Ilya
В идеале я хочу того, чтобы при вызове одной команды (скрипта) у меня разные папки заходили в разный контекст, и соответственно билдится будет только то, что поменялось, автоматом. А даже если и не автоматом, GKE не будет перезапускать под, если контейнер не поменялся, без флага на это
Andor
чат всё ещё не тот
Ilya
Докер и кубер как Ленин и партия
Ilya
мы говорим Ленин, подразумеваем — партия,
мы говорим партия, подразумеваем — Ленин.
VolanDeVovan
#whois Всем привет. Девопс решивший пересесть с иглы докер сварма на иглу одобрения.
Хочу быть частью сообщества и иметь возможность спрашивать / отвечать
Живу в Харькове
Нашел линк в одном из курсов
Roman
Roman
Может у кого была такая проблема? Больше тут о терраформе но там в канале спят
Andor
пишет что не может найти кластер
Andor
может ты хочешь не data.?
Andor
мне кажется ты хочешь https://www.terraform.io/docs/providers/do/r/kubernetes_cluster.html
Andor
а не https://www.terraform.io/docs/providers/do/d/kubernetes_cluster.html
Andor
Может у кого была такая проблема? Больше тут о терраформе но там в канале спят
есть хашикорп чятик, там поживее
inqfen
Есть
Felix
А у vault есть UI с rbac?
оп, оп. кто сказал волт? а кто то интергирует кубер и волт? если да, то как?)
inqfen
Я пока в мечтах
Andor
а зачем?
Felix
а зачем?
я бы хотел волт посадить на менеджент секретов. плюс волтовские бекенды для контроля и ротации учеток в бд
Andor
я уверен что ты переоцениваешь важность своих сикретов
Felix
я уверен что ты переоцениваешь важность своих сикретов
у меня там в основном конфиги для приложений. безумно удобно
Andor
в кубере удобнее
Глеб
Политика партии, против неё не попрешь
Andrey
Самым чётким выглядит это. Но мы пока не тестили.
https://github.com/banzaicloud/bank-vaults
Felix
в кубере удобнее
не знаю, может не научился пока варить. но вот реальный пример с прода.
в приложении нужно было добавить расширенный логгинг групы ендпоинтов. для этого мы просто модифицировали 1 секрет в волте и перезапустили ноды.
Andor
не знаю, может не научился пока варить. но вот реальный пример с прода.
в приложении нужно было добавить расширенный логгинг групы ендпоинтов. для этого мы просто модифицировали 1 секрет в волте и перезапустили ноды.
вы можете поправить одну переменную окружения и кубер сам перезапустит поды
Felix
Самым чётким выглядит это. Но мы пока не тестили.
https://github.com/banzaicloud/bank-vaults
спасибо за ссылку. буду рад любой инфе, тк руки пока не дошли погуглить нормально самому
Felix
вы можете поправить одну переменную окружения и кубер сам перезапустит поды
можно. но для этого нужно править конфиги в репе с чартами, комитить в репу и тогда уже лить в кластер. плюс нет гуи, плюс нужно что бы были пермишены у людей. а значит и нормальный рбак. а так есть доступ к гуи волта и доступ к группе секретов. все намного легче
Felix
но да, не по феншую (12 factors)
Andor
можно. но для этого нужно править конфиги в репе с чартами, комитить в репу и тогда уже лить в кластер. плюс нет гуи, плюс нужно что бы были пермишены у людей. а значит и нормальный рбак. а так есть доступ к гуи волта и доступ к группе секретов. все намного легче
удобно когда есть чёткое понимание кто когда и что менял в кластере, заодно бесплатно стейт можно сохранять в манифестах в гите
Andor
мне вот интересно как менеджить волт в стиле infrastructure-as-code
Felix
удобно когда есть чёткое понимание кто когда и что менял в кластере, заодно бесплатно стейт можно сохранять в манифестах в гите
ну так сравни простоту в понимании. ивентов у обьектов в кубере и гуи волта с возможностью откатов секретов. это как раз таки намного легче делать и куда более просто для понимания.
