https://kubernetes.io/docs/reference/setup-tools/kubeadm/kubeadm-alpha/

Но я бы рекомендов сначала на тестовом кластере обновление провести через kubeadm alpha certs renew

Но я бы рекомендов сначала на тестовом кластере обновление провести через kubeadm alpha certs renew

Изначально, я просто не в той плоскости интересовался. Я хотел бы подсунуть свой ca.crt куберу. Потому что он прокидывает во все поды этот ca.crt и он уже вроде как априори доверенный. Но что-то подобной документации вообще не нашел

Изначально, я просто не в той плоскости интересовался. Я хотел бы подсунуть свой ca.crt куберу. Потому что он прокидывает во все поды этот ca.crt и он уже вроде как априори доверенный. Но что-то подобной документации вообще не нашел

Ну тогда ка в той статье на medium. Но не совсем понятно какой ты хочешь профит от этого получить, кроме новых приключений)

Изначально, я просто не в той плоскости интересовался. Я хотел бы подсунуть свой ca.crt куберу. Потому что он прокидывает во все поды этот ca.crt и он уже вроде как априори доверенный. Но что-то подобной документации вообще не нашел

Ну там или у тебя кластер сделан по kubernetes hard way

Ну там или у тебя кластер сделан по kubernetes hard way

Ну а какая альтернатива? Весь кубер живет в закрытой корпоративной сети со своими доменами и сертами. И нужно чтобы минимально было телодвижений для того, чтобы все хосты между собой бегали по доверенным сертам.

Ну а какая альтернатива? Весь кубер живет в закрытой корпоративной сети со своими доменами и сертами. И нужно чтобы минимально было телодвижений для того, чтобы все хосты между собой бегали по доверенным сертам.

Альтернатива использовать то, что дает тебе система из каробки) Или у тебя там какие-то стандарты безопасности, по которым нужно было что бы все сертификты были созданы твоим локальным центром сертификации в твоей организации?

Альтернатива использовать то, что дает тебе система из каробки) Или у тебя там какие-то стандарты безопасности, по которым нужно было что бы все сертификты были созданы твоим локальным центром сертификации в твоей организации?

Ну, да. Нужно же чтобы все поды доверяли определенным сертам

Ну, да. Нужно же чтобы все поды доверяли определенным сертам

Ну тогда как в той статье. Только не забывай что тебе придется после каждого обновления сертов идти в kubeconfig каждого компонента и обновлять сертификат, если правильно понимаю.

В в таком соучае лучше просто в каждый новый контейнер монтировать твой доверенный сертификат

ребят а в вы k8s на физ серверах разварчиваете или все таки сначала виртуализация а потом k8s. Есть предпосылки/best practices чтобы испольдлвать только виртуализацию?

Возможность использовать железо под другие задачи, например по расписанию, механизмы защиты для мастеров/воркеров-бекап/репликация/ha

привет всем. Такой кейс - ночью ребилднулись поды, не все, без привязки к нодам. никаких политиктерминейта не стоит. Есть ли какая то возможность узнать причину, по которой это произошло? в дескрайбе подов и нод тоже нет причин ребилда

привет всем. Такой кейс - ночью ребилднулись поды, не все, без привязки к нодам. никаких политиктерминейта не стоит. Есть ли какая то возможность узнать причину, по которой это произошло? в дескрайбе подов и нод тоже нет причин ребилда

а что в логах kubelet?

а что в логах kubelet?

как лучше это проверить кроме journalctl -u kubelet?

а что в логах kubelet?

нашлось, спасибо. закончилось место >_<

как лучше это проверить кроме journalctl -u kubelet?

я через journalctl всегда смотрю =/

нашлось, спасибо. закончилось место >_<

в любой непонятной ситуации смотри в логи kubelet 😄

нашлось, спасибо. закончилось место >_<

Почитай, там есть варианты помимо места. Чтобы на будущее мониторинг и т.д. настроить. https://kubernetes.io/docs/tasks/administer-cluster/out-of-resource/

Спс

ну то есть elb я заменю на metallb, а чо с днс делать?

чем в итоге дело кончилось? подумываю его (ExternalDNS) попробовать, интересен фидбэк

привет всем

мб кто расширял кластер на бареметаал?

интересно как решали проблему с нетворком

интересно как решали проблему с нетворком

А в чесм собственно проблема?

