Anonymous

Всем привет. А как вы выпускаете сертификаты? У меня есть кейс - для небольшого проекта работающего в kubernetes хочу получить и автоматически обноять ssl сертификат от Let's Encrypt Мне подойдет этот чарт (https://hub.helm.sh/charts/jetstack/cert-manager) ? Или я вообще хрень несу и нужно делать иначе?

https://docs.cert-manager.io/en/latest/getting-started/install/kubernetes.html

Артур

Annotations: certmanager.k8s.io/cluster-issuer: letsencrypt-prod

Lucky SB

и кстати сделал типа для прода сертификат...все равно не валидный...

хмм. по идее при обновлении секрета ингресс-контроллер должен перемонтироваться

Vladimir ⚪️🔵⚪️

спасибо

Lucky SB

я бы для начала взял из секрета сертификат и посмотрел в него. продовый он или стейдж. если продовый - тогда пересоздал бы ingress

Lucky SB

Annotations: certmanager.k8s.io/cluster-issuer: letsencrypt-prod

ойвсе. это каким иссуером сертификат выписать. секрет куда класть лежит тут secretName: letsencrypt-prod

Lucky SB

хотя... а покажи get clusterissuer letsencrypt-prod -o yaml

Артур

kubectl get clusterissuer letsencrypt-prod -o yaml apiVersion: certmanager.k8s.io/v1alpha1 kind: ClusterIssuer metadata: annotations: kubectl.kubernetes.io/last-applied-configuration: | {"apiVersion":"certmanager.k8s.io/v1alpha1","kind":"ClusterIssuer","metadata":{"annotations":{},"name":"letsencrypt-prod"},"spec":{"acme":{"email":"@gmail.com","http01":{},"privateKeySecretRef":{"name":"letsencrypt-prod"},"server":"https://acme-v02.api.letsencrypt.org/directory"}}} creationTimestamp: "2019-07-05T09:06:10Z" generation: 4 name: letsencrypt-prod resourceVersion: "6332780" selfLink: /apis/certmanager.k8s.io/v1alpha1/clusterissuers/letsencrypt-prod uid: 218e50ce-9f04-11e9-965c-fa43685830a8 spec: acme: email: @gmail.com http01: {} privateKeySecretRef: name: letsencrypt-prod server: https://acme-v02.api.letsencrypt.org/directory status: acme: uri: https://acme-v02.api.letsencrypt.org/acme/acct/60629039 conditions: - lastTransitionTime: "2019-07-05T09:06:11Z" message: The ACME account was registered with the ACME server reason: ACMEAccountRegistered status: "True" type: Ready

Lucky SB

хм. все верно. тогда не знаю. в секрете то правильный сертификат лежит или фейковый ? он конечно написал, что обновил его... но мог и соврать наверное

Артур

а как посмотреть?

Артур

у меня просто кубер от ДО без доступа ссш на сервера

Даня

гайз, подскажите плз, на что ругается пром в этом случае?

Даня

alertname="TargetDown" job="kubelet"

Даня

кластер поднят чистый, пром хельмом поставлен

Даня

периодически прилетает такой алерт

Даня

это kubelet на одной из нод падает или что?

Lucky SB

@ExBleak Кстати. у тебя cert-manager в каком namespace установлен ? а то у тебя иссуер свои ключи доступа к LE хранит в секрете privateKeySecretRef: name: letsencrypt-prod и ты сертфикаты сайта суешь в секрет с таким же именем. Что явно плохая идея.

Артур

похоже что да

Даня

а, я понял

Даня

это позоже из-за скейлинга

Lucky SB

а как посмотреть?

get secret -o yaml - берешь содержимое поля cert: делаешь на него base64 -d - сохраняешь себе, смотришь через openssl что там за сертификат

Артур

kube-system cert manager

Артур

прав нехватает на сертификаты?

Lucky SB

все права должны были быть в чарте. врядли в них дело

Anonymous

тут ругали KubeDB, говорят данные можно пролюбить из-за кривой codebase кто-нибудь в production юзает?

Артур

cert-manager-webhook-ca-sync-hkg2w 0/1 Completed 0 2m

Артур

заметил такую фигню

Отделение Bereke Bank

Подскажите можно ли сделать так, чтоб при выполнении helm delete определенный объект не удалялся? В данном случае service. Я удалял руками helm-овые анотации - не помогает

Incognito

можно если сделать этот сервис не частью helm chart

Отделение Bereke Bank

можно если сделать этот сервис не частью helm chart

вот сейчас он задеплоен helm-ом. от helm-а избавляюсь, но при helm delete он удаляет сервис. Хотел избежать этого

