零信任網(wǎng)絡(luò)后端認(rèn)證鑒權(quán)【免費(fèi)下載鏈接】zitiThe parent project for OpenZiti. Here you will find the executables for a fully zero-trust, programmable network OpenZiti項(xiàng)目地址https://gitcode.com/gh_mirrors/zi/ziti點(diǎn)擊查看免費(fèi)下載導(dǎo)讀本文基于 OpenZiti 倉(cāng)庫(kù) doc/ha/quickstart.md 編寫完整講解如何在單臺(tái)機(jī)器上用三個(gè)獨(dú)立 TCP 端口跑起一套自包含的 OpenZiti 高可用HA集群涵蓋首個(gè)成員創(chuàng)建集群、后續(xù)成員加入、Agent 工具查看集群狀態(tài)、模擬成員故障與恢復(fù)的全過(guò)程。讀完本文你將能獨(dú)立復(fù)現(xiàn)這套交互式演練并理解ziti edge quickstart命令背后的集群初始化、Raft 選主與自動(dòng)加入機(jī)制同時(shí)掌握如何用ziti agent cluster list定位與驗(yàn)證集群領(lǐng)導(dǎo)者。一、背景為什么需要快速啟動(dòng)一套 HA 集群OpenZiti 的控制器Controller是一個(gè)零信任網(wǎng)絡(luò)的“大腦”負(fù)責(zé)身份認(rèn)證、服務(wù)授權(quán)與網(wǎng)絡(luò)策略編排。在生產(chǎn)環(huán)境中控制器以多副本方式構(gòu)成一個(gè) Raft 集群實(shí)現(xiàn)狀態(tài)機(jī)復(fù)制與領(lǐng)導(dǎo)者選舉——當(dāng)某個(gè)成員宕機(jī)時(shí)其余成員仍能繼續(xù)提供服務(wù)這正是 HAHigh Availability的核心價(jià)值。倉(cāng)庫(kù)中的 doc/ha/dev-setup.md 明確標(biāo)注“HA 目前處于 beta 階段”因此在開(kāi)發(fā)、測(cè)試與學(xué)習(xí)場(chǎng)景下我們希望用最小成本驗(yàn)證 HA 行為。ziti edge quickstart提供的 HA 模式正好滿足這一訴求它不需要預(yù)先準(zhǔn)備 PKI、不需要手寫配置文件一個(gè)命令即可拉起“控制器 內(nèi)嵌路由器”再通過(guò)join子命令把多個(gè)實(shí)例加入同一集群。從源碼結(jié)構(gòu)看quickstart 的 HA 能力集中在 ziti/run/quickstart.go單實(shí)例快速啟動(dòng)與集群加入與 ziti/run/quickstart_cluster.go一鍵拉起整簇后文會(huì)結(jié)合這兩處實(shí)現(xiàn)逐一展開(kāi)。二、環(huán)境準(zhǔn)備干凈的工作目錄整個(gè)演練是**自包含self-contained**的所有數(shù)據(jù)、PKI、配置都產(chǎn)生在當(dāng)前工作目錄內(nèi)前后無(wú)需任何額外步驟即可得到一個(gè)可用的本地集群。cd $(mktemp -d)mktemp -d會(huì)創(chuàng)建一個(gè)臨時(shí)目錄并把工作目錄切換進(jìn)去。之后的所有命令都默認(rèn)在該目錄下執(zhí)行。演練結(jié)束后可以隨時(shí)刪除這個(gè)目錄完成清理。三、啟動(dòng)第一個(gè)成員創(chuàng)建集群第一個(gè)成員ctrl1負(fù)責(zé)創(chuàng)建集群因此使用不帶join子命令的 quickstartnohup ziti edge quickstart \ --instance-idctrl1 \ --ctrl-port1281 \ --router-port3021 \ --home${PWD} \ --ctrl-address127.0.0.1 \ --router-address127.0.0.1 \ --trust-domainha-quickstart \ ctrl1.log 各參數(shù)的含義如下參數(shù)解析實(shí)現(xiàn)見(jiàn) ziti/run/quickstart.go 中的addCommonQuickstartFlags與addQuickstartHaFlags參數(shù)含義本演練取值源碼中的處理--instance-idHA 模式下每個(gè)實(shí)例的唯一標(biāo)識(shí)會(huì)寫入 SPIFFE ID 