ну да, но это надо заводить отдельный сервер с вебрутом, проксировать .well-known с фронтов на этот сервер и с него потом деплоить сертификат на фронты внешними от сертбота способами.

Можно попробовать сделать на уровне http реврайт, если сервера не нагруженные

ну то есть если у вас нет возможности в пару команд внести запись в DNS - то да, геморнее.

Можно попробовать сделать на уровне http реврайт, если сервера не нагруженные

сертбот ходит по 30х-редиректам?

Интернал реврайт же

Интернал реврайт же

что? вы не знаете на какой из 50 серверов придет запрос от сертбота.

у меня днс на яндексе

у меня днс на яндексе

у днс на яндексе есть очень удобное апи.

ну атк надо писать к ней скрипт )

ну атк надо писать к ней скрипт )

вот блин!

не проблема

просто это надо делать

а решение с шелом дает получить серт прям сейчас

вот в чем затык

Кстати, а яндекс.днс можно делегировать левым чувакам?

через апи )

Кстати, а яндекс.днс можно делегировать левым чувакам?

выдать доступ кому-то левому к какой-то зоне?

выдать доступ кому-то левому к какой-то зоне?

да хоть ко всем моим. но только днс, а не весь сервис

там можно ключи доступа к днс-апи выдавать

но кажется это зааффектит весь ПДД

там можно ключи доступа к днс-апи выдавать

только к днс без почты?

воот

напишите интерфейс с апишкой и выдавайте досутпы к доменам

и делегируйте кому хотите

что? вы не знаете на какой из 50 серверов придет запрос от сертбота.

Да, забыл я как нгинкс работает. В каждой сервер добавить локейшн для таких файлов не вариант?

Да, забыл я как нгинкс работает. В каждой сервер добавить локейшн для таких файлов не вариант?

вам надо еще файл поместить на каждый сервер, чтобы LE его нашел

Если в каждый сервер поставить локейшн для обработки этот запроса, то он может смотреть файлы на одном сервере куда локейшн будет проксировать

ну да, но это надо заводить отдельный сервер с вебрутом, проксировать .well-known с фронтов на этот сервер и с него потом деплоить сертификат на фронты внешними от сертбота способами.

Тогда я просто не понимаю вопрос. А как хочется?

хм, у меня нет вопроса.

Да, забыл я как нгинкс работает. В каждой сервер добавить локейшн для таких файлов не вариант?

я так и делаю

у letsencrypt есть ограничение на количество поддоменов?

у letsencrypt есть ограничение на количество поддоменов?

надо смотреть в условия

мож кто генерил на свои поддомены

или ни у кого статика как минимум с поддомена не тянется?

или ни у кого статика как минимум с поддомена не тянется?

ну на уровне десятка поддоменов ограничений не заметили

10 уже норм

кто нибудь доводил до А+? по умолчанию А-

если кому интересно https://github.com/eustasy/bubbly/blob/master/nginx.ssl.conf тут настройки для А+

У меня в докеры приходится передавать десятки ключей через env , пока их было три было ок, но сейчас уже нужно другое решение, какое?

У меня в докеры приходится передавать десятки ключей через env , пока их было три было ок, но сейчас уже нужно другое решение, какое?

consul, etcd? вообще env уже deprecated

env deprecated?

да

я пропустил новости

да

где?

Ничосе.

https://docs.docker.com/engine/deprecated/ докер об этом ничего не знает.

Первый же WARNING https://docs.docker.com/engine/userguide/networking/default_network/dockerlinks/

env deprecated для линковки контейнеров, не вводи людей в заблуждение.

а. каюсь. посыпаю голову пеплом - это я о своём о женском

да, меня занесло

но мой ответ кстати всё равно верный ;)

😃

я ж подумал что в докере env закрыли

Ну тем не менее, т.е. ваш ответ получается вообще их не юзать. а выносить наверх?

уже полез в issue

Ну тем не менее, т.е. ваш ответ получается вообще их не юзать. а выносить наверх?

Если их не единицы - конечно

мне просто нравилось так не иметь на машинах исполнителях докеров никаких хранилишь. а передавать через -e с ансиблом например

мне просто нравилось так не иметь на машинах исполнителях докеров никаких хранилишь. а передавать через -e с ансиблом например

Если инфа секьюрная дофига, то лучше не consul/etcd/zookeeper, а vault от hashicorp.

Там и аудит, и ревокейшон есть.

И генерировать сам умеет

Спасибо, но помойму это ещё не мой кейз. Оно секретное, но такое, можно перегенерить если утечет.

А почему не секреты от самого докера?

Слишком свежие ;)

Так старые секреты обычно уже не тайны

Я имел ввиду что docker secret не было на момент когда решение это было

А containerpilot никто не использует/пробовал?

Выглядит вроде интересно, но живого опыта ноль

Коллеги, чет не получается найти инфу как залинковать хост из одной докер-сети в другую докер-сеть. Первый докерфайл: version: '2' services: phpmyadmin: image: phpmyadmin/phpmyadmin restart: always ports: - 3307:80 links: - mysql:db networks: - mysql networks: mysql: external: name: mysql_default Второй докерайл: version: '2' services: mysql: image: mysql:5.7 restart: always volumes: - server_data:/var/lib/mysql volumes: server_data: driver: local Как дать доступ phpmyadmin к mysql?

оба сервиса живут в разных сетях phpmyadmin_default mysql_default я подключил phpmyadmin к сети mysql_default и попытался залинковать хост mysql как db в контейнере и не вышло) Чет мне кажется я фигню какую-то делаю...

ну во первЫх, а зачем они в разных сетях? в осталбных, ну так правильно откуда тогда одна сеть узнает как зовут хост из другой, тут всё как обычно, превлекам внешний сервис или ручками (ну и там ещё можно фаерволом делов натворить, но по дефолту он вроде в такой ситуации н мешает)

ну во первЫх, а зачем они в разных сетях? в осталбных, ну так правильно откуда тогда одна сеть узнает как зовут хост из другой, тут всё как обычно, превлекам внешний сервис или ручками (ну и там ещё можно фаерволом делов натворить, но по дефолту он вроде в такой ситуации н мешает)

ты прав, можно засунуть в одну суть но я хочу понять как выйти из этой ситуации :) это в качестве обучения

из пхпадмина пингуется ИП хоста с мускулем :) оно и логиноч

Но вот контейнер с пхпадмином ждет что на хосте db будет база... а такого хоста нет, вместе этого база на ИП 172.18.0.2 как замаппить 172.18.0.2:db ?

или только ручками прописать в /etc/hosts ?

ну вы попробуйте немного подумать, как вообще один хост узнаёт о существовании другого и как до него добираются пакеты

Это что значит? оздать хост внутри контейнера

Всё это врожденная в днк боль докера

Которую решают внешними сервисами

Это что значит? оздать хост внутри контейнера

другими словами "создать запить в /etc/hosts"

Всё это врожденная в днк боль докера

а в докере когда был service discovery заявлен?