подскажите плз, надежная ли фильтрация по айпишникам посредством ингрессов? есть идея поднять сайдкар впн и ходить при помощи него на внутренние сервисы по типу мониторингов, дженкинсов и т.д.

и одновременно дать доступ к приложениям из мира

что значит "надёжная"?

Она точно такая же, как в том, на основе чего сделан ингресс

Если на nginx - см. как реализованы правила allow/deny и решай, насколько оно надёжно.

подскажите плз, надежная ли фильтрация по айпишникам посредством ингрессов? есть идея поднять сайдкар впн и ходить при помощи него на внутренние сервисы по типу мониторингов, дженкинсов и т.д.

kubectl port-forward -n monitoring grafana-566fcc7956-5bwj4 3000:3000

зачем ещё vpn?

а есть нужно допустим выдать девелоперам доступ к отдельным сервисам, по типу того же дженкинса

Авторизация basic + tls

а есть нужно допустим выдать девелоперам доступ к отдельным сервисам, по типу того же дженкинса

ingress + пароль jenkins + basic auth если совсем страшно

basic auth просто один на все тимы

можно делать с сертификатом, но супер сильно не отличается, кроме сложностей.

kubectl port-forward -n monitoring grafana-566fcc7956-5bwj4 3000:3000

к api нельзя давать доступ всем подряд, ТЫ ЧО!

хотелось бы сделать что-то на уровне нетворкинга, чтоб не похерить все и не выставить голой жопой в мир какой-нибудь сервис

keycloak+dex же нормальная связка? никак руки не дойдут поставить или я не так прочитал доки по ним? Менеджмент аккаунтов + auth proxy. Как раз для таких случаев.

была идея сделать фильтрацию через амазоновские сервисы и она, собственно, осталась наиболее актуальной

Привет всем. При использовании annotations fluentbit.io/parser: docker Ничего не проиcходит, возможно потому что fluent-bit в неймспейсе logging, а не в kube-system? Как это исправить?

я не в теме, но чтобы хоть вопрос не пропал, почему аннотация должна работать?

тобишь vpn -> security group -> alb -> routing node -> traefik -> worker node -> pod

или слишком переусложненно получается?

что-то мало звеньев, думаю нужно больше. Не сикюрно

я не в теме, но чтобы хоть вопрос не пропал, почему аннотация должна работать?

https://github.com/fluent/fluent-bit-docs/blob/master/filter/kubernetes.md#kubernetes-annotations

что-то мало звеньев, думаю нужно больше. Не сикюрно

😄

https://github.com/fluent/fluent-bit-docs/blob/master/filter/kubernetes.md#kubernetes-annotations

прикольно, не видел его. это что же, fluentbit идет в апи и тейлит логи подов?

Сам только это разбираю. Пока логов не видит. Думал, может в неймспейсе флуэнта загвоздка

Парни, помогите Запускаю statefulSet с ДВУМЯ репликами, смотрю запущенные поды, вижу только одну реплику в статусе pending. при этом describe никаких ошибок не выдает. Вот сет: apiVersion: apps/v1beta1 kind: StatefulSet metadata: name: couchnode1 spec: serviceName: "couchnode1" replicas: 2 template: metadata: labels: name: couchnode1 spec: terminationGracePeriodSeconds: 10 containers: - name: couch1 image: hyperledger/fabric-couchdb env: - name: COUCHDB_USER value: "couch" - name: COUCHDB_PASSWORD value: "couchpass" - name: DB_URL value: "http://0.0.0.0:20192/member_db" ports: - containerPort: 30985 name: client volumeClaimTemplates: - metadata: name: datadir spec: accessModes: [ "ReadWriteOnce" ] resources: requests: storage: 300Mi

describe для пода сделай

в statefulsets поды запускаются по мере готовности предыдущих

describe для пода сделай

спасибо! но что это значит? pod has unbound immediate PersistentVolumeClaims

что не так с моим pvc?

у тебя с репликой сгенерился pvc и он похоже не может для себя найти pv

видимо нужно сделать describe pvc

а есть нужно допустим выдать девелоперам доступ к отдельным сервисам, по типу того же дженкинса

oauth proxy же

никогда не слышал))

сейчас почитаю, спасибо

никогда не слышал))

я имею ввиду в кейсах для кубера)

заставляешь слушать jenkins/prometheus/grafana локально, ему в сайдкар ставишь auth прокси, которая аутентифицирует юзера через dex/whatever

тот же oauth решает давать ему доступ или нет, у нас это искоропки

Вобщем, пока не уснул план такой, как посплю может пойму что хуйню сморозил: - на нодах для кублетов и kube-proxy сделать нормальный L7 балансер до аписервер - развешивать финалайзеры на всех endpoints, удалять их только когда нода выходит из NotReady или ее удаляют , это сохранит записи в ингресе. Сам ингресс хелсчекит поды и подвешенные записи не будут мешать, если под жив на самом деле - "зависшие" из-за финалайзера ендпоинты будут мешать общаться внутри кластера, надо L7 балансер внутри подов сайдкаром (но без istio, кажется были менее инвазивные штуковины на енвое)

А зачем L7? Есть же встроенный дефолтный L4 kubernetes.default.svc. Правда, с кубпрокси в iptables-mode, наверное, не очень будет работать.

