« Rev
@kubernetes_ru   1661
Fwd »


Andor
а, ну там хз
Михаил
Lucky SB
и второй вопрос. что даст злоумышленнику знание приватного ключа от апи-сервера ?
Vadim
что толку подменять трафик в клиенткой приложухе, если можно сразу аписервер взять?
Andor
ACME это не только летсэнкрипт
Lucky SB
ACME это не только летсэнкрипт
срок три месяца захардкожен в ACME ? ;)
Andor
говори если есть что сказать
Lucky SB
говорю
Lucky SB
кубадм говно
Lucky SB
в части работы с сертификатами
Vadim
опять кубадм виноват!
Nikolay
куришь пьешь и не женат - кубеадм виноват!
Lucky SB
ситуация, когда через год кластер превращается в тыкву у админов, которые в третий раз ставят кластер - повторяется постоянно.
Egor
Привет всем
Egor
ребят как сделать цыкл? kubectl -n test create -f cm-*.yaml
Lucky SB
претенезии: сроки действия корневого сертификата - 10 лет и остальных 1 год - ЗАХАРДКОЖЕНЫ
Vadim
куришь пьешь и не женат - кубеадм виноват!
опять истек сертификат тут кубадм виноват
Lucky SB
по умолчанию кубадм не ставит никаких механизмов по ротации сертификатов
Nikolay
кстати. а для самоподписных сертификатов есть какой-то удобный механизм ротации?
Lucky SB
серты для API сервера можно ротировать. но руками. но фича в альфа фазе kubeadm alpha phase certs renew all
Lucky SB
причем у альфа фазы нету ключа —config
Andor
но его надо как-то интегрировать
Lucky SB
подсунуть свой конфиг кубадму = хрентам
Lucky SB
сертификаты для контроллер-менеджера и шедулера надо руками пересоздавать. man openssl
Lucky SB
хорошо хоть кублеты научили автоматически сертификаты обновлять. но опять эта фича выключена по дефолту
Egor
есть кто может помоч?
Egor
ребят как сделать цыкл? kubectl -n test create -f cm-*.yaml
Egor
оч срочно нужно
Rainbow
kubectl create -f manifests/
Rainbow
(папка)
Egor
cm-*.yaml нужно брать только имя которое содержит cm
Lucky SB
ребят как сделать цыкл? kubectl -n test create -f cm-*.yaml
дык вроде shell тебе должен сам развернуть это в список нужных файлов
yolkov
kubectl apply --help | grep recursive -R, --recursive=false: Process the directory used in -f, --filename recursively. Useful when you want to manage related manifests organized within the same directory.
Lucky SB
Кто это "все"? Мы перевыпускаем ~ раз в год
все - это всякие comodo, globalsign и прочие мелкие конторы, чьи корневые сертификаты в браузерах зашиты
Lucky SB
корневой сертификат-то тут причем?
а чем корневой сертификат x509 отличается от x509 сертификата API-сервера ?
Lucky SB
и там и там приватный ключ,который можно подобрать за полтора года, как ты говоришь.
Lucky SB
или я тебя не понял ?
Vadim
а чем корневой сертификат x509 отличается от x509 сертификата API-сервера ?
>корневой сертификат x509 >x509 сертификата API-сервера the_office_they_are_the_same_picture.jpg
Alexey
kustomize/ksonnet
интересная штука. Может знаете, можно ли её держать в своем namespace и rbac-м разрешить деплоить в конкретные неймспейсы... Просто подход отдачи рут токена (все права на все, назовем это так, что бы проще было) для helm просто убивает, ну и то что он может быть один, можно несколько но это такие упоротые костыли, что мама не горюй
Andor
это просто шаблонизатор для манифестов
Andor
кто их будет применять - не его забота
Alexey
ааа, просто готовит манифесты. Блин а блю грин + откаты видимо ci + артефакты да ?
Alexey
создай для хелм сервисаккаунт, прибей role и поставь тиллер в определенный неймспейс.
да, до момента пока тебе не понадобится несколько тиллеров в одном кубе. В том то и прикол что нужно управлять разными проектами.
quaternion
в helm 3 вроде хотят отказаться от tiller
Alexey
в helm 3 вроде хотят отказаться от tiller
я про него уже второй год "слышу", это уже начинает напоминать историю с вайланд, пилят обещают но все ни как не доделают
Lucky SB
так что тиллеров можно поставить много
Alexey
так что тиллеров можно поставить много
а управлять как конкретным тиллером. Ведь указываем мы ему конфиг кубовый
Alexey
ААА дошло, видимо в конфиге можно указать namespace... Посмотрю
Alexey
—tiller-namespace
спасибо по пробую, много проблем уберет, а то начинает секс с ваултом и шифрованием прям в ci
Rainbow
helm как php 🤦‍♂️херня, а ткни пальцем - попадёшь в php чувака
Rainbow
сказал жаваскриптер
Сказал мужик
Rainbow
Я так то и php знаю и за phpшника сойду
Andor
Сказал мужик
ты не в тренде, сейчас правильно говорить "хуемразь"
Etki
каждый раз, когда вы поднимаете sjw-дискуссию, я вспоминаю что линус больше не комментит огненно свежие мерджи и грущу
Nikolay
Хмм, если несложно- посмотрите, пожалуйста.
в общем, единственное место, где имидж видно в системе - это вот тут: ls /dev/rbd* /dev/rbd0 /dev/rbd: DMK8s DMK8s - это название пула, rbd0 - выделенный имидж если натравить на него fdisk, то размер выдаст вот такой: Disk /dev/rbd0: 8589 MB в pvc он вот так kubectl get pvc -n docker-registry NAME STATUS VOLUME CAPACITY ACCESS MODES STORAGECLASS AGE docker-registry-registry-0 Bound pvc-0e6daaf1-4c9c-11e9-a6ea-0017a47704ee 8Gi RWO fast 5m51s
Nikolay
не, я использую rbd-provisioner
Danila
Чтобы можно было напрямую подключать том к контейнеру, не монтируя его к хосту
Nikolay
гуглить вот это quay.io/external_storage/rbd-provisioner, он довольно простой в понимании
Danila
Действительно, rbd volume никуда не монтируется, только создаётся
Andrey
Кто keycloak-gatekeeper поднимал для dashboard опубликованного через ingress? После ридеректа на dashboard сообщение о 404.
Yuriy
Привет! Помогите разобраться сетью в кубере. Есть под который сконфигурён с сетевым сервисом типа loadbalancer. Я бы хотел повестить порты пода на lo0 интерфейс хоста и через хапрокси делать проброс трафика на порты пода. Может есть ещё рецепты?
The
Привет. Если накатывать вместе с кафкой/зукипером ещё и topic-operator на существующие данные/топики, то оператор при деплое их детектит и затирает. Можно как-то это побороть? Чистые кафка-зуу всё подхватывают
Andrey
Я поднимал: https://habr.com/en/post/441112/ (внизу готовый конфиг)
Там не хватает конфига ингресс для самого dashboard. После ридеректа в браузере я вижу 404 так ингресс не понимает все что после адрес dashboards
« Rev
@kubernetes_ru   1661
Fwd »