准备工作
- 实验会创建一个 Google Cloud 项目和一些资源，供您使用限定的一段时间
- 实验有时间限制，并且没有暂停功能。如果您中途结束实验，则必须重新开始。
- 在屏幕左上角，点击开始实验即可开始
检查点
Create a Kubernetes cluster and launch Nginx container
/ 25
Create Monolith pods and service
/ 25
Allow traffic to the monolith service on the exposed nodeport
/ 5
Adding Labels to Pods
/ 20
Creating Deployments (Auth, Hello and Frontend)
/ 25
访问 700 多个实验和课程
使用 Kubernetes 编排云
实验说明和任务
访问 700 多个实验和课程
GSP021
概览
Kubernetes 是一个开源项目（项目网站为 kubernetes.io），可在从笔记本电脑到高可用性多节点集群、从公有云到本地部署、从虚拟机到裸金属等众多不同环境中运行。
在本实验中，借助 Kubernetes Engine 这样的托管式环境，您可以把全部精力放在体验 Kubernetes 上，不必分心去设置底层基础设施。Kubernetes Engine 是一个可用于部署容器化应用的托管式环境。它融合了提高开发者效率、有效利用资源、自动化运营和开源灵活性等方面的最新创新成果，能够助您更快进入市场。
目标
在本实验中，您将学习如何完成以下操作：
- 使用 Kubernetes Engine 预配完整的 Kubernetes 集群。
- 使用 kubectl 部署和管理 Docker 容器。
- 使用 Kubernetes 的 Deployment 和 Service 对象将应用分解成微服务。
设置和要求
点击“开始实验”按钮前的注意事项
请阅读以下说明。实验是计时的，并且您无法暂停实验。计时器在您点击开始实验后即开始计时，显示 Google Cloud 资源可供您使用多长时间。
此实操实验可让您在真实的云环境中开展实验活动，免受模拟或演示环境的局限。为此，我们会向您提供新的临时凭据，您可以在该实验的规定时间内通过此凭据登录和访问 Google Cloud。
为完成此实验，您需要：
- 能够使用标准的互联网浏览器（建议使用 Chrome 浏览器）。
- 完成实验的时间 - 请注意，实验开始后无法暂停。
如何开始实验并登录 Google Cloud 控制台
-
点击开始实验按钮。如果该实验需要付费，系统会打开一个对话框供您选择支付方式。左侧是“实验详细信息”窗格，其中包含以下各项：
- “打开 Google Cloud 控制台”按钮
- 剩余时间
- 进行该实验时必须使用的临时凭据
- 帮助您逐步完成本实验所需的其他信息（如果需要）
-
点击打开 Google Cloud 控制台（如果您使用的是 Chrome 浏览器，请右键点击并选择在无痕式窗口中打开链接）。
该实验会启动资源并打开另一个标签页，显示“登录”页面。
提示：将这些标签页安排在不同的窗口中，并排显示。
注意：如果您看见选择账号对话框，请点击使用其他账号。 -
如有必要，请复制下方的用户名，然后将其粘贴到登录对话框中。
{{{user_0.username | "<用户名>"}}} 您也可以在“实验详细信息”窗格中找到“用户名”。
-
点击下一步。
-
复制下面的密码，然后将其粘贴到欢迎对话框中。
{{{user_0.password | "<密码>"}}} 您也可以在“实验详细信息”窗格中找到“密码”。
-
点击下一步。
重要提示：您必须使用实验提供的凭据。请勿使用您的 Google Cloud 账号凭据。 注意：在本实验中使用您自己的 Google Cloud 账号可能会产生额外费用。 -
继续在后续页面中点击以完成相应操作：
- 接受条款及条件。
- 由于这是临时账号，请勿添加账号恢复选项或双重验证。
- 请勿注册免费试用。
片刻之后，系统会在此标签页中打开 Google Cloud 控制台。
激活 Cloud Shell
Cloud Shell 是一种装有开发者工具的虚拟机。它提供了一个永久性的 5GB 主目录，并且在 Google Cloud 上运行。Cloud Shell 提供可用于访问您的 Google Cloud 资源的命令行工具。
-
点击 Google Cloud 控制台顶部的激活 Cloud Shell
。
-
在弹出的窗口中执行以下操作：
- 继续完成 Cloud Shell 信息窗口中的设置。
- 授权 Cloud Shell 使用您的凭据进行 Google Cloud API 调用。
如果您连接成功，即表示您已通过身份验证，且项目 ID 会被设为您的 Project_ID
gcloud 是 Google Cloud 的命令行工具。它已预先安装在 Cloud Shell 上，且支持 Tab 自动补全功能。
- （可选）您可以通过此命令列出活跃账号名称：
- 点击授权。
输出：
- （可选）您可以通过此命令列出项目 ID：
输出：
gcloud 的完整文档，请参阅 gcloud CLI 概览指南。
Google Kubernetes Engine
