项目文档kt 文档操作系统刚发新版内核、cgroup、包管理都换了代k8s 又往前推了一版容器运行时、CNI、etcd 得跟着对齐版本。这两件事叠在一起通常意味着一整个下午的搜索和反复的环境排错。再叠上离线就更麻烦。内网和信创场景里服务器连不上公网镜像源装一个集群要先把十几个组件的镜像一个个搬进去。镜像全不全、版本对不对、证书链通不通任何一环出岔子都得从头再来。具体到这次的环境Ubuntu 26.04 是今年上半年发布的长期支持版本内核已经到 7.0.0cgroup v2 也是默认配置——这恰好是 k8s 新版本所要求的两样东西。而 k8s 1.37.1 又是目前最新的稳定版。两个“新”撞在一起正好能检验一套部署工具跟版本跟得快不快。这篇文章记录的就是在全新的Ubuntu 26.04上用 kt 离线装出k8s 1.37.1 KubeSphere 4.1.3的完整过程。先用一句话概括k8s 两条命令KubeSphere 一条命令全程不联网也能装完。1. kt更新说明kt 是什么kt 是 kkKubeKey的二次开发版本。kk 是 KubeSphere 团队做的集群部署工具把 kubeadm 那一整套前置检查、容器运行时安装、镜像搬运都收敛成了“配置文件驱动”kt 在它基础上继续往下走重点加快了新版本适配、把离线体验做顺。这次发布的是 kt 3.2.2。支持最新 k8sk8s 跟到1.37.1同时组件版本整体前移etcd 升到 v3.7.2、Calico 升到 v3.32.2、crictl 升到 v1.37.0、Docker 升到 29.8.1、Helm 升到 v3.22.0cri-dockerd、buildx、hybridnet、Docker Compose 也都同步做了升级。版本齐是离线部署能不能一次跑通的前提。国产 CPU 的兼容性这一版解决了两处国产 CPU 的指令集兼容性问题海光 7 系列和飞腾 2000。这两个平台在国内信创项目里很常见做国产化适配的读者可以优先看这一条。etcd 部署的优化3.2.2 大幅优化了 etcd 的部署流程尤其是all-in-one的离线场景。etcd 是集群里最容易“起不来”的一环——数据目录有残留、peer URL 对不上、发现阶段拿不到集群信息都会卡在这里。把这块理顺离线安装的成功率会明显好看。版本要求有一个前提要提前说清楚k8s 从 1.35 开始对内核和 cgroup 有了要求——内核 5.10 以上、cgroup v2。本文使用的 Ubuntu 26.04 内核为 7.0.0默认满足。如果你用的是其他操作系统需要自行升级内核和 cgroup别跳过这一步。2. 环境准备服务器信息主机名用途OS内核配置IPnode1all-in-oneUbuntu 26.047.0.04核8G10.0.0.13本文用腾讯云轻量服务器做all-in-one部署。演示环境k8s.tx1st.cn用户名test密码P88w0rd只提供基础查看功能。要准备的文件一共三样东西上传到同一台节点后续所有操作都在这个节点上完成离线制品artifact-x86-k8s1371-ks413-core.tar.gz集群配置文件config-sample.yamlkt 二进制文件这里有个容易踩的坑建议使用全新的操作系统。操作系统不需要预装 docker不需要设置 selinux也不需要关 swap——kt 会自己处理。反过来如果机器上已经有残留的 k8s 组件、旧版 containerd或者手工改过一堆内核参数环境一乱各种奇怪问题都会冒出来。3. 改配置文件按实际的服务器信息把内容填进config-sample.yamlkind: Cluster metadata: name: sample spec: hosts: - {name: node1, address: 10.0.0.13, internalAddress: 10.0.0.13, user: root, password: 123213} roleGroups: etcd: - node1 control-plane: - node1 worker: - node1 # 如需使用 kk 自动部署镜像仓库请设置该主机组 建议仓库与集群分离部署减少相互影响 # 如果需要部署 harbor 并且 containerManager 为 containerd 时由于部署 harbor 依赖 docker建议单独节点部署 harbor registry: - node1 controlPlaneEndpoint: ## Internal loadbalancer for apiservers internalLoadbalancer: haproxy domain: lb.kubesphere.local address: port: 6443 kubernetes: version: v1.37.1 clusterName: cluster.local autoRenewCerts: true containerManager: containerd etcd: type: kubekey network: plugin: calico kubePodsCIDR: 10.233.64.0/18 kubeServiceCIDR: 10.233.0.0/18 ## multus support. https://github.com/k8snetworkplumbingwg/multus-cni