есть набор стейтфулсетов которые по рафту выбирают мастера, при этом у мастера открывается порт а у слейвов закрывается сервис кубернетеса ведь не умеет пускать на открытый порт? то есть если под лабел попадают 10 подов а порт открыт у 3-го то запрос всегда на 3-й пойдет

У меня есть replicaset. Там я могу указывать, сколько подов запускать. И в процессе жизнедеятельности я буду наращивать количество нод. Мне нужно на каждой ноде запускать только один под из этого rs. Например: есть ноды nginx1 и nginx2. 1. Как настроить, чтобы у меня на каждой ноде запускался только один под? 2. Как указать в rs, чтобы деплой nginx разворачивался только на нодах nginxN? Я так понимаю, мне надо роли и метки почитать? Или как-то по другому делают?

вам нужен daemonset

replicset просто следить за кол-во подов, но ему пофиг где и как они запущены

можно antiAffinity задать, но все равно, при добавлении нод кому-то придется подкрутить количество подов в rs

я просто ещё 1.6 не мучал, у меня 1.5 в бою

я кстати понял в чем с helm проблема, если вкратце - он ничего не гарантирует с ним никогда не знаешь: или все задеплоится, или ошибка выпадет, или ошибка не выпадет но что-то там где-то не стрельнет в кластере а ты об этом не узнаешь то есть по факту это kubectl с возможностью подстановки переменных конечно, многое висит на авторах чартов: в репе официальной есть например офигительно продуманые чарты, а есть и откровенная лажа (с пулл-реквестами исправляющими лажу вообще отдельная тема) мне видится путь не империативный, а декларативный (типа хашикорповского терраформа, как вариант плагина к нему) то есть описываем желаемое состояние, и тулза сама к нему приводит или ругается если не может так сделать кто что думает по этому поводу?

вот эта джоба работает: - job_name: 'kubernetes-apiservers' kubernetes_sd_configs: - role: endpoints scheme: https tls_config: ca_file: /var/run/secrets/kubernetes.io/serviceaccount/ca.crt insecure_skip_verify: true bearer_token_file: /var/run/secrets/kubernetes.io/serviceaccount/token вот эта выдает server returned HTTP status 401 Unauthorized - job_name: 'kubernetes-nodes' scheme: https tls_config: ca_file: /var/run/secrets/kubernetes.io/serviceaccount/ca.crt insecure_skip_verify: true bearer_token_file: /var/run/secrets/kubernetes.io/serviceaccount/token kubernetes_sd_configs: - role: node кто сможет объяснить почему у меня руки из задницы? :)

Я пользуюсь Rancher, но сейчас Cattle как оркестратор

А кто сейчас чем раскатывает на bare? kargo (kubespray) очень медленно развивается, может есть достойные варианты?

марсианский кукбук. Но нужен шеф

Сорян за оффтоп, не красиво чужие вопросы своим перебивать... я просто оставлю это тут вдруг кто ответит: Я обычно с пониманием отношусь к тому что я чего-то недопонимаю, но тут походу фундаментальное недопонимание и оно меня бесит. Короче, есть некое приложение который использует RAFT для достижения консенсуса. При этом, алгоритм там настолько тупо реализован что требуется при запуске указать всех участников и они должны быть доступны, иначе приложение не стартует. Для того чтобы с самого начала были известны имена всех участников, я заюзал petset с headless service (можно deployment с отдельными сервисами но там свои косяки). То есть, сервис используется в данном случае ТОЛЬКО для того чтобы были стабильные dns-имена правильно резольвящиеся в айпишники. Приложение запускается, видит всех своих друзей и с использованием raft образует mesh-сесть (ну, не совсем mesh конечно но в данном контексте сойдет) между всеми участниками подключившись НАПРЯМУЮ друг к другу по айпишникам которые срезольвились через dns по порту 5001. На этом мои знания заканчиваются и начинается магия... 1) Почему без указания абсолютно левого порта в headless serivice который нужен только для резольвинга приложение не запускается (висит на "ожидаем всех участников") - то есть с вероятностью 90% не создаются A-записи в кубернетеском dns? (каюсь, не проверил этот момент потому что утомился) 2) Что я не понимаю в этой схеме? Есть какая-то ключевая позиция которую я упускаю? Вот код того что проверяю если что: https://pastebin.com/aF6Y2USY

А там не srv записи разве? для srv записи нужен порт

а можно ссылку?

А есть кто удачно запустил в продакшен k8s-кластер на CoreOS загружающейся по PXE?

А кто сейчас чем раскатывает на bare? kargo (kubespray) очень медленно развивается, может есть достойные варианты?

https://github.com/evilmartians/chef-kubernetes/

да

Чистый Matchbox для доставки Ignition-конфига на ноду или на Terraform?

да

Что-то заинтересовался моментом... Если ставить куб "из коробки", если мастер упадёт, как будет вести себя кластер? Сайты будут открываться?

Уточни, на счет упал. Т.е. сервер совсем умер? Или отключился, перезагрузился,включился?

Например, питание от сервера отключили. Ааа, хотя, после старта он же должен сам подняться? Или, например, памяти не хватило и упал по сегфолту - маловероятно, но а вдруг!

Что-то заинтересовался моментом... Если ставить куб "из коробки", если мастер упадёт, как будет вести себя кластер? Сайты будут открываться?

Обычно мастер не один, в продакшин у многих 3 мастера

То есть, если совсем уничтожить один мастер, то можно его будет потом подключить, как ноду и назначить мастером?

То есть, если совсем уничтожить один мастер, то можно его будет потом подключить, как ноду и назначить мастером?

нет. Но можно восстановить etcd, конфиги, токены и ключи со старого и поднять на новом

http://s6.pikabu.ru/post_img/2017/06/05/0/og_og_14966114892546496.jpg

а кто нить бэкапит etcd и пробовал его ресторить?=)

там ничего сложного на самом деле