у меня специфика такая, что база не проблема, по сути основной вопрос с удалением старых "инстансов" и взаимодействие с разработчиком
я накидал скрипт на питоне и добавил его вызов в пайплайн
Михаил
Alexey
Есть rolling update, можно деплой называть по тегу/коммиту/чегохочетлеваяпятка, можно через helm новые версии накатывать
Alex
в гитлаб такое разве не из коробки с autodevops?
Alexey
Я делал или через kubectl delete, kubectl apply, или просто обновлял версию образа в манифесте и apply
Roman
Я делал или через kubectl delete, kubectl apply, или просто обновлял версию образа в манифесте и apply
вопрос в том, когда делать delete, допустим мы определим что тесты у нас живут сутки и ночью их удалять, нужно какой-то джоб запустить который пройдет посмотрит сколько прожили инстансы и поудаляет старичков, только вот как лучше запустить и что запускать, возможно есть уже какие-то решения для этой задачи
Roman
потом, когда разработчик там как-то скомандовал "задеплоитца!" не знаю пока тэгом в коммите или при мердже, не суть, как ему передать инфу что мол, типок, у тя задеплоился твой код, чекай тут, жить он будет до ночи, так что торопись
Roman
письмо что-ли на почту отправлять, или как-то в телегу\слак
Alexey
дёргать мессенджер через api, в гитлабе - следующим шагом после деплоя on_success
Slach
Incognito
вдруг кому интересно будет и имеет возможность попасть
https://www.eventbrite.com/e/workshop-your-path-to-production-ready-kubernetes-tickets-63028449790
Fidelina
Ребята, нужна ваша помощь)
# export KUBECONFIG=pwd/.kube/config
# kubectl config get-contexts
CURRENT NAME CLUSTER AUTHINFO NAMESPACE
* gitlab-runner gasu-development-ibs-ru:8443 gitlab-runner/gasu-development-ibs-ru:8443 gitlab-runner
# kubectl config use-context 'gitlab-runner'
Switched to context "gitlab-runner".
# kubectl apply -f ci/deployment.yaml
Please enter Username: gitlab-runner
Please enter Password: Error from server (Forbidden): error when retrieving current configuration of:
from server for: "ci/deployment.yaml": deployments.apps "auth" is forbidden: User "system:anonymous" cannot get deployments.apps in the namespace "planeta": no RBAC policy matched
Почему не прошла авторизация? может я её и не делала?
гитлаб раннеу выдала права на неймспейс планета
kubectl auth can-i create deployments --as gitlab-runner -n planeta
yes
Fidelina
Почему не прошла авторизация?
Fidelina
и аутентификация?)
Andrey
cannot get deployments.apps а не cannot create deployments.apps
krakazyabra
Всем привет!
кто-нибудь уже запускал прометея в связке с victoriametrics?
Андрей Федюнин
народ, подскажите, можно ли как то заредиректить трафик из пода на 127.0.0.1 хоста. хотел через service, но endpoint не принимает такой адрес (Invalid value: "127.0.0.1": may not be in the loopback range (127.0.0.0/8))
Андрей Федюнин
host network не хочется юзать
Mikhail
Андрей Федюнин
тогда вернется адрес интерфейса, а не loopback
Андрей Федюнин
задача такая, на хосте настроен postfix как релей, но висит он 127.0.0.1, нужно отпарвлять письма с пода на этот релей
Andrey
задача такая, на хосте настроен postfix как релей, но висит он 127.0.0.1, нужно отпарвлять письма с пода на этот релей
Там геморрой жуткий будет, даже если придумать схему обхода. Почему он на 127.0.0.1?
Andrey
ip link add postfix type dummy
ip addr add 169.254.0.10/32 dev postfix
Andrey
Вот и получился link-local адрес, который виден только на этой ноде.
Dmitriy
У меня глупый вопрос по куберу.
Допустим у меня ингресс объекты описаны с указанием
tls:
- secretName:
Я хочу вынести обработку TLS на уровень ELB, через аннотации на самом балансере
annotations:
service.beta.kubernetes.io/aws-load-balancer-ssl-cert: arn:aws:acm...
service.beta.kubernetes.io/aws-load-balancer-backend-protocol: "http"
service.beta.kubernetes.io/aws-load-balancer-ssl-ports: "https"
Как будут обрабатываться запросы в таком случае? Я же правильно понимаю, что терминация будет происходить на балансере - а дальше идти сразу на уровень сервиса?
Андрей Федюнин
Вот и получился link-local адрес, который виден только на этой ноде.