與實(shí)例目錄名ctrl1缺省時(shí)使用instance-1源碼NewQuickStartCmd默認(rèn)值join模式強(qiáng)制要求--ctrl-port控制面與 Edge API 使用的端口1281默認(rèn)值取自constants包中的DefaultCtrlEdgeAdvertisedPort--router-port內(nèi)嵌路由器監(jiān)聽(tīng)端口3021默認(rèn)值取自constants.DefaultZitiEdgeRouterPort--home數(shù)據(jù)目錄數(shù)據(jù)庫(kù)、PKI、配置文件的根目錄${PWD}缺省時(shí)創(chuàng)建臨時(shí)目錄并在退出時(shí)刪除顯式指定則永久保留--ctrl-address控制面/API 對(duì)外通告地址127.0.0.1啟動(dòng)時(shí)寫入ZITI_CTRL_ADVERTISED_ADDRESS、ZITI_CTRL_EDGE_ADVERTISED_ADDRESS等環(huán)境變量--router-address內(nèi)嵌路由器通告地址127.0.0.1寫入ZITI_EDGE_ROUTER_ADVERTISED_ADDRESS--trust-domainSPIFFE ID 中使用的信任域ha-quickstart缺省值為quickstart加入集群時(shí)強(qiáng)制要求其他常用參數(shù)還包括--username/-u與--password/-p管理員賬號(hào)默認(rèn)均為admin、--no-router不啟動(dòng)內(nèi)嵌路由器、--zac下載并掛載 Ziti Admin Console 管理界面、--configure-and-exit完成配置后即退出等。啟動(dòng)后立即檢查進(jìn)程與日志tail ctrl1.log; echo; jobs預(yù)期輸出大致如下日志被省略. . . ... logs ... . . . [1] running nohup ziti edge quickstart --instance-idctrl1 --ctrl-port1281 從源碼看第一個(gè)成員啟動(dòng)時(shí)會(huì)依次完成生成最小 PKICreateMinimalPki創(chuàng)建根 CA、中間 CA、服務(wù)器/客戶端證書(shū)SPIFFE ID 形如spiffe://ha-quickstart/controller/ctrl1→ 生成控制器配置文件ctrl.yaml→ 啟動(dòng)控制器并輪詢等待其 HTTP 端點(diǎn)可用waitForController→ 通過(guò)本進(jìn)程的 ops-agent 發(fā)起agent cluster init初始化集群源碼中對(duì)初始化失敗最多重試 5 次→ 創(chuàng)建并注冊(cè)內(nèi)嵌路由器。這也是為什么第一個(gè)成員必須由它自己“初始化”集群而后續(xù)成員只需“加入”。四、啟動(dòng)第二、三個(gè)成員加入集群第二個(gè)與第三個(gè)成員使用join子命令加入同一個(gè)集群其余參數(shù)與第一個(gè)成員保持一致僅更換端口與實(shí)例 IDnohup ziti edge quickstart join \ --instance-idctrl2 \ --ctrl-port1282 \ --router-port3022 \ --home${PWD} \ --ctrl-address127.0.0.1 \ --router-address127.0.0.1 \ --trust-domainha-quickstart \ --cluster-membertls:127.0.0.1:1281 \ ctrl2.log nohup ziti edge quickstart join \ --instance-idctrl3 \ --ctrl-port1283 \ --router-port3023 \ --home${PWD} \ --ctrl-address127.0.0.1 \ --router-address127.0.0.1 \ --trust-domainha-quickstart \ --cluster-membertls:127.0.0.1:1281 \ ctrl3.log 新增參數(shù)--cluster-member指定已有集群成員的控制面地址本例為tls:127.0.0.1:1281即 ctrl1新成員將通過(guò)它發(fā)起加入請(qǐng)求。在 ziti/run/quickstart.go 的NewQuickStartJoinClusterCmd中join模式還額外支持--cluster-member/-m必填集群成員的tls:host:port地址--non-voting將新成員以非投票成員non-voter身份加入集群不參與 Raft 投票。