基于 Amazon EKS 快速构建企业级 Shiny 平台

## 全局环境配置
## AWS区域设置，可将此环境设置加入到操作系统用户环境的 Profile 中实现登录后自动设置
REGION_EKS=cn-northwest-1
export AWS_DEFAULT_REGION=$REGION_EKS

## EKS集群名
EKS_CLUSTER_NAME=EKS-SHINY

## 可自定义 EKS 集群的 Tag 标签信息，用于后续的费用跟踪及其他管理（可选项）
TAG="Environment=Alpha-Test,Application=Shiny"

## 以下命令将创建名为 EKS-SHINY、版本为1.15不带任何工作节点组的 EKS 集群
## 各参数含义可通过 eksctl create cluster --help 查看

eksctl create cluster \
--name=$EKS_CLUSTER_NAME \
--version=1.15 \
--region=$REGION_EKS \
--tags $TAG \
--without-nodegroup \
--asg-access \
--full-ecr-access \
--alb-ingress-access
## 集群配置通常需要10到15分钟，此过程将自动创建所需的 VPC/安全组/ IAM角色/ EKS API 服务等诸多资源

## 集群访问测试,正常会显示集群的 CLUSTER-IP 等信息
kubectl get svc --watch

## 如需删除创建的 EKS 集群，可使用下面的命令
## eksctl delete cluster --name=$EKS_CLUSTER_NAME --region=$REGION_EKS

mkdir -p ~/download
cd ~/download

## 相关参数可参考：https://eksctl.io/usage/schema/
## 以下命令将创建一个名为 EKS-Shiny-NodeGroup 的节点组，包含2个 m5.xlarge 类型 EC2 的节点，存储空间为30GB
## 部分参数可根据实际需求进行修改，如 EC2 实例类型、数量、EBS卷大小等
## 可在参数文件中根据需要添加 节点标签（labels）、启动时自动执行的脚本、以及附加的 Policy
## 添加 Policy 时必须包括默认的 AmazonEKSWorkerNodePolicy 及 AmazonEKS_CNI_Policy

## 节点组名称
NODE_GROUP_NAME="EKS-Shiny-NodeGroup"

## 编辑 NodeGroup 配置文件，文件名可自定义
vi EKS-Shiny-NodeGroup.yaml

apiVersion: eksctl.io/v1alpha5
kind: ClusterConfig

metadata:
  name: EKS-SHINY
  region: cn-northwest-1

nodeGroups:
  - name: EKS-Shiny-NodeGroup
    instanceType: m5.xlarge
    minSize: 1
    maxSize: 10
    desiredCapacity: 2
    volumeSize: 30
    ssh:
      allow: true
      publicKeyName: # EC2 密钥对
    labels: {role: worker, NodeSize: m5.xlarge}
    tags:
      {
      "Environment": "Alpha-Test",
      "Application": "ShinyProxy"
      }
    iam:
      attachPolicyARNs:
        - arn:aws-cn:iam::aws:policy/AmazonEKSWorkerNodePolicy
        - arn:aws-cn:iam::aws:policy/AmazonEKS_CNI_Policy
        - arn:aws-cn:iam::aws:policy/AmazonS3FullAccess
      withAddonPolicies:
        albIngress: true
        autoScaler: true
        cloudWatch: true
        ebs: true
        efs: true

## 创建 NodeGroup
eksctl create nodegroup --config-file=./EKS-Shiny-NodeGroup.yaml

## 在某些异常的情况下，如需删除之前失败的 NodeGroup 可执行下面的命令
## eksctl delete nodegroup --config-file=./EKS-Shiny-NodeGroup.yaml --approve

## 查看目前节点组信息，确认各节点状态显示为“Ready”
kubectl get node --wide --watch

## 通过 AWS CLI 方式创建容器镜像的ECR存储库
REGION_EKS=cn-northwest-1
export AWS_DEFAULT_REGION=$REGION_EKS

## 创建三个 ECR 存储库
aws ecr create-repository \
    --repository-name shiny-application \
    --image-scanning-configuration scanOnPush=true
    
aws ecr create-repository \
    --repository-name kube-proxy-sidecar \
    --image-scanning-configuration scanOnPush=true

aws ecr create-repository \
    --repository-name shinyproxy-application \
    --image-scanning-configuration scanOnPush=true
    

## 登录 ECR 服务（下面的命令无需修改可执行，注意保留$符号及括号）
## 执行成功将返回 “Login Succeeded” 信息
$(aws ecr get-login --no-include-email --region cn-northwest-1)

