Андрей

я не знаю почему я так остро реагирую на неудачников, которые упорно не хотят, чтоб им помогли а продолжают твердить у меня висит и мне непонятно.

cert-manager, сейчас детально коллега подскажет :)

Андрей

http

Andrey

наконец-то :)

Andrey

логи пода, в котором cert-manager крутится, смотрели? что там?

Andrey

может у вас авторизация не проходит

Andrey

выписываете сразу на prod, или пробуете на staging?

Андрей

пробовали и так, и сяк, везде одинаково

Андрей

логи смотрели, в основном ошибка в том, что нет secret нужного

Андрей

создаем - ругается что пусто

Andrey

Может кто сталкивался с проблемой что поды не запускаются с такой ошибкой: OCI runtime create failed: container_linux.go:348: starting container process caused "process_linux.go:402: container init caused \"rootfs_linux.go:58: mounting \\\"/var/lib/kubelet/pods/04177b8f-94c4-11e8-bee2-080027707b4a/volumes/kubernetes.io~secret/default-token-qhc6m\\\" to rootfs \\\"/var/lib/docker/overlay2/949a039a23bee2b5d89b8849214e2b409cbba54dc0dc1012409281de8b063e82/merged\\\" at \\\"/var/lib/docker/overlay2/949a039a23bee2b5d89b8849214e2b409cbba54dc0dc1012409281de8b063e82/merged/run/secrets/kubernetes.io/serviceaccount\\\" caused \\\"mkdir /var/lib/docker/overlay2/949a039a23bee2b5d89b8849214e2b409cbba54dc0dc1012409281de8b063e82/merged/run/secrets/kubernetes.io: read-only file system\\\"\"": unknown

read-only filesystem? попробуйте в /var/ что-нибудь записать

Андрей

а что туда писать, если он должен сам по идее закинуть?

Andrey

создаем - ругается что пусто

clusterissuer используете?

Андрей

Да

Ilya

read-only filesystem? попробуйте в /var/ что-нибудь записать

это же насколько я понимаю идет монтирование папок для секретов

Andrey

а на какой секрет жалуется? сертификата? или аккаунта?

Андрей

а на какой секрет жалуется? сертификата? или аккаунта?

сертификата

Andrey

попробуйте удалить ресурс сертификата и пересоздать, у меня что-то похожее вроде было. Только начинайте со staging, на прод лимиты вроде какие-то

Andrey

как на staging получите fake сертификат - переключайте на прод

Андрей

пробовали пересоздавать, единственное что сейчас проверяем - возможно нужно пару дней, как в некоторых тикетах писали :)

Andrey

у меня быстро починилось. но я не уверен, что ошибка та была, было с неделю назад

Андрей

окей, значит может пройти само, без нас :D

Andrey

ошибка с секретом может быть наведённой, смотрите выше по логам ещё

Andrey

ну и скажите точный текст ошибки, я у себя посмотрю

Андрей

certificates controller: Re-queuing item "coffee/coffee-tls" due to error processing: http-01 self check failed for domain ""

Andrey

это же насколько я понимаю идет монтирование папок для секретов

тем не менее проверить стоит

Ilya

read-only filesystem? попробуйте в /var/ что-нибудь записать

если что это я под миникубом запускаю все, зашел в него через minikube ssh пользователь docker - просто в папке var ему запсь не дана

Андрей

ну и домен конечно указан

Andrey

certificates controller: Re-queuing item "coffee/coffee-tls" due to error processing: http-01 self check failed for domain ""

так это

Андрей

Error preparing issuer for certificate coffee/coffee-tls: http-01 self check failed for domain ""

Andrey

проверка упала

Andrey

у вас ингресс контроллер какой?

Андрей

nginx

Andrey

секунду

Андрей

ссылка формата .well-known доступна

Андрей

падает после Calling GetChallenge

Andrey

а домен точно резолвится везде в ваш ip?

Андрей

да

Andrey

ну и попробуйте в ресурсе сертификата вот так сделать apiVersion: certmanager.k8s.io/v1alpha1 kind: Certificate metadata: name: expi-web-certificate namespace: default spec: secretName: expi-web-certificate-tls issuerRef: name: {{ .Values.letsencrypt.issuer }} kind: ClusterIssuer commonName: {{ .Values.ingress.name }} # w/a for rewrite-target from https://github.com/jetstack/cert-manager/issues/286#issuecomment-361033891 acme: config: - http01: { ingressClass: nginx } domains: [ {{ .Values.ingress.name }} ]

Andrey

я про { ingressClass: nginx }

Андрей

сейчас проверим

Андрей

@gorilych No existing HTTP01 challenge solver pod found for Certificate "coffee/coffee-tls". One will be created.

Андрей

это вначале

Andrey

это норм, там даже может пара ошибок вылазить при начальном выписывании

Андрей

в среднем сколько на выписывание времени уходит?

Andrey

недолго, в пределах минут

Андрей

вторая итерация - снова упал

Андрей

меня смущает Looking up Ingresses for selector certmanager.k8s.io/acme-http-domain=892143170,certmanager.k8s.io/acme-http-token=1177816782

Андрей

и почему-то в начале все равно Created order for domains: [{dns domain}]

Stanislav

Ктото юзает containerd в проде? Как оно?

Ilya

тем не менее проверить стоит

кстати запустил с такими же параметрами но с базовым образом busybox - и там такой ошибки нет. А вот интересующий меня образ собран на alpine

Andrey

и почему-то в начале все равно Created order for domains: [{dns domain}]

прям так и написано domain? или имя вашего домена?

Андрей

имя домена, конечно

Andrey

после created orders в логах cert-manager есть что-то ещё? Должно быть Calling HTTP01ChallengeResponse и Calling GetChallenge

Андрей

вот после GetChallenge и падает, т.е. других Call нет

Андрей

делает Looking up Ingresses for selector certmanager.k8s.io/acme-http-domain=892143170,certmanager.k8s.io/acme-http-token=1177816782 I0731 14:15:58.610921 1 helpers.go:188] Found status change for Certificate "coffee-tls" condition "Ready": "False" -> "False"; setting lastTransitionTime to 2018-07-31 14:15:58.610899663 +0000 UTC m=+6951.477279875 и все, потом пишет что failed

Andrey

с { ingressClass: nginx } cert-manager должен динамически создавать ingress правила и поды под них. Можете попытаться поймать их с помощью kubectl get po,ingress --all-namespaces

Andrey

ну и посмотреть yaml структуру

Андрей

окей, поищу, спасибо ближе к вечеру отпишусь =)

Lex

Здарова, хочу очень странного, нужно делать docker commit и docker push для контейнеров в подах в кубере по запросу. Из вариантов вижу daemonset который имеет доступ к сокету рантайма контейнерного и отрабатывает запросы. Вопрос тут скорее в том какой можно ли передачу такого рода запросов сделать на возможностях кубера и как, может сталкивался кто с похожим?