v 1.12 надо было явно указывать конфигурацию для etcd, в 1.13 не надо, но etcd начинает слушать не на том интерефейсе, на каком хотелось бы

у меня теперь etcd пытается слушать на адресе --apiserver-advertise-address=

вот я advertise адрес пишу в kubeadm кофиге, он его игнорит

kind: ClusterConfiguration kubernetesVersion: _K8S_VERSION_ apiServer: certSANs: - "_API_HOSTNAME_" extraArgs: advertise-address: "_NODE_IP_"

serverless selfhosted это штуки вроде https://micro.mu/ или https://moleculer.services/ а не что-то сырое вроде kubeless или openfaas ну так, если кто-то задумывается, а то долго не понимал почему нет нормально решения. Оно есть, только немного другое.

serverless selfhosted это штуки вроде https://micro.mu/ или https://moleculer.services/ а не что-то сырое вроде kubeless или openfaas ну так, если кто-то задумывается, а то долго не понимал почему нет нормально решения. Оно есть, только немного другое.

Ты просто Kubernetes не любишь.

Ты просто Kubernetes не любишь.

оно в k8s отлично ложится. Эт тут причем?

оно в k8s отлично ложится. Эт тут причем?

Ну вот...

Парни, коллеги. Вопрос: “кто как проверяет liveness and redness для php-fpm”

Парни, коллеги. Вопрос: “кто как проверяет liveness and redness для php-fpm”

cgi-fcgi https://gist.github.com/mpasternacki/209446

Парни, коллеги. Вопрос: “кто как проверяет liveness and redness для php-fpm”

Пилить скрипт который по фастцгай дёргает срипт на пхп)

А тот уже какие-то проверки делает и чёт возвращает

вот я advertise адрес пишу в kubeadm кофиге, он его игнорит

а, оказывается он его не игнорит, в поде аписервера все норм, но вот etcd всеравно где попало слушает, но не там

cgi-fcgi https://gist.github.com/mpasternacki/209446

спасибо

и Sergey спасбо за наводку

а, оказывается он его не игнорит, в поде аписервера все норм, но вот etcd всеравно где попало слушает, но не там

А что в конфиге etcd? Ему надо ETCD_LISTEN_CLIENT_URLS передавать

А что в конфиге etcd? Ему надо ETCD_LISTEN_CLIENT_URLS передавать

пусто было

и оказалось, что listten_client_urls было недостаточно, еще надо было advertise-client-urls и listen-peer-urls

иначе инит зависает на wait control plain

гайз, а кто нибудь юзает k8s в eks за okta + mfa?

https://medium.com/@reuvenharrison/an-introduction-to-kubernetes-network-policies-for-security-people-ba92dd4c809d

Доброго дня, коллеги!

Установил ceph, создал storage class. При разворачивании mysql создается pv и pvc, но под не разворачивается Warning FailedMount 6m (x539 over 20h) kubelet, k8s-s2 Unable to mount volumes for pod "mysql-server-5f99c4bc98-hmpgq_kube-services(42744f05-38cb-11e9-9bc0-eca86b22ad67)": timeout expired waiting for volumes to attach or mount for pod "kube-services"/"mysql-server-5f99c4bc98-hmpgq". list of unmounted volumes=[data]. list of unattached volumes=[data default-token-gzqmj] Warning FailedMount 2m (x608 over 20h) kubelet, k8s-s2 MountVolume.WaitForAttach failed for volume "pvc-42715230-38cb-11e9-9bc0-eca86b22ad67" : fail to check rbd image status with: (executable file not found in $PATH), rbd output: ()

посоветуйте куда смотреть

Разобрался. Нода на которой разворачивался контейнер, не входила в кластер ceph.

Что?? У тебя кластер цефа развернут на воркерах куба??? А так можно было????

Оооо, ща набежит стадо умников с речами про воркеров в кубе

(открывает попкорн)

Что?? У тебя кластер цефа развернут на воркерах куба??? А так можно было????

https://habr.com/ru/post/348688/

это у меня тестинг на бареметал

прод конечно так не будуразворачивать, хотя...

Не я не умничал, но имхо свято верил что хранилище лцчше дальше держать от воркеров ( сеть проц и память) чтобы не юзать лишними задачами

Даж для тестов, и в итоге уперся в сеть

На бареметал

хз. работает. просто в данный момент в результате вывода и ввода новой ноды ceph. Снес все к ертям и заново поставил) До этого момента работало вполне стабильно, даже с учетом периодического вырубаия электричества.

для тестинга вполне содет

А что по иопсам говорят при записи в блок хотяб 1000 файлов по 100мб

У мну была дикая печалька, даже по 1мб

он не нагруженн

лишь для проверки тестовых веток

cgi-fcgi https://gist.github.com/mpasternacki/209446

тут опасность, если воркеры fpm кончились (большая нагрузка), то ваш чек свалится, если не влезет в таймаут. и под высокой нагрузкой выбивать под из сервиса или рестартить его?

тут опасность, если воркеры fpm кончились (большая нагрузка), то ваш чек свалится, если не влезет в таймаут. и под высокой нагрузкой выбивать под из сервиса или рестартить его?

Неа. У меня отдельный пул с 2мя воркерами для чеков.

