#whois ▫️Какой у вас проект или где работаете? Биржа в виде telegram-bot-a ▫️В чём вы специалист? Python, linux(немного). ▫️Чем можете быть интересны или полезны сообществу? Пришел с целью обучения, знания в данной сфере отсутствуют. ▫️Чем интересно сообщество вам? Знаниями, информацией, опыт от практиков. ▫️Откуда вы? Cаратов. ▫️Как узнали про группу? Из чата Docker.

хмм, ну да, раз CRD не неймспейснуты, то приходится делать так. Иначе придется делать другой SA который бы читал/писал во весь кластер чтобы реагировать на изменение CRD

В том то и дело, что CRD ресурсы неймспейснуты и нет никакой причины давать разрешения на чтение секретов и руление sts в тех неймспейсах, откуда читают ServiceMonitor. Закину патч, посмотрим что скажут

Вообще смотрю на nginx ingress controller, cert manager, gitlab, вот сейчас Prometheus operator, везде в плане rbac "chmod 777". Прям PHP 2006 года по-новому

странно что в прометей операторе так

вроде не дураки его делали

В том то и дело, что CRD ресурсы неймспейснуты и нет никакой причины давать разрешения на чтение секретов и руление sts в тех неймспейсах, откуда читают ServiceMonitor. Закину патч, посмотрим что скажут

Я сейчас кажется выиграю кофе обратно, потому что доступ к CRD требует wildcard доступа или cluster-reader

https://kubernetes.io/docs/concepts/extend-kubernetes/api-extension/custom-resources/#authentication-authorization-and-auditing

https://www.youtube.com/watch?v=YQWt6wdAZMU

Я сейчас кажется выиграю кофе обратно, потому что доступ к CRD требует wildcard доступа или cluster-reader

На создание CRD как типа да, но не на доступ к CRD ресурсам

Иными словами вот это может быть в role, а не cluster role: - apiGroups: - monitoring.coreos.com resources: - alertmanagers - prometheuses - prometheuses/finalizers - alertmanagers/finalizers - servicemonitors - prometheusrules verbs: - '*'

вроде не дураки его делали

Обычно такие штуки не от глупости, а от недостатка времени или иных приоритетов

На создание CRD как типа да, но не на доступ к CRD ресурсам

Нет, >CustomResourceDefinitions themselves are non-namespaced and are available to all namespaces.

Нет, >CustomResourceDefinitions themselves are non-namespaced and are available to all namespaces.

Это про kind: CustomResourceDefinition

То есть Namespaced значит что они не уровня кластера, но доступ все равно требуется высокий

Ну, мои познания тут заканчиваются. Было бы здорово чтобы было поменьше привилегий, думаю стоит внести баг и послушать что скажут умные люди

У меня от CertManager сертификаты kind: Certificate совершенно точно неймспейснуты (надо указывать -n ns get certificate чтобы увидеть их) . Плюс давал доступ на чтение , дока согласна: You’ll need to explicitly grant access to the new resources. CRDs and Aggregated APIs often come bundled with new role definitions for the types they add.

Ну, мои познания тут заканчиваются. Было бы здорово чтобы было поменьше привилегий, думаю стоит внести баг и послушать что скажут умные люди

Создал корявый https://github.com/coreos/prometheus-operator/issues/2186 подписывайтесь , голосуйте :)

https://www.youtube.com/watch?v=YQWt6wdAZMU

Что там вкратце?

клятвенно обещаю поднять тему truly namespaced CRDs на местной попойке и получить снисходительный ответ. В прошлый раз упоминались таинственные assumptions which apiserver has.

впрочем, если их нельзя создавать в рамках неймспейса как же им в рамках неймспейса выдавать права?

впрочем, если их нельзя создавать в рамках неймспейса как же им в рамках неймспейса выдавать права?