## 搜索 Shiny 容器
docker search shiny

## 拉取 Shiny 容器
docker pull rocker/shiny

## 简单测试，如在80端口启动 Shiny（EC2上未使用端口均可），需对应开启 EC2 安全组设置
sudo docker run -it -p 80:3838 rocker/shiny

## 下载 OpenAnalytics 的示例配置
cd ~/download
git clone https://github.com/openanalytics/shinyproxy-config-examples.git
cd ~/download/shinyproxy-config-examples/03-containerized-kubernetes

vi kube-proxy-sidecar/Dockerfile
## 修改 kube-proxy-sidecar 目录下的Dockerfile 文件内容为：

FROM alpine:3.6
ADD https://share-aws-nx---s3---cn-northwest-1.amazonaws.com.rproxy.goskope.com.cn/shiny/kubectl1.7.4 /usr/local/bin/kubectl
RUN chmod +x /usr/local/bin/kubectl
EXPOSE 8001
ENTRYPOINT ["/usr/local/bin/kubectl", "proxy"]

FROM openjdk:8-jre

RUN mkdir -p /opt/shinyproxy/
RUN wget https://share-aws-nx---s3---cn-northwest-1.amazonaws.com.rproxy.goskope.com.cn/shiny/shinyproxy-2.3.0.jar -O /opt/shinyproxy/shinyproxy.jar
COPY application.yml /opt/shinyproxy/application.yml

WORKDIR /opt/shinyproxy/
CMD ["java", "-jar", "/opt/shinyproxy/shinyproxy.jar"]

cd ~/download/shinyproxy-config-examples/03-containerized-kubernetes/shinyproxy-example

vi application.yml

proxy:
  port: 8080
  authentication: simple
  admin-groups: admins
  users:
  - name: admin
    password: Admin@123
    groups: admins
  - name: guest
    password: Guest@123
    groups: guest
  container-backend: kubernetes
  container-wait-time: 300000
  heartbeat-rate: 10000
  heartbeat-timeout: 300000
  kubernetes:
    internal-networking: true
    url: http://localhost:8001
    namespace: shiny
    image-pull-policy: IfNotPresent
    image-pull-secret:
  specs:
  - id: 00_demo_shiny_application
    display-name: Simple Shiny Application Demo
    description: Simple Shiny Application Demo
    container-cmd: ["sh", "/usr/bin/shiny-server.sh"]
    container-image: <AWS账号ID>.dkr---ecr---cn-northwest-1.amazonaws.com.rproxy.goskope.com.cn/shiny-application:v1
    access-groups: [admins, guest]
  - id: 01_hello_shiny_application
    display-name: Hello Application
    description: Application which demonstrates the basics of a Shiny app
    container-cmd: ["R", "-e", "shinyproxy::run_01_hello()"]
    container-image: openanalytics/shinyproxy-demo
    access-groups: [admins, guest]

spring:
  servlet:
    multipart:
      max-file-size: 100MB
      max-request-size: 100MB

logging:
  file:
    shinyproxy.log

## 标记并推送 Shiny 测试应用容器到 ECR 服务
docker tag rocker/shiny:latest <AWS账号ID>.dkr---ecr---cn-northwest-1.amazonaws.com.rproxy.goskope.com.cn/shiny-application:v1
docker push <AWS账号ID>.dkr---ecr---cn-northwest-1.amazonaws.com.rproxy.goskope.com.cn/shiny-application:v1

## 创建、标记并推送 kube-proxy-sidecar 容器
cd ~/download/shinyproxy-config-examples/03-containerized-kubernetes/kube-proxy-sidecar
docker build -t <AWS账号ID>.dkr---ecr---cn-northwest-1.amazonaws.com.rproxy.goskope.com.cn/kube-proxy-sidecar:v1 .
docker push <AWS账号ID>.dkr---ecr---cn-northwest-1.amazonaws.com.rproxy.goskope.com.cn/kube-proxy-sidecar:v1

## 创建、标记容器并推送到 ECR 服务，标签可自定义
cd ~/download/shinyproxy-config-examples/03-containerized-kubernetes/shinyproxy-example
docker build -t <AWS账号ID>.dkr---ecr---cn-northwest-1.amazonaws.com.rproxy.goskope.com.cn/shinyproxy-application:v1 .
docker push <AWS账号ID>.dkr---ecr---cn-northwest-1.amazonaws.com.rproxy.goskope.com.cn/shinyproxy-application:v1

cd ~/download/shinyproxy-config-examples/03-containerized-kubernetes

vi sp-service.yaml

kind: Service
apiVersion: v1
metadata:
  name: shinyproxy
spec:
  type: LoadBalancer
  selector:
    run: shinyproxy
  ports:
  - protocol: TCP
    port: 80
    targetPort: 8080
    nodePort: 32094

