Подскажите плиз, как мне целую папку через секрет в pod пробросить.
Пробую так
kubectl create secret generic dir1 --from-file=./dir/
и потом в helm chart для deployment:
volumes:
- name: dir1
secret:
secretName: dir1
volumeMounts:
- name: dir1
mountPath: "/usr/share/dir1"
readOnly: true
но там на поде dir1 пустой почему то
А она точная секретная? Может ConfigMap? Я что-то про папки секретов не слыхал даже
Alexander
engelbart
ну там сертификаты всякие
engelbart
нов целом можно и в cm наверное
Anton
как передобавить воркер ноду в клатере ?
engelbart
а как конфиг map как dir смоунтить ;) ?
engelbart
а вот что смущает, я вроде б создаю через cm create --file = dir/
а через edit не вижу там данных
𝚔𝚟𝚊𝚙𝚜
а вот что смущает, я вроде б создаю через cm create --file = dir/
а через edit не вижу там данных
Емнип --from-file работает только с файлами
engelbart
https://kubernetes.io/docs/tasks/configure-pod-container/configure-pod-configmap/#create-configmaps-from-directories
Roman
engelbart
я вот на это смотрю
engelbart
но describe показывает no data
engelbart
а, кажется это про вложенность, я понял.
У меня там dir1/1/2
engelbart
блин. а как по другому мне протащить общий volume на все pod если ни secret ни cm мне не плдходит?
𝚔𝚟𝚊𝚙𝚜
engelbart
там сертификаты типа
ca/
client1/
client2
и тд
𝚔𝚟𝚊𝚙𝚜
можно сделать несколько конфигмапов и смаунтить их отдельно
engelbart
да, вариант но задолбает, 10 штук надо
𝚔𝚟𝚊𝚙𝚜
не руками же)
𝚔𝚟𝚊𝚙𝚜
ещё как вариант можно воспользоваться https://github.com/kubernetes/git-sync
𝚔𝚟𝚊𝚙𝚜
там сертификаты типа
ca/
client1/
client2
и тд
серты лучше в секретах хранить, можно хоть tar-архив положить туда, но это не есть best practices
engelbart
я понял, спасибо. да, можно так
engelbart
серты лучше в секретах хранить, можно хоть tar-архив положить туда, но это не есть best practices
я согласен, но не понимаю как без боли
𝚔𝚟𝚊𝚙𝚜
cat certs.tar.gz | base64 -w0 - как нибудь так, думаю может сработать
engelbart
а потом, маунтить их в initContainer и как то распаковывать?
𝚔𝚟𝚊𝚙𝚜
да, в initContainer смаунтить секрет и emptyDir, и сделать untar из секрета в emptyDir
engelbart
ох
𝚔𝚟𝚊𝚙𝚜
Ещё серты можно забирать прямо из API, но это другая история
engelbart
похоже с init может получится
Антон
да
Таблица роутинга выглядит так
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
0.0.0.0 172.16.0.1 0.0.0.0 UG 0 0 0 eth0
10.101.7.0 172.16.0.9 255.255.255.0 UG 0 0 0 tunl0
10.101.43.0 172.16.0.5 255.255.255.0 UG 0 0 0 tunl0
10.101.66.0 172.16.0.6 255.255.255.0 UG 0 0 0 tunl0
10.101.108.0 172.16.0.7 255.255.255.0 UG 0 0 0 tunl0
10.101.156.0 0.0.0.0 255.255.255.0 U 0 0 0 *
10.101.156.5 0.0.0.0 255.255.255.255 UH 0 0 0 cali8a892afe4da
168.63.129.16 172.16.0.1 255.255.255.255 UGH 0 0 0 eth0
169.254.169.254 172.16.0.1 255.255.255.255 UGH 0 0 0 eth0
172.16.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
172.17.0.0 0.0.0.0 255.255.0.0 U 0 0 0 docker0
Если сделать так, ping 10.101.108.0
PING 10.101.108.0 (10.101.108.0) 56(84) bytes of data.
пинга нет. Что-то kubespray накрутил не так для calico. Есть предпложения что именно?
