Kubernetes

Kết nối cụm Kubernetes của bạn để Kai có thể phân tích workload, tối ưu tài nguyên và quản lý vận hành cluster. Kubernetes kết nối qua tự động khám phá từ cloud provider (dành cho EKS, GKE và AKS) hoặc service-account token kèm thông tin endpoint cluster cho các cụm tự quản lý.

Điều kiện tiên quyết

Cài đặt Metrics Server trước khi kết nối — thành phần này bắt buộc để lấy metrics tài nguyên pod và node:

kubectl apply -f https://github.com/kubernetes-sigs/metrics-server/releases/latest/download/components.yaml

Thành phần	Mục đích
Metrics Server	Bắt buộc để lấy metrics tài nguyên pod và node
kube-state-metrics	Metrics cluster nâng cao (tùy chọn)
Kết nối mạng	CloudThinker phải tiếp cận được API server của cluster

Nền tảng được hỗ trợ

Nền tảng	Hỗ trợ
Amazon EKS	Tất cả phiên bản
Google GKE	Standard, Autopilot
Azure AKS	Tất cả phiên bản
Tự quản lý	Kubernetes 1.24+
Rancher	RKE, RKE2
OpenShift	4.x

Thiết lập

Qua Cloud Provider (Khuyến nghị)
Kubeconfig trực tiếp

Tự động khám phá từ kết nối cloud

Nếu bạn đã kết nối AWS, GCP hoặc Azure, các cụm Kubernetes được quản lý sẽ được tự động khám phá.

Kết nối cloud provider

Thiết lập kết nối AWS, GCP hoặc Azure trước.

Cluster được tự động khám phá

Các cụm EKS, GKE hoặc AKS xuất hiện tự động trong CloudThinker. Chọn cluster nào cần bật để phân tích. CloudThinker hiển thị trạng thái Connected cho mỗi cluster đã kích hoạt.

Thiết lập thủ công với service account

Dành cho các cụm tự quản lý hoặc khi cần quyền truy cập ngoài phạm vi kết nối cloud provider cung cấp:

Tạo namespace (tùy chọn)

Tạo một namespace riêng:

apiVersion: v1
kind: Namespace
metadata:
  name: cloudthinker

Tạo service account

apiVersion: v1
kind: ServiceAccount
metadata:
  name: cloudthinker-readonly
  namespace: cloudthinker

Tạo ClusterRole

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cloudthinker-readonly
rules:
- apiGroups: [""]
  resources: ["*"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["apps", "extensions"]
  resources: ["*"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["autoscaling"]
  resources: ["*"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["metrics.k8s.io"]
  resources: ["pods", "nodes"]
  verbs: ["get", "list"]

Tạo ClusterRoleBinding

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: cloudthinker-readonly
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cloudthinker-readonly
subjects:
- kind: ServiceAccount
  name: cloudthinker-readonly
  namespace: cloudthinker

Tạo token dài hạn

Từ Kubernetes 1.24, tạo một Secret cho token dài hạn:

apiVersion: v1
kind: Secret
metadata:
  name: cloudthinker-readonly-token
  namespace: cloudthinker
  annotations:
    kubernetes.io/service-account.name: cloudthinker-readonly
type: kubernetes.io/service-account-token

Áp dụng bằng lệnh:

kubectl apply -f cloudthinker-token-secret.yaml

Lấy token

kubectl get secret cloudthinker-readonly-token -n cloudthinker \
  -o jsonpath='{.data.token}' | base64 --decode

Lấy thông tin cluster

Lấy endpoint của cluster:

kubectl cluster-info

Trích xuất CA certificate:

kubectl get secret cloudthinker-readonly-token -n cloudthinker \
  -o jsonpath='{.data.ca\.crt}' | base64 --decode

Thêm kết nối trong CloudThinker

Điều hướng đến Connections → Kubernetes và nhập:

Cluster API endpoint
Service account token
CA certificate (cho các cluster dùng chứng chỉ tự ký)

Nhấn Connect. CloudThinker xác minh quyền truy cập và hiển thị trạng thái Connected.

Chi tiết kết nối

Định dạng kubeconfig mà CloudThinker sử dụng cho kết nối trực tiếp:

apiVersion: v1
kind: Config
clusters:
- cluster:
    certificate-authority-data: <base64-encoded-ca-cert>
    server: https://your-cluster-endpoint:6443
  name: your-cluster
contexts:
- context:
    cluster: your-cluster
    user: cloudthinker-readonly
  name: cloudthinker-context
current-context: cloudthinker-context
users:
- name: cloudthinker-readonly
  user:
    token: <your-service-account-token>

Quyền bắt buộc

Tối thiểu (chỉ đọc)

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cloudthinker-readonly
rules:
- apiGroups: [""]
  resources: ["pods", "nodes", "services", "namespaces", "events", "configmaps"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["apps"]
  resources: ["deployments", "replicasets", "statefulsets", "daemonsets"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["autoscaling"]
  resources: ["horizontalpodautoscalers"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["metrics.k8s.io"]
  resources: ["pods", "nodes"]
  verbs: ["get", "list"]

Khuyến nghị (phân tích toàn diện)

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cloudthinker-full-analysis
rules:
- apiGroups: [""]
  resources: ["pods", "nodes", "services", "namespaces", "events", "configmaps", "secrets", "persistentvolumeclaims", "resourcequotas", "limitranges", "replicationcontrollers"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["apps"]
  resources: ["deployments", "replicasets", "statefulsets", "daemonsets"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["batch"]
  resources: ["jobs", "cronjobs"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["networking.k8s.io"]
  resources: ["ingresses", "networkpolicies"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["autoscaling"]
  resources: ["horizontalpodautoscalers"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["metrics.k8s.io"]
  resources: ["pods", "nodes"]
  verbs: ["get", "list"]

Bắt đầu với ClusterRole tối thiểu và mở rộng sang role phân tích toàn diện chỉ khi bạn cần tập khả năng rộng hơn. Không bao giờ cấp verbs ghi — get, list và watch là đủ cho mọi khả năng của Kai.

