Sergey

тогда вообще пушка

Evgeny

а CRIO никто не вертел?

Тоже интересует

Sergey

Тоже интересует

сейчас попробую в две ноды кластер с ней построить

Sergey

в моем случае я все ищу не серебрянную, а золотую пулю

надеюсь это оно

𝚔𝚟𝚊𝚙𝚜

это аналог докера с изоляцией по ядру

кто CRIO или kata-containers?

Sergey

крч такая история

Sergey

сижу я читаю новости хоба релиз катаконтейнеров я такой думаю НУ ДИРЖИСЬ я нашел что искал оказалось что ката это просто рантайм разработанный Openstack+Intel, который в поды добавляет гостевое ядро, без возможности взаимодействия с ним и крч вся идея "сломалася" фигня

bebebe

сижу я читаю новости хоба релиз катаконтейнеров я такой думаю НУ ДИРЖИСЬ я нашел что искал оказалось что ката это просто рантайм разработанный Openstack+Intel, который в поды добавляет гостевое ядро, без возможности взаимодействия с ним и крч вся идея "сломалася" фигня

даа, они еще полгода назад делали прессрелиз что будет убер-фича

Sergey

ну неделю убил зато с containerd и кастомными рантаймами ознакомился)

Sergey

неделю сидел с интеловскими разрабами в слаке)))

bebebe

https://superuser.openstack.org/articles/project-update-whats-next-for-kata-containers/

𝚔𝚟𝚊𝚙𝚜

сижу я читаю новости хоба релиз катаконтейнеров я такой думаю НУ ДИРЖИСЬ я нашел что искал оказалось что ката это просто рантайм разработанный Openstack+Intel, который в поды добавляет гостевое ядро, без возможности взаимодействия с ним и крч вся идея "сломалася" фигня

расскажи что значит "без возможности взаимодействия с ним" ?

Sergey

https://superuser.openstack.org/articles/project-update-whats-next-for-kata-containers/

весь ванкувер саммит просмотрел) все равно чет не впечатляет

𝚔𝚟𝚊𝚙𝚜

тоже эта тема интересна

Sergey

расскажи что значит "без возможности взаимодействия с ним" ?

крч это типа еще одного уровня изоляции, но на уровне пода а не контейнера

bebebe

весь ванкувер саммит просмотрел) все равно чет не впечатляет

вот лучше это почетайте http://www.vitanuova.com/inferno/papers/bltj.html

𝚔𝚟𝚊𝚙𝚜

крч это типа еще одного уровня изоляции, но на уровне пода а не контейнера

ну а ты чего искал то? Хотешь стопку контейнеров и каждый со своим ядром запускать?

Sergey

ну а ты чего искал то? Хотешь стопку контейнеров и каждый со своим ядром запускать?

типа да мне нужна нормальная изоляция, но не городить из контейнера целую вм, нужен легкий сплав докера и вм

Sergey

и шобы кубером ими вертеть

Sergey

затык собсна в чем у меня параллельно есть lxc легаси которое надо в кубер и крч когда ява с ума сходит, она начинает мутузить ядро и всему проксмоксу больно и вот именно такие приложения я хочу изолировать, остальное не критично

𝚔𝚟𝚊𝚙𝚜

аа, теперь понял, то есть krita-container не оперирует контейнерами как таковыми, она просто тупо в виртуалку все засовывает

Sergey

аа, теперь понял, то есть krita-container не оперирует контейнерами как таковыми, она просто тупо в виртуалку все засовывает

не совсем, разрабы мне сказали что у них есть термин виртуалка которая на самом деле является песочницей, которая содержит в себе под со своим ядром, и эта песочница управляется снаружи пода через gRPC условно виртуалка - на деле нет

𝚔𝚟𝚊𝚙𝚜

затык собсна в чем у меня параллельно есть lxc легаси которое надо в кубер и крч когда ява с ума сходит, она начинает мутузить ядро и всему проксмоксу больно и вот именно такие приложения я хочу изолировать, остальное не критично

ну как вариант можно собирать виртуалку в chroot через Dockerfile, и запускать ее с помощью qemu-kvm в контейнере :)

Sergey

хахахаах

𝚔𝚟𝚊𝚙𝚜

я так собираю образ для моих hardware-нод, которые грузятся по pxe

𝚔𝚟𝚊𝚙𝚜

через Dockerfile в chroot устанавливается весь необходимый софт, потом собирается squased-образ из этого chroot. потом я этот образ и конфиги отдаю по nbd нодам

𝚔𝚟𝚊𝚙𝚜

в твоем случае можно его просто запускать используя qemu-kvm

𝚔𝚟𝚊𝚙𝚜

кстати недавно открыл для себя мега-фичу, оказывается Dockerfile поддерживает multi-stage building!

