https://kubernetes.io/docs/admin/authorization/rbac/#referring-to-resources - доки так рекомендуют

Почему ингресс может закрывать соединение (TCP FIN?). Меньше 15 секунд прошло, кастомных настроек таймеров в configmap-е нету, среди дефолтов тоже не вижу. А иногда ждёт и больше почему-то.

отлично, спасибо

про rbac ещё не читал, но принцип понимаю

не могу стартовать kube-apiserver лог наглухо забит сообщениями вида мар 02 14:17:28 msk-00-zabbix kubelet[13275]: E0302 14:17:28.279806 13275 kuberuntime_sandbox.go:54] CreatePodSandbox for pod "kube-apiserver-msk-00-zabbix_kube-system(c5324181408680ae371697ac5587a17c)" failed: rpc error: code = Unknown desc = failed to start sandbox container for pod "kube-apiserver-msk-00-zabbix": Error response from daemon: json: cannot unmarshal array into Go struct field Process.capabilities of type specs.LinuxCapabilities мар 02 14:17:28 msk-00-zabbix kubelet[13275]: E0302 14:17:28.279826 13275 kuberuntime_manager.go:647] createPodSandbox for pod "kube-apiserver-msk-00-zabbix_kube-system(c5324181408680ae371697ac5587a17c)" failed: rpc error: code = Unknown desc = failed to start sandbox container for pod "kube-apiserver-msk-00-zabbix": Error response from daemon: json: cannot unmarshal array into Go struct field Process.capabilities of type specs.LinuxCapabilities мар 02 14:17:28 msk-00-zabbix kubelet[13275]: E0302 14:17:28.279893 13275 pod_workers.go:186] Error syncing pod c5324181408680ae371697ac5587a17c ("kube-apiserver-msk-00-zabbix_kube-system(c5324181408680ae371697ac5587a17c)"), skipping: failed to "CreatePodSandbox" for "kube-apiserver-msk-00-zabbix_kube-system(c5324181408680ae371697ac5587a17c)" with CreatePodSandboxError: "CreatePodSandbox for pod \"kube-apiserver-msk-00-zabbix_kube-system(c5324181408680ae371697ac5587a17c)\" failed: rpc error: code = Unknown desc = failed to start sandbox container for pod \"kube-apiserver-msk-00-zabbix\": Error response from daemon: json: cannot unmarshal array into Go struct field Process.capabilities of type specs.LinuxCapabilities" Этот же плейбук без проблем разворачивается в vagrant. Куда рыть?

> rror response from daemon: json: cannot unmarshal array into Go struct field Process.capabilities of type specs.LinuxCapabilities

это я вижу, я не понимаю где и что смотреть. Гугл пуст и выдаёт go-specific ссылки

вангую более новый докер

явно версии разные где-то

ядра, доскера, кубера

хм

docker version Client: Version: 17.09.0-ce API version: 1.27 (downgraded from 1.32) Go version: go1.8.3 Git commit: afdb6d4 Built: Tue Sep 26 22:39:28 2017 OS/Arch: linux/amd64 Server: Version: 17.03.1-ce API version: 1.27 (minimum version 1.12) Go version: go1.7.5 Git commit: c6d412e Built: Fri Mar 24 00:45:26 2017 OS/Arch: linux/amd64 Experimental: false

версии разные

спасибо за зацепку!!!

ну или в trap описать что нужно таки сделать. для меня все еще непонятно зачем это нужно. или раз в 3600сек выполнить задачу или при остановке?

нет никаких задач, надо чтобы контейнер просто не закончился. Пустой цикл. Ничего не надо делать. При остановке тоже нет задач.

так это ведь изнутри нельзя отрегулировать. ему прислали term, ему точно еще пришлют потом kill (всем внутри)

привет всем , разбираюсь с openshift и столкнулся с проблемой логов контейнеров. Не могу понять в каких директориях они должны создаваться , на хосте есть директории /var/log/container (пустая) , /var/log/pods/ (внутри N директорий с именем id чего-то, все пустые), /var/lib/docker/containers (внутри директории видаID, с разными конфигами, но без логов)

что-либо не работает или все же , т.к. есть директории с id , контейнеры "неразговорчивые" ?

