kubeadm alpha certs renew [flags]

У него по скрину какраз у кубелета протух сертификат или я не прав?

Да

kubeadm alpha certs renew [flags]

пошел пробовать

что то я туплю: kubeadm alpha certs renew apiserver Experimental sub-commands not yet fully functional.

что то я туплю: kubeadm alpha certs renew apiserver Experimental sub-commands not yet fully functional.

Ты можешь перегенерить сразу все серты

rm /etc/kubernetes/pki/apiserver.* kubeadm init phase certs all --apiserver-advertise-address=0.0.0.0 --apiserver-cert-extra-sans=10.161.233.80,114.215.201.87

rm /etc/kubernetes/pki/apiserver.* kubeadm init phase certs all --apiserver-advertise-address=0.0.0.0 --apiserver-cert-extra-sans=10.161.233.80,114.215.201.87

так упадет все в кластере.

так упадет все в кластере.

Так а другие кубелеты нормально работают?

Нет. Ни на одной ноде кубелет не работает. Но сам кластер живой

Поды внутри него работают даже

Нет. Ни на одной ноде кубелет не работает. Но сам кластер живой

А, ну это потому что у тебя api-server лежит)

Возможно.

Тебе надо заставить kubelet работать на мастер ноде, тогда он запустит api-server

и всё упадёт :)

наверное

Тебе надо заставить kubelet работать на мастер ноде, тогда он запустит api-server

Это и хочу сделать в первую очередь

Вижу что это заэкспайрилось: >openssl x509 -in /etc/kubernetes/pki/apiserver.crt -noout -text | grep ' Not ' Not Before: Mar 20 08:51:31 2018 GMT Not After : Mar 20 08:51:31 2019 GMT

попробуй kubeadm init phase kubelet-start

попробуй kubeadm init phase kubelet-start

api работает, просто со старым сертификатом

да. как его правильно обновить?

/etc/kubernetes/pki/ca.key - а этот живой сертификат?

rm /etc/kubernetes/pki/apiserver.* kubeadm init phase certs all --apiserver-advertise-address=0.0.0.0 --apiserver-cert-extra-sans=10.161.233.80,114.215.201.87

Так, только кубелеты нужно будет реджойнить потом

у меня просто сделано, что ca на сто лет :)

Хотя может и не придется, ca то не поменяется

docker rm -f `docker ps -q -f 'name=k8s_kube-apiserver*'` systemctl restart kubelet Потом

rm /etc/kubernetes/pki/apiserver.* kubeadm init phase certs all --apiserver-advertise-address=0.0.0.0 --apiserver-cert-extra-sans=10.161.233.80,114.215.201.87

можно еще чекнуть список DNS заодним, что бы при создании не проворонить: openssl x509 -in /etc/kubernetes/pki/apiserver.crt -noout -text |grep DNS

на тестовом кубике команда не работает на проде страшно запускать

Есть ли смысл для HPA ставить maxReplicas выше, чем число нод в кластере? например, для istio

kubeadm init phase certs all --apiserver-advertise-address=0.0.0.0 --apiserver-cert-extra-sans=10.161.233.80,114.215.201.87 --ignore-preflight-errors=all так обновило серты на тестовом кубике.

насторожило то что переинитился мастер. Не нужно ли будет ноды заново реджоинить ?

всем привет. подскажите пожалуйста такой момент. использую nginx-ingress и все хедеры, которые приходят с бэкенда в кэмелкейсе, в браузер отдаются в ловеркейсе. куда копнуть, может кто сталкивался?

kubeadm init phase certs all --apiserver-advertise-address=0.0.0.0 --apiserver-cert-extra-sans=10.161.233.80,114.215.201.87 --ignore-preflight-errors=all так обновило серты на тестовом кубике.

Ты бы --apiserver-cert-extra-sans поменял, на свои как @Andrey_Perminov говорил

можно еще чекнуть список DNS заодним, что бы при создании не проворонить: openssl x509 -in /etc/kubernetes/pki/apiserver.crt -noout -text |grep DNS

Ну или просто укажи все адреса и домены, по которым api-server должен быть доступен

Мне стало интересно, а на какой дефолтный срок кубеадм геренирует сертификаты? Это можно конфигурировать?

год, и не конфигурируется, но всегда есть возможность свои создавать сертификаты. + про renew надо читануть, как то странно это что через год кластер в тыкву превращается

можешь сделать на 5, где-то в середине второго года к нему подберут ключ - и привет

странно. кубеадм вроде GA стал недавно

да, долгий срок сертификата != хорошо

Всем привет. А кто-то пользуется ECS'ом? Можете рассказать плюсы/минусы по сравнению с использованием кубера

kubeadm init phase certs all --apiserver-advertise-address=0.0.0.0 --apiserver-cert-extra-sans=10.161.233.80,114.215.201.87 --ignore-preflight-errors=all

[certificates] Using the existing ca certificate and key. failure loading apiserver certificate: the certificate has expired

и все

Может сгенерировать в другом чистом месте? потом перенести на мастер, перезапустить его. Убедиться что поднялся, потом поочереди на каждой ноде reset && join?

kubeadm init phase certs all --apiserver-advertise-address=0.0.0.0 --apiserver-cert-extra-sans=10.161.233.80,114.215.201.87 --ignore-preflight-errors=all

Удалил все серты в PKI. Теперь ошибка.

e кубктл как раз не стартует из-за того что серт просроченый

а сколько у вас стоит в --system-reserved-cgroup= для ноды кубера?

