« Rev
@kubernetes_ru   1099
Fwd »


Andor
Почему разделение ресурсов внутри кластера так не одобряется?
потому что это не мешает тебе сделать по ошибке replicas: 100 в стейжинговом неймспейсе и выесть все ресурсы кластера
Vadim
Почему разделение ресурсов внутри кластера так не одобряется?
чтобы одним движением руки навернулся один кластер, а не 20
Andor
в том же заландо ваще кластер на условный проект
𝚔𝚟𝚊𝚙𝚜
а разве можно прибивать неймспейсы к нодам?
Можно, и достаточно легко теперь https://stackoverflow.com/questions/52487333/how-to-assign-a-namespace-to-certain-nodes
Andor
а они есть?
Глеб
Добрый день. Не подскажете, в случае со свежеустановленным kubernetes 1.11.3, какие условия должны быть выполнены для подключения к удалённому кластеру с помощью kubectl с внешки? Если я правильно понял, в общем случае следует подсунуть локальному kubectl файл .kube/config, изменив в нём адрес сервера, и всё должно взлететь. kubeadm init на матсере выполнен с параметром --apiserver-cert-extra-sans, но всё равно полноценно подключиться не выходит.
Nik
а они есть?
https://kubernetes.io/docs/concepts/policy/resource-quotas/
Nik
Не?
Dmitry
https://kubernetes.io/docs/concepts/policy/resource-quotas/
Как ресурсы можно ограничить, так и число подов
Nik
Ну тогда снова вопрос - зачем делать много кластеров?
Глеб
А он у вас к api-серверу то подключается вообще?
Извините за нубство, но вопроса не понял. Речь про отсутствие сетевых проблем?
Andor
https://kubernetes.io/docs/concepts/policy/resource-quotas/
okay okay, я не шарю в admission control'ах
Nik
okay okay, я не шарю в admission control'ах
Да я сам только неделю как ковыряюсь в доке. RBAC нормально до сих пор не настроил.
Глеб
telnet k8s-master 6443
Да, на сети очевидных проблем нет. Сообщения об ошибках явно от сервера, я и версию софта на сервере мог посмотреть, если из config удалить данные сертификата, но в этом случае список подов, например, получить не выходит.
Maksim
А что за ошибка?
Глеб
А что за ошибка?
>kubectl get nodes --insecure-skip-tls-verify=true No resources found. Error from server (Forbidden): nodes is forbidden: User "system:anonymous" cannot list nodes at the cluster scope >kubectl get nodes No resources found. Unable to connect to the server: x509: certificate signed by unknown authority
Maksim
RBAC работает
Dmitry
Почитай про https client authorisation
Глеб
А зачем менять адрес сервера? Он не резолвиться?
Ну адрес в файле, взятом с мастера он локальный, а я подключаюсь не из той же сети
Maksim
Дай теперь .kube/config
Vadim
Ну адрес в файле, взятом с мастера он локальный, а я подключаюсь не из той же сети
так может мастер только локально и слушает. Тогда начинай по новой, с правильным адресом кластера, так чтобы там ничего менять не пришлось
Maksim
Суть в том что ты работаешь от имени system:anonimous который ничего не может
Алексей
Хотел ещё спросить про инструменты деплоя в куб. Хотелось что бы скрипты накатки и темплейты конфигов лежали все в одном месте + актуальные значения для конфигов для каждого окружения в зашифрованном виде. Грубо говоря что бы я одной командой поднял все окружение - все мои сервисы и какой-нибудь консул и в этот консул залил нужные мне кофиги. Что то похожее на ansible только для k8s ??
Maksim
Плин сертификат самоподписанный
Maksim
Он же пишет, что нету доверия к авторизационному центру
Maksim
Вы читайте потом советуйте
bebebe
Дай теперь .kube/config
вот за такое ататата надо делать
Maksim
Ну пусть затреть ип
Maksim
Я не смогу понять что у него не так при коннекте в ролевой моделе
Глеб
Что-то я потерялся, коллеги( Ну если подойти с другой стороны к вопросу: есть свежеустановленный kubernetes на GCP (не средствами платформы, а вручную). Наверное, есть список процедур, которые надо выполнить, чтобы в дефолтном варианте всё взлетело?
Andor
ты знаешь, как работает SSL/TLS и всё такое?