分別確認(rèn)兩個(gè)后臺(tái)任務(wù)運(yùn)行正常tail ctrl2.log; echo; jobs tail ctrl3.log; echo; jobs預(yù)期輸出日志省略[1] - running nohup ziti edge quickstart --instance-idctrl1 --ctrl-port1281 [2] running nohup ziti edge quickstart join --instance-idctrl2 --ctrl-port1282 [1] running nohup ziti edge quickstart --instance-idctrl1 --ctrl-port1281 [2] - running nohup ziti edge quickstart join --instance-idctrl2 --ctrl-port1282 [3] running nohup ziti edge quickstart join --instance-idctrl3 --ctrl-port1283加入過(guò)程的源碼細(xì)節(jié)join模式下 quickstart 不會(huì)重新生成根 CA源碼注釋明確指出“dont emit a root-ca, expect itll be there or error”即復(fù)用第一個(gè)成員生成的根 CA 來(lái)創(chuàng)建本實(shí)例的服務(wù)器 PKI隨后通過(guò)本進(jìn)程 ops-agent 反復(fù)執(zhí)行agent cluster add直到成功或 90 秒超時(shí)。源碼中有一段針對(duì)性的重試邏輯加入請(qǐng)求提交后集群成員關(guān)系已通過(guò) AddPeer Raft 命令落盤但管理員認(rèn)證數(shù)據(jù)可能尚未復(fù)制到本地 FSM導(dǎo)致一次性登錄返回 401因此loginWithRetry會(huì)以 1 秒間隔重試最多 60 秒?？蛇x如果想在另一個(gè)終端同時(shí)觀察三個(gè)實(shí)例的日志可以合并追蹤所有*.logtail -F -n 1 *.log五、觀察集群Agent 工具與領(lǐng)導(dǎo)者定位OpenZiti 為控制器提供了基于 gops agent 的運(yùn)維通道。先列出本機(jī)所有 agent 應(yīng)用ziti agent list預(yù)期輸出╭────────┬────────────┬────────┬─────────────────────────────┬────────────┬─────────────┬───────────╮ │ PID │ EXECUTABLE │ APP ID │ UNIX SOCKET │ APP TYPE │ APP VERSION │ APP ALIAS │ ├────────┼────────────┼────────┼─────────────────────────────┼────────────┼─────────────┼───────────┤ │ 276912 │ ziti │ ctrl1 │ /tmp/gops-agent.276912.sock │ controller │ v0.0.0 │ │ │ 277714 │ ziti │ ctrl2 │ /tmp/gops-agent.277714.sock │ controller │ v0.0.0 │ │ │ 281490 │ ziti │ ctrl3 │ /tmp/gops-agent.281490.sock │ controller │ v0.0.0 │ │ ╰────────┴────────────┴────────┴─────────────────────────────┴────────────┴─────────────┴───────────╯其中APP ID對(duì)應(yīng)--instance-idAPP TYPE均為controller每個(gè)進(jìn)程在/tmp下暴露獨(dú)立的gops-agent.pid.sock源碼中 quickstart 正是通過(guò)unix:/tmp/gops-agent.pid.sock這個(gè) socket 直接發(fā)起集群操作避免按 PID 枚舉全部 agent。