nginx和PHP環(huán)境

root@cby:~# apt install nginx php7.4 php7.4-mysql php7.4-fpm

修改nginx配置文件

root@cby:~# vim /etc/nginx/sites-available/default
root@cby:~# cat /etc/nginx/sites-available/default
server {
        listen 80;
        listen [::]:80;
        
        #填寫域名或者IP
        server_name www.oiox.cn; 


        # SSL configuration
        #
        
        #開啟ssl證書監(jiān)聽端口
        listen 443 ssl; 
        listen [::]:443;
        
        #配置證書
        ssl_certificate /var/www/ssl/www.oiox.cn_nginx/www.oiox.cn_bundle.pem; 
        ssl_certificate_key /var/www/ssl/www.oiox.cn_nginx/www.oiox.cn.key;
        ssl_session_timeout  5m;
        ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_prefer_server_ciphers on;


        root /var/www/html;


        # 配置默認(rèn)訪問(wèn)頁(yè)面
        index index.php index.html index.htm index.nginx-debian.html;


        #配置訪問(wèn)路徑
        location / {
                # First attempt to serve request as file, then
                # as directory, then fall back to displaying a 404.
                try_files $uri $uri/=404;
        }
        
        # 配置跳轉(zhuǎn)路由
        if (-f $request_filename/index.html) {
        rewrite (.*) $1/index.html break;
        }
        if (-f $request_filename/index.php) {
        rewrite (.*) $1/index.php;
        }
        if (!-f $request_filename) {
        rewrite (.*) /index.php;
        }


        #配置PHP訪問(wèn)路由
        location ~ \.php$ {
                include snippets/fastcgi-php.conf;


                # With php-fpm (or other unix sockets):
                fastcgi_pass unix:/var/run/php/php7.4-fpm.sock;
                # With php-cgi (or other tcp sockets):
                #fastcgi_pass 127.0.0.1:9000;
                fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;
                include        fastcgi_params;
                fastcgi_intercept_errors  on;
        }
}




# 配置其他的域名訪問(wèn)
server {
        listen 80;
        listen [::]:80;


        server_name aliyun.chenby.cn;


        root /var/www/cby;
        index index.html;


        location / {
                try_files $uri $uri/=404;
        }
}
root@cby:~#

啟動(dòng)服務(wù)并設(shè)置開機(jī)自啟

root@cby:~# nginx -t 
root@cby:~# systemctl restart nginx 




root@cby:~# systemctl  enable php7.4-fpm
Synchronizing state of php7.4-fpm.service with SysV service script with /lib/systemd/systemd-sysv-install.
Executing: /lib/systemd/systemd-sysv-install enable php7.4-fpm
root@cby:~# 
root@cby:~# 
root@cby:~# systemctl  enable nginx
Synchronizing state of nginx.service with SysV service script with /lib/systemd/systemd-sysv-install.
Executing: /lib/systemd/systemd-sysv-install enable nginx
root@cby:~#

安裝docker，并使用docker啟動(dòng)MySQL服務(wù)

root@cby:~# curl -fsSL https://get.docker.com | bash -s docker --mirror Aliyun


root@cby:~# mkdir /mysql 
root@cby:~# cd /mysql
root@cby:/mysql# docker run -p 3306:3306 --name mymysql --restart=always -v $PWD/conf:/etc/mysql/conf.d -v $PWD/logs:/logs -v $PWD/data:/var/lib/mysql -e MYSQL\_ROOT\_PASSWORD=Cby123.. -d mysql:5.7




#登錄MySQL數(shù)據(jù)庫(kù)執(zhí)行創(chuàng)建數(shù)據(jù)庫(kù)
create database typecho;

部署typecho

root@cby:~# cd /var/www/html/
root@cby:/var/www/html# wget https://typecho.org/downloads/1.1-17.10.30-release.tar.gz
root@cby:/var/www/html# tar xvf 1.1-17.10.30-release.tar.gz 
root@cby:/var/www/html# mv build/* .

Linux運(yùn)維交流社區(qū) Linux運(yùn)維交流社區(qū)，互聯(lián)網(wǎng)新聞以及技術(shù)交流。 75篇原創(chuàng)內(nèi)容 -->

公眾號(hào)

https://blog.csdn.net/qq_33921750

https://my.oschina.net/u/3981543

https://www.zhihu.com/people/chen-bu-yun-2

https://segmentfault.com/u/hppyvyv6/articles

https://juejin.cn/user/3315782802482007

https://space.bilibili.com/352476552/article

https://cloud.tencent.com/developer/column/93230

https://www.jianshu.com/u/0f894314ae2c

https://www.toutiao.com/c/user/token/MS4wLjABAAAAeqOrhjsoRZSj7iBJbjLJyMwYT5D0mLOgCoo4pEmpr4A/