Mr.
да я сменил айпи)
поздно, мы тебя уже вычислили
Andor
знаешь почему какое-то приложение может ругаться на то что у сервера сертификат самоподписаный?
Andor
верно
Andor
в случае с kubectl у тебя сертификат должен быть где-то в районе конфига лежать и он по-умолчанию будет доверенным
bebebe
Что-то я потерялся, коллеги( Ну если подойти с другой стороны к вопросу: есть свежеустановленный kubernetes на GCP (не средствами платформы, а вручную). Наверное, есть список процедур, которые надо выполнить, чтобы в дефолтном варианте всё взлетело?
зайдите в gcloud консоль, и получите kubeconfig gcloud config set project <GCP_PROJECT_ID> CLOUDSDK_CONTAINER_USE_CLIENT_CERTIFICATE=True gcloud container cluster get-credentials --zone <GOOGLE_ZONE_ID> <GCP_CLUSTER_NAME> kubectl config view --raw > kubeconfig далее скачивайте/копируете этот kubeconfig к себе KUBECONFIG=/path/to/kubeconfig_from_gcloud kubectl cluster-info
Andor
было ли доверие раньше - нам неизвестно
Andor
что именно у тебя поломалось в доверенностях - тоже неизвестно
Глеб
Была такая мысль, не проверил. Указать путь к файлам сертификата в конфиге, разумеется?
Andor
а ну вон есть простой способ перегенерить конфиг
bebebe
тогда страдайте
Алексей
Или этот вопрос скорее в @devops_ru?
𝚔𝚟𝚊𝚙𝚜
а что такое накатки? oO
Алексей
Накатить - развернуть
Mr.
Накатить - развернуть
именно в такой последовательности
bebebe
разворачивать прежде всего нужно через CD, а не руками. ансиблом, шмансиблом, ксоннетом, хельмом, но это должен быть CD процесс через него можно порешать проблему с сикретами
Andor
я б щас накатил, а не вот это вот всё
Алексей
ansible уже предлагали?
Я вот тоже думаю о нем, но думал, что под куб может более специализированный инструмент найдётся
Алексей
ksonnet
Спасибо! Посмотрю
Vadim
этих инструментов известно чуть более 8 млрд. Зачем вам их все изучать если ключевое слово уже прозвучало
Алексей
разворачивать прежде всего нужно через CD, а не руками. ансиблом, шмансиблом, ксоннетом, хельмом, но это должен быть CD процесс через него можно порешать проблему с сикретами
Я полностью согласен! Но больше интересен инструмент который ты в крайнем случае можешь вызвать у себя из консоли и он все сделает
Andor
да даже kubectl apply -f неплох
Andor
зависит же от задач
Алексей
helm(file)?/ksonnet/dapp
Буду смотреть что больше подойдёт, спасибо!
Sherzod
Создал kubernetes-dashboard, хочу его прокинуть через ingress наружу. Что-то как-то сделал, но не работает: kubectl -n kube-system get services kubernetes-dashboard NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE kubernetes-dashboard NodePort 10.98.28.69 <none> 443:31737/TCP 164m ^ вот тут вроде он слушает 443 порт kubectl -n kube-system get ingress NAME HOSTS ADDRESS PORTS AGE kubernetes-dashboard-ingress kubemaster 80, 443 55m ^ вроде как есть прокидка dashboard-ingress конфиг: apiVersion: extensions/v1beta1 kind: Ingress metadata: annotations: nginx.ingress.kubernetes.io/secure-backends: "true" ingress.kubernetes.io/ssl-passthrough: "true" nginx.org/ssl-backends: "kubernetes-dashboard" kubernetes.io/ingress.allow-http: "false" name: kubernetes-dashboard-ingress namespace: kube-system spec: tls: - hosts: - serverdnsname secretName: kubernetes-dashboard-certs rules: - host: kubemaster http: paths: - path: /dashboard backend: serviceName: kubernetes-dashboard servicePort: 443 Как понять, в чём проблема? kubemaster это имя мастер-сервера, у него ip 192.168.0.16 Может быть дело в том, что ingress не слушает по этому ip?
Sherzod
До этого у kubernetes-dashboard был type: ClusterIP, тоже не работало
Oleksii
пода ингресса
« Rev
@kubernetes_ru   1099
Fwd »