« Rev
@kubernetes_ru   1002
Fwd »


‌‌‎D
kubectl get nodes все READY?
Костя
@DACTAH все в Ready, на них работают поды, аппы итд итр. Имею ввиду по функционалу никаких нареканий
‌‌‎D
unknown node "k8s-worker01" вот это сообщение намекает якобы нет связи, либо днс упал поэтому лучше перепроверить
‌‌‎D
cannot get secret kube-system/kube-dns-token-wv9sh cannot get configmap kube-system/kube-dns плюс двух случаях kube-dns не доступен
Костя
cannot get secret kube-system/kube-dns-token-wv9sh cannot get configmap kube-system/kube-dns плюс двух случаях kube-dns не доступен
Так в том то и дело, что работает. /app # nslookup hrsm-web-service.hrsm.svc.cluster.local 10.233.0.3 Server:    10.233.0.3 Address 1: 10.233.0.3 kube-dns.kube-system.svc.cluster.local Name:      hrsm-web-service.hrsm.svc.cluster.local Address 1: 10.233.31.169 hrsm-web-service.hrsm.svc.cluster.local​
Костя
unknown node "k8s-worker01" вот это сообщение намекает якобы нет связи, либо днс упал поэтому лучше перепроверить
Если бы что то не работало или отвалилось, то логично было бы ожидать другое severity лога
‌‌‎D
https://github.com/kubernetes-incubator/kubespray/issues/1856 здесь говорят что проблема с сертификатами или сервис аккаунтами
‌‌‎D
https://github.com/kubernetes-incubator/kubespray/issues/1856#issuecomment-339855628 похожая проблема
Antony 🇫🇷
#whois ▫️Какой у вас проект или где работаете? инфраструктура для EMM Enterprise Mobile Management ▫️В чём вы специалист? На стадии переквалификации ▫️Чем можете быть интересны или полезны сообществу? доступом к французскому сектору ▫️Чем интересно сообщество вам? опытом, помощью, новостями. ▫️Откуда вы? Ница/Монако ▫️Как узнали про группу? Yandex
Ivan
Приветствую! А кто-нибудь сертифицировался по PCI DSS? Не могу понять как разделить сеть на CDE и DMZ с использованием VLAN...
В прошлом году успешно прошли аудит как оператор карточных данных, без хранения. Раз вланы, значит где-то есть роутер, которые все это дело маршрутизирует. Значит он же и как брандмауэр выступает между сегментами. Описываете имеющиеся правила и обосновываете ради какой бизнес-необходимости каждое из них существует. Ну и не забываете поддерживать в актуальном состоянии для будущих аудитов.
Yerlan
В прошлом году успешно прошли аудит как оператор карточных данных, без хранения. Раз вланы, значит где-то есть роутер, которые все это дело маршрутизирует. Значит он же и как брандмауэр выступает между сегментами. Описываете имеющиеся правила и обосновываете ради какой бизнес-необходимости каждое из них существует. Ну и не забываете поддерживать в актуальном состоянии для будущих аудитов.
В прошлом году успешно прошли сертификацию PCI DSS, но инфраструктура состояла только из виртуальных машин + VLAN. Сейчас решили поставить поверх виртуальных машин Kubernetes для сервисов, но как правильно натянуть VLAN (и надо ли вообще?) - не совсем понятно... Думаем возможно достаточно обеспечить разделение доступа подов посредством политик... Сейчас VLANы соединяет виртуалка, но когда она в обслуживании, то разрыв коннекта...
ᛃᛟᚺᚾ ᚠᚨcᛖᛚᛖᛊᛊ ᛞᛟᛖ
слушайте, а че можно как-то кластер заставить удалять эвиктнутые поды самому?
ᛃᛟᚺᚾ ᚠᚨcᛖᛚᛖᛊᛊ ᛞᛟᛖ
а то я уже близок к тому чтобы на крон повесить баш дропать их
ᛃᛟᚺᚾ ᚠᚨcᛖᛚᛖᛊᛊ ᛞᛟᛖ
что именно удалять за выселенными подами? образы?
сами поды же
ᛃᛟᚺᚾ ᚠᚨcᛖᛚᛖᛊᛊ ᛞᛟᛖ
у меня сейчас их около 20, и они просто висят в ошибке
ᛃᛟᚺᚾ ᚠᚨcᛖᛚᛖᛊᛊ ᛞᛟᛖ
я че делаю, грепаю вывод kubectl где статус Evicted и удаляю каждый
Denis
Товарищи, подскажите по Helm. TILLER_HISTORY_MAX за что отвечает? Я раньше думал что она соответсвует значению REVISION при выводе команды "helm list". Я путаю 2 понятия?
ᛃᛟᚺᚾ ᚠᚨcᛖᛚᛖᛊᛊ ᛞᛟᛖ
terminationGracePeriodSeconds
о, ништяк, спасибо
Denis
Просто Helm создает тутчу конфигмапов с иториями версий. Жутко не удобно, да и этот функционал не нужен от него. Думал что с помощью этого можно ограничить у него создание этих конфигмапов
ᛃᛟᚺᚾ ᚠᚨcᛖᛚᛖᛊᛊ ᛞᛟᛖ
terminationGracePeriodSeconds
судя по доке это должно работать только для Terminating, а у меня они evicted
Vadim
судя по доке это должно работать только для Terminating, а у меня они evicted
https://kubernetes.io/docs/tasks/administer-cluster/out-of-resource/#soft-eviction-thresholds
ᛃᛟᚺᚾ ᚠᚨcᛖᛚᛖᛊᛊ ᛞᛟᛖ
https://kubernetes.io/docs/tasks/administer-cluster/out-of-resource/#soft-eviction-thresholds
двойное спасибо, пойду покурю ман
Huan
привет всем. подскажите как перенестить поду стейтфулсета на другую ноду куба?
