всем привет. кто-нибудь юзает не nginx ingress controller? на чем выбор основан?

судя по инсталяциям он уже стандарт дефакто

на том что есть одно знакомое слово - nginx

Я создаю переменную окружения в поде так: - name: MY_NODE_NAME valueFrom: fieldRef: fieldPath: spec.nodeNameно мне нужно обработать значение переменной и перезаписать ее к моменту, когда entrypoint контейнера уже запустится. Можно как-то сделать?

что куда тебе надо переписать-то?

у меня создастся в поде переменная "MY_NODE_NAME", так? Она будет иметь некое значение. Например myhost.example.com. Мне нужно сделать на нее sed "s/\.*//", чтобы в ней остался только "myhost". Чтобы потом когда процесс контейнера ее будет читать, там остался только myhost.

ты в курсе что ты хочешь странного?

процесс не знает, в каком кластере он запущен, поэтому работает с переменной как есть и сам не знает как ее обрабатывать. Как ее обрабаывать может знать только манифест, потому что манифест это точка деплоя в специфический кластер.

в одном кластере клиентский сертификат ноды в CN имеет "myhost.example.com", в другом кластере — "myhost". Откуда процессу об этом знать.

а зачем там иметь не fqdn?

понятия не имею зачем kubespray так ставит

может на конкретной операционке "hostname -f" не так сработало при установке (если kubespray его использует)

а зачем там иметь не fqdn?

А у тебя fqdn везде?

может на конкретной операционке "hostname -f" не так сработало при установке (если kubespray его использует)

Обычно kubelet берет то, что в /etc/hostname указанно, в debian-based дистрибутивах там single name, в rpm-дистрибутивах там всегда fqdn

Обычно kubelet берет то, что в /etc/hostname указанно, в debian-based дистрибутивах там single name, в rpm-дистрибутивах там всегда fqdn

там fqdn

я таки думаю, это kubespray так сделал. Сертификат разве кублет генерит?

в 1.10

А у тебя fqdn везде?

честно говоря не знаю :)

у меня создастся в поде переменная "MY_NODE_NAME", так? Она будет иметь некое значение. Например myhost.example.com. Мне нужно сделать на нее sed "s/\.*//", чтобы в ней остался только "myhost". Чтобы потом когда процесс контейнера ее будет читать, там остался только myhost.

Используй `command: ["/bin/sh", "-c", "export MYVAR=$(echo $MY_NODE_NAME | cut -d. -f1); exec /mybinary..." ]

я таки думаю, это kubespray так сделал. Сертификат разве кублет генерит?

Не знаю, у меня kubeadm

Сертификат вообще невозможно сгенерить под singlename емнип

Обычно kubelet берет то, что в /etc/hostname указанно, в debian-based дистрибутивах там single name, в rpm-дистрибутивах там всегда fqdn

нет, кубелет юзает голанговскую процедуру и ему надо FQDN

так что hostname == hostname -f

разве что спуфить через аргументы кубелета

это всё счастье с 1.10

нет, кубелет юзает голанговскую процедуру и ему надо FQDN

Я имел ввиду то что в /etc/hostname прописанно такие имена ты и увидишь в кластере

Я имел ввиду то что в /etc/hostname прописанно такие имена ты и увидишь в кластере

не обязательно, в том-то и дело

не обязательно, в том-то и дело

У меня 1.12 и все ноды по singlename отображаются

При этом hostname -f показывает валидный fqdn

https://github.com/golang/go/blob/50bd1c4d4eb4fac8ddeb5f063c099daccfb71b26/src/os/sys_linux.go#L12-L53

я тут короче с солтом недавно развлекался

пришлось аж в трёх местах ему прописывать чтобы он нормально стал определять fqdn

точнее, имя ноды из fqdn

/proc/sys/kernel/hostname - конечно же

вот там singlename у меня

или Uname сискол это вернул

или Uname сискол это вернул

полагаю что тоже самое

это два разных подхода, redhat там fqdn хранит, но обычно там singlename https://serverfault.com/questions/331936/setting-the-hostname-fqdn-or-short-name

мы всюду суем fqdn, да, 1) сюрпризов меньше, 2) с клаудпровайдерами проще

в апстриме конечно же можно выстрелись себе в ногу, не знал что в дебиане это дефолтная опция

в апстриме конечно же можно выстрелись себе в ногу, не знал что в дебиане это дефолтная опция

Более интересно то, что они ссылаются на этот ман, где явно написано юзать singlename: The /etc/hostname file configures the name of the local system that is set during boot using the sethostname(2) system call. It should contain a single newline-terminated hostname string.http://man7.org/linux/man-pages/man5/hostname.5.html

А домен должен через /etc/hosts конфигуриться

ну да, потом получишь сертификат без fqdn, атакующему будет очень удобно

народ ктонить ранчер 2й юзает?

