вообще это плохая практика перегружать логику приложения знанием об инфраструктуре. Приложение берёт конфигурацию из env, всё.

кто сказал, что это плохая практика?

Я завтра захочу env хранить в другом месте, мне просить программиста приложение переделать?

ну и это не "логика приложения", а подключенный модуль к этому приложеню

Я завтра захочу env хранить в другом месте, мне просить программиста приложение переделать?

не захочешь

вы же решаете проблему "прогер может поменять entrypoint". Пусть он решает проблему "завтра вменим хранилище".

ну я же сегодня захотел env из configmap/secret перенести в vault

>изначально entrypoint в манифесте может быть не задан и контролируется разработчиком образа >мне просить программиста приложение переделать?

env или секреты?

envкоторые в describe не видны

>изначально entrypoint в манифесте может быть не задан и контролируется разработчиком образа >мне просить программиста приложение переделать?

для меня docker image - это один большой бинарник, поведение которого контролируется через env vars и volumes - я не хочу вносить дополнительные сложности сюда. Это унифицированный подход

вот пусть разработчик и достаёт переменные тогда 🙈

Индустрия идёт обратным путем, разнос всего по блекбоксам с одной крутилкой наружу. Если бы разработчики думали о всех деталях, не было бы кубернетиса (мир был бы лучше при этом) , а была бы богатая экосистема штук народе https://www.joyent.com/containerpilot но несролось

для меня docker image - это один большой бинарник, поведение которого контролируется через env vars и volumes - я не хочу вносить дополнительные сложности сюда. Это унифицированный подход

для вас или разработчика? Если он ваш то и пилите его. Если он "его" то пусть у него и голова болит как env vars передавать

Индустрия идёт обратным путем, разнос всего по блекбоксам с одной крутилкой наружу. Если бы разработчики думали о всех деталях, не было бы кубернетиса (мир был бы лучше при этом) , а была бы богатая экосистема штук народе https://www.joyent.com/containerpilot но несролось

я за перехерачивание приложения, если оно гладко не лезет в куб.

и так делаю. И у меня голова не болит про куб.

и если нужно сказать разрабу не трогать entrypoint - он не будет.

для вас или разработчика? Если он ваш то и пилите его. Если он "его" то пусть у него и голова болит как env vars передавать

да блин, нельзя привносить логику доставания env vars из vault в приложение. Потому что приложение не только в кубе работает, и не только с волтом

entrypoint не приложение, а часть его упаковки

да блин, нельзя привносить логику доставания env vars из vault в приложение. Потому что приложение не только в кубе работает, и не только с волтом

это был сарказм. скажите разрабу не трогать entrypoint и закройте вопрос.

просто договор, что он всегда в /entrypoint.sh, даже если пустой.

да блин, нельзя привносить логику доставания env vars из vault в приложение. Потому что приложение не только в кубе работает, и не только с волтом

Ну вот java например, system properties может доставать из ключей, проперти файла и наверняка чего нибудь ентерпрайзного ещё. Вопрос абстракций же :)

это значит мне надо будет разбираться в логике вызова всяких npm/php или бинарника приложения - я не хочу в это лезть. Завтра разработчик решит, что надо не npm start, а какой-нибудь ng start - ему ко мне на поклон идти менять entrypoint?

и вообще, FROM whatever-crap-the-dev-made:latest COPY my-entrypoint /

см. выше

вот так, медленно но верно, запускатели куба учатся взаимодействовать с остальной командой

это значит мне надо будет разбираться в логике вызова всяких npm/php или бинарника приложения - я не хочу в это лезть. Завтра разработчик решит, что надо не npm start, а какой-нибудь ng start - ему ко мне на поклон идти менять entrypoint?

Нет, он меняет свою логику в /start.sh а вы соглашаетесь сделать exec start.sh в конце вашей entrypoint

При этом он собирает контейнеры с ENTRYPOINT [/start.sh]

В таком разе можно договориться с разрабами брать конфиги не из env vars, а сорсить вполне определённый файл с ними. Это если договариваться.

а подменять entrypoint - так себе затея

а подменять entrypoint - так себе затея

Постоянно всплывает надобность что то свое засунуть при старте.

это да.

кстати, подмена entrypoint не спасает от проблемы динамичности

приложение должно перечитывать конфиг при его изменении

Можно разное придумать , но лучше всего работает стандартный заранее известный ENTRYPOINt, тогда все как-то легче

приложение должно перечитывать конфиг при его изменении

Ну с переменными окружения у вас динамичности никакой по определению, так что точно не хуже

Давайте обсудим пользу бэкапа етцд :)

#платиновые_треды_k8s

у меня проблема в том, что сервисов куча, все уже давно договорились использовать env vars, которые раньше прописывали в манифесте. Теперь у меня стоит задача наименее безболезненно перенести управление секретами в vault. При этом договорённости про enrtypoint нет, где-то он задан в манифесте, где-то нет.

если менять entrypoint - это надо по каждому сервису индивидуально смотреть, договариваться, чтоб он не изменился потом.

