Добрый день. Не подскажете разворачиваю в vmware vcloud с помощью терраформ 3 машинки с образа который до этого сам сделал экспортировав вмваревский образ в ovf. У всех оказывается одинаковый product_uuid. Как бы сделать так чтобы он отличался?

меняйте его провиженом , в том же терраформе

много таких, даже сам istio для kiali https://github.com/istio/istio/blob/1.1.3/install/kubernetes/helm/istio/charts/kiali/templates/ingress.yaml

ну kiali это веб морда для админа, врядли нужно её гонять через сервис меш. А в других чартах может также?

какая связь с кубернетесом?

Кубернетес требует чтобы он был разный

ну kiali это веб морда для админа, врядли нужно её гонять через сервис меш. А в других чартах может также?

это как пример. Другие чарты - графана, прометеус и пр

меняйте его провиженом , в том же терраформе

Ок спасибо за наводку. Примерно не подскажете в каком месте доки это есть?

это как пример. Другие чарты - графана, прометеус и пр

но это же все тоже не так чтобы нужно гонять в меш и мониторить

Ок спасибо за наводку. Примерно не подскажете в каком месте доки это есть?

Ну блин там дока полторы страницы

но это же все тоже не так чтобы нужно гонять в меш и мониторить

но если эти сервисы захотят (например тот же прометеус для считывания метрик) общаться с компонентами в меше

в случае прометеуса - с истио идет прометеус и можно внешний прометеус настроить забирать метрики из встроенного в истио

для других сервисов не знаю но интересно было бы узнать реальный пример когда что-то вне сервис меша продеплоено должно быть но ходить внутрь

всем привет. ПОдскажите кто то может сталкивался при деплое через тераформ кубера * kubernetes_pod.nginx: Post https://——/api/v1/namespaces/default/pods: x509: certificate signed by unknown authority Я понимаю что ошибка сертификатов. ток каких где их найти или куда пихать

всем привет. ПОдскажите кто то может сталкивался при деплое через тераформ кубера * kubernetes_pod.nginx: Post https://——/api/v1/namespaces/default/pods: x509: certificate signed by unknown authority Я понимаю что ошибка сертификатов. ток каких где их найти или куда пихать

https://t.me/terraform_ru

всем привет. подскажие как удалить challenges

делаю kubectl delete challenges name.com но он не удаляетс

Господа, может кто-то подсказать, как корректно посчитать использование памяти всеми подами на ноде, используя prometheus? Пробую так sum(container_memory_working_set_bytes{kubernetes_io_hostname=~"$Node", pod_name!=""}), на выходе результат сильно больше реальной утилизации памяти

Господа, может кто-то подсказать, как корректно посчитать использование памяти всеми подами на ноде, используя prometheus? Пробую так sum(container_memory_working_set_bytes{kubernetes_io_hostname=~"$Node", pod_name!=""}), на выходе результат сильно больше реальной утилизации памяти

у тебя поды примерно одинаковые?

если они шарят одну и ту же страницу памяти то как твой расчет будет работать?

у тебя поды примерно одинаковые?

Скорее нет

если они шарят одну и ту же страницу памяти то как твой расчет будет работать?

Как они будут это делать без KSM?

Господа, может кто-то подсказать, как корректно посчитать использование памяти всеми подами на ноде, используя prometheus? Пробую так sum(container_memory_working_set_bytes{kubernetes_io_hostname=~"$Node", pod_name!=""}), на выходе результат сильно больше реальной утилизации памяти

container_memory_usage_bytes

У тебя не шарится ничего, разные файлы/айноды в разных контейнерах, ядро не будет их шарить.

container_memory_usage_bytes

Пробовал. В таком случае для некоторых нод результат получается больше, чем machine_memory_bytes

Ну ХЗ у меня container_memory_usage_bytes сходится с разностью всей памяти и свободной памати (из заббикса) 🤔

если они шарят одну и ту же страницу памяти то как твой расчет будет работать?

Беру свои слова назад, в некоторых случаях overlayfs действительно может шарить страницы. Естественно, подробной документации, кроме C, нигде нет.

а разве страницы не шарятся между контейнерами в одном поде?

а разве страницы не шарятся между контейнерами в одном поде?

Нет.

хмм почему? linux namespace же общий

хмм почему? linux namespace же общий

И как это мапится на виртуальную память в ядре?

хмм почему? linux namespace же общий

mount namespace разный, network шарится только. И вообще это про другое.

Надо потестить, интересную тему подняли. Видимо, действительно, шарится при обращении к одинаковым файлам внизу overlayfs/AUFS.

я видел что вышла книжка про апи кубера для разрабов, но не могу найти ее, не помнит кто-нибудь как она называется?

Всем привет, кто может подсказать, как ведут себя init контейнеры, получится в init контейнере выкачать репу и скопировать ее часть в контейнер с приложением если у меня в volumes mount будет указан один и тот же том в init и контейнере с приложением?

Всем привет, кто может подсказать, как ведут себя init контейнеры, получится в init контейнере выкачать репу и скопировать ее часть в контейнер с приложением если у меня в volumes mount будет указан один и тот же том в init и контейнере с приложением?

Да. Но подход очень так себе, ибо не immutable контейнеры получаются.

И с правами проверь, что всё в порядке.

https://github.com/kubernetes/kubernetes/issues/43916#issuecomment-393228487

вот тут интересно расписано, ещё читаю но насколько я понимаю - кеш ядра шарится на все поды?

