в случае кода юзер увольняется, мы должны поменять пароль в Vault и рестартануть базу и сервис
Пароли от базы ерунда, страшно с апи ключами для всяких сторонних сервисов
Dmytro
Dmytro
Либо если в ваше приложение/микросервис ходят другие по апи с секретом
𝚔𝚟𝚊𝚙𝚜
ну я теоретически спрашиваю :)
Dmytro
Вот тут увольнение очень больно
Max
Подскажите, можно ли как-нибудь прописать владельца и/или права на hostPath volume без костыля в виде initContainer? Чтобы контейнеры с НЕ root пользователем могли писать в нее
Dmytro
В теории нужно менять все секреты, на практике тот же ньюрелик не даст перегенерировать ключ лицензии
Dmytro
Что делать? Не знаю
𝚔𝚟𝚊𝚙𝚜
Подскажите, можно ли как-нибудь прописать владельца и/или права на hostPath volume без костыля в виде initContainer? Чтобы контейнеры с НЕ root пользователем могли писать в нее
можно группу только и права, владельца низя
Max
kubelet по дефу создает 755
Dmytro
Есть идеи у людей чтобы все иакие секреты отдавала какая-то прокси (vault?) по секрету
Andrey
Что делать? Не знаю
Принять 😄
Абсолютной безопасности не бывает. Хоть чем пользуйся, все равно, у разраба есть доступ к коду, а из кода он может сдеать все что угодно.
Dmytro
Что в теории можно но на практике малореально
Dmytro
Принять 😄
Абсолютной безопасности не бывает. Хоть чем пользуйся, все равно, у разраба есть доступ к коду, а из кода он может сдеать все что угодно.
Кроме моей паранойи ещё это обычно аудиторы спрашивают
Dmytro
Почему Вася ушёл полгода назад а вы апи ключи не поменяли
Andrey
Кроме моей паранойи ещё это обычно аудиторы спрашивают
Ну тк пусть предложат реально работающее решение)
G72K
Вот допустим есть у вас база данных, в ней есть сервисный юзер и пароль.
Пароль от базы сохранен в Vault.
К этому паролю имеет доступ:
- сама база (она устанавливает его перед запуском)
- сервис которые использует эту базу (узнает пароль перед запуском)
- юзер который деплоит сервис
Я правильно понимаю концепт?
Конкретно с базами я у себя решил созданием секрета на лету при первом деплое базы, потом приложение использует этот секрет. Т.е. он нигде не хранится кроме как ввиде секрета куба
Dmytro
Ага, вы с аудиторами не общались? Из моего опыта там далекие от айти люди у которых инструкция на бумажке
Andrey
У меня самое эпичное было с ClickHouse.
Заморочился, пароли на сервере не хранятся, все в хешах, у всех персонифицированные учетки, для приложений на проде своя учетка. И вот, в какой то день, посыпались ошибки с прода, а там драйвер ClickHouse, за каким то &уем и логин и пароль прямо в лог пишет. Fffuuuuu
Dmytro
Например, одно из требований с бумажки - логать все запросы (с результатами) во все базы
Andrey
Ага, вы с аудиторами не общались? Из моего опыта там далекие от айти люди у которых инструкция на бумажке
Я так когда-то по ФЗ о персухе проходил сертификацию:
- Покажите как давно ставились обновления
- apt-get update
- ???
- ну видите, обновлений нет
- ОК
Andrey
Andor
Andor
Ну и волт умеет авторизовывать по кубер сервис аккаунту
G72K
Поигрался сегодня с ними, в итоге выбрал git-crypt.
Удобно то, что он не требует никаких дополнительных телодвижений. Один раз настроил .gitattributes, после чего все нужные файлы автоматически добавляются и шифруются прямо в git.
Для Ksonnet я настроил фильтр на secrets.libsonnet
Теперь если есть какие-то данные которые мне нужно зашифровать, я просто создаю secrets.libsonnet в environment затем делаю include его так-же как и globals.libsonnet.
