познакомься с kubespray.
Вопрос, что почитать и где документация. Честно пытался пару раз деплоить им, но безуспешно, трэйсы не поборол.
Eduard
Алексей
Вопрос, что почитать и где документация. Честно пытался пару раз деплоить им, но безуспешно, трэйсы не поборол.
На гитхабе в его репо всё.
Главное настроить правильно инвентарь, а дальше он всё сам делает. Просто до безобразия.
Fedor
привет! подскажите куда лучше задать вопрос про docker?
вопрос примерно такой: что делать с контейнером, на котором зависают и docker inspect и docker stop?
Denis
Ребят, а подскажите чуточку. Вот задеплоил я в кубере несколько сервисов, всё вроде нормально, они доступны внутри между контейнерами по именами вида svcname.namespace.svc.cluster.name и теперь я хочу доступатсья к ним из вне.
Хочу что то вроде nginx \ haproxy на паре нод где есть внешние адреса разместить, и прокидывать доступ в сервисы, при всём этом хочу чтобы это тоже были контейнеры и они сами там upstream list обновляли.
Мне какие ключевые слова гуглить, и как это принято делать ?
Denis
я так понимаю это ingress balancer
𝚔𝚟𝚊𝚙𝚜
привет! подскажите куда лучше задать вопрос про docker?
вопрос примерно такой: что делать с контейнером, на котором зависают и docker inspect и docker stop?
а что за контейнер такой, что внутри крутится?
Fedor
внутри dotNet апликуха. больше подробностей не знаю, но в крайнем случае есть рядом разработчики и исходники этой апликухи. Но кажется что дело не в ней
Igor
Ребят, а подскажите чуточку. Вот задеплоил я в кубере несколько сервисов, всё вроде нормально, они доступны внутри между контейнерами по именами вида svcname.namespace.svc.cluster.name и теперь я хочу доступатсья к ним из вне.
Хочу что то вроде nginx \ haproxy на паре нод где есть внешние адреса разместить, и прокидывать доступ в сервисы, при всём этом хочу чтобы это тоже были контейнеры и они сами там upstream list обновляли.
Мне какие ключевые слова гуглить, и как это принято делать ?
если http/https то https://github.com/kubernetes/ingress-nginx
Igor
или есть еще ingress на haproxy, traefik, envoy ...
Nik
вопрос от новичков - как выставить api сервер наружу?
Nik
дашбор смог выставить, с аписервером не получается
Дмитрий Харитонов
А как-то можно отдельные ноды сделать такими, чтобы на них поднимались поды только поселектору привязанные?
Mikhail [azalio]
А как-то можно отдельные ноды сделать такими, чтобы на них поднимались поды только поселектору привязанные?
https://kubernetes.io/docs/concepts/configuration/assign-pod-node/ ?
Дмитрий Харитонов
Это как навесить на ноду по селектору. А как запретить что-то поднимать если в поде не прописано селектор на эти ноды?
Andor
NoSchedule
Andor
повесь taint
Silver 👻
С какой версии он udp умеет?
Silver 👻
Только плюсовая версия ж вроде
Silver 👻
Или я что-то путаю? Могу ж и ошибаться
Igor
С какой версии он udp умеет?
Week of March 28, 2016 – NGINX version 1.9.13 will be released and include UDP load balancing
Andrew
А кто-то уже юзал куберовский дешедьюлер, который в инкубаторе?
Rainbow
Или я что-то путаю? Могу ж и ошибаться
я про это узнал из helm чара nginx-ingress, так сам не знал.
Rainbow
Ребят, а подскажите чуточку. Вот задеплоил я в кубере несколько сервисов, всё вроде нормально, они доступны внутри между контейнерами по именами вида svcname.namespace.svc.cluster.name и теперь я хочу доступатсья к ним из вне.
Хочу что то вроде nginx \ haproxy на паре нод где есть внешние адреса разместить, и прокидывать доступ в сервисы, при всём этом хочу чтобы это тоже были контейнеры и они сами там upstream list обновляли.
Мне какие ключевые слова гуглить, и как это принято делать ?
ingress-values.yaml
name: nginx-ingress
namespace: kube-system
rbac:
create: true
controller:
kind: DaemonSet
daemonset:
useHostPort: true
Выполнить
helm install --namespace kube-system --name nginx-ingress stable/nginx-ingress -f ingress-values.yaml
Дальше в доке смотреть как ingress ресурс для сервиса написать.
Denis
я уже этим занимаюсь, но только ставить пытаюсь nginx-ingress через их доку а не через хелм
Denis
и как то тяжковато, не вдупляю зачем у них default-http-backend
Silver 👻
Rainbow
ловит все, что плохо маршрутизировано (default-http-backend)
Rainbow
* как
server {
listen 80 default_server;
}
Denis
ну да я так и подумал, но не понял зачем это
Denis
чтобы типа невалидные запросы не прилетали на первую апишку ?
