у нас терраформ

с кубером не связанный :)

А каким образом терраформ решает эту проблему? Т.е. в кубере есть приложение, которому нужно ходить, например, к s3 или другим амазоновским ресурсам. Скармливать сервису стандартные креды - плохой способ. Для этого у амазона существуют iam roles. iam roles насоздавать вопросов нет. Вопрос в том как это красивее приложениям в кубик подсунуть.

Ребят обясните вот я задеплоил kubectl describe deployment apache открыл порт ноды для апача kubectl create service nodeport apache —tcp=80:80 но не пойму как смотреть с какого айпи мне смотреть?

с любого

с любого

Не удается получить доступ к сайту Сайт 172.22.1.114 не позволяет установить соединение.

захожу по http

Every 2,0s: kubectl get pods —all-namespaces Thu Nov 15 14:21:29 2018 NAMESPACE NAME READY STATUS RESTARTS AGE default apache-bb579d6cd-2cq8p 0/1 ImagePullBackOff 0 80m kube-system calico-etcd-zqpfd 1/1 Running 0 82m kube-system calico-kube-controllers-85cf9c8b79-q7k4n 1/1 Running 0 82m kube-system calico-node-gmv87 2/2 Running 2 82m kube-system calico-node-nv8l6 2/2 Running 2 82m kube-system calico-node-vg7rv 2/2 Running 2 82m kube-system coredns-576cbf47c7-22gff 1/1 Running 0 109m kube-system coredns-576cbf47c7-vtq48 1/1 Running 0 109m kube-system etcd-kubmaster 1/1 Running 2 89m kube-system kube-apiserver-kubmaster 1/1 Running 2 89m kube-system kube-controller-manager-kubmaster 1/1 Running 2 89m kube-system kube-proxy-54945 1/1 Running 0 87m kube-system kube-proxy-786jh 1/1 Running 0 88m kube-system kube-proxy-tkfxj 1/1 Running 3 109m kube-system kube-scheduler-kubmaster 1/1 Running 7 89m kube-system kubernetes-dashboard-77fd78f978-t6drg 1/1 Running 0 11m

default apache-bb579d6cd-2cq8p 0/1 ImagePullBackOff 0 80m

что я делаю не так?

у тебя апач не запустился

вопрос почему?

куда копать что бы смотреть?

ну иди проверяй

describe/logs

kubectl describe/logs ?

нет

Я предлагаю забить. Выпустите СА и все сертификаты подписанные им на 20 лет. Ротация секретов процесс сложный, неблагодарный , чуть что идёт не так все нахуй разваливается и ваша жопа в огне, а если после тщательной подготовки и десятков/сотен человеко-часов проб и ошибок все прошло гладко, никто даже не узнает, что вы что-то делали. все для чего это нужно это дурацкая галочка (одна из сотен/тысяч) в каком-нибудь аудите. Есть более интересные занятия, с гораздо лучшими показателями плюшек на единицу ебли

В общем, решил сделать именно так. Спасибо за помощь 👍 Сейчас не хватает знаний как делать правильно. Может спустя пару сломанных кластеров понимание придет 😀

мда

ну в describe деплоймента вроде же пишет почему под не запускается?

или в describe пода

Name: apache Namespace: default CreationTimestamp: Thu, 15 Nov 2018 13:00:42 +0300 Labels: app=apache Annotations: deployment.kubernetes.io/revision: 1 Selector: app=apache Replicas: 1 desired | 1 updated | 1 total | 0 available | 1 unavailable StrategyType: RollingUpdate MinReadySeconds: 0 RollingUpdateStrategy: 25% max unavailable, 25% max surge Pod Template: Labels: app=apache Containers: apache: Image: apache Port: <none> Host Port: <none> Environment: <none> Mounts: <none> Volumes: <none> Conditions: Type Status Reason —— —---- —---- Available False MinimumReplicasUnavailable Progressing False ProgressDeadlineExceeded OldReplicaSets: <none> NewReplicaSet: apache-bb579d6cd (1/1 replicas created) Events: <none>

значит смотри дескрайб пода

это же базовые команды

@Andorka, так что там с терраформом? как им на поды iam ролес развешивать? )

на поды?

ну да.

не знаю

https://www.reddit.com/r/sysadmin/comments/9x577m/were_reddits_infrastructure_team_ask_us_anything/e9pnbpw/ реддитовцы делятся впечатлениями от кубеней

решил пока тупым методом - выключил контейнеры и очистил /var/lib/cni/k8s-pod-network/, включил контейнеры

Смонтировать tmpfs в эту папку, чтоб при ребуте чистилась сама?

Смонтировать tmpfs в эту папку, чтоб при ребуте чистилась сама?

и каждую ночь\неделю\месяц стабильно ребутать ноды?

