https://github.com/projectcalico/calico/blob/master/v2.3/getting-started/kubernetes/installation/hosted/index.md RBAC If using Calico with RBAC, apply the ClusterRole and ClusterRoleBinding specs: kubectl apply -f {{site.url}}/{{page.version}}/getting-started/kubernetes/installation/rbac.yaml

не понял, к сожалнию, что надо сделать

Добрый день, не совсем понятно так должно быть или нет Есть кубер в aws, есть сервис с type: LoadBalancer. И в лоадбалансер он добавляет все ноды из кластера а не те на котрых запущены поды

для этгов сервисе есть externalTrafficPolicy=Local (начиная с 1.7)

если сделать ресет, то нормально стартует. Но у меня стоит coreos и он сам автоматически ребутится если есть новые обновление системы

Спасибо, сейчас попоробую

ноды все равно будут добавляться, но только те, на которых есть поды будут живыми

apply the ClusterRole and ClusterRoleBinding specs

не помогло, логи пода выводят ту же ошибку. centos 7, selinux off кластер и нода - та же машина. разворачиваю так: kubeadm reset; rm -rf /var/etcd kubeadm —pod-network-cidr=192.168.0.0/16 init kubectl apply -f https://docs.projectcalico.org/v2.6/getting-started/kubernetes/installation/hosted/kubeadm/1.6/calico.yaml kubectl taint nodes —all node-role.kubernetes.io/master- kubectl apply -f https://rawgit.com/kubernetes/ingress/master/examples/deployment/nginx/kubeadm/nginx-ingress-controller.yaml подскажите, пожалуйста, где ошибся. мб в версиях?

не помогло, логи пода выводят ту же ошибку. centos 7, selinux off кластер и нода - та же машина. разворачиваю так: kubeadm reset; rm -rf /var/etcd kubeadm —pod-network-cidr=192.168.0.0/16 init kubectl apply -f https://docs.projectcalico.org/v2.6/getting-started/kubernetes/installation/hosted/kubeadm/1.6/calico.yaml kubectl taint nodes —all node-role.kubernetes.io/master- kubectl apply -f https://rawgit.com/kubernetes/ingress/master/examples/deployment/nginx/kubeadm/nginx-ingress-controller.yaml подскажите, пожалуйста, где ошибся. мб в версиях?

для этгов сервисе есть externalTrafficPolicy=Local (начиная с 1.7)

у апи сервера есть ключик —authirization=rbac удали его

он же сделает по сути тоже самое что и docker run -net host. тоесть процесс будет на хостовой сетевой порты открывать

в приложении может это можно сделать или в entrypoint, но хз как вы будете обрабатывать ситуацию когда под переедет на другой хост, где нужных сетевух не будет.

Есть такая опция hostNetwork: true. Как-то можно указать сетевой интерфейс, через который будет ходить трафик?

внутрь: зависи от того,на какой IP забиндите. наружу: гуглить iproute2 policy routing

По условию задачи на сервере в любом случае присутствует вторая сетевая карта. На самом деле это только мизерная часть проблемы. По сути, я пытаюсь решить другую. В последнем релизе kubespray, они, вместо запуска calico, как докер-контейнера вне кластера, сделали Daemonset. Раньше я назначал каждому контейнеру IP и они через него ходили. А теперь в демонсете нет возможности указать разные айпи. Он пытается переменную окружения применить ко всем подам. Ну и они все (кроме одного - первого) падают с ошибкой, что такой ip уже назначен. Ума не приложу, что делать.

Я хочу сеть пустить по внутренней сети через свитч. Оно сейчас у меня в проде так и работает.

Ты хочешь сеть подов вывалить в vlan без оверлея?

Подскажите пожалуйста, кто хорошо разбирается с limits/requests (Resource Quotas) на пальцах, чем limits от requests отличается?

Подскажите пожалуйста, кто хорошо разбирается с limits/requests (Resource Quotas) на пальцах, чем limits от requests отличается?

В продолжение темы про requests и limits получается, что requests это чисто логическая вещь и не на что не влияет?

Спасибо за комментарий. Где посмотреть и как установить это все понятно. Переформулирую вопрос, зачем указывать requests?

на тот случай, если вы хотите гарантировать минимум ресурсов для своего контейнера (контейнер критичный). Если минимум не гарантировать - kubelet будет контейнеры в ноду трамбовать, пока обратно не полезет

Да, но при этом при лимит может быть оверселинг, а при реквесте нет. И когда добавляется под на ноду, реквест ресурсов по каким параметрам проиходит, по реквестам? лимитам?

Да, но при этом при лимит может быть оверселинг, а при реквесте нет. И когда добавляется под на ноду, реквест ресурсов по каким параметрам проиходит, по реквестам? лимитам?

а, еще из того что в доке нет: все контейнеры написаны на разных языках и разными людьми, и очень мало из них умеют ограничивать себя выделеной памятью (из-за докеровской архитектуры стандартными средствами в контейнере видна общая память а не та которая выделена докеру) так что, кроме выставления лимитов, надо обязательно искать пимпочку для сервиса которая ограничивает жор памяти например, для монгодб есдинственный вариант - подкрутить кеш wiredtiger в конфиге, для приложений написаных на java обязательно задание мемори хипа через флаги и тп а раббитэмкью например корректно сам определеяет и ему норм в общем, если этого не сделать то рано или поздно приложуха превысит mem limits и сам же докер ее пристрелит