так им и не нужно

хаха , но страдать же все равно буду я )

дайте пользователям доступ в API, им совершенно не обязательно стучаться в локалхост для этого

дайте пользователям доступ в API, им совершенно не обязательно стучаться в локалхост для этого

вы имеете в виду поставить api-server на открытый ip ?

API можно за любой проксёй вывесить и стучаться к нему удалённо

вы имеете в виду поставить api-server на открытый ip ?

либо так, либо за bastion host

либо так, либо за bastion host

понял, спасибо. Машина посередине в принципе и есть bastion host. Все кластерные машины без внешних ip

тогда будет примерно так как вы нарисовали, только второй ssh тунель вам не понадобится

> Все кластерные машины без внешних ip Это не проблема, т.к. всё общение с ними будет идти через api-сервер

если мастеров несколько, можно за haproxy вывесить

https://medium.com/@kvaps/for-make-this-scheme-more-safe-you-can-add-haproxy-layer-between-keepalived-and-kube-apiservers-62c344283076

https://medium.com/@kvaps/for-make-this-scheme-more-safe-you-can-add-haproxy-layer-between-keepalived-and-kube-apiservers-62c344283076

норм

https://github.com/edgelevel/lastpass-operator

https://github.com/edgelevel/lastpass-operator

ой ли

https://medium.com/@kvaps/for-make-this-scheme-more-safe-you-can-add-haproxy-layer-between-keepalived-and-kube-apiservers-62c344283076

Оче суровый английский

Гы. И для 1Password что-то похожее оказывается есть: https://github.com/ContainerSolutions/externalsecret-operator

скажите, а встроенный DNS кубера что ресолвит? имена сервисов в их кластерные ip`шники? Что-то ещё во что-то ещё?

+ имена подов в их ip`шнимки наверное?

а, всё :) в доке всё отлично описано

скажите, а встроенный DNS кубера что ресолвит? имена сервисов в их кластерные ip`шники? Что-то ещё во что-то ещё?

cat /etc/resolv.conf

еще SRV записи создает для сервисов

Парни, кто использует кубелет динамический конфиг? Тот что в конфигмапе.

Парни, кто использует кубелет динамический конфиг? Тот что в конфигмапе.

Вроде как все используют начиная с 1.12 или 1.13

https://medium.com/@kvaps/for-make-this-scheme-more-safe-you-can-add-haproxy-layer-between-keepalived-and-kube-apiservers-62c344283076

👍

Вроде как все используют начиная с 1.12 или 1.13

Расширяю вопрос: создаю конфигмапу пушу ее. Говорю ноде чтобы использовала конфигмап с новым именем. Все отлично но нет. Нода не юзает его.

Расширяю вопрос: создаю конфигмапу пушу ее. Говорю ноде чтобы использовала конфигмап с новым именем. Все отлично но нет. Нода не юзает его.

Конфиг скачивается только во время kubeadm join

Конфиг скачивается только во время kubeadm join

Не правда.

Не правда.

Хм, возможно тогда я чего-то не знаю

Он на то и динамический чтобы в лайве его менять.

Он на то и динамический чтобы в лайве его менять.

А как ты кубелет настроил на конкретный конфиг?

Вот по этому гайду https://kubernetes.io/docs/tasks/administer-cluster/reconfigure-kubelet/

И собственно поле коммита нода должна его перечитать

kubectl edit node ${NODE_NAME}

да

Ладно буду копать дальше. Отпишусь

https://www.reddit.com/r/kubernetes/comments/cc62wo/k8_studio_our_first_beta_after_months_of/ а вот это видел кто нибудь уже? ;)

https://www.reddit.com/r/kubernetes/comments/cc62wo/k8_studio_our_first_beta_after_months_of/ а вот это видел кто нибудь уже? ;)

Да, уже разделились на нужно/ненужно

прикольная штука на поиграться

не менее крутая чем kubecraft

Я provisioner на чистом shell писал, вроде норм получилось

https://www.rsyslog.com/doc/master/configuration/modules/mmkubernetes.html

А кто-то пользуется?

Например вместо fluentd

Только что попробовал ansible-operator, отличная вещь!

/me ушёл довольный переписывать плейбуки

Например вместо fluentd

А почему не beats?

А почему не beats?

