В CRI такого нет, но можно ручками docker pause

А кубер в это время не подумает, что с подом проблема?

Можно и заскейлить, если не костыль

В CRI такого нет, но можно ручками docker pause

probes перестанут работать же

никогда не делал docker pause, не представляю даже механизм. через cgroup говорят что 0 процентов cpu потреблять можно?

как в cronjob указать пользователя от которого исполнять команду?

как в cronjob указать пользователя от которого исполнять команду?

как в cronjob указать пользователя от которого исполнять команду?

подскажите в какой неймспейс нужно засунуть сикрет чтоб он был виден везде?

он и так уже виден везде в неймспейсе

Во все

подскажите в какой неймспейс нужно засунуть сикрет чтоб он был виден везде?

vault?

подскажите, создаю RBAC Role на pod с параметром resourceNames и хочу что бы доступ был только на определенный под, но т.к. этот под в деплойменте, то он имеет имя вида pod-name-dlscc как правильно задать такую роль?

никак, resourceName нужно полное имя. Наиболее разумное предложение пока только в https://github.com/kubernetes/kubernetes/issues/44703

Upgrade Strategy какая у тебя в sts указана ?

подскажите в какую сторону копать, при #oc login -u Username https://hostname —insecure-skip-tls-verify=true получаю: error: net/http: TLS handshake timeout

Не много накопал по этому поводу. Выяснилось что системные поды которые запускаются из манифестов (/etc/kubernetes/manifests) тоже требуют назначенную на них политику PodSecurityPolicy. Если никаких политик вообще не существует, то в логах такое is forbidden: no providers available to validate pod request Если создать хоть одну psp is forbidden: unable to validate against any pod security policy: [] И вот непонятно, как для таких подов назначить эту политику. Если биндить на ServiceAccount: kube-system:default - не работает. Создал psp который разрешает все, и назвал его allow-all Создал кластерную роль apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: psp-allow-all rules: - apiGroups: - extensions - policy resourceNames: - allow-all resources: - podsecuritypolicies verbs: - use И пытаюсь забиндить ее так: apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: psp-allow-all roleRef: apiGroup: rbac.authorization.k8s.io kind: ClusterRole name: psp-allow-all subjects: - kind: ServiceAccount name: default namespace: kube-system Никто не знает, как правильно задать subject в биндинге для подов запускаемых из /etc/kubernetes/manifests? Я почему-то думал что ни просто под дефолтным работают. Для теста создал вручную под (в /etc/kubernetes/manifests), и прописал в нем ServiceAccount: default. И он не создается: is forbidden: a mirror pod may not reference service accounts То есть subject для таких подов видимо какой-то другой.

Я наверное уже всех достал. Но я снова пишу о pod security policy. Вдруг кто-то тоже с этой проблемой боертся. Если вкратце: проблема в том, что после включения PodSecurityPolicy (который прописывается в параметрах kube-apiserver) под kube-apiserver не поднимается, точнее сам под поднимается и запускается успешно в докере, но как под kubernetes'а не регистрируется в системе и его не видно в выводе kubectl. Так вот, оказалось что оно работает только если привязывать к системной группе system:authenticated. А именно вместо сервисаккаунта нужно роль забиндить к группе: apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: psp-allow-all roleRef: apiGroup: rbac.authorization.k8s.io kind: ClusterRole name: psp-allow-all subjects: - kind: Group apiGroup: rbac.authorization.k8s.io name: system:authenticated Статический под kube-apiserver поднялся. Победа. Работает только с этой группой, с system:serviceaccounts тоже не работало. Резюмируя. Если хотим включить PodSecurutyPolicy, то для статических подов плоскости управления (которые запускаются из /etc/kubernetes/manifests) да и вообще для всех подов из неймспейса kube-system надо создавать политики PodSecurityPolicy (которые им разрашают делать то что они делают, например hostnetwork, hostPorts, priveleged и т.д.), создавать кластерную роль и биндить ее на уровне неймспейса kube-system на группу system:authenticated. И наверное правильно это делать еще до включения плагина PodSecurutyPolicy, иначе при перезапуске любого важного пода плоскости управления он может просто не подняться из-за политик. Вроде логично это, но я чет не сразу допер.

тогда в чем смысл PSP если ты всем дал allow-all?

MTU сломалось скорее всего, https://docs.openshift.com/enterprise/3.1/admin_guide/sdn_troubleshooting.html#tls-handshake-timeout

Ребят кто в nginx ingress юзал custom templates? хочу добавить апстрим с max_conns=1 как по этому ману https://stackoverflow.com/questions/48659392/edit-max-conns-in-kubernetes-ingress-ngnix но деплоймент ругается Invalid NGINX configuration template: template: nginx.tmpl:51: undefined variable "$upstream", немогу найти как правильней его туда передать, не хочется хардкодить в темплейт

там походу темплейт для nginxinc-овского ингресса, а у тебя наверное кубовский? я не помню точно но у них разные темплейты кажется

тот что подсказали на оверфлоу возможно не тот что у тебя

Последние версии вообще на луа только, без стандартных серверов в апстримах. И луа не поддерживает это

Последние версии вообще на луа только, без стандартных серверов в апстримах. И луа не поддерживает это

разве вот это https://github.com/openresty/lua-nginx-module#lua_socket_pool_size не аналог?

смотрю на сервере ~ 30 секунд меньше

хмм время внутри контейнера отличается от времени на ноде?