а что в /etc/sysconfig/docker

привет всем , разбираюсь с openshift и столкнулся с проблемой логов контейнеров. Не могу понять в каких директориях они должны создаваться , на хосте есть директории /var/log/container (пустая) , /var/log/pods/ (внутри N директорий с именем id чего-то, все пустые), /var/lib/docker/containers (внутри директории видаID, с разными конфигами, но без логов)

дефолтный докер на centos/rhel будет писать в journald

да драйвер лога дефолт

journald , еще и докер совсем не свежий - 1.12.6

Там много апстримовых патчей

Кстати, кому-нибудь нужен отдельный чат по опеншифт?

Там много апстримовых патчей

Ну вих знает...он по сути не так делоко от k8s утопал

дефолтный докер на centos/rhel будет писать в journald

а куда будет попадать лог контейнеров ?

а куда будет попадать лог контейнеров ?

всё идёт в journald, /var/log/journal/

Ну вих знает...он по сути не так делоко от k8s утопал

ну я не против отвечать на вопросы по imagestream/service catalog, лишь бы не мешало

всё идёт в journald, /var/log/journal/

даже директории такой нет

ну я не против отвечать на вопросы по imagestream/service catalog, лишь бы не мешало

Хе у меня тут в Организации война) Часть людей за OS часть за k8s ждём))))

Хе у меня тут в Организации война) Часть людей за OS часть за k8s ждём))))

хехехех, а можно потом краткую саммари после победы?

Хе у меня тут в Организации война) Часть людей за OS часть за k8s ждём))))

так нужен же OS поверх k8s

даже директории такой нет

может у вас какая-то кастомная конфигурация systemd?

А её нет) Два проекта паралельно, каждый развивает своё. Експлуатация за OS, потому что есть вендор, и гореть будет не их жопа. R&D за k8s потому что гугл)

так нужен же OS поверх k8s

а это кстати обещают, но не скоро

openstack-helm или kolla-kubernetes

может у вас какая-то кастомная конфигурация systemd?

в мане к journald.conf сказано что при Storage=auto директория /var/log/journal "is not created if needed' , что в общем не совсем понятно =(

много где директорию не создают исходя из того что если надо хранить журнал на диске - админ создаст каталог

в убунте кажется так

в мане к journald.conf сказано что при Storage=auto директория /var/log/journal "is not created if needed' , что в общем не совсем понятно =(

а что за OS?

rhel

лэйтест

:/ А journalctl работает?

install -d -g systemd-journal /var/log/journal && systemctl restart systemd-journald

хехехех, а можно потом краткую саммари после победы?

Имхо, в такой ситуации побеждает тот, у кого адмресурс больше

Имхо, в такой ситуации побеждает тот, у кого адмресурс больше

отож. Но вдруг будет рациональное зерно

Адмресурс не нужен только в ситуации, когда всем по**й

Хе у меня тут в Организации война) Часть людей за OS часть за k8s ждём))))

а их нельзя вместе использовать что ли?

а их нельзя вместе использовать что ли?

У нас нет-)

ну типа запустить кубер, а в нём опенстек, а в нём остаток кубера

девопсненько будет

https://www.surveymonkey.com/r/QY566F5

Опросник для тех кто заинтересован в контейнерах / кубернетс

ну типа запустить кубер, а в нём опенстек, а в нём остаток кубера

Это не очень здравая идея, так как неясно, что делать со сторадж слоем, не говоря уже о сети.