(речь про bare-metal)

а сколько у вас стоит в --system-reserved-cgroup= для ноды кубера?

trick question!

а сколько у вас стоит в --system-reserved-cgroup= для ноды кубера?

полтора гб и пол ядра и еще немножко в kube-reserved

полтора гб и пол ядра и еще немножко в kube-reserved

kube-reserved сколько? У вас докер?

Народ, всем привет! Кто знает почему такое дерьмо случается и как остановить попытки куба поднять под? fct2-7f468b9bc4-q67tk 0/1 OutOfcpu 0 4d12h fct2-7f468b9bc4-qj4hw 0/1 OutOfcpu 0 4d12h fct2-7f468b9bc4-rb7kv 0/1 OutOfcpu 0 4d12h fct2-7f468b9bc4-rdrdb 0/1 OutOfcpu 0 4d12h fct2-7f468b9bc4-rjflw 0/1 OutOfcpu 0 4d12h fct2-7f468b9bc4-rkrwt 0/1 OutOfcpu 0 4d12h fct2-7f468b9bc4-rv99d 0/1 OutOfcpu 0 4d12h fct2-7f468b9bc4-s6zt4 0/1 OutOfcpu 0 4d12h fct2-7f468b9bc4-sq5jh 0/1 OutOfcpu 0 4d12h fct2-7f468b9bc4-swrwg 1/1 Running 21 4d12h fct2-7f468b9bc4-tpdpc 0/1 OutOfcpu 0 4d12h fct2-7f468b9bc4-tplfc 0/1 OutOfcpu 0 4d12h fct2-7f468b9bc4-tpxwf 0/1 OutOfcpu 0 4d12h fct2-7f468b9bc4-tx5rc 0/1 OutOfcpu 0 4d12h fct2-7f468b9bc4-v8k5k 0/1 OutOfcpu 0 4d12h

kube-reserved сколько? У вас докер?

Докер, там полгига и 300м кпу

Докер, там полгига и 300м кпу

спасибо!

Тут смысл вычесть ресурс чтобы шедулер был вкурсе

Тут смысл вычесть ресурс чтобы шедулер был вкурсе

да я в курсе, хотел сравнить со своими прикидками

Добрый день. Пытаюсь пытаюсь поднять два контейнра в поде, имидж одного основан на php:7.1-fpm-alpine, другого nginx:1.14-alpine. Pod поднимается, внем се файлы для нормальной работы есть, нокогда в сервисе переходишь External endpoints показывает начальную страницу nginx. В чем может быть дело?

Добрый день. Пытаюсь пытаюсь поднять два контейнра в поде, имидж одного основан на php:7.1-fpm-alpine, другого nginx:1.14-alpine. Pod поднимается, внем се файлы для нормальной работы есть, нокогда в сервисе переходишь External endpoints показывает начальную страницу nginx. В чем может быть дело?

в конфигах nginx видимо, наверное вы ожидаете увидеть что-то с php, ну надо тогда кофиг посмотреть

Файлы не в подах, а в контейнерах. Принудительно их зашарить в рамках пода можно вольюмами

в конфигах nginx видимо, наверное вы ожидаете увидеть что-то с php, ну надо тогда кофиг посмотреть

Конфиг nginx server { set $host_path "/var/www"; server_name localhost; root $host_path; error_log /var/log/nginx/error.log; access_log /var/log/nginx/access.log; charset utf-8; client_max_body_size 100M; sendfile off; location / { root $host_path/app; try_files $uri $uri/ /index.html; index index.html; } location ~ ^/api-internal/.*$ { root $host_path/api/web; index index.php; try_files $uri $uri/ /index.php?$query_string; } location ~ \.php$ { root $host_path/api/web; set $parsed_request_uri $request_uri; if ($request_uri ~ ^/api-internal/(.*)$ ) { set $parsed_request_uri $1?$query_string; } include fastcgi_params; fastcgi_pass app:9000; fastcgi_index index.php; fastcgi_param SCRIPT_FILENAME $host_path/api/web/index.php; fastcgi_param REQUEST_URI $parsed_request_uri; } location ~* /\. { deny all; } }

Добрый день. Пытаюсь пытаюсь поднять два контейнра в поде, имидж одного основан на php:7.1-fpm-alpine, другого nginx:1.14-alpine. Pod поднимается, внем се файлы для нормальной работы есть, нокогда в сервисе переходишь External endpoints показывает начальную страницу nginx. В чем может быть дело?

Дефолт конфиг в нгинкс вероятно не удалили

fastcgi_pass app:9000; проблема тут

если вы в один под все упихали

то надо localhost

fastcgi_pass app:9000; проблема тут

да в один под

можно в хосты прописать 🙂

Так app:localhost

Containers within a pod share an IP address and port space, and can find each other via localhost

ссылки не прикрепляются чот

Так app:localhost

localhost:9000

на сайте куба /docs/concepts/workloads/pods/pod/

localhost:9000

Понял, спасибо

А если контейнеры разбивать на разные podы, нужно делать череp volumes?

смотря что вы хотите