Через VPN. Или IP whitelist по сервисам.

а у вас тож calico и gke? : ^ )

https://blog.mrtrustor.net/post/iptables-kubernetes/ нашел вот такой пост, прям очень про меня, но его ямл мне не помог(

может тут кто-то знает, что за поведение у прометея? persistent volume claim давно удалены из кластера, но он всё еще мне выдает их в promql kubelet_volume_stats_capacity_bytes

как вы даете вашим разработчикам доступ к staging сервисам? через vpn или как-то иначе? расшаривать load-balancer не выйдет, на репликасет монги его не расшаришь

какой у вас подход в нумерации портов сервисов. У нас по немного появляються много service вижу 2 подхода, либо все сервисы работают на 80 либо каждому свой уникальный. Есть какие нить рекомендации?

если кому интересно или вдруг сталкнется с такой херней, то просто передернул кубелет сервисы и информация актуализировалась... пока так и не понял что стало причиной залипания метрик кубелета

Я правильно понимаю, что service account per container задать нельзя? Только вручную монтировать секрет в контейнер?

Попробуйте удалить вольюм теперь, пропадет из Прометея?

Есть тут спецы по MetalLB? в логах спикера видно что айпишник анонсится, но tcpdump говорит что спикер не отвечает на ARP запросы по этому айпишнику

Сервисы видимо не headless?

Всем день добрый Подскажите, кто нибудь делал helm chart для rancher? А то есть ошибка и не могу понять , куда копать для ее решения https://scr.4xxi.com/dyudin/15363505719-vVAVolzPmN.png

https://kubernetes.io/docs/concepts/workloads/controllers/cron-jobs/

Простите, а вы сами такое пробовали под указанную задачу ? Типового образа с kubectl, авторизующегося от учётки пода нет, как пробрасывать скрипты - не понятно, городить огород из вложенных вызовов команд - ну ужос же

Простите, а вы сами такое пробовали под указанную задачу ? Типового образа с kubectl, авторизующегося от учётки пода нет, как пробрасывать скрипты - не понятно, городить огород из вложенных вызовов команд - ну ужос же

kubectl можно с ноды подмонтировать, хоть из типового альпайна

kubectl можно с ноды подмонтировать, хоть из типового альпайна

ну кстати да, просто конфиг закинуть с серис аккуантом

он автоматически kubectl цепляется, если он запущен из пода

Простите, а вы сами такое пробовали под указанную задачу ? Типового образа с kubectl, авторизующегося от учётки пода нет, как пробрасывать скрипты - не понятно, городить огород из вложенных вызовов команд - ну ужос же

Через токен, который есть у каждого пода

не у каждого, а с sa

не у каждого, а с sa

не у каждого, а с sa

есть дефолтный токен

594d8c4ff-hzpzr:/opt# cat /run/secrets/kubernetes.io/serviceaccount/token eyJhbGciOiJSUzI1NiIsImtpZCI6IiJ9.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJkZWZhdWx0Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9zZWNyZXQubmFtZSI6ImRlZmF1bHQtdG9rZW4tZmRwdmQiLCJrdWJlcm5ldGVzLmlvL3NlcnZpY2VhY2NvdW50L3NlcnZpY2UtYWNjb3VudC5uYW1lIjoiZGVmYXVsdCIsImt1YmVybmV0ZXMuaW8vc2VydmljZWFjY291bnQvc2VydmljZS1hY2NvdW50LnVpZCI6ImZlZmMzMmMzLTBjNGUtMTFlOS05MzIxLTQyMDEwYTgwMDA5OSIsInN1YiI6InN5c3RlbTpzZXJ2aWNlYWNjb3VudDpkZWZhdWx0OmRlZmF1bHQifQ.h9MAziavnoCuifzEyee-C9834NLzR9ponIr-QZxBU5I5YNyZ1GXrz9SMG8bc6FuI_D_QO30iVOnCYRj-z-0LQmrgYrwUbJFj_OUT0M8YVyCD4-MRz_Cbek5zUSbGxxYDU0WKmSnOLnVS-9rXYFTRulhV1k7brotl1NgXj0BI1XpxRGzFTOxc6wXHXsZ6OUVQl-jaEg0TD532S7M-kSazv7Tcexn9PGqNxg6LmFNkKAC-DTaYTqG5I4HRt1Y6yC_6-1sDbU8AlEpsJ0C8wB_ZNs9HBrMZH6Z1oNMdQQfa3SYxjEWGXWMhZBryOmiUj07mJJ_UGCwWcaP7xBwi5F4kdw Вот те под без са, но с дефолтным токеном

блин, а вот это уже немного напрягает, правда, тут от RBAC зависит

кстати, а есть адекватный способ редеплоить деплоймент (странно звучит немного), если у меня, например, поменялись ENV переменные из секретсов?

Сервис аккаунт же для этого есть

Ну попробуйте его использовать с kubectl в поде. да, можно, удобно ? нифига. просто попробуйте.

ну я бы через kube-watch сделал, мониторил бы поле в секрете, если оно меняется то delete pod -l <label>

поставил звездочку ему в github 🙂 Надо будет потыкать на досуге, в прицнипе идея крутая, можно придумать очень интересные юз кейсы...

он передаёт спасибо и просит предупредить, что на убунте 16.04 не работает :)

> можно придумать очень интересные юз кейсы... я подумываю на нем оператор попробовать написать :) типа мониторишь CRD, и дергаешь минискрипты с запуском/изменением/удалением подов/джобов, которые прямо из конфигмапов монтируются. То есть весь оператор можно одним большим манифестом попробовать описать

просто задается serviceAccountName: ..

Хочется простого, как дверь: через crd/аннотации указать, какой набор команд выполнить в поде по расписанию , иметь возможность что-то куда-то копирнуть. Ничего такого на память не вспомните ?

кстати, а есть адекватный способ редеплоить деплоймент (странно звучит немного), если у меня, например, поменялись ENV переменные из секретсов?

Хочется простого, как дверь: через crd/аннотации указать, какой набор команд выполнить в поде по расписанию , иметь возможность что-то куда-то копирнуть. Ничего такого на память не вспомните ?

heandless

Handless

Почему ingress может ип не получать в gke? kubectl get ingress --all-namespaces NAMESPACE NAME HOSTS ADDRESS PORTS AGE logging proxy-basic-auth-elastic elasticsearch.elk.sipay.ru 80, 443 21m

А правилен ли такой подход? Не лучше ли pull модель из sidecar'ов реализовать? Они теснее будут с конкретным контейнером связаны.

Привет народ. А кто поднимал EKS класстер? Создали один, но не можем подконнектиться к нему из под другого юзера