查看 ctrl1 視角下的集群成員ziti agent cluster list --app-id ctrl1預(yù)期輸出╭───────┬────────────────────┬───────┬────────┬─────────┬───────────╮ │ ID │ ADDRESS │ VOTER │ LEADER │ VERSION │ CONNECTED │ ├───────┼────────────────────┼───────┼────────┼─────────┼───────────┤ │ ctrl1 │ tls:127.0.0.1:1281 │ true │ true │ v0.0.0 │ true │ │ ctrl2 │ tls:127.0.0.1:1282 │ true │ false │ v0.0.0 │ true │ │ ctrl3 │ tls:127.0.0.1:1283 │ true │ false │ v0.0.0 │ true │ ╰───────┴────────────────────┴───────┴────────┴─────────┴───────────╯此時(shí)ctrl1 是集群領(lǐng)導(dǎo)者LEADER 列為 true三個(gè)成員均為投票成員VOTER 為 true且全部連接正常。該命令的底層實(shí)現(xiàn)見(jiàn) ziti/cmd/agentcli/agent_cluster_list.go它向目標(biāo) controller agent 發(fā)送RaftListMembersRequestType管理消息接收RaftMemberListResponse再以圓角表格渲染Id / Address / Voter / Leader / Version / Connected / Preferred七列。Preferred列表示是否為優(yōu)先領(lǐng)導(dǎo)者——從源碼推斷集群在故障轉(zhuǎn)移時(shí)會(huì)優(yōu)先嘗試將領(lǐng)導(dǎo)權(quán)交給 preferred 成員。六、故障演練終止領(lǐng)導(dǎo)者并觀察集群自愈HA 的核心價(jià)值在于成員故障時(shí)的自動(dòng)選主?，F(xiàn)在模擬一次可用性事故把當(dāng)前領(lǐng)導(dǎo)者 ctrl1 殺掉。先確認(rèn)各后臺(tái)任務(wù)的編號(hào)——領(lǐng)導(dǎo)者不一定對(duì)應(yīng)%1務(wù)必以jobs實(shí)際輸出為準(zhǔn)jobs示例輸出任務(wù)編號(hào)順序可能與啟動(dòng)順序不同[1] running nohup ziti edge quickstart --instance-idctrl1 --ctrl-port1281 [2] - running nohup ziti edge quickstart join --instance-idctrl3 --ctrl-port1283 [3] running nohup ziti edge quickstart join --instance-idctrl2 --ctrl-port1282本例中任務(wù) 1 屬于 ctrl1當(dāng)前領(lǐng)導(dǎo)者將其終止kill %1然后換一個(gè)幸存的成員查看集群狀態(tài)ziti agent cluster list --app-id ctrl2預(yù)期輸出╭───────┬────────────────────┬───────┬────────┬─────────────────┬───────────╮ │ ID │ ADDRESS │ VOTER │ LEADER │ VERSION │ CONNECTED │ ├───────┼────────────────────┼───────┼────────┼─────────────────┼───────────┤ │ ctrl1 │ tls:127.0.0.1:1281 │ true │ false │ not connected │ false │ │ ctrl2 │ tls:127.0.0.1:1282 │ true │ true │ v0.0.0 │ true │ │ ctrl3 │ tls:127.0.0.1:1283 │ true │ false │ v0.0.0 │ true │ ╰───────┴────────────────────┴───────┴────────┴─────────────────┴───────────┘兩個(gè)關(guān)鍵變化值得注意ctrl1 顯示not connected/false被終止的成員失去了控制面連接領(lǐng)導(dǎo)者已從 ctrl1 轉(zhuǎn)移到 ctrl2剩余的兩個(gè)投票成員ctrl2、ctrl3構(gòu)成多數(shù)派3 節(jié)點(diǎn)集群的法定人數(shù)為 2Raft 完成重新選舉ctrl2 接管領(lǐng)導(dǎo)權(quán)。