Антон
хотя роуты есть на 10.101.108.0
Артур
есть ли люди которые прочитают курсы по кубернетис в харькове?(не бесплатно)
Dmitry
Таблица роутинга выглядит так
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
0.0.0.0 172.16.0.1 0.0.0.0 UG 0 0 0 eth0
10.101.7.0 172.16.0.9 255.255.255.0 UG 0 0 0 tunl0
10.101.43.0 172.16.0.5 255.255.255.0 UG 0 0 0 tunl0
10.101.66.0 172.16.0.6 255.255.255.0 UG 0 0 0 tunl0
10.101.108.0 172.16.0.7 255.255.255.0 UG 0 0 0 tunl0
10.101.156.0 0.0.0.0 255.255.255.0 U 0 0 0 *
10.101.156.5 0.0.0.0 255.255.255.255 UH 0 0 0 cali8a892afe4da
168.63.129.16 172.16.0.1 255.255.255.255 UGH 0 0 0 eth0
169.254.169.254 172.16.0.1 255.255.255.255 UGH 0 0 0 eth0
172.16.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
172.17.0.0 0.0.0.0 255.255.0.0 U 0 0 0 docker0
Если сделать так, ping 10.101.108.0
PING 10.101.108.0 (10.101.108.0) 56(84) bytes of data.
пинга нет. Что-то kubespray накрутил не так для calico. Есть предпложения что именно?
10.101.108.0/255.255.255.0 - это сеть.
Пинговать нужно адрес из этой сети ( и проверить уходит ли пакет на шлюз 172.16.0.7)
Антон
10.101.108.0/255.255.255.0 - это сеть.
Пинговать нужно адрес из этой сети ( и проверить уходит ли пакет на шлюз 172.16.0.7)
пробовал адрес пода - не идет.
вообще калико поднимает интерфейс с маской /32
6: tunl0@NONE: <NOARP,UP,LOWER_UP> mtu 1440 qdisc noqueue state UNKNOWN group default qlen 1000
link/ipip 0.0.0.0 brd 0.0.0.0
inet 10.101.156.0/32 brd 10.101.156.0 scope global tunl0
т.е. он должен пинговаться
Dmitry
пробовал адрес пода - не идет.
вообще калико поднимает интерфейс с маской /32
6: tunl0@NONE: <NOARP,UP,LOWER_UP> mtu 1440 qdisc noqueue state UNKNOWN group default qlen 1000
link/ipip 0.0.0.0 brd 0.0.0.0
inet 10.101.156.0/32 brd 10.101.156.0 scope global tunl0
т.е. он должен пинговаться
Ну так пакет доходит до шлюза 172.16.0.7? или нет?
Антон
Ну так пакет доходит до шлюза 172.16.0.7? или нет?
в том то и дело что не ходит. Крутиться это в закрытой подсети Azure
Dmitry
ну значит исследовать почему он не уходит до 172.16.0.7. Может iptables режет, или еще что-то
Vadim
в том то и дело что не ходит. Крутиться это в закрытой подсети Azure
Можно проверить security groups и acl
Alex Sharov
подскажите пожалуйста насколько хороша идея шарить namespace между контейнерами в поде чисто для того, чтобы перезапустить процесс в другом контейнере?
Alex Sharov
В одном контейнере есть скрипт который следит за ssl сертификатами, в другом хапрокси, которому нужно послать SIGUSR2 если сертификаты изменились
Alexander
А у HAProxy нет например REST интерфейса для перечитки конфигов(как у Прома)? Если нет, но тогда конечно придется делать in hackers way
Alex
Alex Sharov
что-то не могу нагуглить
Alex Sharov
вроде вот что-то: https://www.haproxy.com/blog/new-haproxy-data-plane-api/
Dmitry
Всем привет!
Есть кластер k8s. В нём крутится и dev, и prod. Есть сервис, который не выведен наружу. Есть клиент который сидит в своей intranet. Как можно оргизовать связь между клиентом и сервисом так чтобы клиент мог ходить только к этому сервису и никуда больше?
Alexander
kubectl proxy?
