А если /var/lib/kubernetes/ca.pem?

у меня такого нет ни на поде, ни на ноде

у меня такого нет ни на поде, ни на ноде

тогда надо читать кубконфиг, который юзает нода и смотреть что за ca он юзает

кроме ca нужен еще сертификат самой ноды

тогда надо читать кубконфиг, который юзает нода и смотреть что за ca он юзает

certificate-authority-data там прямо в файле inline

но это же вроде для api сервера? а мне в сервер кублета надо

CA у них общая ж, нет?

если у тебя TLS bootstrapping, то сертификаты ноде все равно сервер выдает

CA у них общая ж, нет?

наверное

ну в ней написано, что серверный сертификат кублета так же можно создавать и потом подписывать у контроллер менеджера как клиентский сертификат

rotateCertificates: true — в конфиге кублета

а, мне же сервер надо

оъъъ

A kubelet also can use serving certificates. The kubelet itself exposes an https endpoint for certain features. To secure these, the kubelet can do one of: use provided key and certificate, via the --tls-private-key-file and --tls-cert-file flags create self-signed key and certificate, if a key and certificate are not provided request serving certificates from the cluster server, via the CSR API The client certificate provided by TLS bootstrapping is signed, by default, for client auth only, and thus cannot be used as serving certificates, or server auth. However, you can enable its server certificate, at least partially, via certificate rotation

кроме ca нужен еще сертификат самой ноды

для валидации подписи?

-для подписи CSR- ошибся

мне таки не помогает, даже скопированное в телеграм

мне таки не помогает, даже скопированное в телеграм

ну ты ж не рассказываешь что ты пробуешь

ну ты ж не рассказываешь что ты пробуешь

я потому что не понял, что пробовать

--rotate-server-certificates добавить?

сгенери сертификат. подпиши его ca кластера и подсунь кублету

"подсунь" это --tls-private-key-file and --tls-cert-file?

я так и не понял нафига тебе там сертификат подписанный ca кластера

"подсунь" это --tls-private-key-file and --tls-cert-file?

ну дока говорит. что это оно.

я так и не понял нафига тебе там сертификат подписанный ca кластера

datadog-agent идет туда и не может подключиться, потому что сертификат самоподписанный

я решил попробовать курлом — то же самое

пытаюсь подключиться в кублету через его порт 10250, получаю ошибку: curl failed to verify the legitimacy of the server and therefore could not establish a secure connection to it в качестве cacert указываю /etc/kubernetes/pki/ca.crt что не так?

Вообще интересно, чтобы курл смог подключиться без ошибок этого вроде достаточно

строго говоря я не уверен, что смогу решить проблему для датадога, даже если я решу ее для курла

datadog-agent идет туда и не может подключиться, потому что сертификат самоподписанный

вах. датадог пускать к кублетам - это сильный ход

я бы не рискнул )))

я решил попробовать курлом — то же самое

Скорее чего сa не тот все же. Точно все проверил?

вах. датадог пускать к кублетам - это сильный ход

ну, так можно вообще никому не верить, включая сам кублет

Другое дело, что после того как курл сможет без предупреждения сходить, там ещё будет какая-то аутентификация дополнительная)

Скорее чего сa не тот все же. Точно все проверил?

а как проверить тот он или не тот

Посмотреть с каким сертификатом запущен кублет, кем он выпущен

Сравнить с тем, что подсовываешь курлу

а datadog не может перестать заниматься ерундой и читать кубовые метрики через сервисаккаунт?

а datadog не может перестать заниматься ерундой и читать кубовые метрики через сервисаккаунт?

было бы здорово

https://docs.datadoghq.com/agent/kubernetes/

Но он может

при том, что он там деплоит роль и байндинг и сам сервисакаунт

Но он может

я деплою по этой доке, вопрос, зачем ему: - name: DD_KUBERNETES_KUBELET_HOST valueFrom: fieldRef: fieldPath: status.hostIP

Ребят, дайте годную ссылку с мануалом по обновлению сертификатов для работы API и прочих частей k8s.

Ребят, дайте годную ссылку с мануалом по обновлению сертификатов для работы API и прочих частей k8s.

https://kubernetes.io/docs/reference/setup-tools/kubeadm/kubeadm-alpha/#cmd-certs-renew

Это только половина дозы)

datadog-agent идет туда и не может подключиться, потому что сертификат самоподписанный

может пора написать в саппорт датадога? или почитать их доку сначала

или погуглить

Всем привет! Подскажите, пожалуйста, после terraform plan вот такие ошибки. что делать? Error: Get http://localhost/api/v1/namespaces/default/replicationcontrollers/redis-slave: dial tcp 127.0.0.1:80: connect: connection refused Error: Get http://localhost/api/v1/namespaces/default/services/frontend: dial tcp 127.0.0.1:80: connect: connection refused

Кубконфиг не указал поди

Кубконфиг не указал поди

provider "kubernetes" ?

очень сильно тупит gitlab в опеншифте, как можно проверить нагрузку на кластер? Накатила на сервер Netdata, не кажется информативным

я новичок) сгодятся все советы, даже самые простые)

очень сильно тупит gitlab в опеншифте, как можно проверить нагрузку на кластер? Накатила на сервер Netdata, не кажется информативным

он тормозить может по 100 и одной причине. например, у тебя пвсишка дерьмо сетевое

вообще прометей в руки, и в графану

cpu, mem, hdd, network

все стандартно. Ну, и про конфу кластера ты так и не рассказала

all in one

какая тут может быть конфа)

интересно именно как упирается кластреные докеры

хватает ли им памяти или cpu

мониторинг покажет

если кластер маленький и "ну очень" быстро глянуть статы, можно смотреть каждую ноду отдельно через htop/iotop

мониторинг покажет

у меня нетдата

ну, и что в нетдата? 100% памяти и проца?

чего там со свопом

она всвегда отображает 100% памяти по памяти для каждого контейнера

что ну очень подозрительно

0% CPU в том же контейнере

если в деплое гитлаба стоят лимиты на его внутренние сервисы, то само приложение может в них упиратся

самое жрущее там это unicorn и постгресс

если в деплое гитлаба стоят лимиты на его внутренние сервисы, то само приложение может в них упиратся

а кластер упирается по дефолту в лимиты?

возможно, если ресурсов на приложение необходимо больше чем может дать одна нода

надо дробить приложение, воркеров уникорна запускать в отдельных контейнерах и т.д. т.п.

возможно, если ресурсов на приложение необходимо больше чем может дать одна нода

я замучилась ставить из хелма, так и не победила проблему с сертификатами и установилась из шаблонов, а там нет unicorn

тогда для приложения выставлю пороги повыше и посмотрю. Я уже подняла от дефолта в 2 раза, возможно мало

ну, юникорн, а вероятнее пума, спрятана в gitlab-ce

они отказались от пумы очень давно

можешь зайти в образ (точнее - под) kubectl exec и посмотреть, что унутри

были баги, устали искать

можешь зайти в образ (точнее - под) kubectl exec и посмотреть, что унутри

unicorn['worker_processes'] = 2;

зашла в json деплоймента