七、成員恢復(fù)重啟斷連成員任意斷連成員都可以用 quickstart 命令重啟。此時(shí)只需要提供啟動(dòng)參數(shù)無(wú)需再指定集群成員地址——數(shù)據(jù)目錄仍在它會(huì)以既有 Raft 成員身份自動(dòng)回歸集群nohup ziti edge quickstart \ --instance-idctrl1 \ --home${PWD} \ ctrl1.log 注意兩點(diǎn)這里只傳了--instance-id與--home其余端口/地址參數(shù)會(huì)從已持久化的配置home/ctrl1/ctrl.yaml中讀取。源碼中applyConfiguredEndpoints正是負(fù)責(zé)解析已生成的配置文件并恢復(fù)通告地址與端口而noteIgnoredSetupFlags會(huì)提示哪些僅在首次創(chuàng)建時(shí)生效的參數(shù)--ctrl-address、--ctrl-port、--router-address、--router-port、--trust-domain在本次重啟中被忽略日志使用追加寫入保留歷史輸出。重啟完成后再次查看集群ziti agent cluster list --app-id ctrl2預(yù)期輸出╭───────┬────────────────────┬───────┬────────┬─────────────────┬───────────╮ │ ID │ ADDRESS │ VOTER │ LEADER │ VERSION │ CONNECTED │ ├───────┼────────────────────┼───────┼────────┼─────────────────┼───────────┤ │ ctrl1 │ tls:127.0.0.1:1281 │ true │ false │ v0.0.0 │ true │ │ ctrl2 │ tls:127.0.0.1:1282 │ true │ false │ v0.0.0 │ true │ │ ctrl3 │ tls:127.0.0.1:1283 │ true │ true │ v0.0.0 │ true │ ╰───────┴────────────────────┴───────┴────────┴─────────────────┴───────────╯ctrl1 已恢復(fù)連接true但并未重新成為領(lǐng)導(dǎo)者——新的領(lǐng)導(dǎo)者是 ctrl3。這正是 Raft 選主機(jī)制的正常表現(xiàn)領(lǐng)導(dǎo)者是當(dāng)前任期內(nèi)的選舉結(jié)果成員重啟后不會(huì)自動(dòng)“搶回”領(lǐng)導(dǎo)權(quán)。這一事實(shí)告訴我們不要對(duì)“哪個(gè)節(jié)點(diǎn)是領(lǐng)導(dǎo)者”做任何靜態(tài)假設(shè)客戶端與運(yùn)維腳本都應(yīng)動(dòng)態(tài)查詢。八、清理停止全部后臺(tái)進(jìn)程演練結(jié)束后停止所有后臺(tái)任務(wù)。BASH 環(huán)境kill $(jobs -p)ZSH 環(huán)境kill ${${(v)jobstates##*:*:}%*}預(yù)期輸出[1] done nohup ziti edge quickstart --instance-idctrl1 --ctrl-port1281 [2] done nohup ziti edge quickstart join --instance-idctrl2 --ctrl-port1282 [3] done nohup ziti edge quickstart join --instance-idctrl3 --ctrl-port1283隨后可以刪除演練目錄即第一步mktemp -d創(chuàng)建的目錄徹底完成清理。九、進(jìn)階ziti run quickstart cluster一鍵拉起整簇除了逐個(gè)nohup啟動(dòng)倉(cāng)庫(kù)還提供了更高層的封裝ziti run quickstart cluster實(shí)現(xiàn)見(jiàn) ziti/run/quickstart_cluster.go。它以一個(gè)父進(jìn)程啟動(dòng) N 個(gè)子進(jìn)程每個(gè)子進(jìn)程即一個(gè) quickstart 節(jié)點(diǎn)自動(dòng)完成“節(jié)點(diǎn) 1 初始化、其余節(jié)點(diǎn)依次 join”的編排按 Ctrl-C 即可優(yōu)雅停止全部節(jié)點(diǎn)。