А чем именно являются серты в самом кубернетисе? Как их через kubectl посмотреть? Среди secrets их вроде нет

я по двум гайдам делал, все минимально просто. cert-manager без доп. настроек, один ClusterManager, и один Certificate в yml файлах. Уверен на 100% что серты реальные, тк Letsencrypt уже говорит что лимит превышен.

мне сегодня убунта и центось выдали что LE церты не валидные, хотя браузер говорит что все ок и церты корректные видимо что-то протухло на глобальном линуксовом уровне

обновлялся 10 дней назад

мне сегодня убунта и центось выдали что LE церты не валидные, хотя браузер говорит что все ок и церты корректные видимо что-то протухло на глобальном линуксовом уровне

у LE ночью глюки были

интересно что принудительный SSL от клаудфлеря тоже не работает, это неимоверно бесит!

ок, с этим доменом сработало, новый ингресс контроллер просто создал

стандартная практика - в каждом кластере свой прометей, хранит метрики где-то неделю отдельно стоит другой прометей, в который отправляются только избранные метрики из всех кластеров, и тут они уже хранятся несколько месяцев для аналитики

Верхний прометей может быть одним из кластеров или это плохой дизайн?

а вот еще пушка - конда меняю configMaps или секреты, привязанные к поду, сами поды на это не реагируют и не перезапускаются. Почему?

Верхний прометей может быть одним из кластеров или это плохой дизайн?

он может быть в одном из кластеров кубера у прометея в принципе нет кластеризации, поэтому этих "верхних" прометеев лучше иметь несколько

в разных кластерах исессно

что бы унифицировать инфру лучше иметь "верхний прометей" в каждом кластере, но тогда это ресурсы и бабло)

Это та ой дикий костыль держать два Прометея, но вариантов - нет

Почему костыль-то?

Хотя нет, мне пофиг

он может быть в одном из кластеров кубера у прометея в принципе нет кластеризации, поэтому этих "верхних" прометеев лучше иметь несколько

А почему тогда не просто федерацию когда каждый к каждому все тянет? Настраивать геморойнее?

А почему тогда не просто федерацию когда каждый к каждому все тянет? Настраивать геморойнее?

прометей не предназначен для долговременного хранения поэтому операционные прометеи хранят данные неделю (адовая куча метрик для исследования линуксойдами) а аналитические 2 месяца (порядка 500 метрик жив/мертв) этого всем хватает, дальше по ресурсам оно получается очень дорого

прометей не предназначен для долговременного хранения поэтому операционные прометеи хранят данные неделю (адовая куча метрик для исследования линуксойдами) а аналитические 2 месяца (порядка 500 метрик жив/мертв) этого всем хватает, дальше по ресурсам оно получается очень дорого

Хм.. стандартные хелмы дадут развернуть две штуки без танцев?:)

а ещё есть project thanos

прометей не предназначен для долговременного хранения поэтому операционные прометеи хранят данные неделю (адовая куча метрик для исследования линуксойдами) а аналитические 2 месяца (порядка 500 метрик жив/мертв) этого всем хватает, дальше по ресурсам оно получается очень дорого

И по твоему опыту - прометеем можно заметить мониторинг уровня операционной системы /заббикже?

лучше эту дискуссию пернести в церковь метрик

к куберу она имеет мало отношения имхо

Хм.. стандартные хелмы дадут развернуть две штуки без танцев?:)

без танцев ничего не дадут) но я вроде как танцор надо будет config map для кубера сформировать, что бы второй прометей знал откуда и какие данные забирать

к куберу она имеет мало отношения имхо

сам знаешь какой там треш начнется, тут заббикс уже упоминался))

поделом

И по твоему опыту - прометеем можно заметить мониторинг уровня операционной системы /заббикже?

если облако - то можно если куча железа, оссобенно сетевого - то заббикс тут еще может мускулами поиграть)

если облако - то можно если куча железа, оссобенно сетевого - то заббикс тут еще может мускулами поиграть)

Хмммм

если облако - то можно если куча железа, оссобенно сетевого - то заббикс тут еще может мускулами поиграть)

у заббикса вообще любимое дело мускулями поиграть

вместо нормального хранилища метрик

у заббикса вообще любимое дело мускулями поиграть

тогда не играть, а убивать)) да там без шардинга сложно жить больше полугода

Хмммм

опять таки, что мы считаем OPEX или CAPEX ? я так понимаю посчитать нам важно)

опять таки, что мы считаем OPEX или CAPEX ? я так понимаю посчитать нам важно)

Ты затраты за обслуживание в виде времени считаешь?

