так никто не знает, как правильно serviceaccount указать для kubectl --as=?

подскажите, как делать impersonation для сервис аккаунта, в доках внятного описания не нашёл $ kubectl get sa default NAME SECRETS AGE default 1 216d me@sshct:~$ kubectl --as=system:serviceaccount:default:default auth can-i get nodes no - Unknown user "system:serviceaccount:default:default"

возможно после того как я делал helm upgrade для приложения, удалить replica set командой helm del name_of_app —purge? или быть может какой-то другой, ибо приложение из хельма полностью удаляется, а в кубере rs остаются(

подскажите, какой инстанс взять на амазоне, чтоб юзать kubernetes + jupyter notebook

а тогда как делают бэкапы уважаемые краеведы (: ? или, мб, есть что-то внятное в статьях?

Я, вот, смонтировал на ноды шару glusterfs (fuse), pv даю папку в шаре по имени pv, а бэкапить можно копированием папок из файловой системы гластера, но это пока матерый тест

Или любым средстаом бэкапирования файлов с ноды из файловой системы

привет всем. подскажите как перенаправлять траффик на бекенды в зависимости от User-Agent с помощью ingress?

А имежди на ltfs и в сейф + овчарка на цепи😁

привет всем. подскажите как перенаправлять траффик на бекенды в зависимости от User-Agent с помощью ingress?

istio и\или poor man's service mesh из подручных материалов

istio и\или poor man's service mesh из подручных материалов

есть опыт развертывания истио?

есть опыт развертывания истио?

Есть, АПВС?

что такое апвс?

А кто-нибуть fc чистоганом забрасывал, работает?

подскажите, как делать impersonation для сервис аккаунта, в доках внятного описания не нашёл $ kubectl get sa default NAME SECRETS AGE default 1 216d me@sshct:~$ kubectl --as=system:serviceaccount:default:default auth can-i get nodes no - Unknown user "system:serviceaccount:default:default"

Сервис аккаунт пользователи задаются как обычные пользователи, синтаксис не помню :)

подскажите, как делать impersonation для сервис аккаунта, в доках внятного описания не нашёл $ kubectl get sa default NAME SECRETS AGE default 1 216d me@sshct:~$ kubectl --as=system:serviceaccount:default:default auth can-i get nodes no - Unknown user "system:serviceaccount:default:default"

Попробуй без system:

подскажите, как делать impersonation для сервис аккаунта, в доках внятного описания не нашёл $ kubectl get sa default NAME SECRETS AGE default 1 216d me@sshct:~$ kubectl --as=system:serviceaccount:default:default auth can-i get nodes no - Unknown user "system:serviceaccount:default:default"

serviceaccounts мб?

кому-то удавалось задавать лимит ReplicaSet через параметр revisionHistoryLimit в deployment.yaml, в minikube? а то игнорирует мое значение и все равно штампует без конца реплики(

или -n namespace -z sa_name

или -n namespace -z sa_name

вот это тоже вариант с serviceaccount:default

Может кто подскажет почему у меня в дашборде графики не показывает как на скрине у них в репе? Метрик-сервер установлен...

Прав нет?

serviceaccounts мб?

вобщем, ошибка Unknown user выдаётся если аккаунт не найден в rolebinding. Правильный формат system:serviceaccount:<namespace>:<serviceaccount>

Ребят, а если liveness проба не прошла, кубер сразу ребутает pod?

Ребят, а если liveness проба не прошла, кубер сразу ребутает pod?

Если она не прошло столько раз, сколько указано в спеке (3, вроде, по дефолту), то пошлётся SIGTERM, а после grace period - SIGKILL.

Если она не прошло столько раз, сколько указано в спеке (3, вроде, по дефолту), то пошлётся SIGTERM, а после grace period - SIGKILL.

Спасибо!

а кто-нибудь Keycloak использует в связке с LDAP'ом?

а кто-нибудь Keycloak использует в связке с LDAP'ом?

Используем без связки со лдапом. Я наверное никогда сильнее в жизни не костылил, чтобы кейклоак полностью из гита конфигурировать

Используем без связки со лдапом. Я наверное никогда сильнее в жизни не костылил, чтобы кейклоак полностью из гита конфигурировать

Ого, может ты подскажешь как юзерам emailVerified: true автоматом выставлять?

А то куб не пускает, если оно false

Помню такое поле при настройке saml провайдера было, значит где то в районе интеграции с лдапом смотреть надо :)

Помню такое поле при настройке saml провайдера было, значит где то в районе интеграции с лдапом смотреть надо :)

В листах рассылки предлагают кастомный mapper написать, но что то это так себе затея

народ CoreOs стоит использовать для разворачивания кубика или лучше kubespray?

