Dmytro
в смысле не будет приводить? Упадет пхп-фпм и что, все продолжит работать? Если что, само собой перед этим контейнером еще стоит контейнер с ингресс который покажет 503 если под упал
Yaros
Приветствую всех! Кто-то может порекомендовать компанию, которая может выделить специалиста для проведения мастер класса по кубернету? Разумееется за хорошее вознаграждение, все официально. Я представляю крупную компанию из Европы. Можно в личку я озвучу все, что хотелось бы видеть на мастер классе.
Sash
Дмитрий столяров я думаю 😅
Sash
Флант не реклама
Dmitry
Когда деплоишь через Kube Spray, что нужно сделать чтобы через прокси заработал dashboard ?
Yaros
@sashganush а как с ними связаться?
Dmitry
Когда деплоишь через Kube Spray, что нужно сделать чтобы через прокси заработал dashboard ?
У меня просит либо конфиг либо токен
Dmitry
У меня просит либо конфиг либо токен
В доках написано что оно через прокси должно без доп Логинов работать. Странно
Alexander
всегда спрашивало,большой вопрос по актуальности доки
Dmitry
всегда спрашивало,большой вопрос по актуальности доки
Ну точнее там написано «либо вы можете зайти через прокси» но видимо это не отменяет необходимости авторизации. Так что, единственным стандартным вариантом будет брать конфиг с мастера? (Либо токен делать с правильными правами)?
Andrey
В доках написано что оно через прокси должно без доп Логинов работать. Странно
Через прокси работает тоже с авторизацией. Если kubespray дефолтный то будет только токен и файл. Но там можно и basic авторизацию включить.
Для авторизации по токену.
Создаешь юзера примерно так:
apiVersion: v1
kind: ServiceAccount
metadata:
name: admin-user
namespace: kube-system
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
name: admin-user
roleRef:
apiGroup: rbac.authorization.k8s.io
kind: ClusterRole
name: cluster-admin
subjects:
- kind: ServiceAccount
name: admin-user
namespace: kube-system
Потом получаешь токен:
kubectl describe secret admin-user -n kube-system
и с токеном уже ломишься в дашборд
Dmitry
Через прокси работает тоже с авторизацией. Если kubespray дефолтный то будет только токен и файл. Но там можно и basic авторизацию включить.
Для авторизации по токену.
Создаешь юзера примерно так:
apiVersion: v1
kind: ServiceAccount
metadata:
name: admin-user
namespace: kube-system
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
name: admin-user
roleRef:
apiGroup: rbac.authorization.k8s.io
kind: ClusterRole
name: cluster-admin
subjects:
- kind: ServiceAccount
name: admin-user
namespace: kube-system
Потом получаешь токен:
kubectl describe secret admin-user -n kube-system
и с токеном уже ломишься в дашборд
Спасибо. Это видимо был вопрос стандартных подходов и ожиданий от Kube-Spray
Dmitry
Как вообще типично закрывать публичные хосты? Есть ли какие-то абстракции или старый добрый iptables?
Yaros
@sashganush все нашел, отличный вариант, спасибо!
Sash
Как вообще типично закрывать публичные хосты? Есть ли какие-то абстракции или старый добрый iptables?
Лучше хосты не светит в паблики вообще. Хоронить их внутри закрытого контора аппаратными и или программными фаерволами использовать впн а внешний трафик пробрасывать по только вполне понятным разрешённым сервисам
Dmitry
Лучше хосты не светит в паблики вообще. Хоронить их внутри закрытого контора аппаратными и или программными фаерволами использовать впн а внешний трафик пробрасывать по только вполне понятным разрешённым сервисам
Ну само собой. Я просто делаю для пет проджекта, на хетцнере или DO
Dmitry
обычно лочил iptables
Sash
Обычно всё запрещаем кроме 443 для всех и 22 для себя и тд
Dmitry
кубер сеодня выглядит хорошим вариантом для пайплайнов типа ["pet", "pet & friends" , "mvp", "mvp + funding", "startup", "..."]. Само собой чем выше тем правильнее надо хоронить. Да и Hetzner уже на 3м-4м этапе отвалится. будет AWS, VPC, итд...)
