Andrey
Andrey
Извините, мне нравятся эти стикеры
Mikolaj
)
Andrey
Кстати, есть вопрос: как дать права девелоперам на создание деплойментов в неймспейсе, но ограничить список сервисаккаунтов, которые они смогут использовать в поле serviceAccountName при создании подов?
Andrey
Была мысль про validation webhook, но admission контроллеры вроде не могут получить инфу о юзере
Andrey
Или я ошибаюсь?
Cavid
Javid - bura da geldin? )
Даня
уважаемые коллеги, поделитесь пожалуйста инфой, кто как решает вопрос об анализе логов разработчиками в дев энвайронменте?
я предложил использовать им кибану с логами поставляемыми флюентом - но они начали плеваться, дескать неудобно, нечитаемо
Даня
со стейджингом и продом все понятно, логи смотрим через кибанну (ст в большинстве случаем там стабильные сервисы)
Даня
но вот что делать если пода после деплоя сразу умирает - не ясно (хелсчеки то есть, но логи...)
Andrey
уважаемые коллеги, поделитесь пожалуйста инфой, кто как решает вопрос об анализе логов разработчиками в дев энвайронменте?
я предложил использовать им кибану с логами поставляемыми флюентом - но они начали плеваться, дескать неудобно, нечитаемо
Я поставил filebeat+es+kibana и провел обучение для разработчиков
Даня
хм, т.е. они читают именно там?
Andrey
Да
Даня
я думал может дать им доступы в кубцтл в неймспейс девелопмента
Даня
тк у меня все равно впн внутри кластера развернут
Даня
девовского
Andrey
я думал может дать им доступы в кубцтл в неймспейс девелопмента
Я это тоже сделал, но они хотят и логи с прода читать, а там по куче реплик, так что провел ликбез
Даня
обойдутся с продом 😂
Даня
значит будем внедлять кибану им) а то ней пользуются только фронтэнд девы и мы
Andrey
Я просто им дал доступы на чтение логов везде, но объяснил, что через кибану реально удобнее и на практике все сами в этом убедились
Даня
просто получается так, что у нас приложения на джаве и там есть действительн омультилайновые большие куски логов
Даня
но я думаю удобнее будет подкрутить флюент
Andrey
просто получается так, что у нас приложения на джаве и там есть действительн омультилайновые большие куски логов
Файлбит через аннотации позволяет указывать паттерны для мультилайн логов у конкретных подов/контейнеров
Даня
хм, надо попробовать его
Andrey
но я думаю удобнее будет подкрутить флюент
Я стек флюента сначала и пробовал, но файлбит удобнее
Даня
а то мы развернули его 3 месяца назад и пока не трогаем)
Даня
спс за совет)
Andrey
Плюс у кибаны на basic лицензии есть интерфейс для стриминга логов, который из коробки подхватывает индексы файлбита. Я ради интереса заставил fluentd под них мимикрировать и сработало, но в файлбите обработка мультилайн-логов в контексте кубеней реально удобна. Но я поставил сборку файлбита из мастера, ибо там фиксанули баг с лейблами, где есть точки в ключах.
Cavid
@inish777 priglasil druga
Cavid
Nikakoy spammer
Incognito
кто-нибудь знает, почему вот это кидает ошибку ?
terraform:
resource "kubernetes_service_account" "tiller" {
metadata {
name = "terraform-tiller"
namespace = "kube-system"
}
automount_service_account_token = true
}
resource "kubernetes_cluster_role_binding" "tiller" {
metadata {
name = "terraform-tiller"
}
role_ref {
kind = "ClusterRole"
name = "cluster-admin"
api_group = "rbac.authorization.k8s.io"
}
subject {
kind = "ServiceAccount"
name = "terraform-tiller"
api_group = ""
namespace = "kube-system"
}
}
ошибка:
* kubernetes_cluster_role_binding.tiller: 1 error(s) occurred:
* kubernetes_cluster_role_binding.tiller: Post https://https/<external-ip>/apis/rbac.authorization.k8s.io/v1/clusterrolebindings: dial tcp: lookup https on 192.168.88.1:53: no such host
* kubernetes_service_account.tiller: 1 error(s) occurred:
* kubernetes_service_account.tiller: Post https://https/<external-ip>/api/v1/namespaces/kube-system/serviceaccounts: dial tcp: lookup https on 192.168.88.1:53: no such host
Incognito
не могу понять, почему запрос же идет на паблик IP а он у себя внутри пытается искать на локальном
Ivan
посмотри внимательно Post https://https/<external-ip>/apis
Incognito
о, спасибо
Ivan
чего в шаббат работаешь?
Incognito
я пытаюсь все раскатить да
Даня
или отдельные роли/сервисы?