Ты яблоко со стейком только что сравнил.

народ стейк стоит брать в ресторане или лучше вилку?

Да что вы все про стейк, кушать хочется :-)

народ CoreOs стоит использовать для разворачивания кубика или лучше kubespray?

Погугли подробнее, что CoreOS предоставляет. Также подумай, имеет ли это долгосрочную перспективу, учитывая недавнее двойное поглощение: CoreOS -> Red Hat -> IBM.

звучит как coreos поглотил readhat, который поглотил ibm. А что там не так с перспективой?

интересно что будет с containerd

Может кто подскажет почему у меня в дашборде графики не показывает как на скрине у них в репе? Метрик-сервер установлен...

Дашборд только хипстера умеет, на метрикс-сервер ишью уже с полгода висит, недавно кто-то взялся делать.

Дашборд только хипстера умеет, на метрикс-сервер ишью уже с полгода висит, недавно кто-то взялся делать.

Понятно, спасибо!

звучит как coreos поглотил readhat, который поглотил ibm. А что там не так с перспективой?

Это направление движение жертвы к хищникам была.

Есть два уровня: нода и нод пул, обычный кластер автоскейлер скейлит ноды в рамках нод пулов. Нет подходящего нод пула - ниче не поскейлится. Эта фича сама создает нод пулы, которые удовлетворяют требованиям пода: реквесты памяти, цпу, гпу, аффинити правилам

Ещё немного и kubernetes fargate получится.

Гипербола, конечно.

А вообще по дашборду: я не могу никак залогиниться, хотя делаю всё по доке через токен, но нажимаю singin, и просто ничего, никаких действий, приходится через скип, но и так все показывает, только в сетинги не пускает, нужен вообще логин в нем?

А вообще по дашборду: я не могу никак залогиниться, хотя делаю всё по доке через токен, но нажимаю singin, и просто ничего, никаких действий, приходится через скип, но и так все показывает, только в сетинги не пускает, нужен вообще логин в нем?

вообще вход ток по токену.... вообще юзай ci через gitlab

А вообще по дашборду: я не могу никак залогиниться, хотя делаю всё по доке через токен, но нажимаю singin, и просто ничего, никаких действий, приходится через скип, но и так все показывает, только в сетинги не пускает, нужен вообще логин в нем?

Ты дашборд юзаешь через ингресс или куб прокси?

Прикрутил Keycloak к кубу с LDAP-авторизацией и выдачей RBAC-прав по группам, получилось прикольно. Но много неоднозначных моментов.

Ты дашборд юзаешь через ингресс или куб прокси?

Прокси

Помню такое поле при настройке saml провайдера было, значит где то в районе интеграции с лдапом смотреть надо :)

решилось удалением email_verified параметра из client scope

Прикрутил Keycloak к кубу с LDAP-авторизацией и выдачей RBAC-прав по группам, получилось прикольно. Но много неоднозначных моментов.

выглядит интересно, а в чем неоднозначность?

Прокси

Обычно такое поведение дашборда когда через http ingress (конечно если дашборд версии 1.7.х и выше)

Обычно такое поведение дашборда когда через http ingress (конечно если дашборд версии 1.7.х и выше)

Версии последние, а что я увижу больше чем сейчас?

Версии последние, а что я увижу больше чем сейчас?

То что ты описал

А что там в сетингах?

ну больше всего я с email_verified воевал, юзеры из LDAP импортируются с email_verified: false, этот параметр передается кубу, а куб выдает странные ошибки типа error: the server doesn't have a resource type "pod" error: You must be logged in to the server (Unauthorized) в логах api-сервера было: Unable to authenticate the request due to an error: [invalid bearer token, [invalid bearer token, oidc: email not verified]]Я пытался придумать какие-то костыли что бы его в true выставлять, в итоге оказалось достаточно его из client scope удалить, что бы он в токене не анонсился, тогда все ок.

В остальном все в принципе норм когда разберешься, просто oidc для меня что-то новое и по началу кажется очень сложным.

еще один неоднозначный момент был с настройкой gangway (login app). И если соединить его с DEX не составляет никакого труда, то для Keycloak найти валидные URL удалось не сразу. вот они (для последователей): authorizeURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/auth" tokenURL: "https://keycloak.example.org/auth/realms/kubernetes/protocol/openid-connect/token"

Погугли подробнее, что CoreOS предоставляет. Также подумай, имеет ли это долгосрочную перспективу, учитывая недавнее двойное поглощение: CoreOS -> Red Hat -> IBM.