Вот это создаёт новый тип в кластере. Тип общий на всех, нельзя создать тип только для неймспейса https://github.com/coreos/prometheus-operator/blob/master/contrib/kube-prometheus/manifests/0prometheus-operator-0prometheusCustomResourceDefinition.yaml

Вот это ресурс этого нового типа. Он в соответствии с описанием типа неймспейснутый и чтобы его создавать, удалять, и проч необходимо иметь RBAC права с соответствующей apiGroups https://github.com/coreos/prometheus-operator/blob/master/contrib/kube-prometheus/manifests/alertmanager-serviceMonitor.yaml

https://www.youtube.com/watch?v=YQWt6wdAZMU

Мне тут порассказывали, что там куб так себе: ноды долго стартуют, апигрегаторов нет, аудит логов нет, что то ещё там странно было

Хуже чем у гугла, но точно приятнее чем поднимать на своем железе. Куб в AWS популярен потому, что у людей уже есть другие инстансы там и опыт именно с AWS. А в видео актуальный набор best-practices.

Хуже чем у гугла, но точно приятнее чем поднимать на своем железе. Куб в AWS популярен потому, что у людей уже есть другие инстансы там и опыт именно с AWS. А в видео актуальный набор best-practices.

Универсальный набор, или про то как авс косяки обходить?

Это же re:Invent, там о том как все хорошо. Но все именно про aws

Посмотрел. Ну такое. Я с re:Invent вообще не помню ни одного интересного доклада

Кто-нибудь подскажет в чем профит ServiceMonitor'а, если есть Prometheus kubernetes_sd?

если удалить Loop -действтительно он больше не сыпется, но нормально ли это ? - много где пишут - нет ....

какая версия coredns?

многоуважаемые синьоры, а подскажите глупому, как правильно читать документацию kubernetes.io (которой там просто тонны) чтобы начать понимать все множество опций которое описано в yaml файлах? я начинаю читать https://kubernetes.io/docs/concepts/ все нравится, все красиво, много вкусного, но где искать "описание yaml" для каждого kind ?

https://kubernetes.io/docs/reference/ думал тут будет, но там референс конфигов и api, а где брать yml reference ?

kubectl explain ... )

хм, и все? другого пути нет?

ну я понимаю что сарказм, но все таки?

хм, и все? другого пути нет?

Куб быстро развивается сильно, документация один фиг не успевает на 100% соответствовать

Куб быстро развивается сильно, документация один фиг не успевает на 100% соответствовать

да фиг с ним на 100% .. хотя бы на 50% как понять? на тему того что куб развивается, я это уже слышу года четыре

т.е я прошу ссылки на доку в которой как то можно увязать concepts и собственно имплементацию этих concepts в конкретные yml

да фиг с ним на 100% .. хотя бы на 50% как понять? на тему того что куб развивается, я это уже слышу года четыре

Примеры найти, попробовать самому, почитать исходники. Работает для любом технологии.

Примеры найти, попробовать самому, почитать исходники. Работает для любом технологии.

ну ок, вот вижу я пример yaml apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole куда мне кидаться в документацию чтобы понять какие вещи в ClusterRole можно писать а какие нет? куда мне смотреть в документацию чтобы понять откуда берется префикс перед v1 и где он вообще описан? или это просто "произвольная строка"?

я специально тупые вопросы задаю -) потому что не нахожу на них ответы, а бегать "в google" в данном случае будет очень не эффективно IMHO

ну ок, вот вижу я пример yaml apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole куда мне кидаться в документацию чтобы понять какие вещи в ClusterRole можно писать а какие нет? куда мне смотреть в документацию чтобы понять откуда берется префикс перед v1 и где он вообще описан? или это просто "произвольная строка"?

https://docs.openshift.com/container-platform/3.9/rest_api/apis-rbac.authorization.k8s.io/v1beta1.ClusterRole.html Вторая ссылка в гугле

так, все,я тупанул https://kubernetes.io/docs/reference/generated/kubernetes-api/v1.12/ судя по всему сюда надо смотреть

так, все,я тупанул https://kubernetes.io/docs/reference/generated/kubernetes-api/v1.12/ судя по всему сюда надо смотреть

Лучше освоить методы гугления. k8s k8s clusterrole k8s clusterrole strangefield И 99% сразу находится

А если не гуглится, то шаг назад - где-то пошли не туда.