Øk_gø_løve
NodeSelector?
Huan
а если в стейтфулсете реплика 3?
Denis
а если в стейтфулсете реплика 3?
Опиши задачу полностью. Что хочешь сделать?
Andrey
Народ, подскажите вызываю редактирование kubernetes-dashboard на мастере kubectl -n kube-system edit service kubernetes-dashboard что мне нужно прописать , чтобы web UI было доступно с удаленных компов? NodePort? пните в нужное русло
Artem
по хорошему - ingress включить
Andrey
по хорошему - ingress включить
ингресс не ставил пока, хотел пока в обход его
Huan
Опиши задачу полностью. Что хочешь сделать?
есть стейтфулсет сервиса apache nifi с репликой 3. одна нода куба постоянно вылетает, там где лидирующая нода этого nifi. когда перезапускаю эту поду, то он запускается на той же ноде. а мне нужно перенести на другую ноду
Artem
ингресс не ставил пока, хотел пока в обход его
самое простое тогда, у себя на локалхосте делать port-forward
Artem
или nodePort , но тогда будут порты из серии 32035
Huan
на этой ноде есть другие поды
Huan
Понял, спасибо
Anonymous
Привет, для чего kubespray по умолчанию запрещает докеру работать с iptables? docker_iptables_enabled: "false"
Anonymous
А может кто подсказать - у local persistent volume обязательно размер указывать или можно так же как в докере - создай мне volume, а о свободном месте я позабочусь сам ?
Сергей
Привет, для чего kubespray по умолчанию запрещает докеру работать с iptables? docker_iptables_enabled: "false"
не знаю, но добавлю, что если этого не сделать: правила внесенные с помощью, например: UFW - контейнерами полностью игнорируются.
Anonymous
я из-за этого столкнулся с проблемой, что для вручную запущенного docker-compose на машине в кластере нельзя задать изоляцию сети: контейнеры легко ходят по сети кубера, игнорируя опции в compose.yml. К примеру это легко может дропнуть базу, так как домен postgres резолвится в кубер вместо локального postgres из компоуза.
Anonymous
Чот, либо я хочу странного, либо я выбрал неверный инструмент. Я хочу, чтобы на 3х нодах у меня всегда было 2 экземпляра сервиса, которые бы хранили данные на локальной ФС. И чтобы селекторами управлять - на какой ноде запускать эти сервисы. Миграции сервисов не планируется.
Anonymous
Сейчас читаю доки - тип PV hostpath мне не подходит: HostPath (Single node testing only – local storage is not supported in any way and WILL NOT WORK in a multi-node cluster)
Rainbow
Он тоже не работает на multi-node, нужно крепить поды к нодам, но он позже позволяет без усилий переехать на нормальный fs
Rainbow
А, или крепить не нужно, если под уже привязался к pv?
Anonymous
То есть я на двух нодах создаю два local-storage (LS-A и LS-B) Теперь, чтобы мне нужны 2 экземпляра ноды на разных серверах Получается - нужно 2 отдельных сервиса делать: svc-A и svc-B, для которых эти local-storage и указывать ?
Rainbow
service это балансер для подов, идет отдельно.
Anonymous
Да, поды, верно.
Anonymous
Ладно, скорее всего проще будет попробовать https://kubernetes.io/blog/2018/04/13/local-persistent-volumes-beta/
‌‌‎D
ребята, подскажите, если я хочу задеплоить хелм чарт, у которого image repository будет разным в зависимости от ветки git, как мне это сделать?
‌‌‎D
через --set image or --set tag
helm install —set image?
‌‌‎D
спасибо, попробую
‌‌‎D
пока что в values.yaml сделал url repository короче, а в deployment.yaml дополнил {{ .Release.Namespace }}
Denis
Не могу понять это баг или фича?
Denis
Товарищи, подскажите по Helm. TILLER_HISTORY_MAX за что отвечает? Я раньше думал что она соответсвует значению REVISION при выводе команды "helm list". Я путаю 2 понятия?
Denis
Просто Helm создает тутчу конфигмапов с иториями версий. Жутко не удобно, да и этот функционал не нужен от него. Думал что с помощью этого можно ограничить у него создание этих конфигмапов
Øk_gø_løve
фича же
Øk_gø_løve
тиллер же не хранит в себе содержимое конфигмапа
Øk_gø_løve
он хранит только values
Denis
тиллер же не хранит в себе содержимое конфигмапа
TILLER_HISTORY_MAX не за это отвечает переменная?
Øk_gø_løve
TILLER_HISTORY_MAX не за это отвечает переменная?
по идее да. но тебе надо скорее всего тиллер передеплоить с нуля, чтобы оно применилось
Denis
по идее да. но тебе надо скорее всего тиллер передеплоить с нуля, чтобы оно применилось
Я когда тиллер деплоил помоему указывал 5, он их все равно плодит тучу
Denis
Но могу ошибатся
Øk_gø_løve
а если делать через helm init —history-max=5 ?
Denis
Щас гляну как было
Denis
а если делать через helm init —history-max=5 ?
helm init --service-account tiller --history-max 10
𝚔𝚟𝚊𝚙𝚜
Привет, для чего kubespray по умолчанию запрещает докеру работать с iptables? docker_iptables_enabled: "false"
И правильно делает, по умолчанию docker плодит много iptables-правил, которые в принципе не нужны, т.к. у куба своя сеть. А если их не отключить они могут привести к непредсказуемым последствиям непринужденно влияя на работу некоторых оверлейных сетей.
𝚔𝚟𝚊𝚙𝚜
« Rev
@kubernetes_ru   1002
Fwd »