потому что я хочу слать это в кх

потому что я хочу слать это в кх

Понял, на самом деле можно сам докер настроить так что-бы складывал нужные метаданные в логи

Это работает, но только для предопределенного набора лейблов

Хотя в большинстве случаев этого бывает более чем достаточно

Всем хай, есть пользователи promxy? Завели автодискавер прометеев? Если да можно пример конфига?

Всем добрый вечер! Подскажите как увязать в кубер следующие вещи: есть томкат, есть набор варников которые туда деплоятся. Соответственно один варник, один проект, который отдельно собирается, и как итог на выходе артифакт, в виде докер образа с ним. Как мне в томкат в кубере их деплоить? Спасибо

Всем добрый вечер! Подскажите как увязать в кубер следующие вещи: есть томкат, есть набор варников которые туда деплоятся. Соответственно один варник, один проект, который отдельно собирается, и как итог на выходе артифакт, в виде докер образа с ним. Как мне в томкат в кубере их деплоить? Спасибо

Хочется один томкат на всё или по томкату на приложение? Если томкат на приложение - что мешает делать имейдж с варником и томкатом?

Хочется один томкат на всё или по томкату на приложение? Если томкат на приложение - что мешает делать имейдж с варником и томкатом?

А не избыточно, сколько приложений, столько и томкатов? А если один томкат и как-то подсовывать новые имейджи-варники в него?

Ищи в кубере это антипаттерн?

А не избыточно, сколько приложений, столько и томкатов? А если один томкат и как-то подсовывать новые имейджи-варники в него?

наверное, проще всего сделать под с томкатом, который в entrypoint скачивает варники со стораджа

типа s3

но я сейчас немного пьян и с таким кейсом не сталкивался, так что может быть есть решения и лучше )

ну либо контейнеры чисто с варниками и какой-нибудь initContainer, который их подкладывает в шареный эфемерный вольюм

наверное, проще всего сделать под с томкатом, который в entrypoint скачивает варники со стораджа

Это наверное через инит контейнер, но после обновления хоть одного ввриника, нужно пересоздавать под

Ну задача то не специфичная как мне кажется, как-то должно быть все проще

ну либо контейнеры чисто с варниками и какой-нибудь initContainer, который их подкладывает в шареный эфемерный вольюм

https://github.com/kubernetes/examples/tree/master/staging/javaweb-tomcat-sidecar

вот плюс-минус официальный пример с этим кейсом )

Это наверное через инит контейнер, но после обновления хоть одного ввриника, нужно пересоздавать под

вообще да, можно сделать удобнее

вообще да, можно сделать удобнее

в общем я бы смотрел деплой куда-нибудь в сторонний сторадж варников отдельно и закидывание их контейнеру с томкатом

чтобы не пересоздавать лишний раз под с томкатом

но наверное есть и более крутые решения

https://github.com/kubernetes/examples/tree/master/staging/javaweb-tomcat-sidecar

Спасибо за помощь, смысл уловил)

в общем я бы смотрел деплой куда-нибудь в сторонний сторадж варников отдельно и закидывание их контейнеру с томкатом

Все равно смысл через шареный сторедж

доброй ночи всем. знатоки ранчера есть в чатике ? Прибежал клиент с ранчером и протухшими сертификатами. Все серты обновили руками через openssl, проблема только с kube-apiserver.pem ранчер поставил кластер в конфигурации 1 мастер 5 воркеров. так вот. у серта kube-apiserver.pem x509v3 extensions такие же как у kube-etcd сертов. создали csr, подписали kube-ca.pem, положили в каталог. рестартим api сервер и все пропало. ранчер перестет видеть кластер, в логах API записи вида I0712 18:58:54.204403 1 logs.go:49] http: TLS handshake error from 10.0.0.232:49834: remote error: tls: bad certificate Возвращаем старый сертификат - все работает. Но старый сертификат заканчивается ЗАВТРА!

версия куба 1.10.3

кто нить сталкивался с таким ???

обнови ранчер

Мы так же сделали, только это был тестовый кластер и сертификат был уже протухшим

обнови ранчер

и это помогло ?

да при обновлении ранчера он и сертификаты генерит по новой

А если обновлять нечего :)

2.0.8 стоит

есть куда расти

ссыкотно )

есть куда расти

В данном случае да, а если ласт?)