Даня
понял
Incognito
так много сколько смогу
Incognito
а смочь должен все
Даня
затея довольно интересная)
Incognito
нужна замкнутая воспроизводимая система, без доп зависимостей
Даня
я пробовал, но на тот момент хватило ручной раскатки, а теперь не думаю что вернемся к старым манифестам. все уже на хельме
Даня
есть смысл тоже так сделать)
Incognito
проще всего было бы Ансибл (с модулем терраформ и k8s) + Терраформ
Incognito
но тут сразу возникает зависимость на Питон
Даня
у нас терраформ - чисто инфраструктура в авс, а вот наполнения пока скриптом на баше
Даня
всяческие сервисы и тд
Incognito
ну это то еще развлечение ... хотя провайдеров куча, но и проблем с ними тоже хватает, тикетов открытых много
Incognito
у меня еще и микс AWS + GCP
Даня
мульти дц?
Incognito
мульти провайдеры, мульти зонные пулы
Даня
у меня пока только дев из 10 нод 😔
Даня
и екс под капотом
Sergey
Slach
А кто нибудь копался с crossplane.io?
Andrey
што што
Уже ответил, что nikakoy ne spamer. Просто сообщение то ли на турецком, то ли на азербайджанском, яхз, не филолог
Sergey
Уже ответил, что nikakoy ne spamer. Просто сообщение то ли на турецком, то ли на азербайджанском, яхз, не филолог
просто я не в этом комьюнити админ, поэтому не понятно почему был меншн
Sergey
про спамеров эт к мише
Andrey
просто я не в этом комьюнити админ, поэтому не понятно почему был меншн
Перепутал, ты в других чатах прост админ
Bear
у меня вопрос, может кто сталкивался, у меня на машине с k8s есть cерый ИП 172.16.0.4 в этот ИП проброшен белый все порты во все порты. Такая схема у ДЦ. Я пытаюсь сделать доступ с мой машины и получаю ошибку Unable to connect to the server: x509: certificate is valid for 10.244.0.1, 172.16.0.4, 172.16.0.4, 10.244.0.1, 127.0.0.1, 172.16.0.4, 172.16.0.5, not 8.8.8.8
https://kubernetes.io/docs/tasks/tls/managing-tls-in-a-cluster/#requesting-a-certificate я попробовал получить новый сертификат по этому мануалу, но получил error: You must be logged in to the server (Unauthorized)
Andrey
Ну я и по привычке
Incognito
* helm_release.cert-manager: error installing: deployments.extensions is forbidden: User "client" cannot create deployments.extensions in the namespace "kube-system"
🙁 чего то не хватает, а вот чего не могу понять
resource "kubernetes_cluster_role_binding" "tiller" {
metadata {
name = "terraform-tiller"
}
role_ref {
kind = "ClusterRole"
name = "cluster-admin"
api_group = "rbac.authorization.k8s.io"
}
subject {
kind = "ServiceAccount"
name = "terraform-tiller"
api_group = ""
namespace = "kube-system"
}
}
Bear
* helm_release.cert-manager: error installing: deployments.extensions is forbidden: User "client" cannot create deployments.extensions in the namespace "kube-system"
🙁 чего то не хватает, а вот чего не могу понять
resource "kubernetes_cluster_role_binding" "tiller" {
metadata {
name = "terraform-tiller"
}
role_ref {
kind = "ClusterRole"
name = "cluster-admin"
api_group = "rbac.authorization.k8s.io"
}
subject {
kind = "ServiceAccount"
name = "terraform-tiller"
api_group = ""
namespace = "kube-system"
}
}
kubectl create serviceaccount --namespace kube-system tiller
kubectl create clusterrolebinding tiller-cluster-rule --clusterrole=cluster-admin --serviceaccount=kube-system:tiller
kubectl patch deploy --namespace kube-system tiller-deploy -p '{"spec":{"template":{"spec":{"serviceAccount":"tiller"}}}}'
helm init --service-account tiller --upgrade
Incognito
kubectl patch deploy --namespace kube-system tiller-deploy -p '{"spec":{"template":{"spec":{"serviceAccount":"tiller"}}}}'
походу вот это надо
Incognito
но как это сделать через терраформ ....
Incognito
чтобы по правильному ...
Andrey
Я юзаю терраформ, но без использования кубеней в нем. Может, забьешь и через ансибл там?
Andrey
Он для штампования виртуалок хорош, но до 0.12 я бы даже о кубенях и не думал
Incognito
да тут проблема в провайдере, а не в кубере то
Incognito
Можно через local-exec ...
Mikolaj
а кто знает, только у меня пакадж cri-o-1.13 от projectatomic пустой?
Mikolaj
вроде как ппа на оффсайте указан