не, у меня в свое время с nginx-ingress не катило. зато работает как я написал. тем более, cert-manager при создании копии ресурса certificate не будет лишний раз дергать letsencrypt, а просто копирнет серт

т.е. мне можно создать еще один ingress apiVersion: extensions/v1beta1 kind: Ingress metadata: name: ingress-nginx-test namespace: test и оно должно получиться ?

Ога

благодарю. сейчас попробую

Ну, разумеется, тебе и создать копию ресурса certificate для сертманагера надо

TLS ты же всяко юзаешь

копию в том же namespace имеется в виду и обязательно с другим именем же получается ?

неа

смотри

У него аннотация с issuer, он не создаёт сам сертификат

у тебя два сервиса в разных неймспейсах. соответственно, тебе нужно по ингрессу в каждом. они юзают сикреты для сертов, которые тоже неймспейснуты, но у тебя серт-манагер, поэтому ты можешь просто применить certificate в другом неймспейсе и сертманагер просто копирнет серт

У него аннотация с issuer, он не создаёт сам сертификат

пофиг

Ну то есть ему не надо заморачиваться

фишка в том, что nginx-ingress сольет несколько ресурсов в разных неймспейсах в один конфиг в итоге

Ну то есть ему не надо заморачиваться

ну прост такие же аннотации прописать и должно прокатить

Да

) поговорили молодцы а теперь для меня

кроме ingress, что еще сделать то

Просто делай инг в одном namespace с сервисом

Всё

спасибо

пробую

схема рабочая, сам так делаю

У меня кажется через него сделано

Дык контроллер из эндпоинтов сервиса апстримы берет, а у externalName их нет - это просто cname запись в днс кластера

Ну так сервис резолвтся

Это точно рабочая схема у меня так работает

Дык контроллер из эндпоинтов сервиса апстримы берет, а у externalName их нет - это просто cname запись в днс кластера

А объекта endpoints у него нет, а контроллер именно его и юзает

С nginx

nginx-ingress не проксирует на clusterip

Если интересно минут через десять напишу как

Давай

Если интересно минут через десять напишу как

интересно

Issuer resource "letsencrypt-staging-issuer" not found

ну дык issuer тож неймспейснутый

ага. спасибо. получилось

исходный ingress в default namespace надо было удалить

тогда все завелось

чет странное ты творишь

Вот теперь совсем хорошо

reboot macht alles gut 👍

чет странное ты творишь

пока не удалил, ничего не завелось

точнее отвечал ингресс и дефолтного namespace с ошибкой 503

пока не удалил, ничего не завелось

я же правильно понимаю, что тебе разные префиксы урлов на разные сервисы в разных неймспейсах на одном домене направить надо?

у меня будет несколько сервисов по разным днсам отвечать

в разных namespace

Одно доменное имя - один неймспейс?

да

А в чем тогда проблема была?

думаю, что я просто сделал два полностью одинаковых ингресса только в разных namespace

даже с одинаковыми доменными именами, уверен проблема именно в этом

Ебануться у вас формулировки, Николай

вот так у меня работает --- apiVersion: extensions/v1beta1 kind: Ingress metadata: annotations: certmanager.k8s.io/cluster-issuer: letsencrypt kubernetes.io/ingress.class: nginx name: app namespace: default spec: rules: - host: api.example.com http: paths: - backend: serviceName: app-istiogw servicePort: 80 tls: - hosts: - api.example.com secretName: app-tls --- apiVersion: v1 kind: Service metadata: name: app-istiogw namespace: default spec: externalName: istio-ingressgateway.istio-system.svc.cluster.local sessionAffinity: None type: ExternalName

Ебануться у вас формулировки, Николай

ну простите ) я могу упростить

ну простите ) я могу упростить

Да ни к чему уже

короче, два ingress отличие в описание только в том, в каком namespace они

вообщем сработал руками, а не головой

Так у них и домены разные, не?

нет 🙂

ingress в default ns, и два svc, один тоже в default, чтоб на него мог ингрес указывать, а сам он через externalname указывает на второй в другом ns

Как так-то

Одно доменное имя - один неймспейс?

да

да оно так будет дальше деплоиться. каждое доменно еимя в свой namespace

вот так у меня работает --- apiVersion: extensions/v1beta1 kind: Ingress metadata: annotations: certmanager.k8s.io/cluster-issuer: letsencrypt kubernetes.io/ingress.class: nginx name: app namespace: default spec: rules: - host: api.example.com http: paths: - backend: serviceName: app-istiogw servicePort: 80 tls: - hosts: - api.example.com secretName: app-tls --- apiVersion: v1 kind: Service metadata: name: app-istiogw namespace: default spec: externalName: istio-ingressgateway.istio-system.svc.cluster.local sessionAffinity: None type: ExternalName

А какая версия ингресс-контроллера?

Ну так получается, таки разные

Так у них и домены разные, не?

нет 🙂

А какая версия ингресс-контроллера?

чарт nginx-ingress-1.3.1, версия образа 0.22.0. Но у меня так давно работает, и инструкции я сам подчерпнул из какой-то старой issue в гитхабе кубера

это я так прикручивал cert-manager через nginx-ingress к istio

Хм, попробую

Прост помню, с версией 0.17 не канало

проблемы возникают, если неполное имя указывать, без cluster.local

я лучше покажу, как оно было сделано, что не работает. я даже понимаю почему это не правильно apiVersion: extensions/v1beta1 kind: Ingress metadata: name: ingress-nginx namespace: test annotations: kubernetes.io/ingress.class: "nginx" certmanager.k8s.io/issuer: "letsencrypt-staging-issuer" certmanager.k8s.io/acme-challenge-type: http01 spec: tls: - hosts: - echo1.example.com secretName: letsencrypt-staging-secret rules: - host: echo1.example.com http: paths: - backend: serviceName: api-test servicePort: http path: /path ---- apiVersion: extensions/v1beta1 kind: Ingress metadata: name: ingress-nginx-test namespace: test annotations: kubernetes.io/ingress.class: "nginx" certmanager.k8s.io/issuer: "letsencrypt-staging-issuer-test" certmanager.k8s.io/acme-challenge-type: http01 spec: tls: - hosts: - echo1.example.com secretName: letsencrypt-staging-secret-test rules: - host: echo1.example.com http: paths: - backend: serviceName: api-test servicePort: http path: /path

вот если так делать, то отвечает первый созданный в default namespace

вот если так делать, то отвечает первый созданный в default namespace

Ясен красен, у них path и host одинаковые

да

и я это тоже понял, когда подумал

Ладно, все, я окончательно запутался

все, забей. главное, что ты мне помог

ты мне точно помог

https://github.com/tektoncd/pipeline гугол тут вознамерился всем CI переписать

почему гугло? Там вроде всего три контрибутора оттудава.

почему гугло? Там вроде всего три контрибутора оттудава.

думаешь само зародилось и на него сбежались гугловцы?