George
Как будто конфиг криво пробросился. Включи вербощный режим
George
Смущает ошибка, что дивайс не ололо
Siarhei
Есть какие-то подвижки по поводу длительности действий сертификатов у кубера, или все тот же год??? Протухнет все через год??? Счас вот 14 версию рядом развернул и там годовые серты.
Anonymous
кубик и серт ротейт вечная тема у нас
Siarhei
Я курю доки на эту тему, но реально так и не понял что будет через год
George
Жопа будет
George
Кластер превращается в тыкву
George
Кубьктл и прочее.
George
Внутренняя связность между нодами, насколько я помню, тоже
Siarhei
Ладно буду счас пытаться нагенерить серты для всего руками и подсунуть хотя бы на 5лет, есть у кого опыт???
Maxim
все привет!
можно ли как-то передать дополнительный параметр для ipam плагина в случае использования flannel`а?
Maxim
интересует возможность изменения параметра dataDir для host-local плагина, но не могу найти как этот параметр можно фланелю подсунуть, он ipam конфиг как-то динамически генерит
Dmitry
Ладно буду счас пытаться нагенерить серты для всего руками и подсунуть хотя бы на 5лет, есть у кого опыт???
Посмотри kubernetes hard way. Там пример как поднять куб вручную, в том числе и генеоация сертификатов
Siarhei
Посмотри kubernetes hard way. Там пример как поднять куб вручную, в том числе и генеоация сертификатов
Там вроде как сингл мастер, у мну НА, но в целом и там смотрел... наши руки не для скуки, спасибо...
Incognito
ну вот и Яндекс показал свой Кубе Сервис
Nik
Там вроде как сингл мастер, у мну НА, но в целом и там смотрел... наши руки не для скуки, спасибо...
вовсе там не сингл. Три мастера там.
Siarhei
Спс
Евгений
Там вроде как сингл мастер, у мну НА, но в целом и там смотрел... наши руки не для скуки, спасибо...
Там три мастера, три etcd. Смешанные etcd-мастер ноды
Solyar
Посмотри kubernetes hard way. Там пример как поднять куб вручную, в том числе и генеоация сертификатов
А чё их гененить? Openssl не в моде?
V
ребят а кто как переезжал с iptables на ipvs в кластере (прод)?
Yevhenii
ребят а кто как переезжал с iptables на ipvs в кластере (прод)?
Переезжали с 1.9 на iptables на 1.11 с ipvs. Поднимали кластер с нуля, собственно, благо все разворачивание автоматизировано.
Dmitrii
ребят а кто как переезжал с iptables на ipvs в кластере (прод)?
Я только обратно переезжал. Поменял в кубеспрее и перезапустил плейбук, вроде поднялось все.
V
Я только обратно переезжал. Поменял в кубеспрее и перезапустил плейбук, вроде поднялось все.
а чего переехал обратно, чем не устроил ipvs?
Andor
а зачем с ipvs на iptables переезжать?
Andor
в чём мотивация?
V
мне нравится ipvs
V
выглядит как минимум удобнее
V
да и минусов не вижу, один баг нашёл но его устранили в обновлении
Andor
там есть особенности, но проблем больше решает, чем приносит
Dmitrii
Мотивация была в этом:
https://github.com/kubernetes/kubernetes/issues/71071
Yevhenii
да и минусов не вижу, один баг нашёл но его устранили в обновлении
У нас на 3к+ сервисов в кластере iptables стал грузить ядро безбожно
Andor
Мотивация была в этом:
https://github.com/kubernetes/kubernetes/issues/71071
выглядит починеным
Dmitrii
Ну обновить и перекатиться обратно уже руки не доходят, но надо бы.
Vadim
новый кластер сейчас стоит на ipvs создавать?
Andrey
Eduard
Andrey
А таймзоны какие где стоят? И ntp настроил?
+3 на нодах. Внутри контейнеров ничего не ставил.
Расхождение между временем в конейнере и временем на ноде.
Eduard
Зайди в контейнер и пни date
Eduard
Чо скажет?
Vadim
+3 на нодах. Внутри контейнеров ничего не ставил.
Расхождение между временем в конейнере и временем на ноде.
