В Astra Linux реализован механизм избирательного управления доступом, который заключается в том, что на защищаемые именованные объекты устанавливаются (автоматически при их создании) базовые правила разграничения доступа в виде идентификаторов номинальных субъектов (UID и GID), которые вправе распоряжаться доступом к данному объекту и прав доступа к объекту. Определяются три вида доступа: чтение (read, r), запись (write, w) и исполнение (execution, x). hello umask )

О, в контейнерах и селинукс трудно делается, а их особая хреновина вообще будет весело мигать

а вообще докер сертификацию прошел? можно его туда ставить?

В Astra Linux реализован механизм избирательного управления доступом, который заключается в том, что на защищаемые именованные объекты устанавливаются (автоматически при их создании) базовые правила разграничения доступа в виде идентификаторов номинальных субъектов (UID и GID), которые вправе распоряжаться доступом к данному объекту и прав доступа к объекту. Определяются три вида доступа: чтение (read, r), запись (write, w) и исполнение (execution, x). hello umask )

Фига се, они пол-чмода написали ?

следующая оставновка acl

Будет сертифицированный ФСТЭК форк Docker (moby). Google Translate говорит, что назовётся "Портовый Рабочий".

Или просто КИТ.

Ага, и Кубернеты

Ох

АСУК "Рулевой"

АСУК "Рулевой"

КОРМЧИЙ

Всем привет, кто пользуется GitLabCI на кубернете, подскажите, ведь лучше библиотеки для сборки и тестирования держать в проекте или как-то монтировать, чем при каждой сборке выкачивать maven либы? Как лучше прицепить эти либы если не держать их в самом git репозитории? Или примонтировать к Поду ранера гитлаба?

Всем привет, кто пользуется GitLabCI на кубернете, подскажите, ведь лучше библиотеки для сборки и тестирования держать в проекте или как-то монтировать, чем при каждой сборке выкачивать maven либы? Как лучше прицепить эти либы если не держать их в самом git репозитории? Или примонтировать к Поду ранера гитлаба?

По-моему лучше нормально из репозитория выкачивать, чем что-то колхозить

По-моему лучше нормально из репозитория выкачивать, чем что-то колхозить

т.е. просто периодически обновлять либы в какой-нибудь ./.m2 в руте репозитория? Интересно как в этом случае будет bestPractise

т.е. просто периодически обновлять либы в какой-нибудь ./.m2 в руте репозитория? Интересно как в этом случае будет bestPractise

Ну в целом, безотносительно ЯП, нормально выглядит иметь приватный репо, в него пушить свои и проксировать пакеты из публичного интернета. Этот репо стоит рядом со всеми сборщиками-раннерами, поэтому они шустро работают, и везде используются штатные менеджеры пакетов (просто им урлы до своего репо отдаешь 1 раз при конфигурации и все)

Ну в целом, безотносительно ЯП, нормально выглядит иметь приватный репо, в него пушить свои и проксировать пакеты из публичного интернета. Этот репо стоит рядом со всеми сборщиками-раннерами, поэтому они шустро работают, и везде используются штатные менеджеры пакетов (просто им урлы до своего репо отдаешь 1 раз при конфигурации и все)

Спасибо, а есть какие статьи/книги по этому вопросу?

Спасибо, а есть какие статьи/книги по этому вопросу?

Даже не знаю, какие статьи книги тут нужны. Это просто логичная схема, многие к ней пришли, есть инструменты давным-давно. Самый универсальный комбайн nexus, есть специализированные еще всякие...

Даже не знаю, какие статьи книги тут нужны. Это просто логичная схема, многие к ней пришли, есть инструменты давным-давно. Самый универсальный комбайн nexus, есть специализированные еще всякие...

Спасибо, интересная штука

чет тоже выпал с просьбы книги по примитивной архитектуре

есть еще вариант кэшировать сам m2, но это сами понимаете что такое себе

Спасибо, а есть какие статьи/книги по этому вопросу?

Можно просто кеширующий прокси. Я на nginx наколхозил

Можно просто кеширующий прокси. Я на nginx наколхозил

Сейчас тестирую с Нексусом, деплой на кубе влет, уже что-то себе складывает)

Привет всем! Подскажите, в base64 'o=' - это padding ? kubectl генерит секрет с '==' таким дополнением. А base64 -w0 - c '0=' Это критично или это дополнение?

