« Rev
@kubernetes_ru   1985
Fwd »


Anonymous
вроде в настройках кублета
✙ DarkKC ✙
а если у меня кублет по идее всё от ЕКС выгребает?
✙ DarkKC ✙
только на запущеном идти, менять, рестартить?
Grigorii
в клауд-инит добавить флаг
✙ DarkKC ✙
в клауд-инит добавить флаг
понял, большое спасибо
Grigorii
но если у тебя CNI от EKS то там еще и лимиты по сетевым интерфейсам
✙ DarkKC ✙
по интерфейсу на под создаётся?
Grigorii
да
Grigorii
поэтому я его удалил и поставил калико
✙ DarkKC ✙
и это даёт нам failed to assign an IP address to container судя по гуглю
✙ DarkKC ✙
а я в него уже недавно тыыыыкался....
Grigorii
yep
✙ DarkKC ✙
поэтому я его удалил и поставил калико
а как это в связке с ЕКС работает часом нет под рукой доки?
Fidelina
echo "$RUNNER_TOKEN" | docker login --username gitlab --password-stdin 172.30.5.228:5000 Error response from daemon: Get https://172.30.5.228:5000/v2/: x509: certificate signed by unknown authority
проблема может быть связана с тем, что сертификаты не валидны, самоподписаны и центр сертификации неизвестен?
✙ DarkKC ✙
и не будет ли потом проблем с АЛБ ингрессом? так то он, получается, в эти ИПы свои таржыт группы направляет
Grigorii
а как это в связке с ЕКС работает часом нет под рукой доки?
https://gist.github.com/gree-gorey/3169c811150368dae239f1e52defc922 вот пример моей юзердаты и шагов
Grigorii
я alb controller не юзал, юзаю nginx-ingress + classic ELB
✙ DarkKC ✙
У меня пока фаза, когда я ещё могу всё разломать к хегам и пересобрать. Но она не вечная, думать придётся быстро
Vadim
проблема может быть связана с тем, что сертификаты не валидны, самоподписаны и центр сертификации неизвестен?
https://docs.docker.com/registry/insecure/#use-self-signed-certificates Instruct every Docker daemon to trust that certificate. The way to do this depends on your OS и дальше
Fidelina
https://docs.docker.com/registry/insecure/#use-self-signed-certificates Instruct every Docker daemon to trust that certificate. The way to do this depends on your OS и дальше
в самом раннере я настрою, но он запускает под на основе другого образа икак ему передать параметры - я не знаю
Fidelina
хотя я может тюплю...
Fidelina
ну да, в самом ранере, что имеет экзекьютер кубернетес нет докера
Fidelina
/etc/docker/certs.d/myregistrydomain.com:5000/ca.crt вот это не понятно кому ставить тогда..
Vadim
тем временем https://grafana.com/blog/2019/07/15/lokis-path-to-ga-docker-logging-driver-plugin-support-for-systemd/
Fidelina
для ясности картины, есть раннер, внутри которого крутится /entrypoint register --non-interactive --url http://gitlab.gasu-development.ibs.ru/ --executor kubernetes --registration-token1yejZ --kubernetes-namespace gitlab-runner --docker-image "docker:latest" --docker-privileged --kubernetes-privileged --cache-s3-insecure --tls-ca-file /usr/local/share/ca-certificates/master.crt это раннер запускает образ docker:latest и в нем (отдельный под) стартует команда echo "$RUNNER_TOKEN" | docker login --username gitlab-runner --password-stdin 172.30.5.228:5000 Error response from daemon: Get https://172.30.5.228:5000/v2/: x509: certificate signed by unknown authority ERROR: Job failed: command terminated with exit code 1 и вот тут все и не работает
Fidelina
вот это сертификат /usr/local/share/ca-certificates/master.crt самого опеншифта взят из /etc/origin/master/ca-bundle.crt но там только один серт, без промежуточного
Fidelina
кто-то же её решил, значит и я должна её решить
Anonymous
Я так понял у тебя insecure registry
Anonymous
по https
Anonymous
И ты пытаешься намазать на него самопальные серты
Fidelina
Я так понял у тебя insecure registry
там реджистри от опеншифта, авторизация идет политиками опеншифта опять же RBAC сегодняшний
Fidelina
я использую серт, который использует опеншифт
Fidelina
/etc/origin/master/ca-bundle.crt
Fidelina
и ещё все что можно сертификаты, напимер registry.crt и update-ca-certificates
Anonymous
Ок
Anonymous
А в результате должно быть что?
Anonymous
Возможность пулить из докер реджистри?
Fidelina
пушить)
Fidelina
и пулить)
Anonymous
ага
Вариант оставить его без сертификата и просто вогнать его как insecure не рассматривается?
Fidelina
в раннере идет сборка образа, после отработки gitlab-ci у меня схлопнется, а сохранить собранный имедж нужно
Fidelina
это раннер запускает образ docker:latest и в нем (отдельный под) стартует команда echo "$RUNNER_TOKEN" | docker login --username gitlab-runner --password-stdin 172.30.5.228:5000 Error response from daemon: Get https://172.30.5.228:5000/v2/: x509: certificate signed by unknown authority ERROR: Job failed: command terminated with exit code 1
Anonymous
Файл "/etc/containers/registries.conf"
Anonymous
https://docs.okd.io/3.11/day_two_guide/docker_tasks.html#insecure-registries
Anonymous
Ну это правда окд
Anonymous
Но там для опеншифта почти так же
Fidelina
Я лично использую shell runner's чтобы пушить в регистри
🤔 а сборка где? или у тебя не в кубеке запущен раннер?
Anonymous
🤔 а сборка где? или у тебя не в кубеке запущен раннер?
Сборка в кубике, docker build на самом хосте или виртуалке
Anonymous
Переносишь при помощи артефактов все нужные файлы
Anonymous
Короче
Anonymous
У меня был такой же кейс почти
Anonymous
У меня тоже docker registry insecure
Anonymous
Только у меня хуже
Anonymous
у меня http
Anonymous
пытаться запушить из докер контейнера это головняк
Fidelina
у меня только одна машинка, если токльо kvm поднимать и там делать раннер
Anonymous
Да прям на этой же машинке
Anonymous
Делаешь раннер
Anonymous
shell
Anonymous
делаешь докер обычный
Anonymous
в docker.json пишешь регистри
Anonymous
И docker build, docker push
Anonymous
Там проблема, что именно в докер-контейнере нет файла docker.json или похожего, insecure сделать невозможно.
Anonymous
Почему его нет и почему его нельзя туда впихнуть это тема отдельной лекции
Anonymous
С другой стороны
Fidelina
Да прям на этой же машинке
на этой же машинке идея плохая. так как я уже потратила неделю на то, чтобы восстановить опеншифт постле такой идеи
Anonymous
Если очень хочется
Anonymous
Этот registry в DMZ?
Anonymous
То есть он из интернета виден?
Fidelina
не виден
« Rev
@kubernetes_ru   1985
Fwd »