Исходный пост не читай @ сразу отвечай)

Ребят, вопрос про обновление helm. Вот есть у меня чарт, который запускает имадж из моего докер реджестри. Обновил я имадж, как мне после этого обновить его и в кластере?

сделать helm upgrade ?

Да

сделать helm upgrade ?

да, по идее тебе этого будет достаточно

вы получили два плохих ответа на один плохой вопрос

вы получили два плохих ответа на один плохой вопрос

как там твои envoy приключения ?

как там твои envoy приключения ?

а че им быть? работает послк 1.0.4 эндпоинты дохлые чистятся

Помогите прицепить pvc для statefulSet к существующему pv вроде вот указываю селектор, норм ... volumeClaimTemplates: - metadata: name: datadir spec: accessModes: [ "ReadWriteOnce" ] resources: requests: storage: 1Gi selector: matchLabels: name: sharedvolume Но не работает. Что не так?

ошибка: no persistent volumes available for this claim and no storage class is set

а че им быть? работает послк 1.0.4 эндпоинты дохлые чистятся

Слушай так можно envoy рассматривать как замену nginx/haproxy чтоли ? или у него другие задачи ?

Слушай так можно envoy рассматривать как замену nginx/haproxy чтоли ? или у него другие задачи ?

я думаю, что если нджинкса хватает, то смысла нет

парни, я сам не разберусь, блин. куда смотреть хотя бы?

парни, я сам не разберусь, блин. куда смотреть хотя бы?

ну у тебя же нет сторедж класса

уже два дня учусь работать с кубиком исключительно благодаря сообществу)

уже два дня учусь работать с кубиком исключительно благодаря сообществу)

а лучше бы доки читал

ну у тебя же нет сторедж класса

это обязательно?

это обязательно?

сторедж класс это указатель на источнник стореджа

откуда кубу знать какой у тебя стореддный бэкенд без класса?

@StanislavKhalup я думал, по лейблам

@StanislavKhalup я думал, по лейблам

это все написано на kubernetes.io в разделе про pv/pvc

ошибка: no persistent volumes available for this claim and no storage class is set

добавь сторедж класс

#платиновые_треды_k8s

Всем привет. Какой сейчас фреймворк оркестровки k8s актуален, просто выпал из темы на пол года, может чего нового появилось или juju по прежнему актуален ? Вообще что-то новое может произошло в мире k8s за последнее время ?

Всем привет. Какой сейчас фреймворк оркестровки k8s актуален, просто выпал из темы на пол года, может чего нового появилось или juju по прежнему актуален ? Вообще что-то новое может произошло в мире k8s за последнее время ?

ksonnet и дыру огромную нашли

Ty, посмотрю, вообще какие сейчас модные тенденции, слышал что docker умирает что-то другое идет на замену но не vrt и crictl точно ?

criu наверно

да

вроде как

всем привет. кто-нибудь юзает gluster с k8s? как ощущения? выходит же сложная система с гластером и Heketi?

Всем привет. Какой сейчас фреймворк оркестровки k8s актуален, просто выпал из темы на пол года, может чего нового появилось или juju по прежнему актуален ? Вообще что-то новое может произошло в мире k8s за последнее время ?

juju вообще когда-то был популярен? В узких кругах на убунтоконфах наверное

juju вообще когда-то был популярен? В узких кругах на убунтоконфах наверное

и в постах на FB сотрудников Canonical )

@StanislavKhalup создал StorageClass kind: StorageClass apiVersion: storage.k8s.io/v1 metadata: name: local-storage provisioner: kubernetes.io/no-provisioner volumeBindingMode: WaitForFirstConsumer Добавил класс в pvc для statefulSet volumeClaimTemplates: - metadata: name: datadir spec: storageClassName: local-storage accessModes: [ "ReadWriteOnce" ] resources: requests: storage: 1Gi Но всё равно статус pending, не работает 😫

А че, @StanislavKhalup разве не берет денег за тех поддержку?

criu наверно

CRI-O же.

criu - это крутое, но другое.

Народ, а как такое может быть что время жизни пода 5 часов, а uptime контейнера в нем 12 дней? 0_о или я уже вообще упоролся?!

CRI-O же.

есть кстати какие-либо новости от RH/IBM про podman/libpod? Я спросил своих тут - молчат

Кто-то менял время хранения ивентов, которое по умолчанию час? Похоже что в kube-apiserver надо устанавливать --event-ttl желаемое, но как это нормально можно сделать?

есть кстати какие-либо новости от RH/IBM про podman/libpod? Я спросил своих тут - молчат

Недавно переводили. Посмотри, может, заинтересует. https://habr.com/company/flant/blog/426141/

Недавно переводили. Посмотри, может, заинтересует. https://habr.com/company/flant/blog/426141/

помимо OCP где еще это будет?

помимо OCP где еще это будет?

Не знаю. Возможно, кто-то здесь заменит свой рантайм и мы услышим занимательную историю.