- 在 Cloud Shell 环境中，输入以下命令设置可用区：
- 启动一个集群，以便在本实验中使用：
gcloud container clusters get-credentials io 命令重新进行身份验证。
任务 1. 获取示例代码
如需获取代码，请从 Google Cloud Storage 存储桶复制示例代码。
- 在 Cloud Shell 中，从 Cloud Shell 命令行复制源代码：
- 切换到本实验所需的目录：
- 列出文件，了解您要使用的是哪些文件：
该示例的布局如下：
现在您已经有了代码，接下来就可以拿 Kubernetes 试手了！
任务 2. 快速演示 Kubernetes
要开始使用 Kubernetes，最简单的方法就是使用 kubectl create 命令。
- 运行以下命令，启动 nginx 容器的一个实例：
Kubernetes 已经创建了一个 Deployment 对象，我们稍后再介绍 Deployment 对象，目前您只需要了解一点，Deployment 对象可以使 Pod 保持正常运行状态，即便是运行 Pod 的节点发生故障，也不会受到影响。
在 Kubernetes 中，所有容器都在 Pod 中运行。
- 使用 kubectl get pods 命令查看正在运行的 nginx 容器：
- 当 nginx 容器的状态变为“Running”之后，您可以使用 kubectl expose 命令向 Kubernetes 外部公开该容器：
刚刚发生了什么？Kubernetes 在后台创建了一个具有公共 IP 地址的外部负载均衡器。访问这个公共 IP 地址的任何客户端都会被路由到服务背后的 Pod。在本例中，这个 Pod 就是 nginx Pod。
- 现在使用 kubectl get services 命令列出服务：
ExternalIP 字段可能需要几秒钟时间。这很正常，只需每隔几秒钟重新运行一次 kubectl get services 命令，直至字段中填充数据。
- 在此命令中添加外部 IP，以便远程连接 Nginx 容器：
成功了！Kubernetes 通过 kubectl run 和 expose 命令，为用户提供了开箱即用又简单易用的工作流。
验证您已完成的任务
点击下方的检查我的进度，以检查您的实验进度。如果您成功创建了 Kubernetes 集群并部署了 Nginx 容器，就会看到一个评估分数。
我们已经简单了解了 Kubernetes，接下来让我们深入探索一下每个组件和抽象。
任务 3. Pod 简介
Pod 是 Kubernetes 的核心。
Pod 代表并保存着由一个或多个容器构成的集合。通常情况下，如果您的多个容器彼此之间存在硬性依赖关系，则可以将它们封装到一个 Pod 中。
以下示例展示了一个包含单体式应用和 nginx 容器的 Pod。
Pod 中还包含一系列卷。卷就是数据磁盘，其存在时间与 Pod 一样长，可供该 Pod 中的容器使用。Pod 为其内容提供了一个共享命名空间，这就意味着我们的示例 Pod 中的两个容器可以互相通信，并且还共享挂接的卷。
所有 Pod 还共享一个网络命名空间。这意味着每个 Pod 有一个 IP 地址。
接下来，我们更深入地探索 Pod。
任务 4. 创建 Pod
Pod 可通过使用 Pod 配置文件来创建。请花些时间了解 fortune-app Pod 配置文件。
- 转到以下目录：
- 运行以下命令以查看配置文件：
输出显示了打开的配置文件：
这里有几点需要注意：
- 您的 Pod 由一个容器（fortune-app）构成。
- 您为 http 流量打开了 8080 端口。
- 使用 kubectl 创建 fortune-app Pod：
- 检查您的 Pod。使用 kubectl get pods 命令列出默认命名空间内运行的所有 Pod：
- 在 Pod 进入运行状态后，使用 kubectl describe 命令获得有关 fortune-app Pod 的更多信息：
您会看到有关 fortune-app Pod 的大量信息，包括 Pod IP 地址和事件日志。在进行问题排查时，会用到这些信息。
借助 Kubernetes，您只需在配置文件中描述 Pod 即可轻松创建 Pod，并且可以在 Pod 运行时查看其信息。至此，您已经具备了创建 Deployment 所需的全部 Pod 的能力！
任务 5. 与 Pod 交互
默认情况下，系统会为 Pod 分配一个专用 IP 地址，从集群外部无法访问 Pod。使用 kubectl port-forward 命令将本地端口映射到 fortune-app Pod 内部的一个端口。
-
打开第二个 Cloud Shell 终端。现在您有了两个终端，一个用来运行 kubectl port-forward 命令，另一个用来发出 curl 命令。
-
在第 2 个终端中，运行以下命令来设置端口转发：
- 然后，在第 1 个终端内，开始使用 curl 与您的 Pod 交互：
您的容器返回了一条简短提示消息！
- 现在，使用 curl 命令，看看访问一个安全端点时会发生什么情况。此安全端点要求进行身份验证。
您会收到“未经授权”错误，这在意料之中。
- 尝试登录应用，以便从中获取一个身份验证令牌：
- 在看到登录提示时，使用超级机密密码
