да, он, но он частью openshift может скоро стать по некоторым слухам

В опеншифт он уже доступен, networks во всяком случае даже работает 😂

В опеншифт он уже доступен, networks во всяком случае даже работает 😂

😐ну я давно читал

😐ну я давно читал

В декабре 2017 апдейтнули статью: https://blog.openshift.com/a-first-look-at-kubevirt/

В декабре 2017 апдейтнули статью: https://blog.openshift.com/a-first-look-at-kubevirt/

я в декабре ораклом занимался, и фнс

Есть ещё костыли от тех, кто рискнул, спойлер: я - нет

Прочёл, подумал, отложил

надо место под ссд искать

просто в голове уже места на все инструменты и всё не хватает

ну хотя бы по определению

Это не технический аргумент. Давайте по другому, что плохого случится, если каждое приложение будет в своем неймспейсе?

Могу написать что хорошего случится: сразу видно из чего состоит приложение, без всяких соглашений/правил как развешивать лейблы. Единственный практичный способ безопасно деплоить, не боясь, что девы накопипастят что-то у других и затрут/поменяют их ресурсы (поддерживать RBAC роль с прописанными resourceNames еще один, но оооочееь непрактичный). Точно так же дать доступ разрабам в их и только их приложение можно в общем случае только с неймспейсом на приложение. Аннотации/лейблы неймспейса очень удобное место развесить метадату: откуда приложение, что за команда, уровень важности, телефоны/слак/емаил для связи. NS на приложение исключает возможность подключать секреты от другого приложения. Если сервис ходит в куб сам, можно тонко настраивать RBAC сразу в default service account, что сильно уменьшит количество ошибок, т..к прописывать serviceAccountName всем всегда забывают или прописывают другой (не у всех есть ksonnet чтобы такие трансформации делать в обход разработчиков :) ). Можно комбинировать разные приложения в разные Ingres, согласно их требованиям или вообще исключить внешний трафик просто не мониторя namespace на всех ingres

https://medium.com/handy-tech/analysis-of-a-kubernetes-hack-backdooring-through-kubelet-823be5c3d67c Детальное описание атаки через 10250 порт, если кому интересно

Хорошая статья, узнал про wscat :)

В апдейте еще приятное дополнение про 10255

Там написано так, будто readonlyport не отключить до этого патча

Там написано так, будто readonlyport не отключить до этого патча

Такие эксперты ж

Ну и отключен он по умолчанию только в componentconfig, которым я еще не знаю когда пользоваться начну

У них и бинари из /tmp запускать можно, не удивлюсь если контейнеры от рута бегают (раз установка wget'а прошла). "Всю систему менять надо"

У них и бинари из /tmp запускать можно, не удивлюсь если контейнеры от рута бегают (раз установка wget'а прошла). "Всю систему менять надо"

Внутри контейнера же нет нигде noexec?

Внутри контейнера же нет нигде noexec?

Селинукс такое бы запретил

Я попытался в podman прокинуть volume с бинарником, оно изза селинкус не запукалось, потыкал лейблы , не помогло :( с наскоку селинукс не осилил

Я попытался в podman прокинуть volume с бинарником, оно изза селинкус не запукалось, потыкал лейблы , не помогло :( с наскоку селинукс не осилил

Там есть какой-то особый лейбл, но в целом нужно dwalsh или mrunal спросить насколько идея валидна

привет, подскажите плиз, я не силен в девопс, но вот мучаю докер, и надо чтобы ptrace заработал, а он не работает без —security-opt=seccomp:unconfined или —cap-add=SYS_PTRACE. Это все хорошо, но мне нужно чтобы работало на docker build а не docker run. может кто знает воркэраунд какой и может подсказать?

Уж больно опасное это дело

привет, подскажите плиз, я не силен в девопс, но вот мучаю докер, и надо чтобы ptrace заработал, а он не работает без —security-opt=seccomp:unconfined или —cap-add=SYS_PTRACE. Это все хорошо, но мне нужно чтобы работало на docker build а не docker run. может кто знает воркэраунд какой и может подсказать?

Ого, что за билд такой, что ptrace нужен? Как вариант, можно docker run и закомиттить контейнер как имадж

Я тут слежу за многострадальным 1.10 релизом, глубина тестирования не может не вызывать уважения https://github.com/kubernetes/sig-release/issues/86#issuecomment-373528562

Ого, что за билд такой, что ptrace нужен? Как вариант, можно docker run и закомиттить контейнер как имадж

образ gentoo, хочу просто джаву поставить, чтобы gradle юзать

Это не технический аргумент. Давайте по другому, что плохого случится, если каждое приложение будет в своем неймспейсе?

да я ж говорю, что это вполне законно. Просто есть свои тонкости и не вижу смысла так делать, по дизайну неймспейсы о другом

да я ж говорю, что это вполне законно. Просто есть свои тонкости и не вижу смысла так делать, по дизайну неймспейсы о другом

Ну тогда не называйте это наркоманией :)

образ gentoo, хочу просто джаву поставить, чтобы gradle юзать

FROM gentoo? Очень необычный способ контейнеры строить. Можете глянуть на buildah, там должно быть удобнее запускать произвольные команды и сохранять результат в слой образа

образ gentoo, хочу просто джаву поставить, чтобы gradle юзать

Может сразу openjdk образ вокруг alpine юзать?

Может сразу openjdk образ вокруг alpine юзать?