該命令的核心參數(shù)參數(shù)說(shuō)明默認(rèn)值--size集群節(jié)點(diǎn)數(shù)量3合法范圍 39更多成員會(huì)拖慢寫操作延遲--ctrl-port基礎(chǔ)控制面端口節(jié)點(diǎn) i 監(jiān)聽(tīng) basei默認(rèn)取自constants.DefaultCtrlEdgeAdvertisedPort--router-port基礎(chǔ)路由器端口節(jié)點(diǎn) i 監(jiān)聽(tīng) basei默認(rèn)取自constants.DefaultZitiEdgeRouterPort--home數(shù)據(jù)目錄缺省使用臨時(shí)目錄并在退出時(shí)刪除無(wú)--ctrl-address/--router-address所有節(jié)點(diǎn)統(tǒng)一使用的通告地址環(huán)境默認(rèn)值--trust-domainSPIFFE 信任域quickstart--shutdown-grace停止節(jié)點(diǎn)時(shí)的最長(zhǎng)等待時(shí)間30s--zac下載 ZAC 并為每個(gè)節(jié)點(diǎn)掛載控制臺(tái)false從源碼實(shí)現(xiàn)看這個(gè)命令還做了幾件值得注意的事情端口范圍預(yù)校驗(yàn)--ctrl-port/--router-port加上--size后不得超過(guò) 65535且兩條端口段不能重疊否則在拉起前直接報(bào)錯(cuò)quickstart_cluster.go中run開(kāi)頭的一段校驗(yàn)邏輯重啟語(yǔ)義若--home下所有實(shí)例的db目錄都已存在isFullRestart判定說(shuō)明是既有集群重啟必須同時(shí)啟動(dòng)全部節(jié)點(diǎn)以重新形成法定人數(shù)否則單節(jié)點(diǎn)無(wú)法選出領(lǐng)導(dǎo)者按實(shí)例隔離 CLI 配置目錄每個(gè)子進(jìn)程通過(guò)ZITI_CONFIG_DIR指向獨(dú)立的 CLI 配置目錄避免多個(gè)節(jié)點(diǎn)并發(fā)登錄時(shí)爭(zhēng)用同一份會(huì)話文件就緒哨兵父進(jìn)程監(jiān)聽(tīng)子進(jìn)程輸出中“Quickly add another member”字樣以此判定節(jié)點(diǎn)已完全就緒領(lǐng)導(dǎo)者選舉/加入完成、路由器運(yùn)行再啟動(dòng)下一個(gè)節(jié)點(diǎn)。對(duì)于希望快速驗(yàn)證 HA、又不想手工管理多個(gè)終端窗口的場(chǎng)景這一命令是最省事的入口。十、對(duì)照手寫配置的 HA 開(kāi)發(fā)環(huán)境dev-setup快速啟動(dòng)quickstart自動(dòng)生成了所有配置而 doc/ha/dev-setup.md 給出了另一條更貼近生產(chǎn)形態(tài)的路徑——手工 PKI 手寫控制器配置適合需要定制參數(shù)的開(kāi)發(fā)環(huán)境。注意該文檔同樣標(biāo)注 HA 處于 beta 階段。10.1 生成三節(jié)點(diǎn) PKI執(zhí)行 doc/ha/create-pki.sh需先安裝好zitiCLI./create-pki.sh腳本內(nèi)容展示了 HA 場(chǎng)景下的信任鏈設(shè)計(jì)一個(gè)共享的根 CA--trust-domain ha.test作為集群信任根每個(gè)控制器擁有獨(dú)立的中級(jí)簽名證書(shū)并用--spiffe-id controller/ctrlN綁定各自的 SPIFFE 身份ziti pki create ca --trust-domain ha.test --pki-root ./pki --ca-file ca --ca-name HA Example Trust Root ziti pki create intermediate --pki-root ./pki --ca-name ca --intermediate-file ctrl1 --intermediate-name Controller One Signing Cert ziti pki create server --pki-root ./pki --ca-name ctrl1 --dns localhost --ip 127.0.0.1 --server-name ctrl1 --spiffe-id controller/ctrl1 ziti pki create client --pki-root ./pki --ca-name ctrl1 --client-name ctrl1 --spiffe-id controller/ctrl1 # ... 