Редхат купили из-за клаудов, fedora atomic + CoreOS = fedora core os, на них скорее всего ещё больше ресурсов выделят

Верно, но будут ли они такие же открытые, как раньше? Такое же хорошее коммьюнити вокруг них будет? Вот на эти вопросы нужны ответы.

Года два все будет в порядке, а дольше в современном мире мало что и так живёт :)

странный вопрос к IBM - будет ли хорошее коммунити. Особенно от члена коммунити

народ CoreOs стоит использовать для разворачивания кубика или лучше kubespray?

Бери kubespray и не думай :) чуть меньше головной боли будет

Бери kubespray и не думай :) чуть меньше головной боли будет

Это прямо сейчас её будет чуть меньше.

Так source то будет тот, который в ipvs

Увидел аватарку и вспомнил)

Кароч ipvs может либо подменять dst mac, ip-пакет вообше никак не меняется, icmp приезжает напрямую отправителю. Или он может делать nat, и тогда обработка icmp-сообщений ложится на conntrack на балансировщике, и, кмк, conntrack такие ситуации разруливает корректно.

Ну да, все, наверное, в iptables-правилах видели ESTABLISHED,RELATED, так вот RELATED - это как раз про icmp-сообщения, относящиеся к соединению.

Правда, у ipvs своя реализация контрека есть.

Бери kubespray и не думай :) чуть меньше головной боли будет

хз опыта через анзибль разворачивания нет поэтому буду все методом тыка делать

Кароч ipvs может либо подменять dst mac, ip-пакет вообше никак не меняется, icmp приезжает напрямую отправителю. Или он может делать nat, и тогда обработка icmp-сообщений ложится на conntrack на балансировщике, и, кмк, conntrack такие ситуации разруливает корректно.

Не совсем понимаю. Вот пришел запрос на ipvs VIP адрес , он в режиме Dr перекинул его на бекенд, бекенд отвечает с src = vip, dst = client IP, этот пакет идёт как попало, не через ipvs, где то по пути ему шлют обратно ICMP (скажем MTU слишком большой), этот ICMP пойдет на ipvs VIP и дальше должен попасть на конкретный бекенд, но я не вижу как это может случится

хз опыта через анзибль разворачивания нет поэтому буду все методом тыка делать

t.me/kubespray возможно, тебе поможет

хз опыта через анзибль разворачивания нет поэтому буду все методом тыка делать

там надо то указать хосты в инвентори и все

Спасибо ребят

Не совсем понимаю. Вот пришел запрос на ipvs VIP адрес , он в режиме Dr перекинул его на бекенд, бекенд отвечает с src = vip, dst = client IP, этот пакет идёт как попало, не через ipvs, где то по пути ему шлют обратно ICMP (скажем MTU слишком большой), этот ICMP пойдет на ipvs VIP и дальше должен попасть на конкретный бекенд, но я не вижу как это может случится

Ага, я понял.

Интересно, да.

Не совсем понимаю. Вот пришел запрос на ipvs VIP адрес , он в режиме Dr перекинул его на бекенд, бекенд отвечает с src = vip, dst = client IP, этот пакет идёт как попало, не через ipvs, где то по пути ему шлют обратно ICMP (скажем MTU слишком большой), этот ICMP пойдет на ipvs VIP и дальше должен попасть на конкретный бекенд, но я не вижу как это может случится

>When you receive a ICMP packet it contains the full IP header of the packet that cause this ICMP to be generated + 64bytes of its data, so you can assume that you have the TCP/UDP header too. So it is possible to implement "Persitance rules" for ICMP packages. Summary: This problem was handled in kernel 2.2.12 and earlier by having the configure script turn off icmp redirects in the kernel (through the proc interface). For 2.2.13 the ipvs patch handles this. The configure script knows which kernel you are using on the director and does the Right Thing (TM).

Век живи - век учись)

Прикрутил Keycloak к кубу с LDAP-авторизацией и выдачей RBAC-прав по группам, получилось прикольно. Но много неоднозначных моментов.

А как-то можно на стороне keycloack разрешить авторизацию только членам определенной ldap группы?

А как-то можно на стороне keycloack разрешить авторизацию только членам определенной ldap группы?

Да, но на Keycloak настраивается только маппинг групп в jwt-токен, а в самом кубе уже можно настроить rbac-политики для каждой из них

хз опыта через анзибль разворачивания нет поэтому буду все методом тыка делать

Да, но на Keycloak настраивается только маппинг групп в jwt-токен, а в самом кубе уже можно настроить rbac-политики для каждой из них

Я честно говоря не для kubernetes интересуюсь:) У меня есть keycloak и я не осилил в нём настроить ограничение на ldap группу для определенного client