зачем тебе хранить стейт в кубе поверх вм, если его можно просто хранить в вм?

=) не ну мало ли, вот потребуется 4тый кластер ввести в строй или 300+ серверов и все, будь добр покупай кубер про

я хочу чего-нибудь типа kubectl exec <node> и при этом не настраивая ssh на самих нодах

у нас есть oc debug node/foo - она запускает суперпривелигированный контейнер, маунтит хост в /host и дает в него exec

я хочу чего-нибудь типа kubectl exec <node> и при этом не настраивая ssh на самих нодах

я хочу чего-нибудь типа kubectl exec <node> и при этом не настраивая ssh на самих нодах

А ну вон пример реализации даже

так /host маунт, не дает тебе возможности в хостовый неймспейс залогиниться

chroot же

неа, его не достаточно

и менеджить права через RBAC, плюс логирование действий каждого пользователя желательно

sysdig falco такое делает, нет?

файлик поправить хватит

а шару примаунтить, docker ребутнуть, kubelet обновить? - ну и все такое

напиши оператор для такого, зачем руками лезть?

и менеджить права через RBAC, плюс логирование действий каждого пользователя желательно

в целях дебаггинга

как продукт - да, как требующий внимания инструмент - нет

хотя последние два - не так критично, шару и с mountPropogation: bidirectional примаунтить получится, можно попробовать, но сдается мне, что это все равно не тоже самое хостовое пространство будет в chroot /host и рано или поздно это вылезет

Вот (сам не запускал даже) https://gravitational.com/teleport/features/pam-for-kubernetes/

потом на скраме "дебажил и случайно обновил кубелет" :)

рбак конечно же платный

Можно сделать nsenter в процесс видимый через hostPID

В целом и freeipa сейчас неплохо с этим справляется. Но блин: apt install freeipa-client After this operation, 252 MB of additional disk space will be used.

Всем привет. Как настроить nginx ingress controller внутри одного namespace чтобы он работал только внутри него?

пораперепилить на го в 1м бинаре?

Вот это интересная идея

Там есть ключ командной строки, но тогда и конфригмапа контроллера тоже должна быть там

Кокой именно не подскажите?

Коллега как раз такой контейнер сделал, exec в него и сразу в хосте. Главное кублет не перезапускать :) могу спросить что там внутри

в смысле даже внутри контейнера ничего выпонять не надо?

с аттачем не так интересно :/

а что attach делает, цепляется к stdin/stdout текущего процесса?

Кто нибудь harbor docker registry пользуется? Как там с освобождением места при удалении/перезаписи тэгов? А то у официального docker distribution все плохо https://gitlab.com/gitlab-org/gitlab-ce/issues/57897

что, ДО СИХ ПОР?

нет, пока ты его явно не снесешь, либо этого не сделает fencing/cloud-provider за тебя

живут оба сейчас

Тоже нормально после unknown переподнялись?

@azalio а почему не statefulset?

да не почему, еще не попробовал. Я к тому что стратегия recreate тут не поможет

Хм, вообще странно, а она точно применилась?

Хм, вообще странно, а она точно применилась?

вообще для такого рода гарантий был придуман StatefulSet, но я думал что Deployment с .spec.strategy.type==Recreate тоже так работает, во всяком случае @Maxpain177 точно писал так что поды с Recreate не переезжают если нода упадет

statefulset тебе все равно даст минимум 1 живой под, а не максимум 1 под всегда

это прям гарантирую, не может в StatefulSet быть больше подов чем в replicas

это прям гарантирую, не может в StatefulSet быть больше подов чем в replicas

# kubectl describe deployment access Name: access Namespace: default CreationTimestamp: Thu, 14 Mar 2019 19:23:35 +0300 Labels: run=access Annotations: deployment.kubernetes.io/revision: 1 kubectl.kubernetes.io/last-applied-configuration: {"apiVersion":"extensions/v1beta1","kind":"Deployment","metadata":{"annotations":{},"labels":{"run":"access"},"name":"access","namespace":... Selector: run=access Replicas: 1 desired | 1 updated | 1 total | 1 available | 0 unavailable StrategyType: Recreate

а ты deployment пересоздавал или обновлял старый?