其余兩個(gè)控制器以此類推10.2 啟動(dòng)三個(gè)控制器配置文件 doc/ha/ctrl1.yml以及同目錄的ctrl2.yml、ctrl3.yml中包含了相對(duì)路徑因此必須在doc/ha目錄下運(yùn)行ziti controller run ctrl1.yml ziti controller run ctrl2.yml ziti controller run ctrl3.yml以 ctrl1 的配置為例HA 相關(guān)的關(guān)鍵結(jié)構(gòu)包括cluster.dataDir本節(jié)點(diǎn) Raft 數(shù)據(jù)目錄./data/ctrl1identity節(jié)點(diǎn)自身的服務(wù)端證書(shū)、私鑰與 CA 鏈對(duì)應(yīng) 10.1 生成的 PKIctrl.listener與options.advertiseAddress控制面監(jiān)聽(tīng)與通告地址tls:127.0.0.1:6262/tls:localhost:6262events.jsonLogger訂閱connect、cluster事件并寫入json格式日志文件便于觀察集群事件edge.api/edge.enrollmentEdge API 監(jiān)聽(tīng)地址與注冊(cè)簽名證書(shū)、enrollment 時(shí)長(zhǎng)web綁定多個(gè) APIhealth-checks、fabric、edge-management、edge-client、edge-oidc并限定 TLS 版本。10.3 初始化集群并加入成員三個(gè)控制器啟動(dòng)后利用 Agent 通道完成集群初始化與成員加入# 初始化第一個(gè)控制器用戶名/密碼均為 admin顯示名 Default Admin ziti agent cluster init -i ctrl1 admin admin Default Admin # 將另外兩個(gè)節(jié)點(diǎn)加入集群地址取各自 ctrl 通告地址 ziti agent cluster add -i ctrl1 tls:localhost:6363 ziti agent cluster add -i ctrl1 tls:localhost:6464至此三節(jié)點(diǎn)集群已就緒可分別登錄各控制器驗(yàn)證ziti edge login localhost:1280 ziti edge -i ctrl2 login localhost:1380 ziti edge -i ctrl3 login localhost:1480隨后可在任意控制器上創(chuàng)建模型數(shù)據(jù)并跨節(jié)點(diǎn)查詢ziti demo setup echo client ziti demo setup echo single-sdk-hostedziti edge login localhost:1280 ziti edge ls services ziti edge login -i ctrl2 localhost:1380 ziti edge -i ctrl2 ls services ziti edge login -i ctrl3 localhost:1480 ziti edge -i ctrl3 ls services因?yàn)?Raft 會(huì)在各成員間復(fù)制狀態(tài)三個(gè)控制器的查詢結(jié)果應(yīng)保持一致。10.4 HA 場(chǎng)景下的 SDK 兼容性dev-setup 文檔同時(shí)說(shuō)明自 Golang SDK v1.2.3 起SDK 無(wú)需特殊改動(dòng)即可接入 HA 系統(tǒng)。這意味著客戶端只需使用常規(guī)的 Edge API 登錄與撥號(hào)流程控制器集群的領(lǐng)導(dǎo)者轉(zhuǎn)移對(duì) SDK 是透明的。十一、測(cè)試佐證HA 集群在倉(cāng)庫(kù)中的驗(yàn)證方式快速啟動(dòng)腳本并非孤證倉(cāng)庫(kù)的端到端測(cè)試基建同樣覆蓋了多控制器集群場(chǎng)景。tests/ha_cluster.go 中peerController表示一個(gè)次要集群成員控制器主控制器保留在TestContext字段上使既有測(cè)試輔助函數(shù)無(wú)需改動(dòng)即可繼續(xù)工作StartHaCluster會(huì)先清空 Raft 數(shù)據(jù)目錄啟動(dòng)主控制器與所有 peer把它們加入同一個(gè) Raft 集群并等待每個(gè)成員都成為投票者且注冊(cè)進(jìn) Controller store——與本文演練的“初始化 join”流程一一對(duì)應(yīng)NewEdgeClientApiForHost支持將 Edge API 客戶端指向集群中任意成員用來(lái)驗(yàn)證跨節(jié)點(diǎn)讀寫一致性。