у меня в обязанности входит поиск людей последние пол года и это грёбанный ад. Я в будущем буду стараться поменьше базвордов делать внутри компании. Мастеров на все руки крайне мало и желающий быстро учиться.

А вы точно там ищите?)

А вы точно там ищите?)

бот тащит вакансии с пары площадок в телегу. Особо напряжно не ищу. пару человек в день падают новых.

свои хелмчарты писать на готемплейтах без тестов, кавереджа и интеграции - ок писать оператор на языке по выбору с отлаженными процессами - сложна!

#платиновые_треды_k8s

но ведь есть питончик

ребят, а вот такой use case. Нужно засекьюрить трафик между контейнерами, образующими кластер. Они общаются по своему протоколу (поверх TCP). Что лучше — написать свой sidecar для TLS-терминации, или заюзать что-то типа Istio? Насколько я понял, последний только с HTTP работает, или я не прав?

istio же через envoy проксирует?

ага

а енвой поддерживает tcp прокси

istio все поддерживает, но не все типы tcp умеет трейсить

ребят, а вот такой use case. Нужно засекьюрить трафик между контейнерами, образующими кластер. Они общаются по своему протоколу (поверх TCP). Что лучше — написать свой sidecar для TLS-терминации, или заюзать что-то типа Istio? Насколько я понял, последний только с HTTP работает, или я не прав?

у меня и так калика)

кстати в Weave net есть тупое шифрование трафика между подами

ребят, а вот такой use case. Нужно засекьюрить трафик между контейнерами, образующими кластер. Они общаются по своему протоколу (поверх TCP). Что лучше — написать свой sidecar для TLS-терминации, или заюзать что-то типа Istio? Насколько я понял, последний только с HTTP работает, или я не прав?

я для похожей задачи sidecar с stunnel в PSK mode поднял, оказалось очень просто

я для похожей задачи sidecar с stunnel в PSK mode поднял, оказалось очень просто

спасибо! попробую

https://github.com/jetstack/cert-manager/issues/870

как настроить antiAffinity

прочитал 4 статьи - выглядит как дичь

php?

init)

#whois ▫️Какой у вас проект или где работаете? DataCabinet Lviv LaSoft ▫️В чём вы специалист? Python Dev ▫️Чем можете быть интересны или полезны сообществу? Python Web development ▫️Чем интересно сообщество вам? Kubernetes ▫️Откуда вы? Lviv, Ukraine ▫️Как узнали про группу? Other Chat

В общем вопрос)

как написать ingress контроллер, чтоб к каждому поду можно было достучаться по PODNAME.mysite.com ?

как написать ingress контроллер, чтоб к каждому поду можно было достучаться по PODNAME.mysite.com ?

Лезть в поды плохой кейс(

Лезть в поды плохой кейс(

можно подробней?

А в чём смысл задачи изначально?

Зачем к отдельной поде стучаться?

Есть же сервисы

да, конечно, к сервису

можно подробней?

Концепт куба, что тебе пофиг что за поды

желательно, чтоб его тип был clusterIp

Потому что имеет смысл не Kubernetes натягивать на свою архитектуру, а подстраивать свою архитектуру под Kubernetes. Так гораздо здоровее получится.

Nginx ingress справляется

Только руками придется сконфигурить

Потому что имеет смысл не Kubernetes натягивать на свою архитектуру, а подстраивать свою архитектуру под Kubernetes. Так гораздо здоровее получится.

Nginx ingress справляется

читал нечто подобное

это единственый способ?

Потому что имеет смысл не Kubernetes натягивать на свою архитектуру, а подстраивать свою архитектуру под Kubernetes. Так гораздо здоровее получится.

Сильно адекватно для этого чатика

это единственый способ?

Istio чуть более гибкую настройку дает

перестаньте советовать истио людям которые не могут прочитать самостоятельно про ингресс контроллер

сервисов типа NodePort не может быть создано больше, чем 2767?

Тебе не нужен нодпорт

why?

Пусть апдейтит, с VMware жизнь сильно лучше, почти клауд прям

а можете подсказать, насчет их решения pivotal, работали? Это я так понял, кубер+пивотал+докер? Рассказывали на презентации, что они там с гугл напрямую работают, но стоит много денех.

why?

ингресс мапает обычные кластерапи сервисы

ингресс мапает обычные кластерапи сервисы

ок, спасиб, буду двигаться в том направлении

и еще один не очень умный вопрос

ух, ставить кубернетес чтобо он сгенерил nginx'cовский конфиг и редиректил на контейнеры - это мощно

резонно ли создавать по такому сервису на каждый деплоймент? если все деплойменты однотипные, но должны быть разделены?

ух, ставить кубернетес чтобо он сгенерил nginx'cовский конфиг и редиректил на контейнеры - это мощно

дело не только в этом

резонно ли создавать по такому сервису на каждый деплоймент? если все деплойменты однотипные, но должны быть разделены?

у каждого свой набор labels, service использует labelselector для выбора нужных ребяток

я все понимаю, нужно забить гвоздь, а рядом кубер лежит

соответвенно у каждого свой сервайс, если их перемешивать не нужно

спасибо, я на правильном пути

я все понимаю, нужно забить гвоздь, а рядом кубер лежит

может и так, но я рад, что учу все это

я все понимаю, нужно забить гвоздь, а рядом кубер лежит

Или ансибл

Че вы начинаете, дайте человеку развиваться

Или ансибл

kube-spray!

kube-spray!

rke fix-cluster

Надо написать модуль для терраформа который запускает kubespray

ох японский код в огне не горит

ох японский код в огне не горит

Очень грубо.

Очень грубо.

поправил

Народ, а кто как дружит HashiCorp Vault с Kubernetes? Есть Vault (вне Кубера) и k8s кластер. Идея в том, чтобы как-то создавать k8s секреты для приложений из содержимого Vault

гугл чо про это говорит?

https://github.com/Boostport/kubernetes-vault вот это у меня в первых вариантах

Google отправляет в сетапы Волта внутри Кубера. Штука по ссылке, кидает неявными ошибками с валидацией сертификата (пока не ясно, как это бороть, там несколько ишью есть) Потому стало интересно , что реально люди используют. Задача то, в принципе, достаточно общая

а че есть типа ру сотбщество rke?

а что такое rke?

ну типа ранчер кубернетес енжин

или ранчер

а что такое rke?

@rancher_ru оказывается есть 72 персонажа

Google отправляет в сетапы Волта внутри Кубера. Штука по ссылке, кидает неявными ошибками с валидацией сертификата (пока не ясно, как это бороть, там несколько ишью есть) Потому стало интересно , что реально люди используют. Задача то, в принципе, достаточно общая

У меня внешний волт, секреты и серты выписываются инит контейнером при старте. Думаю перейти на сикреты кубера с бекендом волта.

У меня внешний волт, секреты и серты выписываются инит контейнером при старте. Думаю перейти на сикреты кубера с бекендом волта.

Авторизация через сервис аккаунт и его токен.

А токен в ямл?

А токен в ямл?

Токен - это сикрет который генерируется для сервис аккаунта.

https://www.vaultproject.io/docs/auth/kubernetes.html

А, после аудентификации получаешь токен да

У меня внешний волт, секреты и серты выписываются инит контейнером при старте. Думаю перейти на сикреты кубера с бекендом волта.

Секреты потом через volume mount закидываются?

Секреты потом через volume mount закидываются?

Да

Спасибо!