тоесть ты вообще говоря проверяешь совсем другой пул?

тоесть ты вообще говоря проверяешь совсем другой пул?

Я проверяю php-fpm.

тоесть ты вообще говоря проверяешь совсем другой пул?

Приложение то же в этом пуле, те же скрипты. Везде бэклог сокетов маленький, поэтому ingress балансировка вовремя заметит перегруз. Readiness пробами это не делаю.

Приложение то же в этом пуле, те же скрипты. Везде бэклог сокетов маленький, поэтому ingress балансировка вовремя заметит перегруз. Readiness пробами это не делаю.

у тебя ingress controller в fcgi сам ходит?

у тебя ingress controller в fcgi сам ходит?

Через nginx, который отдельно проверяется.

Надо бы в ingress впилить. Пойду issue почитаю.

а у вас тоже бывало такое что почемуто не коннектится к бд, в логах все ок - connection string какая надо, а потом спустя часы чесаний репы выясняется что вы случайно когда энкодили base64 засунули туда непечаемый символ? как от этого лечиться?

а у вас тоже бывало такое что почемуто не коннектится к бд, в логах все ок - connection string какая надо, а потом спустя часы чесаний репы выясняется что вы случайно когда энкодили base64 засунули туда непечаемый символ? как от этого лечиться?

Иметь функциональные/интеграционные тесты.

Иметь функциональные/интеграционные тесты.

это вообще законно?

Что?? У тебя кластер цефа развернут на воркерах куба??? А так можно было????

и че?)

а у вас тоже бывало такое что почемуто не коннектится к бд, в логах все ок - connection string какая надо, а потом спустя часы чесаний репы выясняется что вы случайно когда энкодили base64 засунули туда непечаемый символ? как от этого лечиться?

суровые последствия echo без -n (речь про "echo -n MY_CONNECTION_STRING | base64")

это у меня тестинг на бареметал

и чо?)

Через nginx, который отдельно проверяется.

промежуточный nginx сможет только 503 вернуть после таймаута скорее всего при нехватке fpm воркеров

промежуточный nginx сможет только 503 вернуть после таймаута скорее всего при нехватке fpm воркеров

То, что нужно. 502 только. И пойдёт в следующий под.

думаю не 502, ведь fpm никуда не исчезнет. короч нужно стремится к маленьким таймаутам, короткому времени выполнения

думаю не 502, ведь fpm никуда не исчезнет. короч нужно стремится к маленьким таймаутам, короткому времени выполнения

502, ибо отвалит с TCP RST.

502, ибо отвалит с TCP RST.

ок, проверять лень

Коллеги, кто настраивал связку с keycloak (openid-connect) + AD + K8S? На что стоит обратить внимание, чтобы связка была относительно безопасной?

т.е. завестись то оно завелось, и rbac в т.ч. заработал, сервисы прячу за gatekeeper - насколько их безопасно выставлять в инет?

Иметь функциональные/интеграционные тесты.

как они помогут в данном случае лол, ты в любом случае гдето должен секрет указать

т.е. завестись то оно завелось, и rbac в т.ч. заработал, сервисы прячу за gatekeeper - насколько их безопасно выставлять в инет?

Если у вас сложная политика паролей, а LDAP не даёт возможности для брутфорса, сам Keycloak и сервисы защищены https, то должно быть достаточно безопасно.

Если у вас сложная политика паролей, а LDAP не даёт возможности для брутфорса, сам Keycloak и сервисы защищены https, то должно быть достаточно безопасно.

Спасибо. Какие-то нюансы в настройке может быть есть ещё?

Как вам Wireguard, юзает кто в проде? Чет как-то не по себе от того, что его пилит в основном 1 чел и основная репа в какой-то жопе лежит. Но все хвалят

как они помогут в данном случае лол, ты в любом случае гдето должен секрет указать

Ты определишь, что где-то в деплое ошибся. Или я не совсем понимаю, от чего ты хочешь защититься?

ребят, привет, кто-нибудь юзал отправку алертов через вебхуки в alertmanager?

там json никак не поменять, который отправляется?

просто для остальных способов вроде как темплейтинг работает, про вебхуки не могу найти, можно ли менять тело json

вот из доки

The Alertmanager will send HTTP POST requests in the following JSON format to the configured endpoint: { "version": "4", "groupKey": <string>, // key identifying the group of alerts (e.g. to deduplicate) "status": "<resolved|firing>", "receiver": <string>, "groupLabels": <object>, "commonLabels": <object>, "commonAnnotations": <object>, "externalURL": <string>, // backlink to the Alertmanager. "alerts": [ { "status": "<resolved|firing>", "labels": <object>, "annotations": <object>, "startsAt": "<rfc3339>", "endsAt": "<rfc3339>", "generatorURL": <string> // identifies the entity that caused the alert }, ... ] }

или только прокси делать и там уже менять тело?

ты что сделать-то пытаешься?

вообще лучше в церковь иди такое спрашивать

Почему ingress может висеть в "creating" state очень долго?

ok

я никак дождаться не могу?

отправить алерты в чатилку, но на той стороне json должен содержать определенные поля

сделай наколенную проксю

в случае с вебхуками в алертманагере, как я поняла, это не подкрутить, для слака, например, можно темплейтить что ты отправляешь, с вебхуками нет