describe никаких варнингов не говорит... что за..?

Смотри логи второго инит контейнера. Висит на чем-то

а не подскажешь как посмотреть логи инита ?

Resource Requests Limits —------ —------ —---- cpu 2010m (100%) 100m (5%) memory 3163071872 (71%) 390Mi (9%) ephemeral-storage 0 (0%) 0 (0%) Events: <none>

То, что ты реквестишь своим подам, там не утилизация

да добавил уже по масимуму ресурсов... всё пердит но пока летит... для теста пойдет

kubectl logs pod -c имя второго инит контейнера, что выполняется

тогда вопрос. как узнать имя второго инита ?

как узнать имена всех инитов

Кто qbec использует Как его из пода аудкнтифицируете?

как узнать имена всех инитов

kubectl describe podname

да. спасибо. нашел уже

@kvaps

https://grafana.com/blog/2019/07/24/how-a-production-outage-was-caused-using-kubernetes-pod-priorities/

fuse?

+, но оно само всё. init chroot ит host, сам зависимости ставит

s3 fuse жрал цпу же некисло даже на маленьком сайте при раздаче статики (сайт с видео курсами) может конечно что-то можно подкрутить но под нагрузкой врядли это решение

посмотрим)

у кого там кстати FreeIPA ? https://github.com/briantopping/freeipa-operator тут вон чего чувак пытается намутить

пасибо, схоронил

ингресс надо еще настроить на предмет хоста https://kubernetes.io/docs/concepts/services-networking/ingress/#name-based-virtual-hosting

а, тупо рерайт или редирект нужен, что ли?

дублирую, так как интересно можно-ли организовать доступ по доменному имени к подобным сервисам извне кубер кластера правильно понимаю, учитывая что сервисы такие как nats/sql сервера работают на сетевом уровне, то настроить доступ к этим сервисам посредством ingress + domain name нельзя?

дублирую, так как интересно можно-ли организовать доступ по доменному имени к подобным сервисам извне кубер кластера правильно понимаю, учитывая что сервисы такие как nats/sql сервера работают на сетевом уровне, то настроить доступ к этим сервисам посредством ingress + domain name нельзя?

куберовские ингрессы умеют tcp/udp пробросы

куберовские ингрессы умеют tcp/udp пробросы

у меня нжинкс, пробовал делать так: kind: ConfigMap apiVersion: v1 metadata: name: tcp-services namespace: nginx-rm labels: k8s-app: ingress-nginx data: 4222: "default/nats-cluster:4222" и сам ингресс, его часть: spec: rules: - host: nats.default.test.com http: paths: - backend: serviceName: nats-cluster servicePort: 4222 path: /

и всё равно не коннектилось

а какой path настроен, не /jenkins ли? я б попробовал / для начала, авось дженкинс сам средиректит

палево :D

дублирую, так как интересно можно-ли организовать доступ по доменному имени к подобным сервисам извне кубер кластера правильно понимаю, учитывая что сервисы такие как nats/sql сервера работают на сетевом уровне, то настроить доступ к этим сервисам посредством ingress + domain name нельзя?

На tcp уровне нет domain name, поэтому нельзя добавить ингресс объект для tcp сервиса в ингресс контроллер с хттп с сервисами слушающий 80 и 443 и ждать что оно какой-то магией заработает

На tcp уровне нет domain name, поэтому нельзя добавить ингресс объект для tcp сервиса в ингресс контроллер с хттп с сервисами слушающий 80 и 443 и ждать что оно какой-то магией заработает

ну вот, хотел удостовериться в своих домыслах

Если облако то проще завести сервис типа load balancer

Если не облако то нужно либо напрямую завести трафик напрямую на сервис как-то либо городить отдельный ингресс контроллер на отдельном порту под каждый сервис если напрямую нельзя завести трафик

Как-то так получается

понятно, спасибо

path убери), ну и днс надом чтоб поддомены все на этот же хост направлял

Кто qbec использует Как его из пода аудкнтифицируете?

ServiceAccount же

сильно не рылся на поде есть sa который может деплоить в ns в котором он развернут но qbec валится

крутил в 2 часа ночи, пока обошел просто генерацией манифестов и заливкой их через kubectl но не красиво это

сильно не рылся на поде есть sa который может деплоить в ns в котором он развернут но qbec валится

А как именно валится? У @Andorka тоже не работало, пока он не выянил что у qbec интерактивный apply :)

все привет. подскажие как я могу добавить в кубер серт который я купил?

в серт-менеджер

https://pastebin.com/bK0h2je9

типа такого

sa default но права у него точно есть конфига есно по умолчанию в хомяке нет

ну а дальше костыль $ qbec show dev-**** -c "$COMPONENT" -V "tag_$COMPONENT" --k8s:token "$KUBE_TOKEN" -S > tmp.yaml $ kubectl -n dev-**** apply -f tmp.yaml deployment.apps/documents configured ingress.extensions/documents.dev.**** unchanged secret/documents-auth configured service/documents unchanged это отрабатывает как и предполагалось

был еще вариант падения, там вообще логов нет, просто упал но что там было в окружении уже не вспомню, ночь была ну и если нет хоть какогонить конфига с прописанным api кубера, матерится что нет такого кубера, типа $ qbec diff dev-*** -c "$COMPONENT" -V "tag_$COMPONENT" ✘ unable to find any cluster with URL "https://10.96.0.1" (for env dev-***) in the kube config ERROR: Job failed: command terminated with exit code 1

в серт-менеджер

А зачем в него?