password登录。
登录后应用会返回一个 JWT 令牌。
- Cloud Shell 不能很好地处理长字符串的复制，因此我们为令牌创建一个环境变量。
-
在系统提示输入主机密码时，再次输入超级机密密码
password。 -
使用以下命令复制令牌，随后通过 curl 使用该令牌访问安全端点：
此时，您应该会收到应用返回的一条提示消息，表明一切重归正常。
- 使用 kubectl logs 命令查看 fortune-app Pod 的日志：
- 打开第 3 个终端，使用 -f 标志获得实时日志流：
- 如果您在第 1 个终端内使用 curl 与 fortune-app 交互，则可以（在第 3 个终端内）看到日志更新：
- 使用 kubectl exec 命令在 fortune-app Pod 内运行交互式 shell。如果您想在容器内进行问题排查，这会非常方便：
- 例如，当您在 fortune-app 容器中运行了 shell，可以使用 ping 命令测试外部连接：
- 在此交互式 shell 中完成操作后，请务必退出登录。
您可以看到，与 Pod 交互就像使用 kubectl 命令一样简单。如果您需要远程访问容器，或者需要获取登录 shell，Kubernetes 提供了执行这些操作所需的一切。
任务 6. Service 简介
Pod 的性质决定了它们无法持久存在。Pod 可能会出于多种原因停止或启动，比如活跃度或就绪性检查失败，而这会造成问题。
如果您想与一组 Pod 通信，会发生什么情况？在重新启动后，它们的 IP 地址可能会发生变化。
此时就要用到 Service。Service 为 Pod 提供了稳定的端点。
Service 借助标签确定要对哪些 Pod 执行操作。如果 Pod 具有正确的标签，Service 会自动选择并公开 Pod。
Service 针对一组 Pod 所提供的访问权限级别取决于 Service 的类型。Service 目前有三种类型：
- ClusterIP（内部）是默认类型。此 Service 仅在集群内部可见。
- NodePort 为集群中的每个节点分配一个可从外部访问的 IP 地址。
- LoadBalancer 添加来自云服务提供商的负载均衡器，将来自 Service 的流量转发到其中的节点。
接下来您将学习如何执行以下操作：
- 创建一个 Service
- 使用标签选择器向外部公开限定的一组 Pod
任务 7. 创建一个 Service
您必须先创建一个可处理 https 流量的安全 Pod，然后才能创建 Service。
- 如果您变更过目录，请务必返回到 ~/orchestrate-with-kubernetes/kubernetes 目录：
- 查看安全 fortune-app Pod 配置文件：
- 创建 secure-fortune Pod 及其配置数据：
现在，您已经创建了一个安全 Pod，可以将它对外公开了。为此，您需要创建一个 Kubernetes Service。
- 查看 fortune-app Service 配置文件：
有一个选择器可用于自动查找并公开带有“app: fortune-app”和“secure: enabled”标签的所有 Pod。
您必须公开 nodeport，这样才能将来自 31000 端口的外部流量转发到 nginx（位于 443 端口）。验证您已完成的任务
点击下方的检查我的进度，以检查您的实验进度。如果您成功创建了 fortune-app Pod 和 Service，就会看到一个评估分数。
您是使用端口公开 Service 的。这样一来，如果有另外一个应用尝试绑定到您的某个服务器上的 31000 端口，就有可能发生端口冲突。
通常情况下，Kubernetes 会处理此类端口分配。在本实验中，您将选择一个端口，以便稍后可以更轻松地配置健康检查。
- 使用 gcloud compute firewall-rules 命令，允许流量传输到公开 nodeport 上的 fortune-app Service：
验证您已完成的任务
点击下方的检查我的进度，以检查您的实验进度。如果您成功创建了一条防火墙规则，允许在 31000 端口上传输 TCP 流量，就会看到一个评估分数。
至此，我们已经设置好了一切，您应该能从集群外部访问 secure-fortune Service，而不需要使用端口转发。
- 首先，获取其中一个节点的外部 IP 地址。
- 尝试使用 curl 访问 secure-fortune Service：
糟糕！超时了。哪里出问题了？
注意：现在来进行一次简短的知识测验。
请使用以下命令回答下面的问题：kubectl get services fortune-app
kubectl describe services fortune-app
问题：
提示：这与标签有关。您将在下一部分中解决此问题。
任务 8. 向 Pod 添加标签
fortune-app Service 目前没有端点。一种排查此类问题的方法是结合标签查询使用 kubectl get pods 命令。
- 可以看到，您目前运行的 Pod 中有一个 Pod 带有“fortune-app“标签：
- 如果执行“app=fortune-app”和“secure=enabled”查询会有什么结果？