Khả năng của agent

Sau khi kết nối, Kai có thể kiểm tra và tối ưu cluster của bạn.

Khả năng	Mô tả
Phân tích tài nguyên	Mức sử dụng CPU/memory của pod, requests so với limits
Sức khỏe node	Trạng thái node, dung lượng, tài nguyên có thể phân bổ
Tối ưu workload	Khuyến nghị right-sizing, điều chỉnh HPA
Khắc phục sự cố	CrashLoopBackOff, OOMKilled, pod đang chờ
Kiểm tra bảo mật	Xem xét RBAC, bảo mật pod, network policy

Xác minh kết nối

@kai check the cluster connection and list all namespaces and node count

Ví dụ prompt

@kai analyze pod resource utilization in the production namespace and #report the top CPU and memory consumers
@kai investigate crash loops in the payment service and #recommend a fix
@kai check node resource pressure across the cluster and #alert if any node is near capacity

Khắc phục sự cố

Không thể kết nối tới cluster

Xác minh endpoint API server có thể truy cập từ internet. Kiểm tra rằng firewall và security group cho phép IP của CloudThinker. Với cluster riêng tư, hãy thiết lập VPN hoặc bastion và xác nhận chứng chỉ API server hợp lệ.

Lỗi Unauthorized

Xác minh service account token chính xác. Kiểm tra ClusterRoleBinding đã được áp dụng và token chưa hết hạn. Xác nhận service account tồn tại trong namespace đúng.

Không có dữ liệu metrics

Xác minh Metrics Server đã cài đặt bằng cách chạy kubectl top nodes. Kiểm tra các pod Metrics Server đang chạy và API metrics.k8s.io khả dụng.

Thiếu namespace

Xác minh ClusterRole bao gồm quyền liệt kê namespace. Kiểm tra xem RBAC có hạn chế truy cập một số namespace nhất định không và xác nhận service account binding là cluster-wide.

Bảo mật

Quyền tối thiểu — chỉ cấp các quyền mà agent cần cho trường hợp sử dụng của bạn; bắt đầu với quyền chỉ đọc và mở rộng sau.
Chỉ đọc theo mặc định — sử dụng thông tin xác thực chỉ đọc trừ khi bạn muốn agent thực hiện thay đổi qua kết nối này.
Xoay vòng thông tin xác thực — xoay vòng khóa và token theo lịch trình thông thường của bạn; CloudThinker sẽ lấy giá trị mới khi bạn cập nhật kết nối.
Thu hồi khi bàn giao — xóa thông tin xác thực tại nhà cung cấp khi bạn xóa một kết nối hoặc khi đồng nghiệp rời nhóm.

Chỉ đọc — không bao giờ cấp verbs ghi cho service account CloudThinker; get, list và watch là đủ cho mọi khả năng của agent.
Cô lập namespace — giữ service account trong một namespace riêng (ví dụ: cloudthinker) để đơn giản hóa kiểm toán và thu hồi quyền.

Tổ chức

Agent

Tự động hóa & Tự chủ

Kết nối

Cài đặt nền tảng

Bảo mật

Thanh toán

Điều kiện tiên quyết

Nền tảng được hỗ trợ

Thiết lập

Tự động khám phá từ kết nối cloud

Thiết lập thủ công với service account

Chi tiết kết nối

Quyền bắt buộc

Tối thiểu (chỉ đọc)

Khuyến nghị (phân tích toàn diện)

Khả năng của agent

Xác minh kết nối

Ví dụ prompt

Khắc phục sự cố

Bảo mật

Liên quan

Kai Agent

Kết nối AWS

​Điều kiện tiên quyết

​Nền tảng được hỗ trợ

​Thiết lập

​Tự động khám phá từ kết nối cloud

​Thiết lập thủ công với service account

​Chi tiết kết nối

​Quyền bắt buộc

​Tối thiểu (chỉ đọc)

​Khuyến nghị (phân tích toàn diện)

​Khả năng của agent

​Xác minh kết nối

​Ví dụ prompt

​Khắc phục sự cố

​Bảo mật

​Liên quan

Kai Agent

Kết nối AWS

Điều kiện tiên quyết

Nền tảng được hỗ trợ

Thiết lập

Tự động khám phá từ kết nối cloud

Thiết lập thủ công với service account

Chi tiết kết nối

Quyền bắt buộc

Tối thiểu (chỉ đọc)

Khuyến nghị (phân tích toàn diện)

Khả năng của agent

Xác minh kết nối

Ví dụ prompt

Khắc phục sự cố

Bảo mật

Liên quan