Dmitry
Обычно всё запрещаем кроме 443 для всех и 22 для себя и тд
Ну вот я и уточнял, есть ли в kubespray уже какие-то абстракции, или мне c iptables правилами приходить?
Sash
Авс тоже не панацея причём ещё та
Sash
Если у вас кластер кубернетеса торчит в наружу реальными адресами то это грустно 😢 стоит взять приватную сеть и там всё развернуть а внешний трафик пробрасывать средствами фаервола провайдера
Dmitry
Dmitry
это стандарт. Но как это сделать в варианте $15 pet project, есть идеи?
Sash
почему?
Вы вкручен что у ec2 инстансов не может быть больше чем 30 процентов загрузки за те деньги что они пишут ?
Dmitry
Вы вкручен что у ec2 инстансов не может быть больше чем 30 процентов загрузки за те деньги что они пишут ?
А при чем тут сетевая безопасность?
Sash
Там одни грабли а там другие надо понимать чётко тарификацию
Sash
это стандарт. Но как это сделать в варианте $15 pet project, есть идеи?
Мож туда и кубернетес не нужен при таких бюджетах ?
Dmitry
Там одни грабли а там другие надо понимать чётко тарификацию
Если что, на AWS уже 13 лет.... как вемя летит
Sash
Тогда вы всё знаете 👍🏻
Dmitry
Мож туда и кубернетес не нужен при таких бюджетах ?
Я же говорю, ["pet", "pet & friends" , "mvp", "mvp + funding", "startup", "..."]
Dmitry
Короче kubespray не дает никаких фич по управлению firewall? 443/22 стандартное решение, по идее что-то должно уже было появиться
Sash
У авс есть eks кубик в американской зоне можно подымать опускать быстро
Dmitry
У авс есть eks кубик в американской зоне можно подымать опускать быстро
Это все понятно. Я не понимаю, о чем спор, если честно) данный проект в стадии pet, нужно стандартными способами закрыть все лишнее. Если kubespray ничего не делает я буду закрывать как обычно.
Sash
Короче kubespray не дает никаких фич по управлению firewall? 443/22 стандартное решение, по идее что-то должно уже было появиться
Можно нарисовать ансибл который будет добавлять три-пять правила
Sash
Это все понятно. Я не понимаю, о чем спор, если честно) данный проект в стадии pet, нужно стандартными способами закрыть все лишнее. Если kubespray ничего не делает я буду закрывать как обычно.
Да я и не спорю. Разглагольствую вдруг вы не знаете и вам так будет проще
Dmitry
вообще странно, по идее kube_user.creds должно содержать что-то
Dmitry
у меня этого файла вообще нет
Dmitry
а, видимо потому что basic auth выкл
Andrey
а, видимо потому что basic auth выкл
Да, его включить надо сначала в протёртях и он там уже сам сгенерит файлик.
Но basic auth прям милота, лежит просто csv файлик с логинами/паролями. Прям пустил скупую слезу :)
Dmitry
Да, его включить надо сначала в протёртях и он там уже сам сгенерит файлик.
Но basic auth прям милота, лежит просто csv файлик с логинами/паролями. Прям пустил скупую слезу :)
Я просто сейчас на стадии ненависти к документации)
Dmitry
вот почему об этом написано если по дефолту он off
Dmitry
😂
Dmitry
Ну вот) я потому и задаю такие тупые вопросы. Это все адаптация урованя доверя к докам
Andrey
Ну вот) я потому и задаю такие тупые вопросы. Это все адаптация урованя доверя к докам
Да это еще ничего, я узнал о том что так вообще можно, далеко после того как залил кластер 🤣
Andrey
Но кстати если включить basic auth и снова применить плей бук, неожиданно конечно, но ничего не ломается :)
Nikolay
Как вообще типично закрывать публичные хосты? Есть ли какие-то абстракции или старый добрый iptables?
Я для этого calico policy использую, достаточно удобно выходит. Только создание hostendpoint надо автоматизировать, kubespray вполне может с этим справится.
Andrey
Всем привет, кто-нибудь подключал kubernetes plugin к графане? Застрял на этапе добавления кластера. Не пойму что в качестве Http URL должно быть прописано? TLS Cert\Key прописал.
