Защита от далпаебов короче

чтобы мне спалось лучше

для critical приложений

https://kubernetes.io/docs/concepts/storage/persistent-volumes/#access-modes

только если сюда

только если сюда

Как сюды я знаю :) но это не то

В общем сделал в лоб ❗️Прописал Retain Policy в сам StorageClass (((

есть у кого-нибудь опыт с istio? если да, то как от него впечатления?

плюсы-минусы

В общем сделал в лоб ❗️Прописал Retain Policy в сам StorageClass (((

есть такая замечательная штука, называется она DEV_ENV

не пробовали не пускать разрабов туда где они могут что то сломать?) пускай ломают у себя в песочнице)

если че, деплоите заново и все

Через CI могут сломать

prod тот же к примеру

CI/CD всетаки

а как так разрабы к проду доступ имеют три четыре среды, протестили, обкатали, ии деплоите

у них есть там стейдж максимум, пусть там ломают свои PVC и спите спокойно:)

Не все так просто)

по сути задача стоит у вас - ограничение доступа к томам для разработчиков от удаления, ну вы видите что кубер говорит по этому поводу, так что проще будет или им среду свою выделить, или сделать так, чтобы хельм чарт упирался в другой чарт\ямлик, который будет содержать PVC, до которого разрабы не будут иметь доступа и все

Тут вопрос интеграции gitlab + k8s

Из коробки я могу настроить на один NS

там же лежит прод стейдж и ревью

не совсем удобно с точки зрения k8s

я предлагаю другой вариант

но удобно с точки зрения интеграции с гитлабом

по сути они могут снести тома только если эти тома указаны в чарте, а если из чарта типа симлинка будет торчат наружу, куда они не будут иметь доступа? а не, эти зверюги же этот симлинк удалят и ничего не изменится

вы типа раннерами чарты пускаете?

Вот я и говорю, не так все просто) в принципе Retain для StorageClass Решил мою проблему, главное чтобы мусор не плодился, pvc по сути только для прод стейдж, остальное живет в памяти

ну не знаю, у нас за проду отвечают тупо девопсы, у разрабов свои песочницы, пусть хоть засносятся там)

Теперь у меня вот так:

в крайнем случае пусть у себя подымают на миникубе те же чарты с минимальными репликами и все:)

в крайнем случае пусть у себя подымают на миникубе те же чарты с минимальными репликами и все:)

Ну не, разрабы слишком ленивы для этого, им надо только код писать и жать кнопачку deploy )

ну так пусть деплоят только в своей среде

деплой привязан к ci/cd через gitlab, в gitlab Интеграция идет из коробки толко один проект - один неймспейс

без костылей сделать разграничение в рамках одного проекта не так и просто

Можно, но не стоит того

Это значит минусы перевешивают плюсы

ну, если секурность и здоровые нервы не приоритет, то да🤗

я не вижу минусов разве что по железу

по интеграции, говорю же

и автоматизации

я может не так понимаю, ну будут у вас те же ci/cd в одну среду и в другую где затык то:)

ну и будут они те же кнопки штырить

только все будет секурна

Ребят, вопрос по nginx ingress (тот что кубовый), как к создаваемому конфигу ингресса добавить свой сниппет? У меня там секция с access_by_lua_file реализующая SSO через crowd. Или переписать логику и сделать через oauth-external-auth?

или задать свой шаблон конфигурации через configmap

для ingress сервиса? тогда получится что сам сервис должен иметь nginx прослойку и заботиться об авторизации. А есть, к примеру prometheus, который можно было бы так закрыть и было бы удобно

немного саморекламы. Написал ansible playbook для разворачивания rancher 2 (официальный только для 1.6) - кому интересно - пользуйтесь, пишите отзывы на github https://github.com/gorilych/rancher-ansible

для ingress сервиса? тогда получится что сам сервис должен иметь nginx прослойку и заботиться об авторизации. А есть, к примеру prometheus, который можно было бы так закрыть и было бы удобно

https://github.com/kubernetes/ingress-nginx/blob/master/docs/user-guide/nginx-configuration/custom-template.md

https://github.com/kubernetes/ingress-nginx/blob/master/docs/user-guide/nginx-configuration/custom-template.md

И как мне это поможет создавая ingress для prometheus?

берешь шаблон, добавляешь в него свою часть. деплоишь теперь с этим новым шаблоном в одном неймспейсе с мониторингом с привязкой к одной ноде или externalIP сервис пилишь для ингреса, в общем публикуешь как то его и удостоверяешься что он следит только за ресурсами в нужном неймспейсе. профит - у тебя ингресс, который слушает там, где ты хочешь и содержит нужную тебе конфигурацию.

Смахивает на велосипед)

ну если велосипед, значит гуглите:)

Смахивает на велосипед)

имхо прямой способ модификации

раз вам нужен ваш велосипед с sso

Более прямым, имхо, выглядит использование oauth

Просто предварительно уточнил, что в аннотациях ingress нельзя указать include (или сделать что-то подобное)

только то, что позволяет шаблон

ребятки вопрос по ETCD - есть git репа в которой хранятся конфы сервера Х и Y ... , как можно заставить ETCD дергать репу раз в Х минут и обновлять конф ( или чтобы хук коммит дергал апдэйт)

ребятки вопрос по ETCD - есть git репа в которой хранятся конфы сервера Х и Y ... , как можно заставить ETCD дергать репу раз в Х минут и обновлять конф ( или чтобы хук коммит дергал апдэйт)

ответ содержится в вопросе.

ну я тереотически понимаю что можно или пушить или пулить - а бест практис что ?

может есть какой то готовый солюшн

ну я тереотически понимаю что можно или пушить или пулить - а бест практис что ?

вам оркестрация нужна, или сам метод заливки "гит репы" в etcd?

не - куб уже есть и все почти ок ) хочу просто реюзать естд куба для заливки "гит репы"

не - куб уже есть и все почти ок ) хочу просто реюзать естд куба для заливки "гит репы"

Денис, а в гит репе что хранится? json/yml?

логичный вопрос - yml

логичный вопрос - yml

gem install https://github.com/blufor/etcd-tools curl -XPUT http://etcd/v2/keys/sync -d ttl=3600 while [ : ]; do curl http://etcd/v2/keys/sync?wait=true (cd gitrepo; git ls-files '*.yml' | xargs cat | yaml2etcd etcd_server) curl -XPUT http://etcd/v2/keys/sync -d ttl=3600 done

ни чего себе

ни чего себе

мне тоже не нравится

пошел читать репу ) спасибо

Добрый день, коллеги. Встретился со странной проблемой Helm. При попытке установить плагин говорит: Error. Git is not installed. В интернете ничего об этом не нашел. На сервере гит установлен.

какой плагин?

technosophos/helm-template Решил попробовать dapp

Ах, все, этот плагин с поздних версий поставляется вместе с Helm, отдельно ставить не надо, оказывается.

Кто нить федерации юзал?

Или хотяб палочкой тыкал?

установил кластер кубспреем (однонодный), потом на ноде изменился айпишник, как водится, все посыпалось. Есть простой способ починить?

установил кластер кубспреем (однонодный), потом на ноде изменился айпишник, как водится, все посыпалось. Есть простой способ починить?

Вернуть старый?)

kubespray reset мне случайно не поможет?