Anton
не могу понять в чем беда
Anton
проблема с вебхуками. без них всё ок... но без них сертификаты не регистрируются автоматически...
Anton
может я что то упустил, без вебхуков автоматически же регистрироваться они не будут? как зарегистрировать тогда ??
Anton
столкнулся с этим
I0808 06:37:38.023830 29735 round_trippers.go:438] GET https://мойип:6443/apis/admission.certmanager.k8s.io/v1beta1?timeout=32s 503 Service Unavailable in 39 milliseconds
Говорят что нужно открыть доступ файрвол и т.д. как это сделать ??
G72K
Так я так и сделал через docker-compose up а он все равно начал собирать сначала
Если указать только image то откуда ему знать как собирать :)
Vyacheslav
Если указать только image то откуда ему знать как собирать :)
Потому что в самом docker-compose есть директива --cache-from и образ, а самом ci перед запуском композа идёт пре пулл этих образов
Anton
столкнулся с этим
I0808 06:37:38.023830 29735 round_trippers.go:438] GET https://мойип:6443/apis/admission.certmanager.k8s.io/v1beta1?timeout=32s 503 Service Unavailable in 39 milliseconds
Говорят что нужно открыть доступ файрвол и т.д. как это сделать ??
обнаружил что ругается ещё на это
Message: no response from https://10.103.60.181:443: Get https://10.103.60.181:443: net/http: request canceled while waiting for connection (Client.Timeout exceeded while awaiting headers)
этот айпи, айпи сервисов вебхука 10.103.60.181
Anton
Egideus
подскажите, где про local volumes можно доходчивые примеры посмотреть, кроме офф мануала?
𝚔𝚟𝚊𝚙𝚜
подскажите, где про local volumes можно доходчивые примеры посмотреть, кроме офф мануала?
https://kubernetes.io/blog/2018/04/13/local-persistent-volumes-beta/
𝚔𝚟𝚊𝚙𝚜
тут было достаточно детально описанно
Egideus
спасибо!
Anton
в общем нет доступа между сервис айпи... что за?? как решить эту беду??
𝚔𝚟𝚊𝚙𝚜
спасибо!
вот тут найдёте примеры для деплоя провижионера
https://github.com/kubernetes-sigs/sig-storage-local-static-provisioner/tree/master/deployment/kubernetes/example
𝚔𝚟𝚊𝚙𝚜
ещё у опеншифта дока была неплохая
𝚔𝚟𝚊𝚙𝚜
в общем нет доступа между сервис айпи... что за?? как решить эту беду??
Проверь endpoints на всякий случай
Алексей
https://kubernetes.io/blog/2018/04/13/local-persistent-volumes-beta/
выглядит всё очень просто. Но я так понял, что нужно этот localvolume подключать обязательно как отдельный том, нельзя просто папку?
Алексей
А, нет. вот же "Directories on a shared file system are also supported, but must also be created before use."
𝚔𝚟𝚊𝚙𝚜
выглядит всё очень просто. Но я так понял, что нужно этот localvolume подключать обязательно как отдельный том, нельзя просто папку?
можно, ток что на hostPath provisioner наткнулся: https://github.com/rancher/local-path-provisioner
попробуйте, отпишитесь
𝚔𝚟𝚊𝚙𝚜
Алексей
Если я правильно понял контекст, то shared filesystem имеется ввиду ФС хоста, где установлена операционка и всё такое
Anton
не нзаю что это мне даст...
𝚔𝚟𝚊𝚙𝚜
Если я правильно понял контекст, то shared filesystem имеется ввиду ФС хоста, где установлена операционка и всё такое
в любом случае я бы не советовал использовать localVolumes для хоть как-то шаренной информации с хостом или с другими томами
𝚔𝚟𝚊𝚙𝚜
попробуйте local-path-provisioner судя по описанию он решает вашу проблему полностью
Алексей
Да проблемы-то нет никакой. Надо том - будет том
Алексей
Спасибо
𝚔𝚟𝚊𝚙𝚜
по сути он просто будет генерить тома с hostPath и указанием директории которую нужно смаунтить в под
𝚔𝚟𝚊𝚙𝚜
по сути он просто будет генерить тома с hostPath и указанием директории которую нужно смаунтить в под
это я про https://github.com/rancher/local-path-provisioner
𝚔𝚟𝚊𝚙𝚜
Anton
у вас не работает cert-manager-webhook, его endpoints и нужно смотреть
NAME ENDPOINTS AGE
cert-manager-webhook 10.244.1.72:6443 98m
Anton
вот его ендпоинт
𝚔𝚟𝚊𝚙𝚜
NAME ENDPOINTS AGE
cert-manager-webhook 10.244.1.72:6443 98m
хорошо, эндпоинт есть, значит сервис запущен
Anton
да. запущен
𝚔𝚟𝚊𝚙𝚜
какая у вас сеть в кластере используется?
