3. Kubernetes 环境搭建：Minikube/K3s集群部署、kubectl配置、命名空间与RBAC基础

在微服务API事务边界的测试验证中，Kubernetes集群是承载服务与执行测试的核心基础设施。本章将指导你完成本地开发环境的搭建，涵盖两种主流轻量级集群方案、命令行工具配置以及多租户隔离与权限控制的基础设置。

3.1 集群方案选型：Minikube vs K3s

对于本地开发和CI/CD流水线中的集成测试，Minikube与K3s是最常用的两种选择。下表从关键维度对比两者的差异，帮助你根据资源与场景做出选择。

3.2 Minikube集群部署与验证

以下步骤演示在Linux/macOS环境下部署Minikube集群，并验证集群状态。

3.2.1 安装Minikube与驱动

# 下载Minikube二进制（Linux amd64）
curl -LO https://storage.googleapis.com/minikube/releases/latest/minikube-linux-amd64
sudo install minikube-linux-amd64 /usr/local/bin/minikube

# 检查安装
minikube version

# 使用Docker驱动启动集群（推荐）
minikube start --driver=docker --cpus=2 --memory=4096 --kubernetes-version=v1.28.3

3.2.2 验证集群与节点

# 查看集群状态
minikube status

# 获取集群节点信息
kubectl get nodes -o wide

# 查看所有系统组件Pod状态
kubectl get pods -n kube-system

3.3 K3s集群部署与验证

K3s的部署更为简洁，一条命令即可完成单节点集群的搭建。

3.3.1 安装K3s

# 官方安装脚本（默认使用containerd）
curl -sfL https://get.k3s.io | sh -

# 检查服务状态
sudo systemctl status k3s

# 查看集群节点
sudo k3s kubectl get nodes

3.3.2 配置kubectl访问K3s

# K3s的kubeconfig文件位于 /etc/rancher/k3s/k3s.yaml
# 复制到用户目录并设置权限
mkdir -p ~/.kube
sudo cp /etc/rancher/k3s/k3s.yaml ~/.kube/config
sudo chown $USER:$USER ~/.kube/config

# 验证集群信息
kubectl cluster-info

3.4 kubectl配置与管理

kubectl是与Kubernetes API交互的命令行工具，正确的配置是后续所有操作的前提。

3.4.1 kubeconfig文件结构

kubeconfig文件（默认路径 ~/.kube/config）包含三个核心部分：

• clusters：集群API Server地址与CA证书
• users：客户端证书/Token等认证信息
• contexts：将集群、用户、命名空间组合为一个使用环境

# 查看当前使用的上下文
kubectl config current-context

# 查看所有上下文
kubectl config get-contexts

# 切换上下文（例如切换到K3s集群）
kubectl config use-context default

3.4.2 多集群管理

在同时使用Minikube和K3s时，通过上下文快速切换：

# 合并多个kubeconfig文件
export KUBECONFIG=~/.kube/config:~/.kube/k3s.yaml
kubectl config view --flatten > ~/.kube/config-new
mv ~/.kube/config-new ~/.kube/config

# 切换至Minikube上下文
kubectl config use-context minikube

# 切换至K3s上下文
kubectl config use-context default

3.5 命名空间与RBAC基础

在微服务架构中，命名空间用于实现逻辑隔离，RBAC则控制不同用户或服务账户对资源的访问权限。这两者是API事务边界测试中模拟多租户场景的基础。

3.5.1 命名空间操作

# 创建命名空间
kubectl create namespace transaction-test

# 列出所有命名空间
kubectl get namespaces

# 在指定命名空间下部署资源
kubectl run nginx --image=nginx -n transaction-test

# 查看命名空间下的资源
kubectl get pods -n transaction-test

3.5.2 RBAC核心概念

RBAC（基于角色的访问控制）通过四个资源对象实现权限管理：

3.5.3 实战：为测试服务创建受限账户

以下示例为API事务边界测试创建一个专用服务账户，仅允许在 transaction-test 命名空间内操作Deployment和Pod。

# 1. 创建命名空间
kubectl create namespace transaction-test

# 2. 创建服务账户
kubectl create serviceaccount test-sa -n transaction-test

# 3. 创建Role（仅允许操作Deployment和Pod）
cat <<EOF | kubectl apply -f -
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: transaction-test
  name: test-role
rules:
- apiGroups: ["apps"]
  resources: ["deployments"]
  verbs: ["get", "list", "watch", "create", "update", "patch"]
- apiGroups: [""]
  resources: ["pods", "pods/log"]
  verbs: ["get", "list", "watch", "create", "delete"]
EOF

# 4. 绑定Role到服务账户
kubectl create rolebinding test-binding \
  --role=test-role \
  --serviceaccount=transaction-test:test-sa \
  -n transaction-test

# 5. 验证权限（使用服务账户的Token）
kubectl get pods -n transaction-test \
  --token=$(kubectl create token test-sa -n transaction-test)

3.6 集群环境拓扑总览

下图展示了本章搭建的Kubernetes环境整体架构，包含集群、kubectl配置、命名空间隔离与RBAC权限控制的关系。

3.7 环境健康检查清单

完成集群部署后，建议按以下清单逐项验证，确保环境满足API事务边界测试的要求。