https://www.cncf.io/blog/2019/05/28/certified-kubernetes-administrator-cka-certification-is-now-valid-for-3-years/

И чо сложно сдавать?

пытаюсь выдать сертификат с днс валидацией по этой доке: https://docs.cert-manager.io/en/latest/tutorials/acme/dns-validation.html в логах серт-менеджер ругается, что не может найти секрет, который я указываю в сертификате. Почему он пытается его искать, если он должен его создать сам?

сколько надо админов и девопросов и сре что бы убрать один спам...

пытаюсь выдать сертификат с днс валидацией по этой доке: https://docs.cert-manager.io/en/latest/tutorials/acme/dns-validation.html в логах серт-менеджер ругается, что не может найти секрет, который я указываю в сертификате. Почему он пытается его искать, если он должен его создать сам?

секрет для доступа к днс же

пытаюсь выдать сертификат с днс валидацией по этой доке: https://docs.cert-manager.io/en/latest/tutorials/acme/dns-validation.html в логах серт-менеджер ругается, что не может найти секрет, который я указываю в сертификате. Почему он пытается его искать, если он должен его создать сам?

у тебя для днс-челленжа несколько секретов: первый для авторизации в днс-провайдере, а второй генерится

у тебя для днс-челленжа несколько секретов: первый для авторизации в днс-провайдере, а второй генерится

он пытается искать тот, который генерится

днс провайдер какой?

он пытается искать тот, который генерится

давай ты может лучше лог приведёшь как есть?

у меня в объекте сертификата нет секрета, который про днс доступ, этот секрет указывает в ишьюре

если ты заюзал свй acme-dns, то он не рабочий.

юзай cloudflare, route53 и далее по списку

днс провайдер какой?

cf

все там ок

cloudflare мне не нравится потому что там один глобальный апи-ключ на всё и никак не разграничиваются права

можно аккаунтов нарезать разных

все там ок

вставлю этот комент в манифест, глядишь заработает

но я серт-менеджера с ним делал буквально неделю назад

можно аккаунтов нарезать разных

сравни по удобству с сервисаккаунтами гугла :)

вставлю этот комент в манифест, глядишь заработает

ну, а что ты хочешь услышать. Свои манифесты я тебе не дам. Они остались на прошлом месте работы. Смотри логи.

давай ты может лучше лог приведёшь как есть?

ок, щас подчищу сенситив и приведу

Я б тебе привёл свой конфиг

Скину если подождёшь час

давай ты может лучше лог приведёшь как есть?

https://pastebin.com/1uAYqGwJ

это нормально, он по этому секрету смотрит, надо ли обновлять. Больше в логах ничего нет? ClusterIssuer в каком статусе?

это нормально, он по этому секрету смотрит, надо ли обновлять. Больше в логах ничего нет? ClusterIssuer в каком статусе?

Ready

больше ничего нет

может перезапустить серт-менеджер, я подозреваю, что он поплыл

а версия cert-manager какая?

0.8.0

Я б тебе привёл свой конфиг

у тебя Issuer или ClusterIssuer? потому что в доке так-то про Issuer пишут

у меня на 0.6.2 работает с CF

у тебя Issuer или ClusterIssuer? потому что в доке так-то про Issuer пишут

кстати да

добавь в сертификат issuerRef: kind: ClusterIssuer

у тебя Issuer или ClusterIssuer? потому что в доке так-то про Issuer пишут

Кластер иссуер

Не-неймспейсовый

добавь в сертификат issuerRef: kind: ClusterIssuer

а фак, точно

добавь в сертификат issuerRef: kind: ClusterIssuer

вроде побежало, пока пишет: E0604 09:30:29.769943 1 sync.go:180] cert-manager/controller/challenges "msg"="propagation check failed" "error"="DNS record for \"example.org\" not yet propagated" "dnsName"="example.org" "resource_kind"="Challenge" "resource_name"="test-pub-customer-1240958034-0" "resource_namespace"="staging" "type"="dns-01"

он бы написал, если бы не мог в cf попасть, верно?

чо-то вот я только в панели cf не могу найти TXT соответствующий

Он временно создаётся и потом грохается

нуээ, пока ошибка держится

как же он его прочекает, если он его грохнул

чо-то вот я только в панели cf не могу найти TXT соответствующий

не найдешь

он быстро вжух и исчез

я тогда плохо понимаю, как вся система работает

а апи лог у клаудфлейра есть? если да, то можно в нем найти запросы

вот мне тоже интересно

хоть tcpdump ставь на cert-manager

а вот, нашелся _acme-challenge в панели cf

днс тупит сегодня капец

капец, 20 минут уже, вот вам и "вжух"

я тогда плохо понимаю, как вся система работает

txt запись создаётся только для верификации, после верификации удаляется

ну вот это и логично, я и говорю, что я должен ее видеть до завершения верификации

у меня до сих пор не резолвится, даже с их 1.1.1.1

кто-то изломал днс

у меня до сих пор не резолвится, даже с их 1.1.1.1

это разве CF?

1.1.1.1? вроде да

это разве CF?

+

смотри днс сервера, которые у тебя в NS записях

1.1.1.1? вроде да

APNIC

это разве CF?

В верху написано cloudflare https://1.1.1.1/

смотри днс сервера, которые у тебя в NS записях

с ними тоже не резолвится

не верю

соседняя TXT запись от external DNS резолвится, а acme challenge — нет

не верю

сам в шоке

чем резолвишь?

dig _acme-challenge.example.org TXT amy.ns.cloudflare.com +short

вот так я запись вижу в панели

ну вот это и логично, я и говорю, что я должен ее видеть до завершения верификации

Я допускаю, что у нее есть ttl

А не то, что она висит "вечно"

dig _acme-challenge.example.org TXT amy.ns.cloudflare.com +short

выдает мне значение, которое у нас на * там законфигурено

выдает мне значение, которое у нас на * там законфигурено

Может в вайлдкарде беда ? У тебя есть другие днс ? Или зона вся целиком на cf?

1. вся на cf 2. соседняя TXT запись работает

а ну блин, конечно: https://www.cloudflarestatus.com

dig _acme-challenge.example.org TXT amy.ns.cloudflare.com +short

а если dig @amy.ns ... ?

а ну блин, конечно: https://www.cloudflarestatus.com

Неделя факапов?

ага, просто жопа

https://www.zdnet.com/article/some-internet-outages-predicted-for-the-coming-month-as-768k-day-approaches/