NetworkPlugin cni failed to set up pod "name pod" network: resource already exists:

добавляю ноду в существующий кластер и получаю проблему с нетворком

чем в итоге дело кончилось? подумываю его (ExternalDNS) попробовать, интересен фидбэк

Хахахахаха

NetworkPlugin cni failed to set up pod "name pod" network: resource already exists:

У тебя должен был daemonset с CNI плагином запустится на новом воркере. Посмотри логи этого контейнера с CNI

Возможность использовать железо под другие задачи, например по расписанию, механизмы защиты для мастеров/воркеров-бекап/репликация/ha

по расписанию? вопрос связан что я больше считаю правильным способ виртуализация а потом на неё все что угодно устанавливай. но у нас инфрастуркуту полностью на железе мне кажется не удобно, но нужно много доводов привет привести чем это лучше . на каждой ноде установлен k8s даже на тех где никогда не будет запускаться поды(это кстати тоже не очень нравится)

Хахахахаха

пока плохо улавливаю юмор

У тебя должен был daemonset с CNI плагином запустится на новом воркере. Посмотри логи этого контейнера с CNI

расширяю кластер ролью kubespray

пока плохо улавливаю юмор

Нет кубера нет проблем

Нет кубера нет проблем

ну ладно, а до того момента, пока был, как решилась проблема?

Никак

Я не помню даже зачем мне это было надо

расширяю кластер ролью kubespray

Ну и что? У тебя есть kubectl, который позволяет тебе посмотреть эти данные

Гляну

Привет коллеги хотел бы попросить совета - с микросервисами раскиданными по группам (3-4) штуки в разных репо как лучше хелмом управляться? Umbrella chart с сабчартами или разные релизы? В амбрелле с одной стороны можно красиво завернуть все в темплейты с другой стороны есть прехуки которые будут зазря запускаться

Привет коллеги хотел бы попросить совета - с микросервисами раскиданными по группам (3-4) штуки в разных репо как лучше хелмом управляться? Umbrella chart с сабчартами или разные релизы? В амбрелле с одной стороны можно красиво завернуть все в темплейты с другой стороны есть прехуки которые будут зазря запускаться

Снова helm :)

Снова helm :)

как будто это что то плохое)

нет ничего плохого, тут часто похожие вопросы появляются :)

зашибись они придумали, federation v1 is strongly discouraged, a v2 — в зачаточной стадии 0.0.8.

Ну как бы

народ а выбор ноды куда под поднять если он не привязан куда-то конкретно как происходит? судя по всему чисто по лимитам на контейнеры, а по нагрузке никак не смотрит куб?

лимиты по-хорошему должны коррелировать с нагрузкой

но скедулинг работает по реквестам, а не по лимитам

а реквесты не относится к лимитам контейнера?

типо контейнер запрашивает определенное кол-во ресурсов

контейнер не может запросить ничего

запрашивалка не существует

суть проблемы некоторые ноды перегружены, а одна свободна, на свободной компоненты istio запросили много ресурсов и кубер на эту ноду поды не поднимает, но нагрузки на ноду нет

время править реквесты

реквесты сами не поправятся

запрашивалка не существует

ну они прописываются в настройках контейнера деплоймента

да, но их "запрашивает" не контейнер, а контроллер деплоймента

как правильно поправить request установленного через Helm деплоймента?

не знаю как в хельме, а в кубер манифестах это делается через spec -> template -> spec -> containers -> CONTAINER_NAME -> resources -> requests -> cpu

как правильно поправить request установленного через Helm деплоймента?

я как-то правил через kubectl edit, вроде всё норм было

я как-то правил через kubectl edit, вроде всё норм было

да через ямлик было бы просто

velero кто-то юзал?

народ а под с Job-ом удаляется сам со временем послы выполнения? или не удаляется

Так, а в хельме субчарты не умеют забирать переменные, определённые в --set чтоль?

Если в один уровень в values указать env: $set_vars, то всё норм, а субчарту указал global:env: $set_vars, он как $set_vars и забирает, а не то, что было в --set

Так, а в хельме субчарты не умеют забирать переменные, определённые в --set чтоль?

через -set я даже serviceType не смог поменять на NodePort, может не так делаю, но вроед все как пишут), в итоге каждый чат редактирую

через -set я даже serviceType не смог поменять на NodePort, может не так делаю, но вроед все как пишут), в итоге каждый чат редактирую

Да не, нормально работает, я через --set имейдж и количество реплик передаю. А вот с субчартами засада

Видимо, придётся несколько values делать

Эх

я сотрю на субчарты и у меня везед .Values.globa.bla.foo

А из --set передаёшь что?

—set bla.foo=YYY

Может вообще в values необзательно передавать, а я заморачиваюсь

Хм

или —set global.bla.foo=YYY

уменя у всех есть global

То есть в темплейте сразу писать содержимое set?

{{- if and .Values.prometheus.enabled .Values.global.rbac.create }}

а CPU limit в мегагерцах не выставляются? выставляю, а в describe node описано ток кол-во ядер

{{- if and .Values.prometheus.enabled .Values.global.rbac.create }}

Не, чота он мне не понимает то, что определено в --set как .Values.global

может потому что у меня везде есть такое имя

а CPU limit в мегагерцах не выставляются? выставляю, а в describe node описано ток кол-во ядер

в секундах использования ядра процессора