知乎、CSDN、開源中國(guó)、思否、掘金、嗶哩嗶哩、騰訊云、簡(jiǎn)書、

、概述

作為接替Docker運(yùn)行時(shí)的Containerd在早在Kubernetes1.7時(shí)就能直接與Kubelet集成使用，只是大部分時(shí)候我們因熟悉Docker，在部署集群時(shí)采用了默認(rèn)的dockershim。在V1.24起的版本的kubelet就徹底移除了dockershim，改為默認(rèn)使用Containerd了，當(dāng)然也可以使用 cri-dockerd 適配器來(lái)將 Docker Engine 與 Kubernetes 集成。可以參考容器運(yùn)行時(shí) | Kubernetes。

二、Containerd 常見命令操作

更換Containerd后，以往我們常用的docker命令也不再使用，取而代之的分別是 crictl 和 ctr 兩個(gè)命令客戶端。

• crictl 是遵循CRI接口規(guī)范的一個(gè)命令行工具，通常用它來(lái)檢查和管理kubelet節(jié)點(diǎn)上的容器運(yùn)行時(shí)和鏡像。
• ctr 是 containerd 的一個(gè)客戶端工具。
• ctr -v 輸出的是 containerd 的版本，crictl -v 輸出的是當(dāng)前 k8s 的版本，從結(jié)果顯而易見你可以認(rèn)為 crictl 是用于 k8s 的。
• 一般來(lái)說(shuō)你某個(gè)主機(jī)安裝了 k8s 后，命令行才會(huì)有 crictl 命令。而 ctr 是跟 k8s 無(wú)關(guān)的，你主機(jī)安裝了 containerd 服務(wù)后就可以操作 ctr 命令。

使用crictl命令之前，需要先配置/etc/crictl.yaml如下：

runtime-endpoint: unix:///run/containerd/containerd.sock
image-endpoint: unix:///run/containerd/containerd.sock
timeout: 10
debug: false

也可以通過(guò)命令進(jìn)行設(shè)置：

crictl config runtime-endpoint unix:///run/containerd/containerd.sock
crictl config image-endpoint unix:///run/containerd/containerd.sock

更多命令操作，可以直接在命令行輸入命令查看幫助。

docker --help
ctr --help
crictl --help

由于Containerd也有namespaces的概念，對(duì)于上層編排系統(tǒng)的支持，ctr 客戶端 主要區(qū)分了3個(gè)命名空間分別是k8s.io、moby和default，以上我們用crictl操作的均在k8s.io命名空間，使用ctr 看鏡像列表就需要加上-n參數(shù)。crictl是只有一個(gè)k8s.io命名空間，但是沒有-n參數(shù)。

【溫馨提示】ctr images pull 拉取的鏡像默認(rèn)放在default，而crictl pull 和 kubelet 默認(rèn)拉取的鏡像都在k8s.io命名空間下。所以通過(guò)ctr導(dǎo)入鏡像的時(shí)候特別注意一點(diǎn)，最好指定命名空間。

# 注意-n不能放在命令最后面，下面幾行查看的鏡像是一樣的
ctr -n=k8s.io image ls
ctr -n k8s.io image ls

# crictl 沒有-n參數(shù)，操作都在`k8s.io`命名空間下。
crictl image ls
crictl images
# crictl image list=ctr -n=k8s.io image list
# crictl image ls=ctr -n=k8s.io image ls
# crictl images=ctr -n=k8s.io image list
# crictl images=ctr -n=k8s.io image ls

# 使用ctr命令指定命名空間導(dǎo)入鏡像
ctr -n=k8s.io image import dashboard.tar

#查看鏡像，可以看到可以查詢到了
crictl images

三、container 客戶端工具 nerdctl

推薦使用nerdctl，使用效果與docker命令的語(yǔ)法一致
github下載鏈接：https://github.com/containerd/nerdctl/releases

• 精簡(jiǎn) (nerdctl--linux-amd64.tar.gz): 只包含nerdctl
• 完整 (nerdctl-full--linux-amd64.tar.gz): 包含 containerd, runc, and CNI等依賴

nerdctl 的目標(biāo)并不是單純地復(fù)制 docker 的功能，它還實(shí)現(xiàn)了很多 docker 不具備的功能，例如延遲拉取鏡像（lazy-pulling）、鏡像加密（imgcrypt）等。具體看nerdctl。

延遲拉取鏡像功能可以參考這篇文章：Containerd 使用 Stargz Snapshotter 延遲拉取鏡像 – 云原生實(shí)驗(yàn)室 - Kubernetes|Docker|Istio|Envoy|Hugo|Golang|云原生

