Andor
То ли дело бинд
Andor
Oh, wai~
G72K
bind тяжело
Andor
Так ли это? Давайте спросим мнение экспертов
G72K
Ну когда bind можно законфигурировать просто командной строкой, тогда будет легче :)
Andor
Ну ты же сам понимаешь что у бинда куча фич которых у того же днсмаск просто нету
G72K
Ну кому они нужны, тот пусть и ставит :) в kube DNS от него надо было пробросить запросы наверх или во внутренний skydns ну и кешировать чуток
G72K
попробал ksonnet теперь доволен как слон, @rossmohax спасибо за наводку
Осторожно, от этой заразы сложно отвыкнуть
𝚔𝚟𝚊𝚙𝚜
Осторожно, от этой заразы сложно отвыкнуть
А зачем отвыкать? Уже даже самые простые манифесты на него перевел)
𝚔𝚟𝚊𝚙𝚜
@rossmohax слушай, а как ты хранишь пароли?
Andor
vault?
𝚔𝚟𝚊𝚙𝚜
Погляжу, спс
Andor
hashicorp vault i mean
Andor
в кубенях есть готовые адаптеры, но всегда можно свой инит-контейнер сделать
𝚔𝚟𝚊𝚙𝚜
Просто хочется их как-нибудь декларативно в ksonnet описывать, а хранить пароли в git - это моветон
Andor
https://github.com/Boostport/kubernetes-vault
𝚔𝚟𝚊𝚙𝚜
В идеале научить бы ksonnet туда ходить, аля: получил пароль в переменную, сгенерил секрет
G72K
Просто хочется их как-нибудь декларативно в ksonnet описывать, а хранить пароли в git - это моветон
Но по-хорошему их надо gpg шифровать и в гит, а в CI расшифровывать
𝚔𝚟𝚊𝚙𝚜
Кстати отличная идея!
Andor
В идеале научить бы ksonnet туда ходить, аля: получил пароль в переменную, сгенерил секрет
не надо так, пусть этим занимается управлялка сикретами
Etki
Но по-хорошему их надо gpg шифровать и в гит, а в CI расшифровывать
тут остается классическая проблема разделения доступа, но пока что самый нормальный вариант
𝚔𝚟𝚊𝚙𝚜
не надо так, пусть этим занимается управлялка сикретами
В таком случае возникает вопрос, как они в управлялку попадают
𝚔𝚟𝚊𝚙𝚜
тут остается классическая проблема разделения доступа, но пока что самый нормальный вариант
Через gpg можно для разных лиц шифровать же
𝚔𝚟𝚊𝚙𝚜
Емнип pass так умеет
G72K
тут остается классическая проблема разделения доступа, но пока что самый нормальный вариант
В gitlab есть ci раннеры, можно создать отдельные для прода, у них свой ключ
Etki
Через gpg можно для разных лиц шифровать же
Допустим, у тебя пять админов с тремя уровнями доступа. Получается, что у самых ответственных (и ссамых загруженных) будет три разных ключа, при использовании коих они будут сильно материться.
Andor
В таком случае возникает вопрос, как они в управлялку попадают
почитай про hashicorp vault, он - управлялка сикретами и умеет авторизовывать поды кубеней
G72K
Так вопрос не откуда брать секреты в рантайме, а при деплое :)
G72K
В рантайме кубовые secrets вполне годятся (хотя может какой-нибудь серьезный аудит и не пройдут)
Andor
https://github.com/Boostport/kubernetes-vault
Andor
тогда объясни, что такое "при деплое"?
G72K
Вот есть секрет - EV сертификат. Как и куда его :)
𝚔𝚟𝚊𝚙𝚜
Andor
он может быть в Vault PKI, например
G72K
Нет, секрет внешний, ваулт сам его создать не может
Andor
точно?
G72K
Точно
Andor
ну раз ты так говоришь, значит так и есть
Andor
а например креденшлы для google bigtable - это "внешний" секрет или какой?
G72K
Внешний если , с Гуглом интеграции волта нет
Andor
сломали что ли?
Andor
вчера была
Andor
то есть "внешний" - если нет плагина для волта
Andor
ок
G72K
Не настроили, нет желания, кто нибудь отвечающий за гугол не разрешает. Если жизнь вообщем
Andor
для многого есть, но для многого, разумеется, нету
Andor
но это уже демагогия
G72K
Конечно нет. Дел много, рук всего N*2
G72K
Волт это еще одна критичная рантайм зависимость
Andor
разумеется критичная
Etki
то есть "внешний" - если нет плагина для волта
пример с EV-сертификатом выше валидный, эта штука не делается автоматически
Andor
но если ты уже юзаешь кубеня, то +1 зависимость это уже ерунда
Andor
пример с EV-сертификатом выше валидный, эта штука не делается автоматически
ну эти сертификаты генерятся не каждый день же? значит можно просто сложить в статический сикрет
G72K
Я все выношу в деплой/конфиг тайм, чтобы рантайм был как можно тупее
Andor
и обновлять не очень автоматически
G72K
ну эти сертификаты генерятся не каждый день же? значит можно просто сложить в статический сикрет
Ну вот и приходим, что где то есть неописанный в гите процесс. Такое тоже надо минимизировать. Шифрованный файл в гите это решает, ваулт для этого не надо держать
Andor
Ну вот и приходим, что где то есть неописанный в гите процесс. Такое тоже надо минимизировать. Шифрованный файл в гите это решает, ваулт для этого не надо держать
ну либо ты берёшь нормальную систему управления сикретами, либо придумываешь костыли
Etki
ну эти сертификаты генерятся не каждый день же? значит можно просто сложить в статический сикрет
не-не, давайте не выискивать причины, по которым можно примеры отбрасывать
Andor
если костыли тебе ближе к телу - я не против
G72K
если костыли тебе ближе к телу - я не против
Я за костыли да, если они помогают не снижать надежность
Andor
как ты отважился кубернетис поставить вообще?
𝚔𝚟𝚊𝚙𝚜
Допустим, у тебя пять админов с тремя уровнями доступа. Получается, что у самых ответственных (и ссамых загруженных) будет три разных ключа, при использовании коих они будут сильно материться.
Или использовать целиком libsonnet как базу секретов, внутри обычный json. Затем его шифровать и хранить в git, под каждый уровень доступа иметь отдельный libsonnet просто
G72K
Потому что если куб пойдет попизде, все останется работать как было - контейнеры бегут, iptables правила на месте . Т.е. куб не рантайм зависимость
Andor
ну так выгрузка EV-сертификата в инит-контейнере - тоже не рантайм зависимость тогда
𝚔𝚟𝚊𝚙𝚜
Да, мне тоже нравится нравится идея все в виде простых конфигов хранить. Если что-то сломается всегда можно передеплоить заново
G72K
ну так выгрузка EV-сертификата в инит-контейнере - тоже не рантайм зависимость тогда
В этом случае да. Но ваулт слишком приятная штука и надо очень постараться не юзать всего плюшки.
Andor
если стандартизируешь приезд сикретов в файлики, то он будет не "рантайм зависимостью" тоже
Andor
другое дело что какую-то ротацию сикретов тоже надо делать
Andor
но это очевидно снижает надёжность
Sherzod
Посоны, а кроме kubernetes-dashboard есть что интересное и свежее?
Oleksii
rancher
Etki
#проклято
Oleksii
🙁
Andor
появилась странная идея, а можно ли кубелет садить отдельно от докеров на другом хосте например?
Andor
очень теоретически
Andor
например у меня есть арм-железки с 256мб памяти, кубелет может жрать половину этой памяти просто чтобы запуститься