Anton
kubectl describe apiservice v1beta1.admission.certmanager.k8s.io
выдает месседж
no response from https://10.103.60.181:443: Get https://10.103.60.181:443: net/http: request canceled while waiting for connection (Client.Timeout exceeded while awaiting headers)
Pavel
Коллеги, добрый день, столкнулись с такой проблемой: запилили в кубер prometheus, создал ему clusterrole, потом биндинг, работать не захотел, создал в итоге биндинг кластер-админа на дефолтный ServiceAccount в kube-system эффекта 0, может кто помочь?
Anton
Anton
вот мои сервисы
𝚔𝚟𝚊𝚙𝚜
делаю ставку на то, что у вас докер шалит, попробуйте полностью выпилить сеть у докера и ребутнуть ноды:
{
"iptables": false,
"ip-forward": false,
"bridge": "none",
}
𝚔𝚟𝚊𝚙𝚜
Видел такое не раз уже
𝚔𝚟𝚊𝚙𝚜
Коллеги, добрый день, столкнулись с такой проблемой: запилили в кубер prometheus, создал ему clusterrole, потом биндинг, работать не захотел, создал в итоге биндинг кластер-админа на дефолтный ServiceAccount в kube-system эффекта 0, может кто помочь?
смотрите логи api-server и самого оператора, под какой учёткой он ходит
Anton
делаю ставку на то, что у вас докер шалит, попробуйте полностью выпилить сеть у докера и ребутнуть ноды:
{
"iptables": false,
"ip-forward": false,
"bridge": "none",
}
но другие сервисы работают нормально... Не подскажешь как правильно отключить сеть у докера? и это ничего не сломает ???
𝚔𝚟𝚊𝚙𝚜
но другие сервисы работают нормально... Не подскажешь как правильно отключить сеть у докера? и это ничего не сломает ???
тогда, скорее всего проблема не в этом, но отключить сеть всёравно рекомендутся, т.к. правила docker могут конфликтовать с теми что использует flannel
Anton
docker daemon —bridge=none —ip-forward=false —iptables=false есть так отключу ?
𝚔𝚟𝚊𝚙𝚜
но другие сервисы работают нормально... Не подскажешь как правильно отключить сеть у докера? и это ничего не сломает ???
для подов запускаемых в Kubernetes это ничего не сломает, но если делать вручную docker run - то сеть работать не будет
𝚔𝚟𝚊𝚙𝚜
docker daemon —bridge=none —ip-forward=false —iptables=false есть так отключу ?
да, либо просто положи конфиг, у меня так:
cat /etc/docker/daemon.json
{
"exec-opts": ["native.cgroupdriver=systemd"],
"iptables": false,
"ip-forward": false,
"bridge": "none",
"log-driver": "journald",
"storage-driver": "overlay2"
}
𝚔𝚟𝚊𝚙𝚜
но правила очистятся полностью только после ребута или ручной очистки iptables
Anton
а ноды как правильно перезапустить ?
𝚔𝚟𝚊𝚙𝚜
reboot? :)
Anton
а тоесть так)
Anton
это делать и на мастере и на воркере ?
Anton
не-а. не помогло(
G72K
G72K
rget проверяет скачиваемые архивы по certificate transparency logs. Идея в том, чтобы предотвратить подмену архивов на взломанных серверах https://merklecounty.substack.com/p/rget-a-secure-download-user-story
Pavel
смотрите логи api-server и самого оператора, под какой учёткой он ходит
ну так сервис аккаунт один и я забиндил на него кластер-админа, все равно ситуация не поменялась
𝚔𝚟𝚊𝚙𝚜
ну так сервис аккаунт один и я забиндил на него кластер-админа, все равно ситуация не поменялась
видимо незабиндился, раз не пускает, смотрите логи api-server, там всё логируется
Anton
4 перегрузил, не помогло 😊
𝚔𝚟𝚊𝚙𝚜
ну в таком случае мне тебе больше нечего посоветовать, кроме как вооружиться tcpdump и собрать больше информации о твоей проблеме
Lucky SB
Ты его как ставил ?
Anton
одна и та же фигня
Lucky SB
По какой инструкции ?
Anton
без вебхуков всё норм
Anton
официальной из хелм
Lucky SB
У тебя кластер в облаке ?
Anton
нет. мастер на до, воркер за натом в оффисе
Anton
да
Anton
из стейбл