4. etcd 安装与配置：二进制安装、静态配置与动态发现、TLS 安全配置、常用启动参数详解

etcd 作为分布式键值存储系统，其安装与配置的规范性直接决定了集群的稳定性与安全性。本节将围绕二进制安装、集群成员发现机制、TLS 安全通信以及核心启动参数展开，为后续的备份恢复与蓝绿发布验证奠定坚实的运行环境基础。

4.1 二进制安装与目录规划

推荐使用官方预编译二进制进行安装，避免依赖管理带来的版本兼容问题。以下为标准安装步骤：

1. 下载与解压：从 GitHub Releases 获取对应架构的 etcd-v3.5.x-linux-amd64.tar.gz。
2. 部署二进制：将 etcd 和 etcdctl 复制到 /usr/local/bin/。
3. 创建数据与配置目录：/var/lib/etcd（数据）、/etc/etcd/（证书与配置）。
4. 创建系统用户：useradd -r -s /sbin/nologin -M etcd，并赋予目录权限。

# 下载并安装 etcd v3.5.15
wget https://github.com/etcd-io/etcd/releases/download/v3.5.15/etcd-v3.5.15-linux-amd64.tar.gz
tar -xzf etcd-v3.5.15-linux-amd64.tar.gz
sudo cp etcd-v3.5.15-linux-amd64/etcd /usr/local/bin/
sudo cp etcd-v3.5.15-linux-amd64/etcdctl /usr/local/bin/
sudo mkdir -p /var/lib/etcd /etc/etcd
sudo useradd -r -s /sbin/nologin -M etcd
sudo chown -R etcd:etcd /var/lib/etcd /etc/etcd

4.2 集群成员发现：静态配置与动态发现

etcd 集群的初始化有两种主流方式：静态配置适用于已知所有节点 IP 的场景；动态发现适用于 IP 不确定或自动扩缩容的场景。

4.2.1 静态配置

在启动参数中直接指定集群所有成员的 --initial-cluster。适用于小规模、固定节点的生产环境。

# 节点 1 (10.0.0.1)
etcd --name infra0 \
  --initial-advertise-peer-urls https://10.0.0.1:2380 \
  --listen-peer-urls https://10.0.0.1:2380 \
  --listen-client-urls https://10.0.0.1:2379,https://127.0.0.1:2379 \
  --advertise-client-urls https://10.0.0.1:2379 \
  --initial-cluster- etcd-cluster-1 \
  --initial-cluster infra0=https://10.0.0.1:2380,infra1=https://10.0.0.2:2380,infra2=https://10.0.0.3:2380 \
  --initial-cluster-state new \
  --data-dir /var/lib/etcd

4.2.2 动态发现

通过 --discovery 参数指向一个已有的 etcd 集群或 DNS SRV 记录，实现节点自动注册。适用于云原生环境或节点 IP 动态分配的场景。

# 使用已有 etcd 集群作为发现端点
etcd --name infra0 \
  --initial-advertise-peer-urls https://10.0.0.1:2380 \
  --listen-peer-urls https://10.0.0.1:2380 \
  --listen-client-urls https://10.0.0.1:2379,https://127.0.0.1:2379 \
  --advertise-client-urls https://10.0.0.1:2379 \
  --discovery https://discovery.etcd.io/<> \
  --data-dir /var/lib/etcd

4.3 TLS 安全配置

etcd 支持基于 TLS 的加密通信，包括客户端到服务端、服务端到服务端（peer）的双向加密。生产环境必须启用 TLS 以防止中间人攻击和数据泄露。

4.3.1 证书体系

4.3.2 启动参数中的 TLS 配置

# 启用客户端 TLS
--cert-file=/etc/etcd/server.crt \
--key-file=/etc/etcd/server.key \
--client-cert-auth \
--trusted-ca-file=/etc/etcd/ca.crt \

# 启用 Peer TLS
--peer-cert-file=/etc/etcd/peer.crt \
--peer-key-file=/etc/etcd/peer.key \
--peer-client-cert-auth \
--peer-trusted-ca-file=/etc/etcd/ca.crt

4.4 常用启动参数详解

etcd 的启动参数数量较多，以下按功能分类列出核心参数及其作用，便于运维人员快速定位和调优。

4.4.1 成员与集群参数

4.4.2 网络与通信参数

4.4.3 性能与存储参数

4.4.4 日志与调试参数

4.5 验证安装与配置

完成安装和配置后，通过以下命令验证集群状态和 TLS 通信是否正常：

# 检查成员列表
etcdctl --endpoints=https://10.0.0.1:2379 \
  --cacert=/etc/etcd/ca.crt \
  --cert=/etc/etcd/client.crt \
  --key=/etc/etcd/client.key \
  member list

# 检查集群健康状态
etcdctl --endpoints=https://10.0.0.1:2379 \
  --cacert=/etc/etcd/ca.crt \
  --cert=/etc/etcd/client.crt \
  --key=/etc/etcd/client.key \
  endpoint health

# 写入测试键值
etcdctl --endpoints=https://10.0.0.1:2379 \
  --cacert=/etc/etcd/ca.crt \
  --cert=/etc/etcd/client.crt \
  --key=/etc/etcd/client.key \
  put /test/key "Hello etcd"

若所有命令返回正常，说明 etcd 安装、集群发现、TLS 加密通信均已正确配置，可以进入下一阶段的备份与蓝绿发布策略验证。