cd ~/download/shinyproxy-config-examples/03-containerized-kubernetes

vi sp-deployment.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: shinyproxy
  namespace: default
spec:
  selector:
    matchLabels:
      run: shinyproxy
  replicas: 1
  template:
    metadata:
      labels:
        run: shinyproxy
    spec:
      containers:
      - name: shinyproxy
        image: <AWS账号ID>.dkr---ecr---cn-northwest-1.amazonaws.com.rproxy.goskope.com.cn/shinyproxy-application:v1
        imagePullPolicy: IfNotPresent
        ports:
        - containerPort: 8080
      - name: kube-proxy-sidecar
        image: <AWS账号ID>.dkr---ecr---cn-northwest-1.amazonaws.com.rproxy.goskope.com.cn/kube-proxy-sidecar:v1
        imagePullPolicy: IfNotPresent
        ports:
        - containerPort: 8001
      imagePullSecrets:

## 使用 kubectl 完成部署
kubectl apply -f sp-authorization.yaml
kubectl apply -f sp-deployment.yaml
kubectl apply -f sp-service.yaml

## 后续如对 sp-deployment.yaml 文件进行了修改，可重新Apply得以应用新的内容
kubectl apply -f sp-deployment.yaml

## 可使用下面的命令查看ShinyProxy的部署情况，正常情况下会很快显示 Running 状态
kubectl get pod -n shiny --watch

## 部署过程会自动创建AWS的负载均衡器用于访问 ShinyProxy
## 通过下面的命令可在 EXTERNAL-IP 列获取AWS负载均衡器信息的访问地址链接
## 负载均衡器有一个约几分钟的创建和生效过程，可通过AWS控制台确认负载均衡器状态正常后再进行访问
kubectl get svc

  kubernetes:
    internal-networking: true
    url: http://localhost:8001
    namespace: shiny
    image-pull-policy: IfNotPresent
    image-pull-secret:
    node-selector: NodeSize=m5.xlarge

4.2 为 Shiny 应用提供可共享存储

## 为使节点能够挂载 EFS存储，我们将在节点组创建过程的配置文件的“preBootstrapCommands”配置节中添加三条命令，完成 EFS 在节点启动过程中的自动挂载
## 注意修改第二条指令中的 EFS 服务ID
preBootstrapCommands:
      - 'sudo mkdir -p /mnt/data/'
      - 'sudo mount -t nfs4 -o nfsvers=4.1,rsize=1048576,wsize=1048576,hard,timeo=600,retrans=2,noresvport EFS文件系统ID---efs---cn-northwest-1.amazonaws.com.rproxy.goskope.com.cn:/ /mnt/data/'
      - 'sudo chmod -R 777 /mnt/data'
## 在 ShinyProxy 的 application.yml 配置文件中为对应的 Shiny 容器启用自动挂载
## 注意 container-volumes 中路径的一致性

container-volumes: ["/mnt/data:/root/Shiny/Users/data"]

## 如将原节点数量从2调整为3
eksctl scale nodegroup  --cluster EKS集群名 --name 节点组名 --region=cn-northwest-1 —nodes 3

proxy:
  ldap:
    url: ldap://ldap.xxxxx.com:389/dc=example,dc=com
    ...

## 编辑 sp-service.yaml 文件，修改为以下内容

kind: Service
apiVersion: v1
metadata:
  name: shinyproxy
  namespace: default
spec:
  ports:
    - port: 80
      targetPort: 8080
      protocol: TCP
  type: NodePort
  selector:
    run: shinyproxy

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: "shinyproxy-ingress"
  namespace: "default"
  annotations:
    kubernetes.io/ingress.class: alb
    alb.ingress.kubernetes.io/scheme: internet-facing
    alb.ingress.kubernetes.io/target-group-attributes: stickiness.enabled=true,stickiness.lb_cookie.duration_seconds=3600
    alb.ingress.kubernetes.io/load-balancer-attributes: idle_timeout.timeout_seconds=1800
    alb.ingress.kubernetes.io/healthcheck-protocol: HTTP
    alb.ingress.kubernetes.io/healthcheck-path: /login
    alb.ingress.kubernetes.io/healthcheck-interval-seconds: '20'
    alb.ingress.kubernetes.io/healthcheck-timeout-seconds: '5'
    alb.ingress.kubernetes.io/healthy-threshold-count: '2'
    alb.ingress.kubernetes.io/unhealthy-threshold-count: '2'
    alb.ingress.kubernetes.io/target-type: ip

  labels:
    run: shinyproxy
spec:
  rules:
    - http:
        paths:
          - path: /*
            backend:
              serviceName: "shinyproxy"
              servicePort: 80