/etc/timezone в контейнеры монтировать надо
Vadim
или устанавливать им TZ env var если приложение понимает
Vadim
Расхождение в минутах, не только в часах
не факт, может оно попало в тот период что ты выбрал, но с тех пр ничего не логгировалось?
Andrey
нет, именно расхождение было.
Andrey
Причем сейчас пересоздал POD, все стало ок
Andrey
мистика
Vadim
не, в контексте кубера
никакого "контекста кубера" тут нет, у контейнеров своя фс, потому glibc ничего про таймзону ноды не знает
Alex
никакого "контекста кубера" тут нет, у контейнеров своя фс, потому glibc ничего про таймзону ноды не знает
хм, а ведь реально, таймзона получается устанавливается внутри контейнера
Alex
а вроде была какая-то тема с hw clock?
Alex
надо будет погуглить )
Alex
интересно: https://stackoverflow.com/questions/22800624/will-docker-container-auto-sync-time-with-the-host-machine#comment34898836_22820278
Alex
блин, на всякий случай надо будет проверить, какая tz стоит в контейнерах )
George
Опять приходим к необходимости либо конвенций (самая простая - везде время в utc и не ломаем себе голову), либо тащить костыли (монтирование таймзрн-файла), либо сборку своих имиджей (ибо те, которые есть в библиотеке докерхаба скорее для дев целей или как пример, что можно делать)
Eduard
Опять приходим к необходимости либо конвенций (самая простая - везде время в utc и не ломаем себе голову), либо тащить костыли (монтирование таймзрн-файла), либо сборку своих имиджей (ибо те, которые есть в библиотеке докерхаба скорее для дев целей или как пример, что можно делать)
Вопрос, почему монтировать tz это костыль?
Andor
оно может быть симлинком, например
Andor
не обязательно
Lucky SB
Плейбука не появилось какого-нибудь в итоге?
я прочитал доку. )))
понял как можно ротейтить сертификаты кубадмом.
с версии 1.12 уже можно оказывается.... а потом прочитал ссылку на ишью гитхаба - ее тут раз 5 приводили. там если прокрутить вниз на пару экранов - есть готовый набор команд для ротирования сертификатов
и правильная последовотельность рестарта компонентов контрол плейн.
в плейбук и МР в кубспрей пока руки не дошли оформить.
Eduard
terraform destroy && terraform apply
Eduard
Зачем ротэйт?)
Alex
я прочитал доку. )))
понял как можно ротейтить сертификаты кубадмом.
с версии 1.12 уже можно оказывается.... а потом прочитал ссылку на ишью гитхаба - ее тут раз 5 приводили. там если прокрутить вниз на пару экранов - есть готовый набор команд для ротирования сертификатов
и правильная последовотельность рестарта компонентов контрол плейн.
в плейбук и МР в кубспрей пока руки не дошли оформить.
хм, а можно процитировать? 🙂 Так, на всякий случай
Eugeny
я может сейчас совсем не в кассу вопрос задам, но kubernetes plugin jenkins’а валится с такой ошибкой:
java.lang.IllegalStateException: Containers are terminated with exit codes: {build-env-rhel7=0}
at org.csanchez.jenkins.plugins.kubernetes.KubernetesLauncher.launch(KubernetesLauncher.java:156)
at hudson.slaves.SlaveComputer$1.call(SlaveComputer.java:285)
at jenkins.util.ContextResettingExecutorService$2.call(ContextResettingExecutorService.java:46)
at java.util.concurrent.FutureTask.run(FutureTask.java:266)
at java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1142)
at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:617)
at java.lang.Thread.run(Thread.java:745)
Кто-то что-то подобное встречал?
Andor
ну пишет что контейнер сдох
Andor
попробуйте выключить и снова включить
Etki
судя по всему, слейв подыхает до того, как был использован
Etki
при этом отдает exit code = 0
Vadim
jnlp контейнер не должен умирать \ завершаться с 0
Etki
а также спасибо за возможность заглянуть в эти бесподобные сорцы
Lucky SB
хм, а можно процитировать? 🙂 Так, на всякий случай
https://github.com/kubernetes/kubeadm/issues/581#issuecomment-471575078
Lucky SB
если у тебя узлы обычные подключаются по TLS Bootstrap процедуре, то надо добавить кублетам ключик —rotate-certificate
Lucky SB
а то что там написано про удаление /var/lib/kublet/pki можно не читать