Всем привет, подскажите им имеет ли смысл redis в кластере( мастер+ слэйды) в кубер запихивать?. Слышал там все не так просто с ним.

Есть ли у кого успешно работает или даже пытаться не стоит

Там нужен ttl? А то тарантул проще в кластер запихнуть

Потому что там его ответственность начинается

Всем привет, подскажите им имеет ли смысл redis в кластере( мастер+ слэйды) в кубер запихивать?. Слышал там все не так просто с ним.

yaml ноды https://pastebin.com/PAkEnyNb yaml пода https://pastebin.com/hb9wqr4j Возможно я не вижу чего-то очевидного :)

Создает secret data dockerconfigjson вместо dockercfg . Это нормально?

В vault хорошо решена проблема курицы и яйца - "первого секрета", чтобы получить доступ в vault из пода. Поды аутентифицируются на kubernetes auth backend с помощью jwt сервис аккаунта (а сервис аккаунт в неймспейсе есть всегда), который vault проверяет у api сервера куба и выдает токен поду для похода в vault. В этом случае границей безопасности является неймспейс куба. В vault секреты раскладываются так же по неймспейсам. За секретами в vault ходит инит-контейнер, кладет их в volume, этот volume подмаунчивается в контейрены пода по одному и тому же пути. Можно написать приложение на go с клиентскими либами от vault, но можно делать простым скриптом на баше с curl. Всю мишуру с инит-контейнером, волюмами и т.д. удобно оформить в сабчарт helm, чтобы люди не копипастили одно и тоже и не запаривались как оно работает.

И файлики? Просто @gotmad описал выше подход. А вот с Secretes я как-то не придумал как такое реализовать...

Да, Kubernetes Secrets можно и как файлики, причем без всяких init containers, а лучше вообще как переменные окружения: https://kubernetes.io/docs/concepts/configuration/secret/#using-secrets-as-environment-variables

Ну насчёт переменных окружения - полностью согласен. А вот как файлик в секрет положить... Не нашел. (

https://kubernetes.io/docs/concepts/configuration/secret/#using-secrets-as-files-from-a-pod

что вы хотите сделать? Давайте начнем от цели

Отказоумтойчивый распределеный кэш в оперативке.

Зачем локальный кэш если копий бэкенда 4(4 пода), 1 под положил, 2 достал. Неизвестно какой под будет отрабатывать в следующий раз

Ребят, а никто не поднимал kubespray vagrant+hyperv?)

Я поднимал kubespray+hyperv случайно. Работало v1.8.0

изкоробки или с фиксиками?

так ты через вагрант или просто ансиблом?

Ансиблом

Допустим элементарная смс авторизация, 1 под отправил смс и сохранил код в кэш, 2 под уже в своём кэше не найдет код если запрос прилетит ему на подтверждение. Вот тут как раз нужен распределеный кэш.

Допустим элементарная смс авторизация, 1 под отправил смс и сохранил код в кэш, 2 под уже в своём кэше не найдет код если запрос прилетит ему на подтверждение. Вот тут как раз нужен распределеный кэш.

На вид всё правильно. Такая ситуация возможна, если taint на ноду повесили уже после того, как там под запустился, но по таймстампам в ямлах видно, что это не ваш случай. У вас kube-scheduler точно нужной версии и точно в 1 экземпляре запущен? Попробуйте запустить его с —v=4 и посмотреть как он назначает под на эту ноду

нельзя хранить авторизацию в кеше, как вам вообще такое в голову могло прийти? Кэш – нетранзитивная помойка, сдохнет – не жалко, гарантии существования объекта в кеше нет и не может быть

если из vault доставать уже готовые секреты (т.е. использовать только KV в нем), то Vault не нужен и встроенных secrets хватает

А как так получилось что была речь о редисе а потом получилось что говорим о кеше? Редис — это база данных.

Если нет задачи безопасно хранить секреты, то конечно, vault не нужен, секреты куба удобнее.

Но он будет работать сильно хуже и медленнее

В целом я понял что с рэдис можно, но не так просто, буду пробовать.

У меня работает чарт хельмовый в трёх энвах, в кластере чисто под распределённую кэш. Чарт я правда немного переделал под statefullset для сетинелов

Если нет задачи безопасно хранить секреты, то конечно, vault не нужен, секреты куба удобнее.

"безопасно" понятние слишком широкое. на первый взгляд различие только в том, что секреты шифруются в месте хранения, а в etcd пока нет.

всем привет) вопрос к тем кто на AWS куб держит. Чем советуете бутстрапить кластер? Стоит ли использовать kops, или руками/kubeadm лучше? просто раньше держал куб только on premises, сейчас только начинаю с AWS дружить. Меня пугает все что делается "одним нажатием кнопки", кажется что ты тераяешь контроль над процессом)

Нужно просто иметь отказоустойчивый распределеный кэш в оперативке

А как так получилось что была речь о редисе а потом получилось что говорим о кеше? Редис — это база данных.

> база данных лол