Ну и на первоначальную настройку)

Ты затраты за обслуживание в виде времени считаешь?

не, я считаю оборудование потому что прометей очень по памяти прожорливая сволочь

это смотря как ты его настроишь

ага, поэтому я и говорю - давайте оперативные данные хранить неделю, всем будет хорошо :)

авитовцы вон, сутки хранят, экстремалы)

у нас работает %)

@Andorka а у вас bionic?

да

xenial только на одном хосте

используете systemd-resolved? :)

Он если что там дефолтом идет

неа

у нас пока довольно сырое

настоящего прода пока нету

интересно за каким боком его в новую убунту запихнули

про netplan значит вопросов не возникает

ох

но вообще netplan вполне здраво выглядит

угу. только адреса навешанные не им скидывает с инетрфейса

а вот systemd-resolved из коробки не работает, хотя наверное это специфика моей конфигурации

А вот вопрос - у меня один под-аписервер для проекта сидит на той же ноде, на которой расположена и база постгрес. База не докеризирована тк очень большая. Мне нужно было подключить под к ней, в итоге в его свойствах включил Use Host's Network Namespace. Теперь очевидно не работают rolling updates, тк в один момент времени не запускаются более 2 контейнеров из-за конфликта портов. Можно как-то иначе сделать подам видимым локальный порт ноды на которой они расположены?

можно в env например выгрузить адрес хоста на котором запущен под

можно в env например выгрузить адрес хоста на котором запущен под

но я не хочу на хосте открывать порт для всего мира. А через localhost:port под сервиса не видит, если сеть изолирована

может контейнер-прокси для этого есть?

ну не открывай

фаервола нет что ли?

@blkmrkt можно unix-сокет пробросить в контейнер как вариант

фаервола нет что ли?

неа. А какой посоветуете? У меня там чистый дебиан с докером и постгрей

@blkmrkt можно unix-сокет пробросить в контейнер как вариант

а это проще чем трафик от постгреса перебросить?

кстати с сокетом неплохой вариант

а это проще чем трафик от постгреса перебросить?

Да

а вот еще пушка - конда меняю configMaps или секреты, привязанные к поду, сами поды на это не реагируют и не перезапускаются. Почему?

потому что и не должны?

неа. А какой посоветуете? У меня там чистый дебиан с докером и постгрей

iptables?

Да.

А кто-нибудь натыкался на проблемы с 18 версией?

а вот еще пушка - конда меняю configMaps или секреты, привязанные к поду, сами поды на это не реагируют и не перезапускаются. Почему?

За этим надо следить приложению как я знаю.

За этим надо следить приложению как я знаю.

разве процесс может как-то реагировать на смену env? Это вроде ставится один раз до запуска докер контейнера

смена env да, но можно же слушать изменения файлов (configmap, secret)

потому поды и не перезапускаются при изменении конфигмапы т.к. не должны

Мне разработчики сказали что они не будут за этим следить, потому что слишком много работы :) поэтому изменение конфиг мапа = рестарт

можно сайдкар повесить, который будет киллять демона

Кубернетес запускает контейнеры, а умеет ли приложение в контейнере чего-то там перечитывать - это проблемы приложения

Мне разработчики сказали что они не будут за этим следить, потому что слишком много работы :) поэтому изменение конфиг мапа = рестарт

Правильно, смотришь ты в мониторинг - вдруг под упал, потому что новый конфиг невалидный

то есть валидировать нельзя?

в прометее же как-то сделали

и там даже метрика есть которая говорил удачный был последний релоад или нет

в прометее же как-то сделали

Ну да, но на стороне приложения, а не самого куба

прометей не автомагически перечитывает конфиг

по HUP или при дёргании веб-ручки

дёргание может быть легко сделано сайдкаром

Sighup - это паттерн приложения, а не оркестрации контейнеров. Поэтому правильно вопрос звучит так - "почему мое приложение не умеет перечитывать конфиг как прометей"