@SinTeZoiD Согласовал с начальством выезд двоих человек, иду на сайт, а места закрыли. Блин, печально.

Пни меня во вторник, если не ответят

Окей, спасибо, но хоть какие-то гарантии бы. Я набрал 3х человек (включая меня). А мне из Нижнего Новгорода надо ехать. Я люблю поезда, но надо чуть заранее знать. :)

Тогда в понедельник)

просто извращений хочу и ищу помощи знающих

ок, итого, есть задача. пишу helm chart для приложения состоящего из отдельных сервисов. каждый сервис принимает набор параметров, многии из которых общие для 2-х и более сервисов, нужно иметь возможность как задавать параметры глобально для всех сервисов так и переопределять их на уровне сервиса, возможно ли такое сделать в helm и если да, то как наиболее правильно?

можно по-разному это сделать например, в хелме есть саб-чарты https://github.com/helm/helm/blob/master/docs/chart_template_guide/subcharts_and_globals.md

Спасибо, а еще как?

не могу вдуплить чет где можно настроить tolerations для дефолтных приложений из kube-system типа kube-dns и metrics-server? в смысле декларативно где это делается

с другой стороны, микросервисы на то и микросервисы, чтобы их можно было независимо деплоить, поэтому может пихать все в один чарт будет в конкретном случае плохой идеей но никто не запрещает в конце концов иметь несколько независимых чартов и для всех них отдельно лежащий values.yaml с глобальными переменными короче, много вариантов)

даже через _helpers.tpl получается уродство лютое

ой да в хелме всегда будет уродство тут ниче не поделаешь

Ребят, а можно ли в кубе дополнить entrypoint? То есть сейчас такого вида: ["node"], а я хочу, например, не пересобирая самому docker image, сделать ["/sbin/tini", "--", "node"]?

знаю что можно CMD изменить, но нужно конкретно entrypoint обернуть

на месте node может быть что угодно, хочется универсально в любой image добавлять что-то перед дефолтным entrypoint'ом

ок, итого, есть задача. пишу helm chart для приложения состоящего из отдельных сервисов. каждый сервис принимает набор параметров, многии из которых общие для 2-х и более сервисов, нужно иметь возможность как задавать параметры глобально для всех сервисов так и переопределять их на уровне сервиса, возможно ли такое сделать в helm и если да, то как наиболее правильно?

Ребят, а можно ли в кубе дополнить entrypoint? То есть сейчас такого вида: ["node"], а я хочу, например, не пересобирая самому docker image, сделать ["/sbin/tini", "--", "node"]?

В продакшн рано.

да, можно такое, есть такая функция default

всем привет. а вот кто как пользователей в кластере манагерит? LDAP?

ну

хм, ну вариантов то много насколько я понимаю DEX много источников позволяет делать а что в качестве LDAP сервера? OpenLDAP ? Active Directory? я как бы в начале пути, хочу понять какие где грабли есть

хм, ну вариантов то много насколько я понимаю DEX много источников позволяет делать а что в качестве LDAP сервера? OpenLDAP ? Active Directory? я как бы в начале пути, хочу понять какие где грабли есть

Ну или любой бэкенд (в том числе AD) + Keycloak

FreeIPA + Keycloak

Keycloak имеет какие-то явные преимущества над dex?

а сам FreeIPA я так понимаю отдельный, у него какие то HA гарантии есть? Имеет смысл его пускать как Statefullset внутри k8s ? и централизованый управляется обычным provisioning?

На самом деле может вам и LDAP не нужен, если просто хотите манаджить юзеров в кластере, одного Keycloak вполне будет достаточно

нет. на самом деле хочется как то остановить в зародыше бардак на тему "ой бля у нас уже 100 AWS, 50 Google, 30 Github и еще хер-пойми сколько сервисов + системно через SSH на ноды в кластер тоже хочется ходить не просто так"

Пока говорите про keycloak, никогда такое не настраивал и тп, только смотрю. Я могу делать через него же auth proxy, который будет показывать форму авторизации и отдавать jwt дальше тем, кто под ним? В jwt хранить userId, permissions.

В качестве auth-proxy есть мега вещь - keycloak-gatekeeper - это auth proxy написанный на go, им легко можно закрыть kubernetes-dashboard, kibana и все что угодно

Ну или любой бэкенд (в том числе AD) + Keycloak

а где можно найти вменяемый ман для интеграции кубика с АД?

При этом он простой как тапок, его работа прозрачна и keycloak в качестве backend'а ему не требуется. т.е. подойдет любой аутентификатор с поддержкой client-secret

Если будет время напишу)

А какие ещё есть коробочные аутентификаторы? Из не сложных (список пользователей, роли на которые свои permission вешаешь).

Как по мне, если тебе нужно что-то послоложнее DEX, то Keycloak - отличный вариант, вряд-ли что-то лучше найдешь.

А какие ещё есть коробочные аутентификаторы? Из не сложных (список пользователей, роли на которые свои permission вешаешь).

можно ещё kong

Тогда берите FreeIPA - пихать в куб не советовал бы, лучше на отдельный сервер, можно два. Для авторизации в Linux, LDAP, управления SUDO и доступами к серверам - самое оно

хотелось бы что-то с готовым ui, чтобы можно было кому-то ещё отдать для раздачи доступа. Уже устал пилить свои велосипеды. kong это прокси. там какие решения за ним для этого?