так то да, но в таком случае нужно пересаживать postfix на этот интерфейс
Андрей Федюнин
вместо lo
Andrey
так то да, но в таком случае нужно пересаживать postfix на этот интерфейс
Или просто список передать, оставив lo, но и добавив новый?
http://www.postfix.org/postconf.5.html#inet_interfaces
Андрей Федюнин
postfix конфигурять не дадут
George
я не шучу, между прочим
Fidelina
а что выдает комманда "kubectl get pods"?
что он хочет авторизации
# kubectl get pods
Please enter Username:
Vadim
export KUBECONFIG=$(pwd)/.kube/config
Alex
а кто-нибудь пробовал https://github.com/roboll/helmfile ?
Egor
ребят все привет
Egor
у меня есть великий вопрос, реально ли реализовать под из которого приложение сможет делать комманды kubectl
Egor
на сколько это реально
Andrey
у меня есть великий вопрос, реально ли реализовать под из которого приложение сможет делать комманды kubectl
Да. Дай ему права нужные просто через ServiceAccount, Role, RoleBinding.
Egor
хочу обойти установку в ручную, скриптов на виртуальные сервера
Andrey
kubectl из коробки подберёт нужные credentials ServiceAccount'а.
Egor
спс, попробую
Egor
kubectl из коробки подберёт нужные credentials ServiceAccount'а.
получаеться мне нужно дать поду ClusterRole?
Andrey
получаеться мне нужно дать поду ClusterRole?
Role, если в пределах Namespace'а объекты трогаешь, ClusterRole, если везде или non-Namespaced объекты трогать будешь.
Egor
мне нужен везде совершенно
Vadim
Role/ClusterRole нужно дать сервисаккаунту, который запускает под
VolanDeVovan
x509 в кубеспрее реализуемо?(kubeadm)
VolanDeVovan
Надо же на все ноды закидывать
VolanDeVovan
Или лучше в сторону другого способа авторизации для пользователей?
Антон
На ВМ ставлю кластер куба через kubespray. Ставлю через корпоративный прокси, который подменяет сертификаты. Плейбук кубспрея пришлось запустить раз 15-20 пока не отработал без ошибок (докер не мог запулить образы). Вопрос: плейбук кубспрея идемпотентный? После такого кол-во перезапусков кластер будет работоспособен? kubectl не подключается, пишет ошибку "unable to connect to the server: proxyconnect tcp: tls: first record does not look like a tls handshake"
Lucky SB
No1
сертификат гумно явно говорит 🙂
Антон
ну а curl -v https://api-сервер что говорит ?
говорит, что хочу ходить на куб через прокси, что не верно. Проблему увидел, спасибо.
No1
Ставлю через корпоративный прокси, который подменяет сертификаты
No1
от доепался :)))
Lucky SB
tls: first record does not look like a tls handshake - на той стороне ответил явно не tls
Антон
=)
Lucky SB
до сертификатов дело еще не дошло вааще
No1
tls: first record does not look like a tls handshake - на той стороне ответил явно не tls
главное куда копать ясно
Alexander
и ка Вы тогда ему объяснили чтобы он не распологала поды на одной и тойже ноде?
Кажется, утонул вопрос. Подниму, т.к. сам сталкивался, что нужно было
https://kubernetes.io/docs/concepts/configuration/assign-pod-node/#always-co-located-in-the-same-node
тут написано про то, как располагать разные поды одного контролера на разных нодах. +advanced вариант, что эти поды должны соседсовать с другими подами другого контролера
Aleksandr
Господа, как сбросить кеш образа, который указан у пода?
В Registry уже обновлен образ, а куб видимо закешил как-то образ этот.
Mikhail
*imagePullPolicy: always
Aleksandr
Благодарю
Aleksandr
imagePullPolicy: Always
Aleksandr
да :)
Vadim
https://www.youtube.com/watch?v=3k6sDQh1YFE
Max
Подскажите пожалуйста. Какие capabilities нужно дать контейнеру, чтобы тот смог получить полноценный lsof хоста?
Vadim
Подскажите пожалуйста. Какие capabilities нужно дать контейнеру, чтобы тот смог получить полноценный lsof хоста?
https://kubernetes.io/docs/tasks/configure-pod-container/share-process-namespace
похоже
Andrey
https://kubernetes.io/docs/tasks/configure-pod-container/share-process-namespace
похоже
Не сработает. Это все контейнеры в один PID namespace кинет, отдельный от хоста.