Привет всем! Подскажите, в base64 'o=' - это padding ? kubectl генерит секрет с '==' таким дополнением. А base64 -w0 - c '0=' Это критично или это дополнение?

А в base64 кормится \n? Это может объяснить разницу в padding'ах.

И, да, это padding.

А в base64 кормится \n? Это может объяснить разницу в padding'ах.

Вроде не padding. Это по ходу и есть \n На декоде увидел

Привет, есть у кого пример под рукой, как этот чертов nodeSelector {} в хельмовском values.yaml заполнить правильно? nodeSelector: { stagingNode: true } Так не пашет, ошибки выдает

Вроде не padding. Это по ходу и есть \n На декоде увидел

Вот красивый ответ. https://stackoverflow.com/a/36571117

Привет, есть у кого пример под рукой, как этот чертов nodeSelector {} в хельмовском values.yaml заполнить правильно? nodeSelector: { stagingNode: true } Так не пашет, ошибки выдает

nodeSelector: stagingNode: true

Ведь мы про YAML говорим.

Вот только true конвертнется в bool. Поэтому true в кавычки: "true".

Вот только true конвертнется в bool. Поэтому true в кавычки: "true".

Спасибо! В этом и была проблема.

Вот красивый ответ. https://stackoverflow.com/a/36571117

Нашел хак для anible tls.crt: "{{ ( lookup('file', inventory_dir + '/artifacts/' + harbor__inventory_name + '.crt') + '\n' ) | b64encode }}"

Вот только true конвертнется в bool. Поэтому true в кавычки: "true".

Особое веселье с этим true в аннотациях. То ли добавление, то ли наоборот удаление аннотации с true (без кавычек), удаляет все аннотации при kubectl apply . С лейблами наверняка та же история

Привет. Может кто знает: есть деплоймент с одной репликой, периодически получаю “Scaled down replica set … to 0”. Что может быть причиной?

Особое веселье с этим true в аннотациях. То ли добавление, то ли наоборот удаление аннотации с true (без кавычек), удаляет все аннотации при kubectl apply . С лейблами наверняка та же история

так было на старых кубах, сейчас ругается же

Привет. Может кто знает: есть деплоймент с одной репликой, периодически получаю “Scaled down replica set … to 0”. Что может быть причиной?

Deployment контроллер рулит ReplicaSet объектами. При перекатах он скейлит старый ReplicaSet в 0, а новый в 1.

всем утра

подскажите почему не деплоится образ

Failed to pull image "registry.ru:5000/visa-ru-front:build29": rpc error: code = Unknown desc = Error response from daemon: Get https://registry.ru:5000/v2/visa-ru-front/manifests/build29: no basic auth credentials

как это обойти?

как это обойти?

http://bfy.tw/N5DW

привет, может кто то подсказать как на bare metal кубике реализовать доступ по паблик ip к сервисам, если есть eth0 с интернал сеткой и eth1 екстернал. Пробовал nginx-ingress, metalLB, но никак не получаеться назначить екстернал ip как паблик, оно постоянно в pending, возможно у кого то есть такой опыт. Нужно решение которое позволяет работать domain и ssl.

привет, может кто то подсказать как на bare metal кубике реализовать доступ по паблик ip к сервисам, если есть eth0 с интернал сеткой и eth1 екстернал. Пробовал nginx-ingress, metalLB, но никак не получаеться назначить екстернал ip как паблик, оно постоянно в pending, возможно у кого то есть такой опыт. Нужно решение которое позволяет работать domain и ssl.

nginx-ingress как daemonset с hostNetwork: true

как сверху на ноды кидать трафик решайте с хостером. от dns до балансерв и bgp

nginx-ingress как daemonset с hostNetwork: true

Или не ингресс, а просто нжинкс :)

nginx ingress controller

nginx ingress controller тестили но без hostnetwork: true, буду тестить, спасибо

Кто нибудь использовал бэкапы Persistent Volumes через velero с s3 ceph в качества хранилища бэкапов?

nginx ingress controller тестили но без hostnetwork: true, буду тестить, спасибо

Как RealIP прокидывать будете? Есть внешний балансер?

Подскажите какие бывают source.type у helm Chart.yml ? Сорян, это в pyhelm. Уже нашел

Кто нибудь использовал бэкапы Persistent Volumes через velero с s3 ceph в качества хранилища бэкапов?

С какой целью интересуетесь?

С какой целью интересуетесь?