multusCNI: enabled: false registry: type: harbor registryMirrors: [] insecureRegistries: [] privateRegistry: dockerhub.kubekey.local namespaceOverride: kubesphereio auths: # if docker add by docker login, if containerd append to /etc/containerd/config.toml dockerhub.kubekey.local: username: admin password: Harbor123 # 此处可自定义kk3.1.8新特性 skipTLSVerify: true # Allow contacting registries over HTTPS with failed TLS verification. plainHTTP: false # Allow contacting registries over HTTP. certsPath: /etc/docker/certs.d/dockerhub.kubekey.local addons: []节点与角色hosts里填节点的连接信息roleGroups决定每台机器扮演什么角色。单节点下etcd、control-plane、worker、registry全压在node1上看起来粗暴但这就是all-in-one的意义——用一台机器跑通全流程验证完再往多节点铺。k8s 与网络version指定v1.37.1containerManager用containerd。controlPlaneEndpoint里开了 haproxy 做 ApiServer 的内部负载均衡这是为多 control-plane 预留的单节点也照样能用。网络插件选的是calicoPod 网段10.233.64.0/18Service 网段10.233.0.0/18——这两段不要和你的内网、VPC 网段撞上。私有仓库registry.type设为harborprivateRegistry指向dockerhub.kubekey.local镜像统一落在kubesphereio这个 namespace 下。auths里的账号密码会在初始化时自动写进 containerd 的配置里。配置里那两行注释值得读一遍registry 建议和集群分离部署减少相互影响而 Harbor 本身依赖 docker如果集群的containerManager是 containerd最好单独拿一台机器放 Harbor。4. 建镜像仓库./kt init registry -f config-sample.yaml -a artifact-x86-k8s1371-ks413-core.tar.gz这条命令会在 Harbor 节点自动安装 docker 和 docker-compose添加证书信任链并把需要存放镜像的项目建好。稍等一会儿全部执行成功5. 创建 k8s 集群./kt create cluster -f config-sample.yaml -a artifact-x86-k8s1371-ks413-core.tar.gz --with-local-storage节点初始化、容器运行时安装、镜像推送、集群拉起这条命令一次做完中间不需要人工介入。--with-local-storage顺带把本地存储的 StorageClass 装好省得后面再补。执行后会有一条确认提示输入yes或y继续等一段时间看到安装成功的消息6. 安装 KubeSphere集群好了接着装 KubeSpherehelm upgrade --install -n kubesphere-system --create-namespace ks-core ks-core-1.1.5.tgz \ --set global.imageRegistrydockerhub.kubekey.local/ks \ --set extension.imageRegistrydockerhub.kubekey.local/ks \ --set ksExtensionRepository.image.tagv1.1.5 \ --debug \ --wait--wait会一直等到所有资源就绪。7. 验证与登录用命令行确认图形界面前先用命令行确认一遍更直接kubectl get nodes -o wide kubectl get pods -n kube-system节点应该是Readykube-system下的 Pod 除个别一次性 Job 外应全部RunningCONTAINER-RUNTIME一列显示为containerd://。打开控制台KubeSphere 已经起来了安装监控服务默认安装不含监控需要的时候在扩展里装安装到 host 集群装完之后重新登录看节点节点已经就绪节点详情里能看到容器运行时和内核信息8. 总结与提醒不论 x86 还是 arm不论在线还是离线不论国际发行版还是国产操作系统用 kt 加对应的离线安装包装 k8s 和 KubeSphere 都是同一套动作。最后提醒一句演示环境k8s.tx1st.cn只开了基础查看权限正式环境请务必改掉默认密码并把 Harbor 的账号密码换成自己的。项目文档tx1st.cn/kt