почему? - обоснуйте

selinux, например

использование selinux автоматически делает вашу систему безопасной!

ну и всякие вещи типа access control, хотя бы по gid

ну и всякие вещи типа access control, хотя бы по gid

А оно разве не kubelet'ом обрабатывается после маунта и непосредственно перед запуском пода - т.е. независимо от бэкенда?

Я лично не использую selinux и access control для волюмов, так что точно сказать не могу, но мне интересно, может вы в курсе?

А оно разве не kubelet'ом обрабатывается после маунта и непосредственно перед запуском пода - т.е. независимо от бэкенда?

макнт не причем, дело в пермишшенах кому писать а кому нет https://kubernetes.io/docs/tasks/configure-pod-container/configure-persistent-volume-storage/#access-control

макнт не причем, дело в пермишшенах кому писать а кому нет https://kubernetes.io/docs/tasks/configure-pod-container/configure-persistent-volume-storage/#access-control

> When a Pod consumes a PersistentVolume that has a GID annotation, the annotated GID is applied to all Containers in the Pod in the same way that GIDs specified in the Pod’s security context are. Every GID, whether it originates from a PersistentVolume annotation or the Pod’s specification, is applied to the first process run in each Container. А, ну так это же и для любых других PV работать будет, в том числе и для hostPath

я имею ввиду если оформить hostPath как persistentVolume, а не цеплять напрямую в под

не совсем точно. local volumes из local volume provisioner отличаются от hostPath во первых ты можешь управлять политикой, разрешить многократно монтировать или нет, грубо говоря во вторых ты увидишь метрики, например kubelet_volume_stats_capacity_bytes в третьих ты всетаки изображаешь будто бы у тебя нормальный провижонинг, можешь съехать на такой в случае чего в четвертых local volume provisioner может очищать volume после удаления pvc, как это делают взрослые дяди

Кстати с ReadWriteOnce и ReadWriteMany таже история, на счет метрик не знаю

я имею ввиду если оформить hostPath как persistentVolume, а не цеплять напрямую в под

собственно, это же и делает local-provisioner

только безопаснее, потому что проверяет пути и хранит лог что и куда прицепилось

ага, я и имел ввиду, что не понятно в чем конкретно разница между драйверами hostPath и local, так как по сути это одно и тоже

hostPath тоже будет пути проверять, если поставить type: Directory вместо дефотного type: DirectoryOrCreate

Какие альтернативные дашборды используете?

hostPath тоже будет пути проверять, если поставить type: Directory вместо дефотного type: DirectoryOrCreate

но он не остановит кого то от повторрного монтирования

а как hostpath в чарты пихать? )

но он не остановит кого то от повторрного монтирования

Речь об ReadWriteOnce? - Если да, то остановит, т.к. проверяется на стороне куба а не самим плагином

а как hostpath в чарты пихать? )

Зачем его туда пихать? - там же PVC должны быть.

создавать PV ручками с hostPath, чтобы потом привязать их к PVC, чтобы потом под мог смонтировать PV связанный с PVC

годная идея

ну в целом да, я так с envsubst делал

подскажите пожалуйста, уставновил дашборд для кубернетеса по инструкции, завел себе права, но при заходе через браузер вижу только джсоны

подскажите пожалуйста, уставновил дашборд для кубернетеса по инструкции, завел себе права, но при заходе через браузер вижу только джсоны

порядок действий которые привели? как воспроизвести

подскажите пожалуйста, уставновил дашборд для кубернетеса по инструкции, завел себе права, но при заходе через браузер вижу только джсоны

По какой инструкции-то хоть?

По какой инструкции-то хоть?

стаковерфлоу

:D

я был кинул ссылку но бот удаляет их

ты напиши че делал

сначала сделал kubectl apply дашбоарда

потом выдал системные права анонимной роли

системные или админ роль

ща

kubectl create clusterrolebinding cluster-system-anonymous --clusterrole=cluster-admin --user=system:anonymous

ну короче права появились, до этого 403 было

но это неважно

потому что у меня при заходе на страницу отображается json

Валидный с данными?

да

ты ей порт какой поставил

kubectl -n kube-system edit service kubernetes-dashboard

сек

я был кинул ссылку но бот удаляет их

@SinTeZoiD хелп

секунду

я был кинул ссылку но бот удаляет их

fixed

кидай

https://kubernetes.io/docs/tasks/access-application-cluster/web-ui-dashboard/

обычная дока с оффсайта

apiVersion: v1 kind: ServiceAccount metadata: name: admin-user namespace: kube-system --- apiVersion: rbac.authorization.k8s.io/v1beta1 kind: ClusterRoleBinding metadata: name: admin-user roleRef: apiGroup: rbac.authorization.k8s.io kind: ClusterRole name: cluster-admin subjects: - kind: ServiceAccount name: admin-user namespace: kube-system

apiVersion: v1 kind: Service metadata: creationTimestamp: 2018-09-27T12:33:21Z labels: k8s-app: kubernetes-dashboard name: kubernetes-dashboard namespace: kube-system resourceVersion: "17183" selfLink: /api/v1/namespaces/kube-system/services/kubernetes-dashboard uid: 84d9884e-c251-11e8-8a01-0800275dec40 spec: clusterIP: 10.101.135.42 ports: - port: 443 protocol: TCP targetPort: 8443 selector: k8s-app: kubernetes-dashboard sessionAffinity: None type: ClusterIP status: loadBalancer: {}

ты как заходишь? через нод порт?

через ip master ноды

а как надо?

сделай через node port

spec: clusterIP: 10.99.198.216 externalTrafficPolicy: Cluster ports: - nodePort: 30000 port: 443 protocol: TCP targetPort: 8443 selector: k8s-app: kubernetes-dashboard sessionAffinity: None type: NodePort status: loadBalancer: {}

и заходи по токену

от того аккаунта что создал

ты нод порт ей не выставил потому и жсон

сделай через node port

погуглю, спс

погуглю, спс

так я тебе все готовое для борды дал:)

так я тебе все готовое для борды дал:)

это просто вставить в тот ямл?

агась

так, ок, рестартнуть ее теперь?

если забыл токен можешь его найти kubectl -n kube-system describe secret $(kubectl -n kube-system get secret | grep admin-user | awk '{print $1}')

если забыл токен можешь его найти kubectl -n kube-system describe secret $(kubectl -n kube-system get secret | grep admin-user | awk '{print $1}')

holy shit

работает, спасибо!

holy shit

Да нормально

Да нормально

если забыл токен можешь его найти kubectl -n kube-system describe secret $(kubectl -n kube-system get secret | grep admin-user | awk '{print $1}')

а что за kube-system?

мне просто куча токенов прилетает, какой из них для дашборда?

ns

namespace

мне просто куча токенов прилетает, какой из них для дашборда?

тот что сервис аккаунт

какой ты создавал?

я не создавал аккаунтов ._.

или

Какие альтернативные дашборды используете?

пока не использую, но планирую ранчер прикрутить

apiVersion: v1 kind: ServiceAccount metadata: name: admin-user namespace: kube-system --- apiVersion: rbac.authorization.k8s.io/v1beta1 kind: ClusterRoleBinding metadata: name: admin-user roleRef: apiGroup: rbac.authorization.k8s.io kind: ClusterRole name: cluster-admin subjects: - kind: ServiceAccount name: admin-user namespace: kube-system

пока не использую, но планирую ранчер прикрутить

зачем тебе ранчер?

он умеет классно по LDAP доступ выдавать

технишенам поды ребутать, самое оно