Rainbow
Да. Мне помогало, когда опечатку делаешь, то получаешь не "сервер не отвечает", а "default backend - 404". Ясно куда идти смотреть.
Denis
Понятно.
А дальше я пытаюсь реджистри вытащить через ingress-nginx.
Но не получается даже до default достучаться.
По рекомендации вроде создал service в котором spec.type: NodePort
Denis
Вот тока меня смущает, у него Endpoints должны быть от ingress controller pods ?
Denis
и смущает что у сервиса ingress-nginx есть internal endpoints на портах аля 32649 и как раз там default почему то а не на 80
Denis
такое ощущение что я чо то где то местами попутал )
Siarhei
А точно нодепорт должен быть??
bebebe
Коллеги, немного странный вопрос, коллега спрашивает а есть ли простой но внятный туториал что бы делать свои операторы в k8s
Pavel
да https://coreos.com/blog/introducing-operator-framework
Pavel
https://github.com/operator-framework
Vadim
Коллеги, немного странный вопрос, коллега спрашивает а есть ли простой но внятный туториал что бы делать свои операторы в k8s
https://github.com/operator-framework/getting-started
bebebe
Спасибо
Stanislav
Кто нибудь как то синкает имажи между нодами?
Sergey
О.о зачем
Sergey
они же и без того синьканы
Stanislav
Ну вот кейс с гитлабом и приватными режистри к примеру
Stanislav
Т.е. во время деплоя делаем кронжобу, на одной ноде она пулится во время деплоя, затем когда она оканчивается и пересоздается на другой, то там уже нет имажа актуального и креды гитлаба протухли
Andor
А синкать зачем, они же при пулле сами синкнутся
Vadim
пульте по диджесту, делов-то
Stanislav
"Креды гитлаба протухли", они активны только во время джобы гитлаба
Andor
Так может этот вопрос решать?
Stanislav
Он не решается, с гитлабом ничего не поделаешь это его логика, использовать персональные креды не секурно в крупной компании
Stanislav
В идеале при деплое имаж должен попадать на все ноды
Andrey
Создайте деплоящего юзера в GitLab. Как вам такой ход конём?
Stanislav
Создайте деплоящего юзера в GitLab. Как вам такой ход конём?
Найн, гитлаб завязан на sso/ldap, и админится другими людьми.
Stanislav
Сервисные учетки тоже не в почете
Stanislav
Все простые и логичные решения я уже обдумал
Vadim
развернуть регистри внутри куба, пушить в нё из гитлаба и пуллить из неё без sso?
Stanislav
Vadim
разрешить доступ только одному SA
Stanislav
разрешить доступ только одному SA
Не вариант, мы не можем использовать для каждого проекта по SA, а если использовать один SA то ломается логика приватных режистри.
Stanislav
Поэтому сопсно и полез сюды, может у кого похожий кейс есть со злыми ИБ
Anton
гайс, а кто https://github.com/jetstack/cert-manager юзает? как сделать чтобы тот ингресс который для ACME создаётся, получал определённый annotate?
Anton
чет посмотрел на tcp stream в ingress nginx, в конфигмапе и в шаблоне нет поддержки access директив allow\deny
https://github.com/kubernetes/ingress-nginx/blob/master/docs/user-guide/exposing-tcp-udp-services.md
https://github.com/kubernetes/ingress-nginx/blob/master/rootfs/etc/nginx/template/nginx.tmpl#L588
или я не прав и можно намутить чтото? там есть глобальный whitelist, но блэклиста для tcp stream нет =(
𝚔𝚟𝚊𝚙𝚜
Подскажите, а какой самый быстрый и простой способ postgres задеплоить в HA?
𝚔𝚟𝚊𝚙𝚜
Ого, а чего-нибудь типа galera cluster нету? - что бы одним стейтфулсетом развернуть?
Logan
𝚔𝚟𝚊𝚙𝚜
Ок, спс!
Logan
и постгрес, и патрони, полный набор
Maxim
еще вот такое есть
https://github.com/sorintlab/stolon
Stanislav
Ого, а чего-нибудь типа galera cluster нету? - что бы одним стейтфулсетом развернуть?
http://www.pgconf.asia/JA/2017/wp-content/uploads/sites/2/2017/12/D2-B4.pdf
Stanislav
Там ваще изи
Stanislav
буквально вчера деплоил
𝚔𝚟𝚊𝚙𝚜
спасибо, попробую👍
Denis
Denis
Там засада с макс_вол_сегментс