Size: a a a

Kubernetes — русскоговорящее сообщество

2020 October 28

A

Artem in Kubernetes — русскоговорящее сообщество
Lucky SB
Если там сертификаты - то подождать пока кончится срок действия.
Вы же наверняка полноценный УЦ с возможностью отзыва сертификатов не делали.

Если там токены - то удалить секреты от соотвествующих сервис-аккаунтов. токены будут новые сгенерены
Спасибо
источник

LB

Let Eat Bee in Kubernetes — русскоговорящее сообщество
George Gaál
Я уж не говорю, что можно апи не публиковать наружу, а использовать изнутри кластера по сервисным учёткам. Нативно, компетентно, просто
не публиковать нельзя, надо из CI внешних дергать
источник

GG

George Gaál in Kubernetes — русскоговорящее сообщество
Let Eat Bee
не публиковать нельзя, надо из CI внешних дергать
Через прокси опубликовать )
источник

LB

Let Eat Bee in Kubernetes — русскоговорящее сообщество
ну вот у нас через ssh прокси и публикуют
источник

GG

George Gaál in Kubernetes — русскоговорящее сообщество
Ты точно так же можно промежуточный сервис пихнуть внутрь куба, который будет проксировать апи и реализовать контроли
источник

DS

Dmitry Sergeev in Kubernetes — русскоговорящее сообщество
Jamshid Tursunov
Всем доброго времени суток!
У меня при настройка openresty возникает одна проблема, помогите пожалуйста.
Что имею: openresty+lua.
Конфиг openresty:

   upstream a {
      server 1.1.8.1:4707;
   }
   
   upstream c {
      server 1.1.8.1:4707;
   }
   server {
   location / {
      proxy_set_header X-Forwarded-Host $host;
      proxy_set_header X-Forwarded-Server $host;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Url-Scheme $scheme;
      proxy_set_header X-Forwarded-Proto $scheme;
      proxy_set_header Host $http_host;
      proxy_redirect off;
      proxy_ssl_verify off;
      if ($request_method = POST ) {
      set $upstream '';
      access_by_lua '
      ngx.req.read_body()
      local  match0 = ngx.re.match(ngx.var.request_body, "aaa.*")
      local  match1 = ngx.re.match(ngx.var.request_body, "bbb.*")
      if match0 then
         ngx.var.upstream = "a"
      else
         ngx.var.upstream = "c"
      end
      ';
      proxy_pass http://$upstream;
      }
   }
   }

Задача: распределить запросы по upstream'ам в зависимости от передааемого метода запроса. Запросы передаются в json-rpc формате.
Проблема: У меня два upstream'а. Один  upstream доступен по протоколу http, другой по https и проблема, которая у меня на возникает следющая, в один момент времени работает только 1 upstream.
Даже если создать раздельные аналогичные конфиги, доступен только 1 и работать 1.
Если кто сталкивался, помогите, пожалуйста.
Каким образом можно указать несколько upstream'ов, которые доступны через разные протоколы? Либо я не правильно конфиг прописал?
Не помогает даже указанная директива "proxy_ssl_verify off" в настройках openresty
За ранее спасибо.
не тот чат, тебе в чат nginx
источник

JT

Jamshid Tursunov in Kubernetes — русскоговорящее сообщество
Спасибо за наводку
источник

DS

Dmitry Sergeev in Kubernetes — русскоговорящее сообщество
Artem
Вопрос в том, как отключить доступ к кубовому кластеру всем, у кого уже есть конфиг
Правильно ли я понимаю, что для доступа к кубам используются сгенерированные сертификаты? Если да, то как их пересоздать?
не обязательно ключи и сертификаты, могут быть  токены sa, можно просто пересоздать sa.
Не советую давать доступ в куб через сертификаты. Там нет механизма отзыва
источник

k

kvaps in Kubernetes — русскоговорящее сообщество
Let Eat Bee
у нас безопасники хотят закрыть Kubernetes API за SSH proxy для доступа из внешних CI. Понимаю почему, но как-то коряво выглядит. Кто как у себя поступает?
Можно простенький прокси для apiserver на базе
https://github.com/kubernetes-sigs/apiserver-network-proxy
запилить
источник

k

kvaps in Kubernetes — русскоговорящее сообщество
тестовый клиент, при попытке обратиться к аписерверу через прокси:

./client \
 --request-proto=https \
 --mode http-connect \
 --ca-cert /tmp/ca.crt \
 --client-cert /tmp/tls.crt \
 --client-key /tmp/tls.key \
 --proxy-host=localhost \
 --proxy-port=8131 \
 --request-host=10.96.0.1 \
 --request-port=443 \
 --request-path=healthz

выдаёт ошибку сертификата:
E1028 14:35:27.476715   26589 main.go:56] error: failed to send request to client, got Get "https://10.96.0.1:443/healthz": x509: certificate signed by unknown authority

ну правильно, откуда ещё откуда ему там взяться?

В теории если чуть-чуть допилить то работать должно как часы
источник

k

kvaps in Kubernetes — русскоговорящее сообщество
Но тогда сиайке понадобится внешний адрес, на ктором будет работать сервер и на который будут стучаться агенты из куб-кластера, чтобы установить соединение
источник

k

kvaps in Kubernetes — русскоговорящее сообщество
ну или тупо сразу через stunnel ходить
источник

G

Grigoriy in Kubernetes — русскоговорящее сообщество
kvaps
/24 хватит аж на 254 пода
256
источник

LT

Leonid Titov in Kubernetes — русскоговорящее сообщество
Минус бродкаст минус шлюз
источник

G

Grigoriy in Kubernetes — русскоговорящее сообщество
Leonid Titov
Минус бродкаст минус шлюз
Какой броалкаст в /32?
источник

KG

Kirill Garbar in Kubernetes — русскоговорящее сообщество
Кто-нибудь пользуется pod security policy в кубе?
Openshift даёт магию в виде замены юзера на рандомного и нормально хаваются образы, где прописан юзер именной, например, USER kong.
В многих образах прописан такой именной юзер. Как это использовать для куба? Переписывать на номер?
источник

k

kvaps in Kubernetes — русскоговорящее сообщество
Зависит от CNI, но емнип обычно поды имеют адрес шлюза через интерфейс на ноде где зарущенны
источник

k

kvaps in Kubernetes — русскоговорящее сообщество
Grigoriy
Какой броалкаст в /32?
А, ну хотя дефаулт гейтвей и без адреса может быть
источник

c

corsars in Kubernetes — русскоговорящее сообщество
Kirill Garbar
Кто-нибудь пользуется pod security policy в кубе?
Openshift даёт магию в виде замены юзера на рандомного и нормально хаваются образы, где прописан юзер именной, например, USER kong.
В многих образах прописан такой именной юзер. Как это использовать для куба? Переписывать на номер?
Это колхоз
источник

LB

Let Eat Bee in Kubernetes — русскоговорящее сообщество
интересная штука, это конструктор аписерверов?
источник