C целью решить проблему бэкапов в кубере, мне как то не удалось вменяемого мануала найти на эту тему

C целью решить проблему бэкапов в кубере, мне как то не удалось вменяемого мануала найти на эту тему

потому что логично, что это не проблема куба. 100500 способов бекапа. Там только начали вводить снапшоты и то не золотая пуля.

Ребят, а в кубере есть возможность указать src public ip для подов/деплойментов?

Ребят, а в кубере есть возможность указать src public ip для подов/деплойментов?

egress policy

Добрый день. Есть 2 ноды ингресса, который между собой объеденены keepalived ip и ингрессы отлично работают через этот виртуальный ip. Теперь решил опубликовать порт сервиса через NodePort, но он не работает через keepalived ip, только через ip каждой ноды

можно ли как-то заставить работать NodePort и через виртуальный ip ?

Господа, последнее время периодически наблюдаю поды с ошибкой The node was low on resource: ephemeral-storage. При этом на нодах с местом все ок. Подскажите, в какую сторону копать?

попробуй указать --ExternalIPs: в сервисе

Господа, последнее время периодически наблюдаю поды с ошибкой The node was low on resource: ephemeral-storage. При этом на нодах с местом все ок. Подскажите, в какую сторону копать?

смотри что describe node

попробуй указать --ExternalIPs: в сервисе

это мне?)

Господа, последнее время периодически наблюдаю поды с ошибкой The node was low on resource: ephemeral-storage. При этом на нодах с местом все ок. Подскажите, в какую сторону копать?

смотреть сколько emptydir volume, логов контейнеров и лишних layers от удаленных контейнеров

это мне?)

да

да

не помогло)

не помогло)

бывает... покажи манифест сервиса. у тебя kube-proxy через iptables работает ? погрепай по ip адресу вывод iptables-save чего там прописано

apiVersion: v1 kind: Service metadata: labels: app.kubernetes.io/instance: service-07-07 app.kubernetes.io/name: service-07-07 name: service-07-07 spec: type: NodePort ports: - port: 32545 nodePort: 32545 targetPort: 32545 name: tcp-32545 externalIPs: - 192.168.81.111 selector: app.kubernetes.io/instance: service-07-07 app.kubernetes.io/name: service-07-07

https://kubernetes.io/docs/concepts/services-networking/service/#external-ips а если убрать type: NodePort и nodePort:32545 ?

но вообще мне помнится что для сервиса типа nodeport в правилах iptables вообще не указывается адрес. так что по идее должно было и просто с нодепорт работать.

бывает... покажи манифест сервиса. у тебя kube-proxy через iptables работает ? погрепай по ip адресу вывод iptables-save чего там прописано

apiVersion: v1 kind: Service metadata: labels: app: nginx-ingress chart: nginx-ingress-1.4.0 component: controller heritage: Tiller release: nginx-ingress name: nginx-ingress-controller namespace: ingress-nginx spec: externalIPs: - 10.2.35.109 ports: - name: http port: 80 protocol: TCP targetPort: http - name: https port: 443 protocol: TCP targetPort: https selector: app: nginx-ingress component: controller release: nginx-ingress sessionAffinity: None type: ClusterIP status: loadBalancer: {}

но вообще мне помнится что для сервиса типа nodeport в правилах iptables вообще не указывается адрес. так что по идее должно было и просто с нодепорт работать.

Вот так заработало:

apiVersion: v1 kind: Service metadata: labels: app.kubernetes.io/instance: service-07-07 app.kubernetes.io/name: service-07-07 name: service-07-07 spec: ports: - port: 32545 targetPort: 32545 name: tcp-32545 externalIPs: - 192.168.81.111 selector: app.kubernetes.io/instance: service-07-07 app.kubernetes.io/name: service-07-07

Сергей, спасибо за наводку!

нзчт

Есть кто пробовал логхаус от фланта?

Есть кто пробовал логхаус от фланта?

Я пробовал. Но там есть ряд недоработок, которые не пофиксятся в обозримом будущем, потому что проект на холде.

Я пробовал. Но там есть ряд недоработок, которые не пофиксятся в обозримом будущем, потому что проект на холде.

ты хотел сказать "говно и не стоит время на него тратить"? :)

Вы меня прям демотивировали сейчас

ты хотел сказать "говно и не стоит время на него тратить"? :)

Но мой marketing bullshit более гладко звучит, м? :3

Я пробовал. Но там есть ряд недоработок, которые не пофиксятся в обозримом будущем, потому что проект на холде.

"написано багоделами, блаблабла"