1）安裝 nerdctl（精簡(jiǎn)版）

wget https://github.com/containerd/nerdctl/releases/download/v0.22.2/nerdctl-0.22.2-linux-amd64.tar.gz
# 解壓
tar -xf nerdctl-0.22.2-linux-amd64.tar.gz

ln -s /opt/k8s/nerdctl/nerdctl /usr/local/bin/nerdctl

2）安裝 nerdctl（完整版，這里不裝）

wget https://github.com/containerd/nerdctl/releases/download/v0.22.2/nerdctl-full-0.22.2-linux-amd64.tar.gz
tar -xf nerdctl-full-0.16.0-linux-amd64.tar.gz -C /usr/local/

cp /usr/local/lib/systemd/system/*.service /etc/systemd/system/

啟動(dòng)服務(wù)buildkit

systemctl enable  buildkit containerd --now
systemctl status buildkit containerd

3）安裝 buildkit 支持構(gòu)建鏡像

buildkit GitHub地址： https://github.com/moby/buildkit

使用精簡(jiǎn)版 nerdctl無(wú)法直接通過(guò)containerd構(gòu)建鏡像，需要與buildkit組全使用以實(shí)現(xiàn)鏡像構(gòu)建。當(dāng)然你也可以安裝上面的完整nerdctl；buildkit項(xiàng)目是Docker公司開源出來(lái)的一個(gè)構(gòu)建工具包，支持OCI標(biāo)準(zhǔn)的鏡像構(gòu)建。它主要包含以下部分:

• 服務(wù)端buildkitd，當(dāng)前支持runc和containerd作為worker，默認(rèn)是runc；
• 客戶端buildctl，負(fù)責(zé)解析Dockerfile，并向服務(wù)端buildkitd發(fā)出構(gòu)建請(qǐng)求。

buildkit是典型的C/S架構(gòu)，client和server可以不在一臺(tái)服務(wù)器上。而nerdctl在構(gòu)建鏡像方面也可以作為buildkitd的客戶端。

# https://github.com/moby/buildkit/releases
wget https://github.com/moby/buildkit/releases/download/v0.10.4/buildkit-v0.10.4.linux-amd64.tar.gz

tar -xf buildkit-v0.10.4.linux-amd64.tar.gz  -C /usr/local/

配置buildkit的啟動(dòng)文件，可以從這里下載：https://github.com/moby/buildkit/tree/master/examples/systemd
buildkit需要配置兩個(gè)文件

• /usr/lib/systemd/system/buildkit.socket

cat > /usr/lib/systemd/system/buildkit.socket <<EOF
[Unit]
Description=BuildKit
Documentation=https://github.com/moby/buildkit
[Socket]
ListenStream=%t/buildkit/buildkitd.sock
SocketMode=0660
[Install]
WantedBy=sockets.target
EOF

• /usr/lib/systemd/system/buildkit.service

cat > /usr/lib/systemd/system/buildkit.service << EOF
[Unit]
Description=BuildKit
Requires=buildkit.socket
After=buildkit.socket
Documentation=https://github.com/moby/buildkit
[Service]
# Replace runc builds with containerd builds  
ExecStart=/usr/local/bin/buildkitd --addr fd://
[Install]
WantedBy=multi-user.target
EOF

啟動(dòng)buildkit

systemctl daemon-reload
systemctl enable buildkit --now

四、實(shí)戰(zhàn)操作

1）修改containerd配置文件

可以參考我之前的文章：【云原生.大數(shù)據(jù)】鏡像倉(cāng)庫(kù)Harbor對(duì)接MinIO對(duì)象存儲(chǔ)

containerd config default > /etc/containerd/config.toml

配置如下：

[plugins."io.containerd.grpc.v1.cri".registry]
      config_path=""

      [plugins."io.containerd.grpc.v1.cri".registry.auths]

      [plugins."io.containerd.grpc.v1.cri".registry.configs]
        [plugins."io.containerd.grpc.v1.cri".registry.configs."myharbor-minio.com".tls]
          insecure_skip_verify=true  #跳過(guò)認(rèn)證
          ca_file="/etc/containerd/myharbor-minio.com/ca.crt"
        [plugins."io.containerd.grpc.v1.cri".registry.configs."myharbor-minio.com".auth]
          username="admin"
          password="Harbor12345"

      [plugins."io.containerd.grpc.v1.cri".registry.headers]

      [plugins."io.containerd.grpc.v1.cri".registry.mirrors]
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."myharbor-minio.com"]
          endpoint=["https://myharbor-minio.com"]

重啟containerd

#重新加載配置
systemctl daemon-reload
#重啟containerd
systemctl restart containerd

注意：這個(gè)配置文件是給crictl和kubelet使用，ctr是不可以用這個(gè)配置文件的，ctr 不使用 CRI，因此它不讀取plugins."io.containerd.grpc.v1.cri"配置。

2）ctr 拉取推送鏡像

# 推送鏡像到harbor
ctr --namespace=k8s.io images push myharbor-minio.com/bigdata/minio:2022.8.22-debian-11-r0 --skip-verify --user admin:Harbor12345

