4. 集群注册与纳管：集群身份认证、kubeconfig管理、集群健康检查、集群标签与分类

在多集群拓扑中，将目标集群纳入管理面（控制面）的管控范围是资源模型迁移的第一步。集群注册与纳管的核心在于建立安全的身份信任链路、统一管理访问凭证、持续验证集群可用性，并通过标签体系实现集群的语义化分类。本章将围绕这四个关键环节展开，提供可落地的操作指南与架构设计。

4.1 集群身份认证：建立双向信任

集群注册的本质是管理面与目标集群之间的双向身份确认。管理面需要验证目标集群的 API Server 身份，防止中间人攻击；目标集群需要验证管理面请求的合法性，防止未授权操作。

常见的身份认证模式对比：

4.2 kubeconfig 管理：统一凭证生命周期

每个 Kubernetes 集群通过 kubeconfig 文件暴露访问入口。在多集群场景下，kubeconfig 的数量可能从几个增长到数百个，管理难度呈指数级上升。有效的 kubeconfig 管理需要解决凭证存储、合并、轮换与分发四个问题。

4.2.1 凭证存储与合并

推荐使用 KUBECONFIG 环境变量或专用的凭证管理工具（如 kubelogin、vault）来合并多个 kubeconfig。以下是一个典型的合并操作示例：

# 将多个 kubeconfig 合并为一个文件
export KUBECONFIG=/path/to/cluster1.yaml:/path/to/cluster2.yaml
kubectl config view --flatten > ~/.kube/config

# 查看当前上下文列表
kubectl config get-contexts

# 切换上下文
kubectl config use-context cluster1-admin

4.2.2 凭证轮换策略

证书或 过期是集群纳管中最常见的故障原因之一。建议建立自动化的凭证轮换机制：

• 证书轮换： 使用 cert-manager 或集群内置的证书轮换控制器，设置证书有效期不超过 90 天。
• 轮换： 对于 ServiceAccount ，启用 BoundServiceAccountTokenVolume 特性，使 自动绑定 Pod 生命周期并定期刷新。
• 监控告警： 在管理面中集成凭证过期检查，提前 7 天发出告警。

4.3 集群健康检查：持续验证可用性

集群注册完成后，管理面需要建立持续的健康检查机制，以感知目标集群的运行状态。健康检查应覆盖控制面、节点、核心组件三个层面。

4.3.1 健康检查指标

4.3.2 健康检查流程

下图展示了管理面对目标集群的周期性健康检查流程：

4.4 集群标签与分类：构建语义化拓扑

当纳管的集群数量超过 10 个时，仅靠集群名称已无法有效管理。通过标签（Label）和分类（Category）机制，可以为集群赋予业务属性、环境属性、地域属性等语义信息，从而实现策略的自动化匹配与资源调度。

4.4.1 标签设计原则

• 标准化前缀： 使用 topology.kubernetes.io/、cluster.owner/ 等命名空间前缀，避免与 Kubernetes 内置标签冲突。
• 有限枚举值： 每个标签的取值应控制在 5-10 个以内，避免标签值爆炸导致策略难以维护。
• 分层设计： 将标签分为基础设施层（地域、可用区、网络类型）和业务层（环境、项目、团队）。

4.4.2 典型标签体系

4.4.3 基于标签的策略示例

以下是一个基于标签的调度策略伪代码，展示如何根据集群标签选择目标集群：

# 伪代码：根据标签选择集群
def select_cluster(workload):
    # 要求：生产环境、北京区域、私有网络
    candidates = list_clusters(
        labels={
            "cluster.env": "prod",
            "topology.kubernetes.io/region": "cn-beijing",
            "cluster.network": "vpc-private"
        }
    )
    if len(candidates) == 0:
        raise NoSuitableCluster("未找到满足标签条件的集群")
    # 按健康评分排序，选择最优集群
    return sort_by_health_score(candidates)[0]

4.5 本章小结