𝚔𝚟𝚊𝚙𝚜

https://docs.docker.com/develop/develop-images/multistage-build/

Sergey

не, лушче Dapp

𝚔𝚟𝚊𝚙𝚜

затык собсна в чем у меня параллельно есть lxc легаси которое надо в кубер и крч когда ява с ума сходит, она начинает мутузить ядро и всему проксмоксу больно и вот именно такие приложения я хочу изолировать, остальное не критично

ну или вообще наделать виртуалок в том же проксмосе и запускать вашу джаву там, в контейнерах, дешево и сердито, но никакого auto-scale зато

Sergey

ну или вообще наделать виртуалок в том же проксмосе и запускать вашу джаву там, в контейнерах, дешево и сердито, но никакого auto-scale зато

оверхед по ресам с виртуалок

𝚔𝚟𝚊𝚙𝚜

эт да

Sergey

крч мой идеал - докер+10-15% в ресурсах, но со своим ядром

𝚔𝚟𝚊𝚙𝚜

В кубе есть аналог docker rm -f? но что бы под гарантированно умер

Sergey

ты просто не любишь ждать пока он убьется:)

𝚔𝚟𝚊𝚙𝚜

да, я нетерпелив :)

𝚔𝚟𝚊𝚙𝚜

особенно если контейнер некорректно обрабатывает SIGTERM

𝚔𝚟𝚊𝚙𝚜

а еще похоже что containerd не умеет json log

Konstantin

В кубе есть аналог docker rm -f? но что бы под гарантированно умер

а потом сотни issues на docker, что он работает как-то не так)

𝚔𝚟𝚊𝚙𝚜

а что с ним не так? - если в контейнере только один процесс должно работать нормально.

Sergey

ты же не kill -9 ему даешь

Sergey

а "эй ты, пора умирать"

Sergey

контейнер "оукееей(((("

Sergey

"все пасаны, мне пора"

𝚔𝚟𝚊𝚙𝚜

:)

𝚔𝚟𝚊𝚙𝚜

это true way

𝚔𝚟𝚊𝚙𝚜

но что если контейнер скажет "нихачу умирать, можно я еще погуляю?"

Konstantin

а что с ним не так? - если в контейнере только один процесс должно работать нормально.

"должно", но —force не знает - должно или нет, в итоге может что-то остаться неудалённым. Во всяком случае было так раньше, может изменили, но я с тех пор —force не делаю, даже локально

𝚔𝚟𝚊𝚙𝚜

раньше трубили про PID 1 zombie reaping https://habr.com/company/hexlet/blog/248519/

Sergey

но что если контейнер скажет "нихачу умирать, можно я еще погуляю?"

непральна представь что кластер это футбольная площадка ты и там куча контейнеров играют в футбол ты говоришь "N тебе не кажется что тебе пора?" N: пасаны мне пора он пока дойдет до падика, пока подымется с докером тоже самое ты же не стреляешь в N с винтовки с балкона)

Konstantin

ты же не kill -9 ему даешь

он самый же

𝚔𝚟𝚊𝚙𝚜

но если контейнер имеет только один процесс или нормальный инит, то проблем быть не должно

Sergey

а коннекты с соседними закрыть?

𝚔𝚟𝚊𝚙𝚜

у докера кстати даже флаг есть специальный --init с которым он запихивает tini в контейнер и запускает все через него

Konstantin

но если контейнер имеет только один процесс или нормальный инит, то проблем быть не должно

один процесс не всегда значит, что он умеет правильно обрабатывать сигналы. Взять ту же ноду - она не умеет

𝚔𝚟𝚊𝚙𝚜

непральна представь что кластер это футбольная площадка ты и там куча контейнеров играют в футбол ты говоришь "N тебе не кажется что тебе пора?" N: пасаны мне пора он пока дойдет до падика, пока подымется с докером тоже самое ты же не стреляешь в N с винтовки с балкона)

да здесь ты прав, порой проще всю футбольную площадку схлопнуть :)

𝚔𝚟𝚊𝚙𝚜

один процесс не всегда значит, что он умеет правильно обрабатывать сигналы. Взять ту же ноду - она не умеет

ну инит по идее должен подчищать за такими все

Konstantin

да, если он есть конечно

𝚔𝚟𝚊𝚙𝚜

хотя конечно да, если сам инит с -9 убить то не факт что остальные тоже умрут

Konstantin

у докера кстати даже флаг есть специальный --init с которым он запихивает tini в контейнер и запускает все через него

прикольно, я упустил этот момент) В любом случае, только для docker run или composev2 работает.

Sergey

https://habr.com/company/flant/blog/414875/

Sergey

флант только сейчас проснулся

𝚔𝚟𝚊𝚙𝚜

ага, но норм перевели

Sergey

да там и так понятно

Sergey

уже месяц прошел

Sergey

"неактуальна"_)00)

𝚔𝚟𝚊𝚙𝚜

вот так вот, поставишь звездочку на гитхабе а через пару дней тебе личное письмо приходит в Gmail: > Thank you for starring our OpenEBS repository on Github...