云原生容器编排【免费下载链接】chartsBitnami Helm Charts项目地址https://gitcode.com/GitHub_Trending/charts30/charts点击查看免费下载Bitnami Kibana Helm Chart 是部署 Kibana 分析可视化平台到 Kubernetes 的标准方案之一本指南以仓库中 bitnami/kibana/CHANGELOG.md 为骨架完整梳理该 Chart 从 2019 年的 0.0.1 到当前 12.1.11 的版本演进主线——包括安全默认值收紧、Elasticsearch 认证与双向 TLS、Saved Objects 导入、Prometheus 监控、PodDisruptionBudget 等核心能力——并结合 values.yaml 与 templates 源码逐项展开参数与原理。读完本文你将掌握如何为生产环境配置安全、可观测、可扩展的 Kibana 部署并能依据变更历史预判升级时的行为差异。一、Chart 坐标与整体架构当前仓库中该 Chart 的元数据定义在 bitnami/kibana/Chart.yamlChart 版本12.1.11持续迭代配套镜像bitnami/kibana:9.1.2-debian-12-r0App 版本9.1.2依赖bitnami-common2.x提供标签、探针、affinity、资源预设等公共模板许可证Apache-2.0tanzuCategory: clusterUtility从 CHANGELOG 可以看到两个关键的架构分水岭5.0.02019-12-10移除了内置 Elasticsearch 依赖此后 Kibana 与 Elasticsearch 彻底解耦用户必须通过elasticsearch.hosts/elasticsearch.port显式指向外部实例6.0.02020-11-11将 Chart 升级为apiVersion: v2并接入 common 子 Chart标志着其进入现代 Helm 3 模板体系。因此一个最小可用的部署必须同时提供 ES 地址否则 Chart 会直接失败见下文值校验。Chart 渲染出的资源清单集中在 bitnami/kibana/templates包括 Deployment、ConfigMap、Secret、Service、Ingress、NetworkPolicy、PDB、ServiceMonitor、PVC、ServiceAccount 以及两类初始化脚本 ConfigMap插件安装、Saved Objects 导入覆盖了生产部署的绝大多数需求。二、CHANGELOG 中的演进主线2.1 安全加固最近两年的主旋律从 10.x 到 12.xCHANGELOG 呈现出一条非常清晰的安全默认值收紧路线逐条对应到 values.yaml 中可验证的配置版本变更内容对应配置/模板位置10.6.0支持PSA restricted 策略Pod Security Admissiondeployment.yaml 中 securityContext10.6.9不再自动挂载 ServiceAccount TokenautomountServiceAccountToken: false10.7.0完善podSecurityContext/containerSecurityContextrunAsUser: 1001、runAsNonRoot: true10.8.0ServiceAccount token 挂载移至 Pod 声明级别便于按需控制deployment.yaml10.8.1Openshift 兼容seLinuxOptions置 nullvalues.yamlcontainerSecurityContext10.9.0默认启用NetworkPolicynetworkPolicy.enabled: true10.12.0支持readOnlyRootFilesystemreadOnlyRootFilesystem: true配合 emptyDir 临时卷10.13.0Openshiftrestricted-v2 SCC 自动适配global.compatibility.openshift.adaptSecurityContext: auto11.0.0大版本全面收紧安全默认值feat!: :lock: :boom:上述各项默认启用11.1.0替换原始镜像时输出警告common.warnings.modifiedImages11.4.0检测非标准镜像NOTES.txt 中的common.errors.insecureImages11.6.0usePasswordFilestrue成为默认密码以文件方式挂载而非环境变量usePasswordFiles: true值得深入说明的几点非 root 与只读根文件系统containerSecurityContext默认runAsNonRoot: true、drop: [ALL]、seccompProfile: RuntimeDefault、readOnlyRootFilesystem: true。为支撑只读根目录deployment.yaml 将/tmp、配置目录、日志目录、插件目录全部挂载到共享 emptyDir 的 subPath 上。Pod 与容器安全上下文podSecurityContext.fsGroup: 1001、fsGroupChangePolicy: Always并由common.compatibility.renderSecurityContext统一渲染——这正是 Openshift 适配开关的底层实现在检测到 Openshift 集群时自动移除runAsUser/runAsGroup/fsGroup交给平台分配默认 ID。usePasswordFiles开启后Deployment 通过projected卷将多个 Secret 合并挂载到/opt/bitnami/kibana/secrets容器环境变量改为KIBANA_PASSWORD_FILE、KIBANA_ELASTICSEARCH_TRUSTSTORE_PASSWORD_FILE等文件路径形式降低密码通过环境变量暴露的风险参见 deployment.yaml 与投影卷定义。2.2 高可用与弹性PDB、探针、更新策略11.2.02024-06-03启用 PodDisruptionBudgetpdb.create: true默认开启支持minAvailable/maxUnavailable保障滚动维护时可用副本数。11.0.82024-05-20区分 liveness 与 readiness 探针默认 liveness 用tcpSocket端口 5601readiness 用httpGet /api/status在 deployment.yaml 中可见路径会根据configuration.server.basePath自动拼接。12.1.102025-08-21新增revisionHistoryLimit默认保留 10 个旧 ReplicaSet配合默认的RollingUpdate策略与resourcesPreset: small资源预设使用。若需快速恢复/排障可启用diagnosticMode用sleep infinity覆盖启动命令并关闭全部探针。