как оно?

быковато

ну да, потом получишь сертификат без fqdn, атакующему будет очень удобно

так он подписанный же, что-то не могу придумать вектор атаки

ну хоть не мумувато

ну хоть не мумувато

и это тоже

мне он напоминает coreos

так он подписанный же, что-то не могу придумать вектор атаки

зная api endpoint делаешь свою фейковую ноду hostname.foo и присоединяешься к кластеру?

народ ктонить ранчер 2й юзает?

у меня он взлетел. потом я его перезагрузил и больше к кластеру он не подключался

потом я его удалил и поставил кубер

зная api endpoint делаешь свою фейковую ноду hostname.foo и присоединяешься к кластеру?

так он подписан должен быть, ты просто так не подключишься в кластер

я предполагаю ты утащил сертификат с одной ноды, он валидный

А если есть доступ к мастерам то и с fqdn прокатит точно так же как и м singlename. Apiserver не делает проверку по хостнейму при обращении с ноды

я предполагаю ты утащил сертификат с одной ноды, он валидный

в этом случае уже неважно что внутри сертификата указанно singlename или fqdn

если сертификат валидный - тебя пропустят

хотя я конечно могу ошибаться, не вижу причин почему это не будет работать

hostname.foo коннектится с сертификатом hostname, его пропускают и добавляют новую ноду hostname.foo

hostname.fqdn будет послан, потому что такая нода уже есть

hostname.fqdn будет послан, потому что такая нода уже есть

не будет

не будет

думаешь две одинаковых добавит?

я постоянно реджойню ноды при перезагрузке, они всегда используют старые имена

если ноды нет, она добавится

хотя эта логика может быть заложена в kubeadm

так одна, откуда серт утащен есть

и она, предположительно, жива

впрочем это и правда слабый вектор, особенно если случайно утащил временный серт и все надо сделать за 20 минут

произойдет следующее: фейковый kubelet при джойне обновит node.status в api-server, из-за чего сможет получить какие-то джобы и обновлять состояние, но старый кубелет тоже по прежнему будет получать джобы и обновлять состояние. Возникнет достаточно интересный конфликт. Но это произойдет в любом случае используешь ты fqdn в сертах или нет :)

Всем ку. Вопрос по хелм. Заметил странное поведение. {{- if .Values.image.repository -}} image: "{{ .Values.image.repository }}:{{ .Chart.AppVersion }}" {{- else -}} image: "{{ .Values.defaults.image.repository }}:{{ .Chart.AppVersion }}" {{- end -}} Ругается на отсутствующую .Values.image.repository, ну как бы да, для этого else и есть у меня В описании an empty string a nil (empty or null) an empty collection (map, slice, tuple, dict, array) Потому делаю правильно, кто стакивался, как выходить ? Почему то конструкция вида {{ .Values.image.repository | default .Values.defaults.image.repository }} тут не работает.

Вот ошибка executing "index/templates/deployment.yaml" at <.Values.image.reposi...>: can't evaluate field repository in type interface {}

ну у тебя же вроде отсутствующий ключ в коллекции?

это не то же самое

но лучше доку читануть, да

Ну как бы да, идея такая, если я set-м проставляю image.repository в CI, то он должен брать и использовать путь из ci, иначе брать из секции defaults

{{if eq (index .MyMap "KeyThatDoesntExist") "mystring"}} {{.}} {{end}

тебе примерно такое надо иметь в if

стринга я не знаю заранее, не знаю с чем сравнивать

произойдет следующее: фейковый kubelet при джойне обновит node.status в api-server, из-за чего сможет получить какие-то джобы и обновлять состояние, но старый кубелет тоже по прежнему будет получать джобы и обновлять состояние. Возникнет достаточно интересный конфликт. Но это произойдет в любом случае используешь ты fqdn в сертах или нет :)

но ведь можно просто не открывать API наружу