в опенстеке ж есть сторейж

который вроде даже кубер поддерживает как-то

ключевое слово - как-то

нормално он Cinder поддерживает

ну типа запустить кубер, а в нём опенстек, а в нём остаток кубера

всё в вагранте на виртуалбоксе, ОС - arch

так это ведь изнутри нельзя отрегулировать. ему прислали term, ему точно еще пришлют потом kill (всем внутри)

если он сам свинтит раньше, то не пришлют (kill)

я пока что вижу этот sleep как костылек, хоть так и не была озвучена цель\идея

все конечно любят говорить о том, как это плохо, пилить велосипеды и костыли, пока не доходит до реального дела =) я прост не понимаю пока что зачем это

мне пофигу на хостнеймы внутри подов, мне надо чтобы поды друг друга могли видеть

так для этого ведь используют сервисы с predefined именами, и тогда не нужно узнавать имя пода - это никому не интересно. Потому наверное и обосрали что юзкейс большинству непонятне

все конечно любят говорить о том, как это плохо, пилить велосипеды и костыли, пока не доходит до реального дела =) я прост не понимаю пока что зачем это

Пользователь запускает свой под со своими контейнерами. Помимо пользовательских контейнеров в каждом таком поде должен быть служебный контейнер. Он собран таким образом, что содержит определенные инструменты, которые периодически вызываются через exec. То есть там нет процесса, который должен быть запущен, а без такого процесса контейнер, как известно, жить не может. Вот я и пытаюсь создать такой процесс. Да, это напоминает существующий pause контейнер.

ну запускайте просто /bin/sh например

или какой-нибудь /bin/login если есть

/bin/cat =)

ну да, любой процесс который живёт до прерывания

нет никаких задач, надо чтобы контейнер просто не закончился. Пустой цикл. Ничего не надо делать. При остановке тоже нет задач.

просто нужно сделать trap на баше, есть много статей https://medium.com/@gchudnov/trapping-signals-in-docker-containers-7a57fdda7d86

Пользователь запускает свой под со своими контейнерами. Помимо пользовательских контейнеров в каждом таком поде должен быть служебный контейнер. Он собран таким образом, что содержит определенные инструменты, которые периодически вызываются через exec. То есть там нет процесса, который должен быть запущен, а без такого процесса контейнер, как известно, жить не может. Вот я и пытаюсь создать такой процесс. Да, это напоминает существующий pause контейнер.

а переодически запускает кто, не кронд часом?

нет, ip (и bridge)

у меня пачка таки инфра контейнеров где либо крон либо бесконечный цикл на баше, в качестве инит процесса юзаю tini который из альпайн реп ставится

сейчас покажу пример

entrypoint.sh: ... while :; do do_discovery "${STATEFUL_SET_NAME:?}" "${INTERNAL_SERVICE_NAME:?}" "${REPLICAS:?}" "${namespace_name}" "${stateful_set_labels}" "${service_selector_labels}" log "Sleep 5 seconds" sleep 5; done

Dockerfile: # small footprint \o/ FROM alpine:edge ENV TERM xterm # install runtime dependencies RUN apk --no-cache add curl jq mongodb tini \ && rm /usr/bin/mongoperf COPY entrypoint.sh /entrypoint.sh ENTRYPOINT ["/sbin/tini", "--", "/entrypoint.sh"]

Привет всем. А как вы решаете такую проблему с helm: нужно, чтобы приложение (чарт), устанавливался обязательно в определенный неймспейс. Указывать его через параметр —namespace не особо хочется, ибо всегда есть человеческий фактор, возможность очепятаться и тд. Создавать неймспейсы через шаблоны, как я понял, считается плохой практикой. А хочется, чтобы по умолчанию был указан неймспейс отличный от default. Продукт коробочный, чарты потом отдаются клиенту, хочется предоставить максмум конфигурации из коробки. Что посоветуете?

контейнер бесконечно бежит, если его киляет то tini убьет просто мой баш скрипт с циклом

спасибо, но по мне — много букв

Кстати, кому-нибудь нужен отдельный чат по опеншифт?

мне скоро будет нужен, переходим на это гуано :(

мне скоро будет нужен, переходим на это гуано :(

если созреешь для чата - создай плиз