ну тут только multi-stage build как-то надо тогда делать, потому что оч много всего уже написано под генту, а там столько зависимостей вырисовывается для gradle что маманегорюй, бинари слить не будет достаточно я так понимаю

FROM gentoo? Очень необычный способ контейнеры строить. Можете глянуть на buildah, там должно быть удобнее запускать произвольные команды и сохранять результат в слой образа

строились для unreal engine, там свои секьюрные заморочки были, поэтому селяви

ну тут только multi-stage build как-то надо тогда делать, потому что оч много всего уже написано под генту, а там столько зависимостей вырисовывается для gradle что маманегорюй, бинари слить не будет достаточно я так понимаю

Джава? Под генту? Сомнительная история

А зачем ue в контейнерах ?

ох, чем дальше в лес тем больше дров) нужна была прослойка grpc для c++ для кодогенерации протофайлов, а она необходимые классы только если поднят ue4 генерит, а теперь еще и для java понадобилась

ну тут только multi-stage build как-то надо тогда делать, потому что оч много всего уже написано под генту, а там столько зависимостей вырисовывается для gradle что маманегорюй, бинари слить не будет достаточно я так понимаю

А gradle обязательно из генты ставить? Может можно бинарь/jar с сайта скачать?

не, так бинарь я из multi-stage билда и достал, но ему все равно джава нужна, а тут затык, просто бинарь jdk не скачаешь кмк

не, так бинарь я из multi-stage билда и достал, но ему все равно джава нужна, а тут затык, просто бинарь jdk не скачаешь кмк

Можно, оракл jvm так и ставится )

Качаете архив , распаковыаете,вот вам и джава. Может переменные вроде JAVA_HOME надо прописать будет

есть у меня ощущение что там еще зависимости нарисуются, но попробую, спасибо

ох, чем дальше в лес тем больше дров) нужна была прослойка grpc для c++ для кодогенерации протофайлов, а она необходимые классы только если поднят ue4 генерит, а теперь еще и для java понадобилась

Это как?

есть у меня ощущение что там еще зависимости нарисуются, но попробую, спасибо

Нет, у jdk и jre нет зависимостей

Это как?

не совсем понимаю вопрос, долго и извращенно)

не совсем понимаю вопрос, долго и извращенно)

Зачем ue? Ведь генератор преобразует и без него

Что-то запускает ptrace во время билда gradle? Жуть

Мне честно не понятно, что сударь делает

там проблема в том что так генератор преобразует классы просто в плюсовые, а нам нужны со всякими хедерами, методами и прочим под ue, тонкостей не знаю, банально чтобы перед каким Object было uObject

Даже если так, то зачем ue запускать?

https://github.com/moby/moby/issues/1916 Это?

образ gentoo, хочу просто джаву поставить, чтобы gradle юзать

А может просто сэндбокс выключишь гентушный во время сборки?

FEATURES="-sandbox -usersandbox"

Вроде только ему может быть нужен ptrace

вообщем обсудили с отделом по разработке на ue, там только пару сорцов нужны для кодогенерации, так что решили плюнуть на генту, возьмем альпину с gradle за основу

кто знает как через API метрики добыть? через /api/v1/ только статус моге посмотреть, а вот метрики по диску и сети нет.

парни. вот вы все про алпайн... а ни у кого не было проблем с периодическими проблемами резолва? секунд по 5 оно тупит и не резолвит. Уходишь на дебиан-имадж и добавляя 1 строку в resolv.conf проблема решена.

проверяй доступность днс-сервера

читай "проверяй чо у тебя с сетью"

парни. вот вы все про алпайн... а ни у кого не было проблем с периодическими проблемами резолва? секунд по 5 оно тупит и не резолвит. Уходишь на дебиан-имадж и добавляя 1 строку в resolv.conf проблема решена.

видел несколько issue на гитхабе посвященных таким проблемам, но сам не сталкивался

сталкивался, на одной версии докера, внутри резолвит 5 секунд, на другой моментально

парни. вот вы все про алпайн... а ни у кого не было проблем с периодическими проблемами резолва? секунд по 5 оно тупит и не резолвит. Уходишь на дебиан-имадж и добавляя 1 строку в resolv.conf проблема решена.

Было такое когда не правильный (унаследованный из хоста) resolv.conf был

нет, тут все ок. проверено перепроверено

просто берешь запускашешь пустой алпайн с башем, внутри начинаешь резолвить в бесконечном цикле и выводишь все что более секунды. алпайн удивляет

приложения тормозят. уходишь на дебиан и проблема решена

мы все ушли

ну они вроде на разных libc основаны

я б попробовал другие версии alpine

не слышал про специфичные проблемы связанные с днс

о.. это вы просто не искали я думаю :)

конечно

нафиг надо

:)

просто берешь запускашешь пустой алпайн с башем, внутри начинаешь резолвить в бесконечном цикле и выводишь все что более секунды. алпайн удивляет

А разные версии alpine пробовали?

Костыли с hosts не предлогать?)

самое смешное что из-за этого даже внутрикластерные коммуникации у приложения валятся. что конечно ожидаемо, но бесит не меньше. мы тут неделю трахались с дебагом почему так. пока тупо не обратили внимание что тестируем на дебианах а приложения на алпайнах.

все разное, последнее. комбинации. утрахались. на жену не мог смотреть...

костыли не нада. и так наделали с нашими талантами разработки

ну они вроде на разных libc основаны

В алпайне ж нет libc

Там вой суверенный musl

А вообще strace в руки - и вперед

В этом корень зла кмк

А musl это не libc?

Аа, верно, неправильно прочитал