да, звучик как аргумент рака. но тем не менее, зачем усложнять себе жизнь там где это не нужно?
Andor
ну так сравни простоту в понимании. ивентов у обьектов в кубере и гуи волта с возможностью откатов секретов. это как раз таки намного легче делать и куда более просто для понимания.
да, звучик как аргумент рака. но тем не менее, зачем усложнять себе жизнь там где это не нужно?
делаешь короче всё через ci/cd и всё моментально становится просто, и накат и откат и даже тестирование накатов и автооткатом!
Felix
мне вот интересно как менеджить волт в стиле infrastructure-as-code
ну вот это по сути бд конфигов и секретов. как менеджить стейтфул как код? никак, максимум фикстуры. или я просто не понял вопроса?
Eduard
мне вот интересно как менеджить волт в стиле infrastructure-as-code
Йа решил траблу просто - запуск в девелоп режиме, два контейнера, второй заливает данные в него
Andor
ну так сравни простоту в понимании. ивентов у обьектов в кубере и гуи волта с возможностью откатов секретов. это как раз таки намного легче делать и куда более просто для понимания.
да, звучик как аргумент рака. но тем не менее, зачем усложнять себе жизнь там где это не нужно?
человек использующий vault говорит что-то об усложнении жизни? звучит как стёб
Felix
человек использующий vault говорит что-то об усложнении жизни? звучит как стёб
ну мы сейчас волт где то на 10% его мощи используем. и это правда облегчает сапорт приложения и конфигурацию приложений
Andor
без волта это ещё проще
Andor
надо лишь перестать переоценивать важность своих сикретов
Felix
ага, кидать друг другу файлики .env?)
inqfen
Хоть на питоне скрипт написать
Felix
или хранить их в репе?
𝚔𝚟𝚊𝚙𝚜
Felix
а что, вариантов всего два?
в основном из того что я видел, да. буду рад если поделишься опытом)
Andor
в основном из того что я видел, да. буду рад если поделишься опытом)
просто используй кубернетис
Roman
aws secret manager
Felix
секреты кубера?
Aleksander
можно в телегу кидать, тут безопасно
Felix
Пссс, Саш не пали контору)
Roman
или aws parameter store
Roman
или docker swarm secrets :)
Andor
волт это мощный инструмент, но его польза часто переоценивается, а операционно он очень сложный
Roman
пока не будет vault as a service то ну его
Felix
ну а зачем брать тот же волт только от другого вендора? по сути тоже самое. или нет?
Andor
ну а зачем брать тот же волт только от другого вендора? по сути тоже самое. или нет?
просто используй гит и кубернетис
Felix
ребят, я чесно не понимаю в чем с ним сложности. можете в лс написать?
Roman
в моем случае нужно весь стэк поднять одной командой и без единого credential'а в конфигах
Andor
где нужны динамические сикреты - можешь сделать оператора
Andor
ребят, я чесно не понимаю в чем с ним сложности. можете в лс написать?
попробуй представить свой стек без волта
Roman
хочу as-a-service хочу один терраформ стэйт для всего
Andor
а unseal кто будет делать?
Eduard
И для терра тоже всё это есть
Felix
попробуй представить свой стек без волта
я его внедрил 7 месяцев назад. от того что появился волт и приконектился к консулу особо ничего не ищменилось. потом подключили сервисы к нему, вместо взятия секретов с оси и енва и все. красота
Andor
я его внедрил 7 месяцев назад. от того что появился волт и приконектился к консулу особо ничего не ищменилось. потом подключили сервисы к нему, вместо взятия секретов с оси и енва и все. красота
вот представь что приложения просто берут переменные окружения или конфиг-файл, без волта
Roman
У меня есть важные секреты, хочу их кому-то отдать
ни кому ты их не отдашь дам все encrypted от а до я
Andor
насколько всё проще станет, а?