Мне bitnami sealed secrets нравится тем, что даже CI не видит секретов, с остальными через свой initContainer наверное можно того же добиться
𝚔𝚟𝚊𝚙𝚜
Мне bitnami sealed secrets нравится тем, что даже CI не видит секретов, с остальными через свой initContainer наверное можно того же добиться
с git-crypt тоже не видит же, но если нужно, то можно сделать PSK-key для него
𝚔𝚟𝚊𝚙𝚜
но вообще концепция Hashicorp Vault мне нравится и скорее всего я даже задеплою его попозже, но на данный момент и git-crypt вполне хватает
𝚔𝚟𝚊𝚙𝚜
Надо поковырять его сначала
Andrey
Чел параноик, это хорошо :) не понял его пассаж про "нужен immutable configmap, значит будем использовать environment vars, они мол immutable". Возможно он как-то коряво объяснил идею.
про это написано в k8s issue на которое он ссылается. Если кратко, то immutable нужно для выката и отката.
G72K
про это написано в k8s issue на которое он ссылается. Если кратко, то immutable нужно для выката и отката.
Immutable configmap это хеш от .data в имени configmap ресурса. Где тут связь с переменными окружения? Почему они переделали все с файлов на переменные?
Andrey
ээ. нет там связи с env var
Andrey
они перешли на env var в Pod Spec, потому что это даёт возможность использовать механизмы rollout встроенные в k8s
Andrey
а immutable configmap - это неизменяемый configmap, какой в пень "хеш от .data"?
Andrey
такой вещи как immutable configmap ещё нет в природе
Max
Походу нет никакого способа сделать это кроме initContainers
Max
и в postStart lifecycle hook нельзя в exec указать под каким пользователем выполнить command
Max
печаль
bebebe
го в openshift, я создал (с)
Andor
r/o?
Andor
𝚔𝚟𝚊𝚙𝚜
печаль из коробки
𝚔𝚟𝚊𝚙𝚜
и в postStart lifecycle hook нельзя в exec указать под каким пользователем выполнить command
Подсмотрел в своих старых конфиге, делал так:
args: [ "-c", "chown zabbix /dev/stdout; exec runuser -u zabbix -p -- /usr/sbin/zabbix_agentd -f -c /config/zabbix_agentd.conf" ]
Max
Подсмотрел в своих старых конфиге, делал так:
args: [ "-c", "chown zabbix /dev/stdout; exec runuser -u zabbix -p -- /usr/sbin/zabbix_agentd -f -c /config/zabbix_agentd.conf" ]
хочу чтобы у меня один процесс в контейнере висел(
𝚔𝚟𝚊𝚙𝚜
ну тогда готовь их заранее
bebebe
мне кажется, эту тему с @Maxpain177 уже по третьему кругу педалируем
bebebe
про "готовь поды с молоду"
Vadim
*имаджи
Danila
У Openebs можно монтировать volumes в режиме ReadWriteMany?
Grisha
Ребзя, а при апдейте ингриза он рвёт все коннекте? Или у него тоже можно сделать престоп хук?
Grisha
Чтобы он выводился нежно
Rainbow
он не упадёт, пока все не закроет
Grisha
У него конфижится время грейсефул шутдауна?
Grisha
У меня просто под рукой нет компа чтобы доку глянуть
Rainbow
должен ждать пока не отключатся, без timeout. раньшетак точно было.
Grisha
По умолчанию ждать будет 30 сек вроде
Max
Grisha
да
Max
там вроде dynamic configuration в последних версиях есть
Max
без перезапуска nginx'a
Grisha
я другие еще даже не рассматривал
Grisha
у меня приложение построено таким образом что -s reload это тоже самое что и restart)
Grisha
не кидайтесь)
Max
не-не, там даже не reload
Max
там оно в памяти конфигурацию обновляет
Max
при смене endpoints
Max
или сертификатов
Grisha
хм..
Grisha
я вообще в качестве ингрис может быть только нджинк или трафик?
Grisha
а ha proxy?
Max
это когда у тебя коннект поднимается с ноды к CF
Max
и не нужно открывать даже 80/443 порты