Andor
энвой нативно сам умеет же
Andor
а истио не умеет?
Andor
https://medium.com/@prune998/istio-envoy-cert-manager-lets-encrypt-for-tls-14b6a098f289 эта статья - ложь?
Andrey
про энвой не в курсе, он там внутрях и сертификаты сам не выписывает
Andrey
Andrey
там про старую версию
Andor
по диагонали, с виду всё ок выглядит там
Andor
то есть старая версия умела, а новая не умеет?
Andrey
старая версия предполагала использование её как ingress-controller
Andrey
в istio 1.0 уже по другому
Andrey
от того же автора есть более свежая статья - там описывается текущая ситуация (ссылка внизу этой статьи)
Andor
ладно, фиг с ним
Andor
мне лень разбираться :)
Andrey
ну, бывает :)
Andor
я лучше с jsonnet потрахаюсь
Andrey
в-общем, ingress на сервис в другом ns - вполне валидный use case иногда, решается через вспомогательный сервис с ExternalName
Roman
Друзья, всем привет! Помогите пожалуйста, ковыряюсь с тестовым кластером, развернул сервис дашборда по мане с офф сайта https://kubernetes.io/docs/tasks/access-application-cluster/web-ui-dashboard/
Все по плану, развернул сервис, создал пользователя, назначил роль.
Запускаю прокси kubectl proxy --accept-hosts='.*' --address='0.0.0.0'
Захожу, вставляю токен и ничего не происходит при нажатии на кнопку вход.
Если вставить заведомо неверный токен, форма выдает ошибку: Authentication failed. Please try again.
В логах при вводе верного токена ошибок нет, только входящие исходящие запросы. Куда копать, что ковырять?
Roman
ну, это второй вопрос :)
Rainbow
это
kubectl get
kubectl describe
команды в html виде и все
Roman
Алексей, я понимаю, что это такое, но оно не работает, а должно :) Есть мысли?
Rainbow
Нет, я когда начинал, то была такая же проблема. Просто забил. Через пол года увидел этот даш и понял что не зря забил.
Roman
Ладно, послушаю вас. Тогда еще вопрос: у меня на данный момент есть сервис nextcloud+onlyoffice работает в докере, деплоится по средствам docker compose, есть на примете мануалы для чайников как адаптировать мой текущий инстанс под кластер кубера?
Rainbow
Ладно, послушаю вас. Тогда еще вопрос: у меня на данный момент есть сервис nextcloud+onlyoffice работает в докере, деплоится по средствам docker compose, есть на примете мануалы для чайников как адаптировать мой текущий инстанс под кластер кубера?
прочитать про
deployment -> servire -> ingress
в офф доке
Rainbow
https://www.katacoda.com/courses/kubernetes
хорош кстати
Roman
Уже. Не много не понял, являются ли сервисы этакими дочерями деплоймента, или я ошибаюсь?
Rainbow
Уже. Не много не понял, являются ли сервисы этакими дочерями деплоймента, или я ошибаюсь?
сервис раскидывает трафик между pod которые создают deployment
Edouard
Друзья, всем привет! Помогите пожалуйста, ковыряюсь с тестовым кластером, развернул сервис дашборда по мане с офф сайта https://kubernetes.io/docs/tasks/access-application-cluster/web-ui-dashboard/
Все по плану, развернул сервис, создал пользователя, назначил роль.
Запускаю прокси kubectl proxy --accept-hosts='.*' --address='0.0.0.0'
Захожу, вставляю токен и ничего не происходит при нажатии на кнопку вход.
Если вставить заведомо неверный токен, форма выдает ошибку: Authentication failed. Please try again.
В логах при вводе верного токена ошибок нет, только входящие исходящие запросы. Куда копать, что ковырять?
Помню тоже такое было
Kubernete Manual:
NOTE: Dashboard should not be exposed publicly using kubectl proxy command as it only allows HTTP connection. For domains other than localhost and 127.0.0.1 it will not be possible to sign in. Nothing will happen after clicking Sign in button on login page. Logging in is only available when accessing Dashboard over HTTPS or when domain is either localhost or 127.0.0.1. It's done this way for security reasons.
Решил ( не лучшим образом ) так
ssh -L 8001:localhost:8001 user@ip-addr
и затем в браузере можно будет открыть даш
localhost:8001/api/v1/namespaces/kube-system/services/https:kubernetes-dashboard:/proxy/#!/overview?namespace=default
Denis
в-общем, ingress на сервис в другом ns - вполне валидный use case иногда, решается через вспомогательный сервис с ExternalName
да я так и пытюась сделать но хз 502 пока что выдает
apiVersion: v1
kind: Service
metadata:
namespace: namespaceB
name: dictionaries
spec:
type: ExternalName
externalName: serviceA.namespaceA.cluster.local
ports:
- port: 80
Andrey
svc ещё
Denis
с ним тож самое
Andrey
порт можно (может быть даже нужно) убрать
Andrey
serviceA.namespaceA.svc.cluster.local
Andrey
сам сервис по этому урлу доступен?
Denis
внутри куба ток, да
резолв отдает правильно ip сервиса
Andrey
а curl что отдаёт?
