а токен доступа не expired к моменту пулла образа?
неа, я каждый раз в ci делаю replace токена + две другие реплики успешно же скачиваются и работают
Oleg
Dmitrii
Гитлаб случайно не в том же кластере?
Anonymous
в логах докер регистри нет ошибок или типо того?
Oleg
неа, вообще отдельно в хецнере)
Oleg
хм, логи регистри не подумал посмотреть, ща гляну
Oleg
я где то читал что если юзать gitlab-ci-token юзера то возникают разные проблемы, и типа отдельно люди заводили фейковую учетку чисто под деплой из регистри
Oleg
никто не сталкивался ?
twwlf
юзаю токены, с проблемами не сталкивался
Konstantin
я где то читал что если юзать gitlab-ci-token юзера то возникают разные проблемы, и типа отдельно люди заводили фейковую учетку чисто под деплой из регистри
проблема только в том, что токен временный, не более. Можно увеличить время жизни
Konstantin
но там дефолт 5 мин, не мало
twwlf
там можно для проекта deploy token сгенерить
twwlf
выдать ридонли на реджистри
twwlf
без доступа к коду
twwlf
а, да, сорян
twwlf
с этими пару раз наступал на таймауты, но там я сам неправ был
twwlf
авторизовался перед билдом, а не перед пушем )
Anonymous
так, а зачем токен?
Anonymous
у меня например в регистри по логину/паролю ходит
twwlf
у меня например в регистри по логину/паролю ходит
ты пользователя не можешь ограничить доступом только к регистри, например
Anonymous
но в докер-регистри больше ничего нет, кроме регистри
twwlf
в рамках гитлаба в каждом проекте свой регистри
Nook
https://docs.gitlab.com/ee/user/project/container_registry.html
twwlf
ну, там subpath разные
Nook
Собственно там описано как дебажить
Anonymous
ах вот оно чё..... а я напрямую из докер-регистри всю жизнь тянул
Andor
короткий вопрос: patroni vs stolon
Vadim
patroni
Andor
ack
𝚔𝚟𝚊𝚙𝚜
@lazarenkod, на счет умирающих нод и Unknown подов, не должен ли эту задачу fencing-агент решать?
Полагаю что openstack cloud provider по этой причине и сносил ноды из кластера. Но мое мнение, это не та проблема которую должен решать kubernetes. У вас должен быть отдельный сервис который запущен в том же кластере и следит за состоянием нод в кластере, и если какая-то из них выходит в NotReady, он выполняет внешний fencing и при необходимости отцепляет хранилку от нее, а затем удаляет все поды и PersistentVolumes который были запущенны на ней в kubernetes. Другими словами он гарантирует что данная нода полностью отрезана и поды на ней можно безболезненно перезапустить где-то еще.
Дмитрий
Кто-нибудь сталкивался с проблемой autoscaling с включенным аддоном heapster, но при запущенном deployment и настроенном hpa ресуры Target is Unknown? Что с этим делать? Пробую локально на minikube на macos
Anonymous
@kvaps, кстати, у Вас нет ошибки тут:
lxc.cap.drop: ?
Anonymous
Т.е. у Вас значение свойства пустое
𝚔𝚟𝚊𝚙𝚜
Т.е. у Вас значение свойства пустое
так и должно быть: так как нам не нужно что бы какие-нибудь capabilities дропались там
𝚔𝚟𝚊𝚙𝚜
емнип по умолчанию используется значение из lxc-шаблона
Eduard
Дмитрий
Anonymous
Дмитрий
да
kubeless autoscale create $1 --min 1 --max 10 --value 10
Anonymous
да
kubeless autoscale create $1 --min 1 --max 10 --value 10
You need to specify resource requests in the Pod spec section of your deployment for the HPA to be able to display that information (and take any action whatsoever based on it).
Anonymous
но я могу быть не прав)
Andor
А чо такое kubeless?
Дмитрий
А чо такое kubeless?
Обёртка над кубернетс, которая позволяет создавать описывать serverless функции
Andor
Билщит бинго
Oleg
по поводу не спуливания образа из гитлаб регистри, вот что вижу в логе регистри
"error authorizing context: authorization token required"
Oleg
секрет создан так:
kubectl create secret -n namespace docker-registry gitlab-registry --docker-server="$CI_REGISTRY" --docker-username="$CI_REGISTRY_USER" --docker-password="$CI_REGISTRY_PASSWORD" --docker-email="$GITLAB_USER_EMAIL" -o yaml --dry-run | sed 's/dockercfg/dockerconfigjson/g' | kubectl replace -n namespace --force -f -
Artyom
А в самом докере добавили insecure registry?
Artyom
И надо прописать в deployment или в том, что создается, откуда токен тянуть
Oleg
у меня дефолтный gitlab container registry, настроенный через gitlab.rb
Oleg
imagePullSecrets:
- name: gitlab-registry
это есть
Artyom
Может namespace не дает
Artyom
Он при создании подов не ругается, что не нашел secret?
Vadim
емнип у гитлаба какая-то сложная система с аутентификацией, там вроде два сервера надо добавлять - один для самого гитлаба и один для регистри
Artyom
Я бы попробовал сначала просто докером спуллить образ, а потом уже дальше двигаться
Vadim
мы делали логин докером и совали созданный dockercfg в секрет - там емнип два сервера и два разных токена (но это может быть актуально только для gitlab.com)
Artyom
docker pull myimage и смотреть, что ему не понравится
Oleg
вот после последнего деплоя вот такой describe
https://gist.github.com/flomsk/8af681daa15ac3c124f219a82a6abd99
Oleg
о щет, ща скину в гист
Artyom
unauthorized: HTTP Basic: Access denied
Artyom
Вот отсюда и надо плясать
Oleg
да я понимаю, но я писал изначально
Oleg
Всем привет. Никто не подскажет в чем может быть дело. Есть deployment, три реплики, образы тянутся с приватного гитлаб регистри. Стабильно одна реплика не взлетает типа registry http access denied . Каждый раз это происходит на разных нодах. напрямую ssh и docker pull отрабатывает.
Artyom
сорян
Oleg
другие реплики поднимаются
Oleg
секрет вроде корректен
kubectl -n namespace get secret gitlab-registry --output="jsonpath={.data.\.dockerconfigjson}" | base64 --decode
{"auths":{"registry.example.io":{"username":"gitlab-ci-token","password":"somepass","email":"o@example.io","auth":"someauth"}}}%
Artyom
Может всё таки в namespace-ах проблема
Oleg
попробовать namespace указать на уровне ямл ?
Михаил
Sergey
Й
Это чё это?
𝚔𝚟𝚊𝚙𝚜
а я считаю, что fencing как раз и должен куб делать
нужно тогда fencing драйверы придумывать, так как fencing у всех разный и зависит от конкретной инфраструктуры, в итоге получится тоже самое
Etki
𝚔𝚟𝚊𝚙𝚜
ну или плюнуть на все и просто softdog заюзать