денег не надо, просто дай кого-то забанить

httpHeaders: - name: Authorization value: Basic dGVzdDp0ZXN0

readinessProbe: httpGet: path: / port: 8079 initialDelaySeconds: 5 periodSeconds: 3

вот там где public-ip тебе нужно включить прокси для .well-known/acme-challenge

так откуда ж у меня public-ip, если кластер локальный/изолированный

так откуда ж у меня public-ip, если кластер локальный/изолированный

да. с dns challenge через route53

а записи во что резолвятся там?

ну допустим у меня есть домен example.org, которым я пользуюсь в продакшне. Для локальных инсталяций я все тестирую через example.org.local

да сгенерить серт то я и без этой репы могу, дело не в этом, а в том, чтобы у меня cert-manager работал локально тоже

https://github.com/letsencrypt/boulder?

да, смотрел туда тоже. Типа развернуть свой let's encrypt локально и серт-менеджеру указать его?

В тему спора, подходит ли k8s для кровавого ынтырпрайза https://blog.docker.com/2019/05/introducing-docker-kubernetes-service/

да, смотрел туда тоже. Типа развернуть свой let's encrypt локально и серт-менеджеру указать его?

и?

Выходит, подходит :)

так интерпрайзу вендоры срут в уши лет 30 последних, скажут белоголубые или мелкомягкие что подходит - будет подходить

и у тех, и у других уже есть свои дистры куба, так что, думаю, уже говорят

ну допустим у меня есть домен example.org, которым я пользуюсь в продакшне. Для локальных инсталяций я все тестирую через example.org.local

Ребят, есть у кого-нибудь сетап бареметал + flannel 0.11? Не получается заставить работать Pod to Service / Service to Pod на flannel 0.11. В логах iptables вижу, что прилетает ACK RST на каждую попытку соединениея. Все policy в ACCEPT. В conntrack сплошные пары UNREPLIED NEW / DESTROY. Kube 14.1 лил через кубспрей. Помогает подняться flush nat таблицы, но всегда же жить так не будешь?

Всегда используй валидные tld вместо example.org.local испльзуй dev.example.org например

а смысл? если предполагается, что среда изолирована извне

https://github.com/IBM/kui

Решил включением в IPVS обработки первоначальных не SYN пакетов net.ipv4.vs.sloppy_tcp=1

нужно настраивать PDB - https://kubernetes.io/docs/tasks/run-application/configure-pdb/

Так это в доках написано

Облизывай, не облизывай, а кубер никак не тянет на энтерпрайз

хммм.. если SAP свои решения на кубере херачит

возможно гдето и херачит, у нас в конторе SAP монолитным куском )

на HANA хоть?)

да она тоже была, но от нее отказались )

Скоро sap on oracle умрет, только hana останется

Гайс, а kubernetes ingress nginx умеет разные log format для разных Ingress'ов применять?

пример?

Т.е. физически - разные ингрессы ?

Или один ингресс, Но разные настройки на эндпойнты ?

Привет. Подскажите пожлауйста у меня приложение по http отвечает на несколько портов, типа 8888 - основное приложение и 8989 - какая-то дополнительная информация debug, как лучше сделать ? Запихнуть в docker nginx и разрулить location’ами что типа на / все, на /debug -> 8989 ? или как-то можно ingress-nginx повесить на еще один порт но кажется это как-то не очень красиво.

ну у тебя есть приватный кластер, на нем nginx-ingress на котором cert-manager запускает проверки. то есть тебе достаточно снаружи спроксировать .well-known/acme-challenge на этот ингресс и всё будет работать

ну допустим у меня есть домен example.org, которым я пользуюсь в продакшне. Для локальных инсталяций я все тестирую через example.org.local

Рекомендую реальный (но отдельный) домен для этого использовать, а не .local

почему?

почему?

По опыту это проще и удобнее, чем выдумывать искусственный домен

типа в r53 резолвить в локальный айпишник — норм?