кьюблет дальше сам

тоже верно) я просто по гисту твоему идут по порядку))

в гисте файлы по-алфавиту разложены

я ничего не могу с этим сделать

только если переназывать их начиная с цыфирьки

парни, k8s выглядит интересной штукой, но , похоже, есть довольно значительные затраты на внедрение.. они окупаются в итоге?..

со стороны кажется, что как-то слишком сложно всё, результат того стоит?

у меня окупаются

Как говорят на Руси - Kubernetes долго запрягает, да быстро едет

etcd манифест на каждом сервере right?

нененене

только мастер?

в текущей конфигурации - да

вроде как оно должно быть в кворуме?

типа 2 или 3 сервера

ну пока что оно в кворуме промеж себя ;)

погоди с этим

сначала АА

потом все эти кворумы

а всё

apiserver смотрит в etcd

поехало?

а кублет как с другими соединяется?

ща заливать буду

никто напрямую друг с другом не соединяется

все ходят к апи

апи всем раздает на орехи

))

соответственно на мастере кублет запускает apiserver

и все кублеты этот apiserver подхватывают

ага

got it! yea

ну они после старта в бесконечном цикле начинают долбиться в --api-servers

как в том анекдоте про пентагон и китайцев

пока не ответит

китайцы вообще опасные, но сейчас как говорится - с Богом!

обновляю

я пока отойду по семейным делам

не скучайте ;)

)))

спасибо, семья тобой может гордиться :) а у меня пока вторая нода обвалилась

поразбираюсь позравликаюсь

там проблемы похожи для @coreos_ru

отправил все три ноды в ребут

конфиги вроде валидные

Ну апи + етцд + kubectl работают?

$ kubectl get no Должно мастер-ноду возвращать

сейчас новый контекст создам для kubectl

пока не перегенеришь весь CA

Чойто? Там разве нет проверки на отозванные серты?

А как?

Ну вот чисто физически как ты это себе представляешь?

У аписервера есть только публичная часть CA

С ее помощью оно проверяет, что сертификат входящего действительно подписан этим CA

От того, что я его отозвал, он не перестает быть подписаным

Ну т.е. типа black-list

С ее помощью оно проверяет, что сертификат входящего действительно подписан этим CA

Дык а как ты думаешь браузеры работают?

Как там отзываются сертификаты

Ну расскажи мне

Он ходит в СА и проверяет, отозван ли

OCSP все дела

Наверное я тут чего-то не знаю

А теперь в мане к аписерверу покажи мне это

;)

Хотя вот. https://github.com/coreos/etcd/issues/4034

:)

todo world

Сертификаты-то самоподписанные

ERROR: S client not available

Весь "удостоверяющий центр" находится на моем лаптопе

Только тут я могу сертификаты выпускать, подписывать и отзывать

А кубернетес может только проверить, действительно ли я этот сертификат подписывал и не истек ли он

Весь "удостоверяющий центр" находится на моем лаптопе

Это уже детали.

Можно же хоть let's encrypt прикрутить

пока упоролся с CoreOS юнитом)

надо было ему полный путь до mkdir

Можно же хоть let's encrypt прикрутить

А юзерам сертификаты как выпускать через него?

Которые не имеют ни айпи, ни доменов

Наверняка что-то можно придумать

Было бы желание. Доменов третьего уровня нагенерить можно много.

Вопрос - надо ли?)

Это другой вопрос) мы о технической части.

Но я согласен, что с токенами удобнее будет.

$ /opt/bin/kubelet /opt/bin/kubelet: line 1: syntax error near unexpected token `<' /opt/bin/kubelet: line 1: `<?xml version='1.0' encoding='UTF-8'?><Error><Code>NoSuchKey</Code><Message>The specified key does not exist.</Message></Error>'

приехали))

Какая-то хуйня там вместо симлинка ;)

)) именно

А чмод +х сделал на скаченный кьюблет?

а ну всё понятно

я в версии забыл v указать

он отсюда пытался забрать https://storage.googleapis.com/kubernetes-release/release/1.3.6/bin/linux/amd64/kubelet

Ггг

Бывает

в sudo journalctl -u kube-kubelet -f ругается: Aug 27 17:16:17 loadbal1 kubelet[4453]: I0827 17:16:17.247263 4453 operation_executor.go:843] UnmountVolume.TearDown succeeded for volume "kubernetes.io/secret/644a6f32-5fd2-11e6-a399-44a842348b74-default-token-yxrvo" (OuterVolumeSpecName: "default-token-yxrvo") pod "644a6f32-5fd2-11e6-a399-44a842348b74" (UID: "644a6f32-5fd2-11e6-a399-44a842348b74"). InnerVolumeSpecName "default-token-yxrvo". PluginName "kubernetes.io/secret", VolumeGidValue ""

Это нормально

Контроллер-манагера еще нет

Он придет и повыпускает эти секреты

а

я уже запаниковал

на миньонах должен быть только манифест для прокси, правильно?

Да