ну, я конечно попробую, но как то оно IMHO не правильно, должен быть reference и желательно reference понятный

ну, я конечно попробую, но как то оно IMHO не правильно, должен быть reference и желательно reference понятный

21 век, 99% решены, 99% можно нагуглить. Читать reference имхо стоит после того, как все основное сделано и хочется красоты и 100% понимания, но не при решении повседневной задачи, тут просто типовое решение и все.

ну, я конечно попробую, но как то оно IMHO не правильно, должен быть reference и желательно reference понятный

У куба все же беда с документацией. Особенно когда сравниваешь, ну например с ansible

У куба все же беда с документацией. Особенно когда сравниваешь, ну например с ansible

беда с документацией это когда нужно лезь в исходники/тесты исходников, чтобы понять, что происходит. У куба такого нет. Просто немного мешанины из-за быстрого развития.

Возможно. До такого у меня просто не доходило

И лени. Тут каждый может пойти и часть доки запулреквестить. Никто ж не делает, всем и так норм.

Кто-нибудь подскажет в чем профит ServiceMonitor'а, если есть Prometheus kubernetes_sd?

Автоматический добавления раздела в конфиг и релоад прометея

Кто-нибудь подскажет в чем профит ServiceMonitor'а, если есть Prometheus kubernetes_sd?

Не засорять манифесты аннотациями для sd

Автоматический добавления раздела в конфиг и релоад прометея

Так если настроен kubernetes_sd, зачем вообще что то в конфиг добавлять?

Не засорять манифесты аннотациями для sd

Видится, что логичнее использовать аннотации, чем дополнительный ресурс

Видится, что логичнее использовать аннотации, чем дополнительный ресурс

Сервис монитор как микросервис. Аннотации - монолит. Мне так кажется

Ингрес рулы тоже тогда в аннотации сразу, удобно же

Тоже самое по смыслу

подскажите как можно использовать http прокси в кубере для того, что бы скачать нужный мне образ? провайдер блокирует quay . io/ calico /cni:v1.11.8

соответственно при попытке установить калико сеть - не все образы заливаются

У докера прокси пропишите на хостах

У докера прокси пропишите на хостах

kubectl create -f http://заблокированный_ресурс - скушает ?

Скачайте курлом )

Я думал речь шла про скачивание образов

да, всё правильно, про образы) я уже думал про докер-прокси

во всяком случае - спасибо)

Anatoly FYI: С calico coredns не сыпится в ошибки ...(такие как если использовать flannel)

Anatoly FYI: С calico coredns не сыпится в ошибки ...(такие как если использовать flannel)

Интересно, хотел перейти на calico, попробую потом, спасибо. Вы то свои решили этим?

Интересно, хотел перейти на calico, попробую потом, спасибо. Вы то свои решили этим?

Да, я перешёл на калико и это , собственно, решило все проблемы

Да, я перешёл на калико и это , собственно, решило все проблемы

Поздравляю, надо попробовать

Поздравляю, надо попробовать

👍

▫️Какой у вас проект или где работаете? - Личный проект, по сути процесс - попробовать современные популярные технологии самому, "залезть под капот". ▫️В чём вы специалист? Линейный руководитель devops/admin/support/devs ▫️Чем можете быть интересны или полезны сообществу? Наращивая экспертизу в тематике группы оказывать посильное содействие в решении сложностей пользователей сообщества ▫️Чем интересно сообщество вам? Наращивание экспертизы согласно тематике сообщества ▫️Откуда вы? Москва ▫️Как узнали про группу? Гугл #whois

нафига это здесь?

Всем привет. Есть ли тут люди кто поднимал кластер kubernetes на bare machine? У меня есть кое какая проблема с открытием external доступа к сервису.

Всем привет. Есть ли тут люди кто поднимал кластер kubernetes на bare machine? У меня есть кое какая проблема с открытием external доступа к сервису.

какая проблема?

какая проблема?

Можно в личку писать?

можно, но тут все дружелюбные

Ок, буду подробно и по порядку.

Цель: Открыть доступ к сервису на 80 порту.

Все это делаю на bare-server

Цель: Открыть доступ к сервису на 80 порту.

разберитесь сразу с ingress. а сам ingress поставить с hostNetwork