у меня поломался кластер ищуер который выпускал серт в клауд флер

Просто засунь его в секреты и усе

засунул не канает

в серте не мой домен

sa default но права у него точно есть конфига есно по умолчанию в хомяке нет

Не похоже что есть, а kubectl работает в поде?

ну а дальше костыль $ qbec show dev-**** -c "$COMPONENT" -V "tag_$COMPONENT" --k8s:token "$KUBE_TOKEN" -S > tmp.yaml $ kubectl -n dev-**** apply -f tmp.yaml deployment.apps/documents configured ingress.extensions/documents.dev.**** unchanged secret/documents-auth configured service/documents unchanged это отрабатывает как и предполагалось

Да

Попробуй ему явно конфиг скормить через опции cli

Либо токен

Ему можно ещё токен через опцию скормить

Токен пробовал, вид с боку

Ну сегодня буду разбираться все одно, по факту без приседаний из пода не работает в отличии от kubectl

Токен пробовал, вид с боку

Смотри логи api-server с каким sa он авторизуется

Это понятно

Как раскопать я понимаю

У меня через переменную KUBECONFIG точно работало

Всем привет. Пытаюсь использовать admission плагин: PodSecurityPolicy. Добавляю его в аргументы запуска apiserver: --enable-admission-plugins=NodeRestriction,PodSecurityPolicy Под с apiserver перезапускается с этим аргментом (в докере видно), и даже политики работают правильно. В целом все работает нормально. Но почему-то kubectl его перестает видеть - то есть в выводе kubectl get pod -n kube-system его нет. Если удалить PodSecurityPolicy, то сразу все становится норм, и kube-apiserver появляется. Никто с таким не сталкивался?

Не много накопал по этому поводу. Выяснилось что системные поды которые запускаются из манифестов (/etc/kubernetes/manifests) тоже требуют назначенную на них политику PodSecurityPolicy. Если никаких политик вообще не существует, то в логах такое is forbidden: no providers available to validate pod request Если создать хоть одну psp is forbidden: unable to validate against any pod security policy: [] И вот непонятно, как для таких подов назначить эту политику. Если биндить на ServiceAccount: kube-system:default - не работает. Создал psp который разрешает все, и назвал его allow-all Создал кластерную роль apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: psp-allow-all rules: - apiGroups: - extensions - policy resourceNames: - allow-all resources: - podsecuritypolicies verbs: - use И пытаюсь забиндить ее так: apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: psp-allow-all roleRef: apiGroup: rbac.authorization.k8s.io kind: ClusterRole name: psp-allow-all subjects: - kind: ServiceAccount name: default namespace: kube-system Никто не знает, как правильно задать subject в биндинге для подов запускаемых из /etc/kubernetes/manifests? Я почему-то думал что ни просто под дефолтным работают. Для теста создал вручную под (в /etc/kubernetes/manifests), и прописал в нем ServiceAccount: default. И он не создается: is forbidden: a mirror pod may not reference service accounts То есть subject для таких подов видимо какой-то другой.

@IgorMusinov а у тебя как с Pod Security Policy, таких проблем не было?

@IgorMusinov а у тебя как с Pod Security Policy, таких проблем не было?

Пока нет (

Пока нет (

То есть все завелось без проблем?

То есть все завелось без проблем?

Я пока PodSecurityPolicy не заводил, у меня все впереди.

Народ, всем привет! Подскажите, в чем может быть проблема: есть выражение sum by(container_name) (container_memory_usage_bytes{job="kubelet", cluster="", namespace="kube-system", pod_name="coredns-fb8b8dccf-7rxz5", container_name=~"", container_name!="POD"}) в графане показывает no data points. в то же самое время в проме, по тому же самому выражению, - значение есть и так со многими метриками если что, это стандартный дашборд из helm stable/prometheus-operator

Народ, всем привет! Подскажите, в чем может быть проблема: есть выражение sum by(container_name) (container_memory_usage_bytes{job="kubelet", cluster="", namespace="kube-system", pod_name="coredns-fb8b8dccf-7rxz5", container_name=~"", container_name!="POD"}) в графане показывает no data points. в то же самое время в проме, по тому же самому выражению, - значение есть и так со многими метриками если что, это стандартный дашборд из helm stable/prometheus-operator

Неправильный data source?

Неправильный data source?

правильный. на одном даше часть графиков показывает, часть нет.

если в графане из выражения удалю cluster="" - норм взлетает

Failed to list *v1.Pod: pods is forbidden: User \"system:serviceaccount:gitlab-ns:default\" cannot list resource \"pods\" in API group \"\" at the cluster scope" Это нужно дать права gitlab-ns:default на просмотр подов ?

Failed to list *v1.Pod: pods is forbidden: User \"system:serviceaccount:gitlab-ns:default\" cannot list resource \"pods\" in API group \"\" at the cluster scope" Это нужно дать права gitlab-ns:default на просмотр подов ?

rules: - apiGroups: - "" resources: - pods verbs: - list Ага

понял. спасибо

в серте не мой домен

это как ? ;) ты купил сертификат не на тот домен и чего ждешь ?

это как ? ;) ты купил сертификат не на тот домен и чего ждешь ?

я попутал. думал там вайлкадр

проблема кароче в том что секрте от клауд флер не правильный

с косяком

/n

чо ? что за секрте ?

апи ключик

он в секрет попал с знаком переноса строки

охма. как все сложно то у тебя. через ж. спрашивал сначала как новый купленный сертификат в ингресс засунть, а тут какой-то апи ключик нарисовался....

как-то ты криво вопросы задаешь.