Добрый день. Есть nginx/php-fpm аппликуха которая хочет запускать скрипты с произвольными параметрами, которые будут работать, к примеру, час. Подскажите, плиз, какой правильный workflow для их запуска? Сейчас есть мысль запихнуть template job’а в env переменную (выкатка через helm, нужны переменные окружения из config/secret map’ов) и дать права на запуск job’ов…

Добрый день. Есть nginx/php-fpm аппликуха которая хочет запускать скрипты с произвольными параметрами, которые будут работать, к примеру, час. Подскажите, плиз, какой правильный workflow для их запуска? Сейчас есть мысль запихнуть template job’а в env переменную (выкатка через helm, нужны переменные окружения из config/secret map’ов) и дать права на запуск job’ов…

можно перестать этого хотеть :)

но это конечно не для всех решение

Это лучше чем то как хотят делать сейчас - запуск процессов в background’e. Да, в контейнере, Карл)

и каждую ночь\неделю\месяц стабильно ребутать ноды?

На одной ноде даешь под поды /24 подсеть. А ман куба не рекомендует так много подов на ноду. Итого име6м переполнение пула только из-за ребутов, а раз мы при ребуте чистим - проблема решена

Это лучше чем то как хотят делать сейчас - запуск процессов в background’e. Да, в контейнере, Карл)

если это будет не твоя проблема, то пусть так и делают :)

В итоге будет моя, поэтому я и пытаюсь сделать по нормальному

Вариант: дергать api gitlab’a. Но мне такой способ меньше нравится

На одной ноде даешь под поды /24 подсеть. А ман куба не рекомендует так много подов на ноду. Итого име6м переполнение пула только из-за ребутов, а раз мы при ребуте чистим - проблема решена

не факт что такая проблема только при ребутах возникает

Вариант: дергать api gitlab’a. Но мне такой способ меньше нравится

зачем гитлаб то дергать?))

Чтобы job’у запустить

можно дёргать кубе-апи

чтобы запускать kind; Job

Собственно, это первый вариант к которому я пришел

Никто не сталкивался, что ingress controller не видит endpoint? Куда копать? Endpoints в сервисе есть. Service имена в норме, все как обычно. Service балансит нагрузку. Pod как обычно работают. Только does not have any active Endpoint и 503 соответственно. Вчера работало, сегодня отвалилось.

небось опять конфиг невалидный сгенерился? :)

Не, все ок.

Я пока не перезапускал nginx)

попробуй! :)

Точнее на серых нодах делал, не помогает.

подскажите, пожалуйста, новичку в k8s, почему dashboard установился, но не доступен извне на порту 8001?

попробуй! :)

не серых нодах не помогает, в конфиге норм все. does not have any active Endpoint. жеж пишет

значит не всё

чем active endpoint отличается от endpoints из service describe знает кто?

а в конфиге чо вписалось?

4 set $namespace "default"; 5 set $ingress_name "minion-torg12"; 6 set $service_name "minion-torg12"; 7 set $service_port "3333"; 8 set $location_path "/torg12"; все как обычно

а апстримы там через луа же выгребаются?

Да. kubectl describe service minion-torg12 | grep Endpoints соответственно норм

и даже неймспейс тот?

Даже namespace. Там ещё 50 сервисов и ingress работает. А тут чет странное, уже пол часа туплю. Хз куда смотреть, кроме исходников.

curl http://endpointip:3333 изнутри nginx контейнера тоже ок.

kubectl exec -n kube-system -it nginx-nginx-ingress-controller-jgcct curl localhost:18080/configuration/backends вернет список endpoints для всех. И там все на месте.

ребят а подскажите что за -headless сервисы в kubernetes (некоторые charts в helm создают такие сервисы без адресов, но как они работают пока не представляю)

это значит что будут просто А-записи в днс

с адресами подов

никаких iptables и прочего

это значит что будут просто А-записи в днс

хм вроде и понятно и уже нет

ну смотри короче

например у тебя какой-то кластерок может собраться (для примера возьмём alertmanager), ему надо передавать адреса соседних инстансов, чтобы они собрались в сеть

Точнее на серых нодах делал, не помогает.

так проверь сначала k get ep (ну и скинь конфиг ingress)

например у тебя какой-то кластерок может собраться (для примера возьмём alertmanager), ему надо передавать адреса соседних инстансов, чтобы они собрались в сеть

ну а если нагляднее вот mongodb в helm разворачивает primary + secondary ( в какой то момент primary может стать secondary и наоборот) но в конфиге у меня указа адрес монго как mongodb-primary но я так понимая надо передать адрес mongodb-headless ? меня просто этот headless смущает отсутвием EP и адресов в нем

при запросе по днс-имени сервиса ты будешь получать не адрес сервиса, а адреса подов этого сервиса

вот и всё

ага ну понятн тогда

спасибо Andor всегда выручаешь

ну то есть оно просто создаёт пачку А-записей во внутреннем днс

и обновляет их сам

AAAAAAAAAAAAAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAAAAA БЛ nginx.ingress.kubernetes.io/auth-secret: xxxxx секрета не было

ЛОХ