Denis
хм,404
Denis
все понял, у меня резолв внешний подключен
Andrey
у меня вот так работает:
apiVersion: v1
kind: Service
metadata:
name: serviceB
namespace: namespaceB
spec:
externalName: serviceA.namespaceA.svc.cluster.local
type: ExternalName
---
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
name: ingressB
namespace: namespaceB
spec:
rules:
- host: example.com
http:
paths:
- backend:
serviceName: serviceB
servicePort: 80
Toxa
подскажите, почему при маунте persistent volume claim к поду в директории вместе содержимого lost+found? Используется в GKE
Andrey
причём если убрать svc.cluster.local - то nginx-ingress-controller переставал резолвить по непонятной причине, хотя внутри куба всё ок резолвится просто по serviceA.namespaceA
𝚔𝚟𝚊𝚙𝚜
Stefan
imagePullSecrets работает в deployment?
Andrey
Емнип ее создает mkfs.ext4
Так точно.
https://github.com/kubernetes/kubernetes/blob/dfea6456f12e0e473688650edf974d1eca85948b/pkg/util/mount/mount_linux.go#L490
Zhyhanov
Ребят, глупый вопрос, самый просто способ утсановить прометеус для сбора метрик с кластера кубера, через хельм ?? Или может подскажите что то попроще для сбора минимальных метрик с кластера ?
Rainbow
Ребят, глупый вопрос, самый просто способ утсановить прометеус для сбора метрик с кластера кубера, через хельм ?? Или может подскажите что то попроще для сбора минимальных метрик с кластера ?
сделать по офф гайду проще всего https://github.com/coreos/prometheus-operator/tree/master/contrib/kube-prometheus
Sergey
Ребят, глупый вопрос, самый просто способ утсановить прометеус для сбора метрик с кластера кубера, через хельм ?? Или может подскажите что то попроще для сбора минимальных метрик с кластера ?
минимальные метрики предоставляет дефолтный дашборд
Sergey
не помню, хипстера еще не выпилили(heapster)?
Zhyhanov
минимальные метрики предоставляет дефолтный дашборд
а эти метрики возможно заимпортить в графану ?
Rainbow
а эти метрики возможно заимпортить в графану ?
https://github.com/coreos/prometheus-operator/tree/master/contrib/kube-prometheus
Rainbow
Все делает, и графану
The Prometheus Operator
Highly available Prometheus
Highly available Alertmanager
Prometheus node-exporter
kube-state-metrics
Grafana
Zhyhanov
https://github.com/coreos/prometheus-operator/tree/master/contrib/kube-prometheus
Спасибо больше, буду читать :)
Rainbow
Спасибо больше, буду читать :)
Там только кастомизировать jsonnet сходу неудобно 😬 @Andorka две недели долбил true way 😁 я просто yaml подправиляю руками (под гитом) и все.
Zhyhanov
Там только кастомизировать jsonnet сходу неудобно 😬 @Andorka две недели долбил true way 😁 я просто yaml подправиляю руками (под гитом) и все.
тоесть по сути я беру yml с /manifest и кастомизирую или например если мне нужны алерты то вообещ удаляю этот уml
Rainbow
тоесть по сути я беру yml с /manifest и кастомизирую или например если мне нужны алерты то вообещ удаляю этот уml
и да и нет. alert конфиг описано как добавить, там просто по README.
Andor
Andor
и то именно кастомизация самого kube-prometheus это пара дней максимум, без знания жсоннет
Rainbow
там jsonnet файл создать, скопировать build.sh (который собирает yaml). Большая часть общих настроек в него вносится. А если прям нужно быстро и сложно делать через json (например флаг к nodeexporter добавить), то я руками, но это не правильно.
Andor
тоесть по сути я беру yml с /manifest и кастомизирую или например если мне нужны алерты то вообещ удаляю этот уml
алерты ты будешь делать через CRD под названием PrometheusRule
Andor
добавление не-кубер джоб через оператора неудобно сделано
Zhyhanov
ну я так понимаю если я не осилю prometheus, то возможно использовать dashboards
Vadim
бгг, вдруг кто не видел https://medium.com/preply-engineering/k8s-auth-a81f59d4dff6
Andrey
Ребят, глупый вопрос, самый просто способ утсановить прометеус для сбора метрик с кластера кубера, через хельм ?? Или может подскажите что то попроще для сбора минимальных метрик с кластера ?
через helm ставишь чарты prometheus-operator, prometheus-adapter - этого вроде хватает
Andor
зачем использовать не kube-prometheus?
Andrey
если у вас уже есть helm, то поставить два чарта вроде проще
Zhyhanov
через helm ставишь чарты prometheus-operator, prometheus-adapter - этого вроде хватает
через хельм не хочу ставить, так как до конца не понимаю как оно работает. Пока ручками, что бы если что то случилось не багать в панике.
Zhyhanov
не хельм пока не использую
Andrey
есть задача запретить доступ к определённому url на уровне ingress. Как это лучше сделать? Чтоб по example.com/secretpath/ выдавало 404 или 503, вобщем неважно что, главное чтоб не аппликуху
Rainbow
есть задача запретить доступ к определённому url на уровне ingress. Как это лучше сделать? Чтоб по example.com/secretpath/ выдавало 404 или 503, вобщем неважно что, главное чтоб не аппликуху
через анотацию запрет по ip|baseauth или ещё что
Andrey
оно вроде зависимо от типа контроллера, у меня он может поменяться
Andrey
ну и аннтоация на весь ингрес же
Rainbow
у вас ingress рул под один контроллер. В чем проблема?
Rainbow
Сделайте второй ingress для приватного пути
Rainbow
kind: ingress это просто правило