2.3 连接 Elasticsearch认证与 TLS 的完整演进这条能力线贯穿多个版本最终在 11.x/12.x 形成完整矩阵9.0.02021-09-02引入 Kibana Server SSL 与 Elasticsearch SSLtls.enabled、elasticsearch.security.tls.enabled。9.3.92022-03-16修正 Elasticsearch 认证 URL。10.2.142023-02-01升级时不重新生成自签证书避免证书在helm upgrade时滚动失效。12.1.42025-06-27Saved Objects 导入脚本支持 TLS 与认证详见下文导入脚本分析。对应的 values 结构为elasticsearch: hosts: [] port: security: auth: enabled: false kibanaPassword: # kibana_system 用户密码 existingSecret: # 复用已有 Secretkey: kibana-password createSystemUser: false # 启动时通过 ES API 创建 kibana_system 用户 elasticsearchPasswordSecret: # createSystemUsertrue 时必填key: elasticsearch-password tls: enabled: false verificationMode: full # full | certificate | none existingSecret: # Truststore 或 CA 证书 usePemCerts: false truststorePassword: passwordsSecret: Chart 内置的强校验逻辑位于 _helpers.tpl包括noElasticsearchelasticsearch.hosts与elasticsearch.port必须同时提供missing-kibana-credentials开启认证但未提供kibanaPassword或existingSecret时直接failmissing-elasticsearch-trusted-caES 启用 HTTPS 且verificationMode ! none时必须提供 CA Secrettls.enabled启用 Kibana HTTPS 时必须提供tls.existingSecret或tls.autoGeneratedconflict-configurationextraConfiguration与configurationCM互斥missing-extra-volume-mounts声明extraVolumes必须同步声明extraVolumeMounts。2.4 入口与对外暴露Ingress 的持续增强CHANGELOG 中 Ingress 相关改动频率极高值得按时间线掌握5.1.02020-05-05Ingress path 支持模板求值7.0.02021-01-13大版本重构 Ingress适配多 host、tls 段9.2.02022-01-04补齐缺失的 Ingress 参数10.1.02022-05-16新增ingress.extraRules11.5.02025-02-24hostname 全局模板化ingress.hostname、extraHosts、extraTls均支持tpl渲染11.4.32025-01-23修复从 Ingress 配置推断publicBaseUrl的问题。在 configmap.yaml 中可以看到publicBaseUrl的推导逻辑优先使用显式配置的configuration.server.publicBaseUrl未配置但 Ingress 启用时根据ingress.tls自动生成https://hostname或http://hostname。配合server.basePath与server.rewriteBasePath可正确支撑反向代理子路径部署场景该能力最早由 5.3.0 引入8.1.3 又修复了rewriteBasePath下 Saved Objects 加载问题。2.5 配置注入插件、Saved Objects 与初始化脚本这是 Kibana Chart 最富实战价值的三项能力均落地为初始化脚本 ConfigMap emptyDir 共享卷模式插件安装plugins-configmap.yamlplugins参数传入 ZIP 地址数组模板渲染install-plugins.sh逐条执行kibana-plugin install url对应卷挂载到/docker-entrypoint-initdb.d/plugin-install。Saved Objects 导入saved-objects-configmap.yaml支持savedObjects.urls远程 NDJSON 地址与savedObjects.configmapConfigMap 内的 NDJSON 文件两种来源脚本通过POST /api/saved_objects/_import导入。12.1.0 新增savedObjects.overwrite参数为 true 时在 URL 后追加?overwritetrue12.1.4 让该脚本支持 Kibana Server TLS--cacert与 ES 认证-u elastic:${KIBANA_PASSWORD}补齐了此前在安全集群上无法自动导入的短板。自定义初始化脚本initScriptsCM/initScriptsSecret分别挂载到/docker-entrypoint-initdb.d/cm与/docker-entrypoint-initdb.d/secret配合forceInitScripts强制重跑。2.6 可观测性Prometheus 与 ServiceMonitor2.0.12019-10-29首次加入 ServiceMonitor 支持5.2.12020-06-01修正 Prometheus metrics 采集路径11.4.02024-12-10随文档批次统一了 Prometheus metrics 说明。现配置位于metrics段metrics.enabled: true时在 Service 上注入prometheus.io/scrape: true、prometheus.io/path: _prometheus/metrics注解对应 Kibana 的kibana-prometheus-exporter插件metrics.serviceMonitor.enabled: true时额外渲染 ServiceMonitor 对象servicemonitor.yaml支持interval、scrapeTimeout、relabelings、metricRelabelings等定制。注意Prometheus 指标真正可用依赖 kibana-prometheus-exporter 插件需同时通过plugins参数安装。