# --namespace=k8s.io 指定命名空間，不是必須，根據(jù)環(huán)境而定
# --skip-verify 跳過(guò)認(rèn)證
# --user 指定harbor用戶名及密碼

ctr  images pull --user admin:Harbor12345  --tlscacert=/etc/containerd/myharbor-minio.com/ca.crt myharbor-minio.com/bigdata/minio:2022.8.22-debian-11-r0

不想-u user:password每次必須使用 ctr pull/ctr push， 可以使用nerdctl 。

3）鏡像構(gòu)建

cat > Dockerfile <<EOF
FROM nginx:alpine
RUN echo 'Hello Nerdctl From Containerd' > /usr/share/nginx/html/index.html
EOF

然后在文件所在目錄執(zhí)行鏡像構(gòu)建命令：

# 不加-n指定命名空間，crictl看不到，kubelet也不能使用它，默認(rèn)在default命名空間下
nerdctl -n k8s.io build -t nginx:nerctl -f ./Dockerfile . 
### 參數(shù)解釋
# -t：指定鏡像名稱
# . ：當(dāng)前目錄Dockerfile
# -f：指定Dockerfile路徑
#  --no-cache：不緩存

4）打標(biāo)簽 tag

# crictl沒有tag命令，只能使用nerdctl和ctr，必須指定命名空間，要不然kubelet無(wú)法使用。
ctr -n k8s.io i tag 
nerdctl -n k8s.io tag nginx:nerctl myharbor-minio.com/bigdata/nginx:nerctl
# ctr -n k8s.io tag nginx:nerctl myharbor-minio.com/bigdata/nginx:nerctl
# 查看鏡像
nerdctl  -n k8s.io  images myharbor-minio.com/bigdata/nginx:nerctl

5）將鏡像推送到 Harbor

第一種情況：http方式，配置如下：

# 以下兩個(gè)哪個(gè)都可以
# mkdir -p /etc/docker/certs.d/myharbor-minio.com:443
mkdir -p /etc/containerd/certs.d/myharbor-minio.com:443

cat > /etc/containerd/certs.d/myharbor-minio.com\:443/hosts.toml <<EOF
server="https://docker.io"

[host."http://myharbor-minio.com:80"]
  capabilities=["pull", "resolve","push"]
  #skip_verify=true
  #ca="ca.crt"   #相對(duì)路徑
  #ca="/opt/auth/ca.crt"  #絕對(duì)路徑
  #ca=["/opt/auth/ca.crt"]
  #ca=["ca.crt"]
  #client=[["/opt/auth/nginx.cclinux.cn.crt", "/opt/auth/nginx.cclinux.cn.key"]]

EOF

第一種情況：https方式，配置如下：

# 以下兩個(gè)哪個(gè)都可以
# mkdir -p /etc/docker/certs.d/myharbor-minio.com:443
mkdir -p /etc/containerd/certs.d/myharbor-minio.com:443

cat > /etc/containerd/certs.d/myharbor-minio.com\:443/hosts.toml <<EOF
server="https://docker.io"

[host."https://myharbor-minio.com:443"]
  capabilities=["pull", "resolve","push"]
  skip_verify=true
  #ca="ca.crt"   #相對(duì)路徑
  #ca="/opt/auth/ca.crt"  #絕對(duì)路徑
  #ca=["/opt/auth/ca.crt"]
  ca=["/etc/containerd/myharbor-minio.com/ca.crt"]
  #client=[["/opt/auth/nginx.cclinux.cn.crt", "/opt/auth/nginx.cclinux.cn.key"]]
EOF

通過(guò) nerdctl 登錄 harbor

echo Harbor12345 | nerdctl login --username "admin" --password-stdin  myharbor-minio.com:443

# nerdctl login --username "admin" --password Harbor12345 myharbor-minio.com:443

# 登出
# nerdctl logout

開始將鏡像推送到harbor

### 推送到Harbor
# --insecure-registry        skips verifying HTTPS certs, and allows falling back to plain HTTP
nerdctl --insecure-registry --namespace=k8s.io push myharbor-minio.com/bigdata/nginx:nerctl
# ctr --namespace=k8s.io images push myharbor-minio.com/bigdata/nginx:nerctl --skip-verify --user admin:Harbor12345

# --namespace=k8s.io 指定命名空間，跟-n一樣，不是必須，根據(jù)環(huán)境而定
# --skip-verify 跳過(guò)認(rèn)證
# --user 指定harbor用戶名及密碼

Containerd ctr，crictl，nerdctl 客戶端命令介紹與實(shí)戰(zhàn)操作就到這里了，有疑問(wèn)的小伙伴歡迎給我留言哦，后續(xù)文章更精彩，請(qǐng)耐心等待~