请注意，此标签查询未显示任何结果。您似乎需要为 Pod 添加“secure=enabled”标签。
- 使用 kubectl label 命令，为 secure-fortune Pod 添加缺失的 secure=enabled 标签。然后，您可以检查标签是否已完成更新。
- 此时，您的 Pod 已使用了正确的标签，我们来查看一下 fortune-app Service 的端点列表：
结果中显示了一个端点！
- 获取其中一个节点的外部 IP 地址。
- 尝试使用 curl 访问 secure-fortune Service：
成功了！终于连接成功。
验证您已完成的任务
点击下方的检查我的进度，以检查您的实验进度。如果您成功为 Pod 添加了标签，就会看到一个评估分数。
任务 9. Deployment 简介
本实验的目标是帮您为在生产环境中扩缩和管理容器做好准备。这就要用到 Deployment。Deployment 提供了一种声明式方法来确保运行的 Pod 数量等于所需 Pod 数量（此数量由用户指定）。
Deployment 的主要优势在于，它能抽离 Pod 管理中的底层细节。在幕后，Deployment 使用副本集管理 Pod 的启动和停止。如果需要更新或扩缩 Pod，Deployment 会处理相应情况。在 Pod 出于某些原因发生故障时，Deployment 还能处理 Pod 的重启。
我们来看一个简单的例子：
Pod 与用于创建 Pod 的节点的生命周期相关联。在上面的例子中，节点 3 发生了故障（致使一个 Pod 随之停止）。您的 Deployment 创建了一个新 Pod，并在节点 2 上启动了这个 Pod，因此您不必手动创建新 Pod 并为其寻找节点。
这简直太棒了！
下面我们将您学到的 Pod 和 Service 相关知识整合起来，使用 Deployment 将 fortune-app 应用分解成若干较小的 Service。
任务 10. 创建 Deployment
您需要将 fortune-app 应用分解成三个独立的部分：
- auth - 为通过身份验证的用户生成 JWT 令牌。
- fortune - 为通过身份验证的用户提供 fortune 服务。
- frontend - 将流量路由到 auth 和 fortune 服务。
现在您可以开始创建 Deployment 了（每个服务一个）。随后，您将为 auth Deployment 和 fortune Deployment 定义内部服务，并为 frontend Deployment 定义外部服务。完成后，您就可以与微服务进行交互了，就像与单体式应用交互一样，不同之处在于，现在的每一个微服务都可以独立扩缩和部署！
- 首先查看 auth Deployment 配置文件：
该 Deployment 会创建 1 个 auth 容器的副本。
当您运行 kubectl create 命令来创建 auth Deployment 时，该命令将生成一个与 Deployment 清单中的数据相符的 Pod。这表示您可以通过更改 Replicas 字段中指定的数值来调整 Pod 数量。
- 接下来，创建 Deployment 对象：
- 现在，可以为 auth Deployment 创建 Service 了。使用 kubectl create 命令创建 auth Service：
- 重复相同的操作来创建和公开 fortune Deployment：
- 再次重复相同的操作来创建和公开 frontend Deployment。
- 获取 frontend 的外部 IP 地址，然后对其执行 curl 命令，以便与其交互：
EXTERNAL-IP 列的状态为 pending，请再次运行上述命令。看，您收到了一条提示消息！
验证您已完成的任务
点击下方的检查我的进度，以检查您的实验进度。如果您成功创建了 auth Deployment、fortune Deployment 和 frontend Deployment，就会看到一个评估分数。
恭喜！
恭喜！您已经使用 Kubernetes 开发了一个包含多个服务的应用。利用通过本实验学到的知识，您可以结合使用 Deployment 和 Service 对象，在 Kubernetes 上部署复杂的应用。
后续步骤/了解详情
- 您可以在 X 和社区博客上了解 Kubernetes 的最新动态。
- 请注意，Kubernetes 是 GitHub 上托管的一个开源项目 (http://kubernetes.io/)。我们衷心欢迎您的反馈意见和积极贡献。
Google Cloud 培训和认证
…可帮助您充分利用 Google Cloud 技术。我们的课程会讲解各项技能与最佳实践，可帮助您迅速上手使用并继续学习更深入的知识。我们提供从基础到高级的全方位培训，并有点播、直播和虚拟三种方式选择，让您可以按照自己的日程安排学习时间。各项认证可以帮助您核实并证明您在 Google Cloud 技术方面的技能与专业知识。
上次更新手册的时间：2025 年 8 月 11 日
上次测试实验的时间：2025 年 8 月 11 日
版权所有 2025 Google LLC 保留所有权利。Google 和 Google 徽标是 Google LLC 的商标。其他所有公司名和产品名可能是其各自相关公司的商标。