此外 tests/cli_tests/cluster_test.go 與 quickstart/test/ha-test.sh 也提供了 CLI 層與腳本層的 HA 驗(yàn)證入口讀者可結(jié)合這些文件深入了解測(cè)試細(xì)節(jié)。十二、小結(jié)HA 快速啟動(dòng)的關(guān)鍵事實(shí)清單三節(jié)點(diǎn)是 HA 的最小形態(tài)3 個(gè)投票成員的法定人數(shù)為 2任一成員宕機(jī)后集群仍可選出新領(lǐng)導(dǎo)者節(jié)點(diǎn)數(shù)越多寫操作Raft 提交延遲越高這也是quickstart cluster把--size限制在 39 的原因。領(lǐng)導(dǎo)者不固定成員故障會(huì)觸發(fā)重新選舉重啟后的原領(lǐng)導(dǎo)者不會(huì)自動(dòng)奪回領(lǐng)導(dǎo)權(quán)所有客戶端與腳本都應(yīng)通過(guò)ziti agent cluster list動(dòng)態(tài)定位領(lǐng)導(dǎo)者。quickstart 自動(dòng)完成全部編排PKI 生成、配置生成、集群初始化agent cluster init、成員加入agent cluster add、內(nèi)嵌路由器注冊(cè)與啟動(dòng)全部?jī)?nèi)置于 ziti/run/quickstart.go這也是它能“一個(gè)命令拉起一個(gè)節(jié)點(diǎn)”的原因。重啟成員只需最小參數(shù)數(shù)據(jù)目錄持久化后--home與--instance-id即足以讓節(jié)點(diǎn)以既有 Raft 成員身份回歸其余端點(diǎn)參數(shù)從已生成配置讀取。兩條上手路徑追求效率用本文的ziti edge quickstartjoin或ziti run quickstart cluster需要定制配置則參考 doc/ha/dev-setup.md 的手工 PKI 配置文件方案配置模板可對(duì)照 doc/ha/ctrl1.yml 學(xué)習(xí)。贊分享零信任網(wǎng)絡(luò)后端認(rèn)證鑒權(quán)【免費(fèi)下載鏈接】zitiThe parent project for OpenZiti. Here you will find the executables for a fully zero-trust, programmable network OpenZiti項(xiàng)目地址https://gitcode.com/gh_mirrors/zi/ziti點(diǎn)擊查看免費(fèi)下載相關(guān)推薦Redis集群節(jié)點(diǎn)故障模擬終極指南CacheCloud測(cè)試環(huán)境快速搭建與實(shí)戰(zhàn)演練Redis集群節(jié)點(diǎn)故障模擬終極指南CacheCloud測(cè)試環(huán)境快速搭建與實(shí)戰(zhàn)演練 CacheCloud是搜狐視頻開(kāi)發(fā)的Redis私有云平臺(tái)支持Standal后端運(yùn)維MAS 激活腳本完整教程4 條路線 10 分鐘搞定 Windows 與 Office 永久激活MAS 激活腳本完整教程4 條路線 10 分鐘搞定 Windows 與 Office 永久激活 多數(shù)激活問(wèn)題缺的不是密鑰而是選錯(cuò)了通道。開(kāi)源項(xiàng)目 Micr操作系統(tǒng)minikube 本地 Kubernetes 集群實(shí)戰(zhàn)指南從快速啟動(dòng)到多集群、Addons 與源碼級(jí)解析minikube 本地 Kubernetes 集群實(shí)戰(zhàn)指南從快速啟動(dòng)到多集群、Addons 與源碼級(jí)解析 minikube 是 Kubernetes 官方社區(qū)云原生容器編排CLI開(kāi)發(fā)工具上一篇5個(gè)場(chǎng)景讓你徹底告別PDF處理難題在線PDF工具全攻略下一篇DependenciesWindows DLL依賴分析終極指南 - 快速解決應(yīng)用程序啟動(dòng)問(wèn)題創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考