вот тут интересно расписано, ещё читаю но насколько я понимаю - кеш ядра шарится на все поды?

Это про active/inactive и соблюдение баланса между ними.

Что такое "кэш ядра"? Их много.

сигруппы не делят пейдж кэш

сигруппы не делят пейдж кэш

Т.е. даже, если overlayfs какой-нибудь поддерживает чтение одного и того же файла и шаринг их страниц, то когда memcg их аккаунтит, то аккаунтить будет в несколько контейнеров несколько раз, верно?

лучше все-таки на сорс сошлюсь, нежели утверждать https://www.kernel.org/doc/Documentation/cgroup-v1/memory.txt

но вообще это был бы прямой путь к timing attack

лучше все-таки на сорс сошлюсь, нежели утверждать https://www.kernel.org/doc/Documentation/cgroup-v1/memory.txt

Shared pages are accounted on the basis of the first touch approach. The cgroup that first touches a page is accounted for the page. The principle behind this approach is that a cgroup that aggressively uses a shared page will eventually get charged for it (once it is uncharged from the cgroup that brought it in -- this will happen on memory pressure). ХМММММММММММММММ

# per-memory cgroup local status cache - # of bytes of page cache memory.

https://github.com/torvalds/linux/blob/v4.9/Documentation/cgroup-v1/memory.txt#L528-L530

я их не понимаю короче

говорят могут

буду фронтендом

> file and shmem may be shared among other cgroups. In that case, file_mapped is accounted only when the memory cgroup is owner of page cache.

буду фронтендом

эт точно 🙂

Вооот, вот это всё раскрывает в аккаунтинге.

буду фронтендом

ыыыы

may

А одинаковый файл на нижнем слое overlayfs или какой-то пошаренный mount даст как раз эти шаренные страницы, но заккаунтяться они только к одной cgroup.

да, и если два пода маунтят с хоста что-то то выходит тоже, например несколько реплик пода с локальным вольюмом где какой-то кеш. У меня такое было с ML приложением которое кешировали в локальном вольюме много гигабайтов моделей из S3, вот по идее если это модели просто mmap'ом в память загружаются то страницы памяти этих файлов ещё и шарятся между подами?

жалко уже не смогу проверить

да, и если два пода маунтят с хоста что-то то выходит тоже, например несколько реплик пода с локальным вольюмом где какой-то кеш. У меня такое было с ML приложением которое кешировали в локальном вольюме много гигабайтов моделей из S3, вот по идее если это модели просто mmap'ом в память загружаются то страницы памяти этих файлов ещё и шарятся между подами?

Так точно, если каких-то нюансов мутных с NFS или чем-то ещё нет, и это просто файл на локальной системе, то, получается по доке, что mmap должен шарить всё корректно между memcg.

сегодня столкнулся с такой штукой. Есть пароль от БД в секрете. Используется несколькими приложениями. Пароль поменялся, секрет обновил напрямую, не через apply на всю папку с проектом. А приложения естественно не перезапустились. Пришлось килять поды по одному. Отсюда вопрос - а как эту ситуацию разрулить правильно?

helm аннотация либо одна из тулзов что делает то же самое - перезапускает под при смене секрета/конфигмапа

Ребят помогите плз: запускаю приложуху написанную на пхп в одной поде (дуплоймент), в другой запускаю базу для нее(стейтфулсет), в третьей - ингресс (демонсет). Для каждой поды создаю сервис. Из приложухи обращаюсь в базу по имени сервиса и все отрабатывает, но если из нгинкса (ингресс контроллер выбрал нгинкс) обращаюсь по имени сервиса к приложухе то коннект не доходит. В логах нгинкса идет обращение по ip сервиса, но логи пхп пустые (ip:port верные судя по логам, но ip сервиса и ip поды естественно отличаются). Может подскажите куда копать где может быть косяк?

так перед пхпфмп нужен ещё один нжинкс

ингресс нжинкс не должен по fastcgi ходить в приложение

я видел что вышла книжка про апи кубера для разрабов, но не могу найти ее, не помнит кто-нибудь как она называется?

Я бы не стал полагаться на книжки сегодня. Особенно для таких быстроразвивающихся продуктов как k8s

Я бы не стал полагаться на книжки сегодня. Особенно для таких быстроразвивающихся продуктов как k8s

спасибо!

я видел что вышла книжка про апи кубера для разрабов, но не могу найти ее, не помнит кто-нибудь как она называется?

https://www.oreilly.com/library/view/mastering-kubernetes/9781786461001/ch12s02.html ?

так перед пхпфмп нужен ещё один нжинкс

Верно. Нгинх статику отдаёт, а пхп-фпм - скрипты

https://www.oreilly.com/library/view/mastering-kubernetes/9781786461001/ch12s02.html ?

не, она вышла в early release и буквально в апреле

или марте

ПХП - адовое, унылое говно.

ПХП - адовое, унылое говно.

кастую в чат @Andorka

как будто кто-то спорит

хуже пхп только жаваскрипт

но и то можно спорить кто из них хуже

тащите !говно стикерпак

этот?

а если серьезно, не согласен с обоими

Я бы не стал полагаться на книжки сегодня. Особенно для таких быстроразвивающихся продуктов как k8s

@ делают специальную систему апи, чтобы явно помечать стабильные вещи, продуманную систему релизов @ ой знаете в наш век всё так быстро развивается...

этот?

оно

для многих задач пхп вполне норм язык по соотношению цена разработчки/качество