Alexander
Всем привет!
Есть кластер k8s. В нём крутится и dev, и prod. Есть сервис, который не выведен наружу. Есть клиент который сидит в своей intranet. Как можно оргизовать связь между клиентом и сервисом так чтобы клиент мог ходить только к этому сервису и никуда больше?
Ну или таки вывести сервис наружу. Не понятно в чем проблема пока что.
Alex Sharov
http://cbonte.github.io/haproxy-dconv/2.0/management.html#9.4
получается мне достаточно всего-лишь пошарить между двумя контейнерами сокет и сделать $ echo "reload" | socat /var/run/haproxy-master.sock?
Dmitry
Ну или таки вывести сервис наружу. Не понятно в чем проблема пока что.
Наружу нельзя. Сервис будет интегрироваться с другими сервисами из intranet клиента.
Игорь
получается мне достаточно всего-лишь пошарить между двумя контейнерами сокет и сделать $ echo "reload" | socat /var/run/haproxy-master.sock?
можно не шарить, он и на 127.0.0.1 вешаться умеет
Alexander
Наружу нельзя. Сервис будет интегрироваться с другими сервисами из intranet клиента.
ну какой-то туннель у клиента к кластеру будет? Вот в него и будем считать в вашем случае "наружу"
Alexander
получается мне достаточно всего-лишь пошарить между двумя контейнерами сокет и сделать $ echo "reload" | socat /var/run/haproxy-master.sock?
Ну да, пошарить сокет, если вдруг нет порта
Alex Sharov
а, это имелось ввиду
Alex Sharov
понял
Alex Sharov
спасибо большое!
Alex Sharov
выглядит достаточно элегантно
Alexander
простите, а какого порта?
Обычно, в системных сервисах. все можно делать как через сокеты так и через порты
Alexander
Ну круто - разобрались
𝚔𝚟𝚊𝚙𝚜
Dmitry
ну какой-то туннель у клиента к кластеру будет? Вот в него и будем считать в вашем случае "наружу"
надо было кому-то написать, чтобы задача стала проще 😅 спасибо 😄
Anton
kubeadm reset полностью удаляет кластер?
𝒜𝓁𝑒𝓀𝓈𝒶𝓃𝒹𝓇
Добрый день!
Подскажите, пожалуйста, как правильно реализовать проброс настроек в pods (конфиг файлы приложений), если для каждой среды (prod, stage, dev) они должны быть разными (конфиги) и где они должны храниться? Если какой-то best practice по данной теме и где про это можно почитать?
𝚔𝚟𝚊𝚙𝚜
Добрый день!
Подскажите, пожалуйста, как правильно реализовать проброс настроек в pods (конфиг файлы приложений), если для каждой среды (prod, stage, dev) они должны быть разными (конфиги) и где они должны храниться? Если какой-то best practice по данной теме и где про это можно почитать?
возьмите qbec, в нём можно описать компоненты и конфигмапы общие для всех сред, а при деплое в них будут подставляться необходимые параметры
𝒜𝓁𝑒𝓀𝓈𝒶𝓃𝒹𝓇
Alexander
Добрый день!
Подскажите, пожалуйста, как правильно реализовать проброс настроек в pods (конфиг файлы приложений), если для каждой среды (prod, stage, dev) они должны быть разными (конфиги) и где они должны храниться? Если какой-то best practice по данной теме и где про это можно почитать?
Приложения в Helm charts. Выделить файлы с values общими и специфичные для сред. Поглядеть Helmfiles
Dmitry
kubeadm reset полностью удаляет кластер?
В 1.14 норм удалял, сейчас вроде не все так хорошо чистит. Приходится дочищать
Anton
никто не сталкивался с проблемой. Есть 2 сетевых интерфейса, как задать определенный воркер ноде ? что бы она висела на том что я задам
George
это так не работает )
George
у тебя дефолтный интерфейс есть
Anton
да
George
это раз. В самом линуксе
George
второй момент - у тебя компоненты куба там как будут развернуты?
Anton
та хз
Anton
то есть нода берет дефолтный ?