если переходить с env vars на конфиг в файле - опять же надо все сервисы переделывать

как показывает опыт, решение социальных проблем техническими средствами плохо удается

если встраивать клиент vault в образ - тогда разрабам для тестирования образа у себя нужно будет либо vault поднимать, либо логику дополнительную наворачивать

как показывает опыт, решение социальных проблем техническими средствами плохо удается

если бы конфиги изначально были в файлах - я бы без всякой социальной инженерии это дело провернул. Использование env vars - это техническая деталь, и если изменение технической детали приносит проблемы - то они не социальные, а недостаток технологии

Чуваки, посоветуйте пожалуйста хорошие whitepapers по k8s, помимо основных ресурсов? Надо для заказчика, который будет разворачивать там свой CICD (Jenkins) для DeepLearning4J (Caffe, kera, tensorflow).

в следующий релиз Istio включат Kiali - https://preliminary.istio.io/docs/tasks/telemetry/kiali/

Ребята нубский вопрос. есть контейнер, я в деплойменте создаю PVC темплейт и монтирую в папку , на момент поднятия контейнера в этой папке присутсвуют некие данные, когда по темплейту создается PVC и затем PV моунтится по пути - данные в папке останутся жить, или там станет пусто???

Ребята нубский вопрос. есть контейнер, я в деплойменте создаю PVC темплейт и монтирую в папку , на момент поднятия контейнера в этой папке присутсвуют некие данные, когда по темплейту создается PVC и затем PV моунтится по пути - данные в папке останутся жить, или там станет пусто???

Если не ошибаюсь, то пусто

Должно быть пусто, в доке по-моему даже есть упоминание scrub

Значит с днс в подах ни у кого проблем не было?

https://cloud.google.com/kubernetes-engine/docs/how-to/node-auto-provisioning пушка бомба 3018 год

почти как в CoreOS два года назад, только конфигурить толком нельзя

lol

и я снова с вопрсом)) почему хельм когда создает файл _helpers то в нем была структура переменных приблизительно такая {{- define "cool-app.name" -}} {{- default .Chart.Name .Values.nameOverride | trunc 63 | trimSuffix "-" -}} {{- end -}} то есть с приставкой названия проекта, из-за чего я не мог воспользываться в ямлах такой записью {{ template "name" . }} но если я эту приставку уберу, то всё работает почему он так делает и можно-ли этого избежать? а то если задумываться о боевых деплоях, то оно ведь ломать деплой будет

говоришь как работник конторы, которая купила себе CoreOS

именно потому мне и нравится кореосовское решение, а не "вот тебе голая нода, допили её до нормального состояния"

https://cloud.google.com/kubernetes-engine/docs/how-to/node-auto-provisioning пушка бомба 3018 год

а в чем поинт? писать yaml который раскатывает ноду с кубом?)

а в чем поинт? писать yaml который раскатывает ноду с кубом?)

ты как будто не любишь yaml-и писать

а в чем поинт? писать yaml который раскатывает ноду с кубом?)

оно умеет скейлить при нагрузке

оно умеет скейлить при нагрузке

в 2018 этим уже не удивить

для того же амазона давно была фича запуска новых нод когда нагрузка приходит

или это не оно?

а в чем поинт? писать yaml который раскатывает ноду с кубом?)

ниче не писать, есть у тебя поды с толерейшенами и аффинити нужными тебе - он тебе сам нужные нодпулы заделает

подскажите, как делать impersonation для сервис аккаунта, в доках внятного описания не нашёл $ kubectl get sa default NAME SECRETS AGE default 1 216d me@sshct:~$ kubectl --as=system:serviceaccount:default:default auth can-i get nodes no - Unknown user "system:serviceaccount:default:default"

для того же амазона давно была фича запуска новых нод когда нагрузка приходит

только это GKE, не уверен что в managed амазоне такое есть

в менеджед хз

Есть два уровня: нода и нод пул, обычный кластер автоскейлер скейлит ноды в рамках нод пулов. Нет подходящего нод пула - ниче не поскейлится. Эта фича сама создает нод пулы, которые удовлетворяют требованиям пода: реквесты памяти, цпу, гпу, аффинити правилам

охтыжщи

но зачем?

спецификация ноды прибита гвоздями к пулу, вот зачем

если у тебя шедулится под, которому нужен GPU, для него создастся пул с подходящими параметрами инстанса

autoscaler такую задачу решить не может

он только одинаковые инстансы в рамках пула делает

зачем это гуглу - побольше вкатить тебе счет - я понял

Или более частый кейс: ты не можешь знать изначальнок, какие Аффинити и Антиаффинити рулы будут продиктованы твоими приложениями, и с такой штукой тебе не нужно думать заранее о лейблах и тейнтах на нод пулах

вполне понятное желание

не понимаю кому может понадобиться фича "давайте ничего не планировать, пусть гугл сам там крутит"

не понимаю кому может понадобиться фича "давайте ничего не планировать, пусть гугл сам там крутит"

и это тоже вполне понятное желание ,)

зачем это гуглу - побольше вкатить тебе счет - я понял

как раз наоборот, у тебя нет нужды держать пул с универсальным инстансом, который сразу жирный по памяти CPU диску и GPU чтоб уметь запустить любой под.

как раз наоборот, у тебя нет нужды держать пул с универсальным инстансом, который сразу жирный по памяти CPU диску и GPU чтоб уметь запустить любой под.

нодпул можно с нулем создавать jfyi

не знал, спс

Это штука не позволит тебе включить себя без верхних границ по ресурсам - больше чем надо не нашедулит, так что я думаю в конечном итоге эффективность размещения улучшится

fair enough