Incognito

helm delete удалит все, что все что helm install установил

Incognito

вроде только crd не удаляет

Pavel

можно финт ушами. удалить cm в kube-system

Pavel

хуки тоже не удаляет

Pavel

если не сказать ему чтобы удалял

Артур

всем привет

Andor

neprivet

Артур

подскажите как настраивать cert-manager. при установке постоянно не проходит валидации Issuer Ref: Kind: Issuer Name: letsencrypt-prod Key: tsPKfQrlFkp5cQGEI-WCTzGJBIsdIw0b2TW5EWAFQ_Y.bmICBO3shbx3kwl7Lom9xP8op1m1SFuUFj0aJD861Xk Token: tsPKfQrlFkp5cQGEI-WCTzGJBIsdIw0b2TW5EWAFQ_Y Type: http-01 URL: https://acme-v02.api.letsencrypt.org/acme/challenge/Qrm5KG36LkXRGcNxp3BT75DqU4ApVPMlPGn-zraknuI/17894934430 Wildcard: false Failure Time: 2019-07-05T12:50:58Z Finalize URL: https://acme-v02.api.letsencrypt.org/acme/finalize/60640363/669319798 Reason: Error finalizing order :: certificate public key must be different than account key State: invalid URL: https://acme-v02.api.letsencrypt.org/acme/order/60640363/669319798

Denis

привет народ , есть у когото в кармане пример как прицепить к поду\деплойменту extenal nfs storage?

Andor

https://matthewpalmer.net/kubernetes-app-developer/articles/kubernetes-volumes-example-nfs-persistent-volume.html

Andor

(статью не читал, первая ссылка в гугле по "kubernetes nfs")

Denis

я не совсем теорию понимаю чето, у меня на ec2 бежит себе НФС и я хочу поиметь его файлы внутри пода , а не создать новый нфс в кубе

Евгений

Поставьте nfs-provisioner, он умеет подключаться к external nfs

Евгений

https://github.com/kubernetes-incubator/external-storage/tree/master/nfs

Denis

https://github.com/kubernetes-incubator/external-storage/tree/master/nfs

when you create a claim requesting the class you just created, the provisioner will automatically create a volume. не вижу что он умеет external nfs =\

Евгений

Я сужу по > runServer = flag.Bool("run-server", true, "If the provisioner is responsible for running the NFS server, i.e. starting and stopping NFS Ganesha. Default true.")

Раенко

привет народ , есть у когото в кармане пример как прицепить к поду\деплойменту extenal nfs storage?

https://github.com/kubernetes-incubator/external-storage/tree/master/nfs-client

Lucky SB

подскажите как настраивать cert-manager. при установке постоянно не проходит валидации Issuer Ref: Kind: Issuer Name: letsencrypt-prod Key: tsPKfQrlFkp5cQGEI-WCTzGJBIsdIw0b2TW5EWAFQ_Y.bmICBO3shbx3kwl7Lom9xP8op1m1SFuUFj0aJD861Xk Token: tsPKfQrlFkp5cQGEI-WCTzGJBIsdIw0b2TW5EWAFQ_Y Type: http-01 URL: https://acme-v02.api.letsencrypt.org/acme/challenge/Qrm5KG36LkXRGcNxp3BT75DqU4ApVPMlPGn-zraknuI/17894934430 Wildcard: false Failure Time: 2019-07-05T12:50:58Z Finalize URL: https://acme-v02.api.letsencrypt.org/acme/finalize/60640363/669319798 Reason: Error finalizing order :: certificate public key must be different than account key State: invalid URL: https://acme-v02.api.letsencrypt.org/acme/order/60640363/669319798

хахаха. похоже это ОН. поменяй в своем ингрессе название секрета с letsencrypt-prod на nginx-echo-tyt-ryby-zaovarchivat

Denis

https://github.com/kubernetes-incubator/external-storage/tree/master/nfs-client

ух ты ж

Раенко

ух ты ж

сам недавно использовал. полёт нормальный

Denis

сам недавно использовал. полёт нормальный

a на нодах нужен nfs-common ? чет у меня он ошибками орет аля MountVolume.SetUp failed for volume "nfs-client-root" : mount failed: exit status 32 Mounting command: systemd-run Mounting arguments: --description=Kubernetes transient mount for

Раенко

a на нодах нужен nfs-common ? чет у меня он ошибками орет аля MountVolume.SetUp failed for volume "nfs-client-root" : mount failed: exit status 32 Mounting command: systemd-run Mounting arguments: --description=Kubernetes transient mount for

да. нужен nfs-common насколько помню

Anonymous

да. нужен nfs-common насколько помню

Да. Подтверждаю. Недавно как раз прикручивал.

Denis

а на СoreOs как же его прикрутить 😕

Раенко

а на СoreOs как же его прикрутить 😕

хороший вопрос

Anonymous