三、Deployment 的容器编排细节源码级deployment.yaml 默认渲染两类 init 容器 一个主容器volume-permissions可选volumePermissions.enabled persistence.enabled以 root 运行对/bitnami/kibana执行chown runAsUser:fsGroup解决部分 K8s 发行版不支持 fsGroup 自动改属主的问题对应 README Adjust permissions of persistent volume mountpoint。copy-default-plugins始终存在从镜像内置目录把默认插件拷贝到共享 emptyDir 的app-plugins-dir保证插件目录可写且保留出厂插件。kibana 主容器通过环境变量注入KIBANA_ELASTICSEARCH_URL由kibana.elasticsearch.url模板按 host 数组与 TLS 开关拼装出逗号分隔的 URL 列表、KIBANA_SERVER_ENABLE_TLS、KIBANA_ELASTICSEARCH_ENABLE_TLS等。ES 多 host 支持是 10.0.5 渲染 ES 端口模板化的延续适合多节点 ES 集群。四、常用部署命令与配置示例安装必须先提供 ES 地址helm install my-release oci://registry-1.docker.io/bitnamicharts/kibana \ --set elasticsearch.hosts[0]elasticsearch \ --set elasticsearch.port9200生产级安全配置示例可写入自定义 values 文件elasticsearch: hosts: - elasticsearch-master port: 9200 security: auth: enabled: true existingSecret: kibana-es-credentials # key: kibana-password tls: enabled: true verificationMode: full existingSecret: es-ca-truststore tls: enabled: true autoGenerated: true # 或 tls.existingSecret usePasswordFiles: true plugins: - https://github.com/pjhampton/kibana-prometheus-exporter/releases/download/v8.0.0/kibana-prometheus-exporter-8.0.0.zip savedObjects: urls: - https://my-cdn.example.com/dashboards.ndjson overwrite: true metrics: enabled: true serviceMonitor: enabled: true ingress: enabled: true hostname: kibana.example.com ingressClassName: nginx tls: true selfSigned: true resources: requests: cpu: 500m memory: 1Gi limits: cpu: 1 memory: 2Gi若忘记配置 ESChart 的 NOTES.txt 会给出补全指引使用helm upgrade ... --set elasticsearch.hosts[0]YOUR_ES_HOST,elasticsearch.portYOUR_ES_PORT完成部署诊断问题时可临时启用diagnosticMode并用kubectl exec进入 Pod 手动执行/opt/bitnami/scripts/kibana/entrypoint.sh。五、升级与运维要点来自 CHANGELOG 的实践沉淀大版本语义11.0.0收紧安全默认值与12.0.0属于破坏性变更升级前务必阅读当次 changelog 并检查自定义 values 是否与新的默认安全上下文、NetworkPolicy、PDB 冲突。凭据更新Bitnami 系列 Chart 在首次启动时固化凭据后续修改需先在 ES 侧更新密码再执行 README 提供的 Secret 重建命令kubectl create secret generic ... --from-literalkibana-passwordPASSWORD。证书行为10.2.14 起helm upgrade不再重新生成自签证书如需轮换请显式重建 SecretTLS 相关改动会触发 Pod 注解checksum/tls变化并自动滚动。备份恢复依赖持久卷默认 PVC 10GiReadWriteOnce可通过 Velero 备份/bitnami/kibana数据目录并恢复到新部署。六、小结通过 bitnami/kibana/CHANGELOG.md 可以清晰看到这个 Chart 的演进始终围绕安全默认值收紧 与外部 Elasticsearch 的认证/TLS 打通 配置注入插件、Saved Objects、初始化脚本 高可用与可观测性四条主线。理解这些历史变更不仅有助于把握当前 12.1.11 的默认行为如usePasswordFiles、NetworkPolicy、PDB 均已默认开启更能帮助你在升级或排障时快速定位某个参数为什么这样设计、从哪个版本开始生效。配合仓库中的 values.yaml、deployment.yaml 与 _helpers.tpl 研读即可获得从会安装到懂原理的完整能力。赞分享云原生容器编排【免费下载链接】chartsBitnami Helm Charts项目地址https://gitcode.com/GitHub_Trending/charts30/charts点击查看免费下载相关推荐Bitnami Apache Helm Chart 演进全解从 CHANGELOG 看 11.x 特性、安全加固与生产实践Bitnami Apache Helm Chart 演进全解从 CHANGELOG 看 11.x 特性、安全加固与生产实践 Apache HTTP Serve云原生容器编排从 CHANGELOG 看懂 Bitnami DeepSpeed Helm Chart 的演进从 0.1.0 到 2.3.x 的安全加固、训练集群与配置实战从 CHANGELOG 看懂 Bitnami DeepSpeed Helm Chart 的演进从 0.1.0 到 2.3.x 的安全加固、训练集群与配置实战云原生容器编排Bitnami Consul Helm Chart 版本演进深度解析从 CHANGELOG 看功能、安全与运维实践Bitnami Consul Helm Chart 版本演进深度解析从 CHANGELOG 看功能、安全与运维实践 本文以仓库中 bitnami/consul云原生容器编排上一篇G-Helper技术解析华硕笔记本硬件控制框架的逆向工程与实现下一篇NVIDIA Profile Inspector终极指南解锁显卡隐藏性能的完整教程创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考