Nik
насколько хреновая идея высветить наружу coredns?
Andrei
Всем привет, кто-нибудь подключал kubernetes plugin к графане? Застрял на этапе добавления кластера. Не пойму что в качестве Http URL должно быть прописано? TLS Cert\Key прописал.
А в чем отличие от дэшбордов что идут в комплекте с prometheus operator инсталляцией?
Andrey
А в чем отличие от дэшбордов что идут в комплекте с prometheus operator инсталляцией?
честно не скажу. Подозреваю что это одно и тоже. Я пытался накатить прометеус деплой через графану.
Dmitry
в смысле не будет приводить? Упадет пхп-фпм и что, все продолжит работать? Если что, само собой перед этим контейнером еще стоит контейнер с ингресс который покажет 503 если под упал
Один под с nginx и статикой через сервис обращается к двум подам с fpm
когда 1 контейнер fpm упадёт из-за OOM, то в то время как куб будет его пересоздавать, второй fpm будет нормально работать
G72K
> После доклада вы научитесь не волноваться и спокойно раздавать пароль от офисного вай-фая кому угодно.
(оффтоп) вот кстати а как у кого в компании в этом плане? А то вышел я тут в новую компанию а тут wi-fi без сертификатов но потом нужно залогиниться через гугл чтобы был доступ в интернет. И у меня тут сразу вопрос что будет если google auth прилег (как было за прошлые 2 года несколько раз)
После логина в Гугле только прокси открывается или всякие SSH вовне тоже работать начинают?
Konstantin
про NTP не забудьте тоже. Открывайте сразу.
Aleksey
Не ну а как ддосить то?
Konstantin
и мемкеш наружу с паролями
Aleksey
Ну тогда уж и монгу
G72K
Зачем их совать в один контейнер если они могут в разных, но в одном поде?
Слишком мелко шинковать - много памяти и цпу впустую уйдут. Идеально ресурсы никогда не выделить, всегда каждый контейнер с запасом, чем больше контейнеров тем больше перерасход
G72K
Меня жутко бесит, что внутри кластера приложения ходят по одним именам, а снаружи через ингресс по другим. Вот например в докерфайле прописан внутренний maven/pip/npm , теперь этот докер не собрать снаружи, надо изворачиваться , телодвижения делать.
Валентин
Меня жутко бесит, что внутри кластера приложения ходят по одним именам, а снаружи через ингресс по другим. Вот например в докерфайле прописан внутренний maven/pip/npm , теперь этот докер не собрать снаружи, надо изворачиваться , телодвижения делать.
Используй для таких задач везде внешние имена. Ну погрузишь чуток dns за пределами куба, если он тоже твой - это не проблема
Kanat
Дратуте
Kanat
Подскажите зачем нужен packer от hashicorp?
Kanat
Для каких задач используется?
Andor
@ru_hashicorp
Andor
там спроси
Sergey
G72K
Используй для таких задач везде внешние имена. Ну погрузишь чуток dns за пределами куба, если он тоже твой - это не проблема
Проблема, у меня строгие network policy везде, если доступ к ingress давать, то любое приложение может общаться с любым другим
Rainbow
Используй для таких задач везде внешние имена. Ну погрузишь чуток dns за пределами куба, если он тоже твой - это не проблема
ходить через интернет к внутренним api?
Валентин
ходить через интернет к внутренним api?
Одно с другим не связано. Например: есть куб, есть отдельно виртуалка с кэшем npm пакетов и есть dns сервер, например на еще одной виртуалке. И все ок работает
Antlar
172.30.60.6 - [172.30.60.6] - ops [09/Nov/2018:15:35:41 +0000] "GET /api HTTP/1.1" 403 153 "http://scope.prod/" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_1) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0.1 Safari/605.1.15" 445 0.000 [weave-scope-weave-scope-weave-scope-80] - - - - fad38fa72fb88fafc641446621a2b553
кароч поставил metallb перед ингрессом, заработало
Oleg
Коллеги, добрый день! Какой сетевой бекенд сейчас самый безглючный?
Rainbow
