В рейтинге участвует:

групп:

каналов:

Виртуальный сервер на SSD - недорого!

Аренда выделенных и виртуальных серверов (VDS/VPS), хостинг, аренда IP-адресов, администрирование, круглосуточная поддержка

qwarta.ru подробнее

Резервное копирование с проверкой на вирусы!!!

Удобный сервис создания резервных копий на любой сервер сети интернет. Отслеживайте изменения, проверяйте на вирусы. Надежно защитите свой бизнес!

go.backupland.com

Выбираете сервер? Любая конфигурация на заказ!

Аренда физических серверов любых конфигураций под любые запросы - 1С бухгалтерия, игровые сервера, нагруженные проекты, интернет-магазины!

qwarta.ru подробнее

Size: a a a

ru_hashicorp

672 membersпожаловаться на группу
2020 September 22

YS

Yura Shutkin (pc) in ru_hashicorp
Andrey Devyatkin
расскажи подробнее. unseal нужно же один раз делать на старте. Рестарт одной машины должен быть норм? Нет?
Если ты про саму настройку - да, пока не протух токен, указанный в конфиге (напоминаю что я использую транзит в другом кластере, а не KMS) ноды распечатываются сами

В смысле 1 раз настроил и забил
источник
15:59пожаловаться#1

E

Elenhil in ru_hashicorp
но если у вас кластер - у вас все равно не встанет автоматизация, если не упадут все ноды кластера, не?
источник
15:59пожаловаться#2

E

Elenhil in ru_hashicorp
а если упали все ноды кластера, то автоматизация - не самая большая проблема
источник
15:59пожаловаться#3

YS

Yura Shutkin (pc) in ru_hashicorp
Elenhil
но если у вас кластер - у вас все равно не встанет автоматизация, если не упадут все ноды кластера, не?
И да и нет. АПИ - да, запросы с неожиданным кодом ответа или по таймауту будут перезапрошены в другие апстримы, но никто не отменяет возможность пиздец прошёл и всё упало.

Веб интерфейс будет очень глючить если хотя бы одна нода запечатана и она не проверяется через хитрый запрос в ha-proxy, а например за nginx бесплатным. Потому что отправляется зарпос в волт sys/seal-status возвращает всегда 200, даже если запечатано. Отличается лишь ответ в JSONе

У нас не только роботы ходят в волт.
источник
16:02пожаловаться#4

E

Elenhil in ru_hashicorp
Yura Shutkin (pc)
И да и нет. АПИ - да, запросы с неожиданным кодом ответа или по таймауту будут перезапрошены в другие апстримы, но никто не отменяет возможность пиздец прошёл и всё упало.

Веб интерфейс будет очень глючить если хотя бы одна нода запечатана и она не проверяется через хитрый запрос в ha-proxy, а например за nginx бесплатным. Потому что отправляется зарпос в волт sys/seal-status возвращает всегда 200, даже если запечатано. Отличается лишь ответ в JSONе

У нас не только роботы ходят в волт.
ммм. апи точно будет работать. Веб интерфейс будет работать, если он настроен на vault.service.consul урл
источник
16:04пожаловаться#5

E

Elenhil in ru_hashicorp
не?
источник
16:04пожаловаться#6

E

Elenhil in ru_hashicorp
или вы без консула
источник
16:04пожаловаться#7

YS

Yura Shutkin (pc) in ru_hashicorp
Elenhil
ммм. апи точно будет работать. Веб интерфейс будет работать, если он настроен на vault.service.consul урл
У нас за балансером все 3 ноды, консул лишь как хранилище и с него хочу перевести в internal storage, потому что меньше сервисов которые могут отказать, меньше влияния сети на кластер
источник
16:05пожаловаться#8

YS

Yura Shutkin (pc) in ru_hashicorp
Consul template не используем. Я не администрирую балансеры, они для меня сервис.
источник
16:05пожаловаться#9

E

Elenhil in ru_hashicorp
ясно
источник
16:06пожаловаться#10

V

V in ru_hashicorp
Yura Shutkin (pc)
У нас за балансером все 3 ноды, консул лишь как хранилище и с него хочу перевести в internal storage, потому что меньше сервисов которые могут отказать, меньше влияния сети на кластер
Internal в смысле файл?
источник
16:08пожаловаться#11

YS

Yura Shutkin (pc) in ru_hashicorp
V
Internal в смысле файл?
Нет. Файл не HA хранилище.
В версии 1.1.0 или 1.2.0 завезли RAFT и не рекомендовали его к использованию до 1.4.0, сейчас актуальная 1.5.3
источник
16:10пожаловаться#12

YS

Yura Shutkin (pc) in ru_hashicorp
У нас были проблемы из-за того что скорость от волта до консула снижалась что влияло на отзывчивость кластера волта в целом. И консул тоже надо мониторить, обслуживать
источник
16:11пожаловаться#13

V

V in ru_hashicorp
👍https://www.vaultproject.io/docs/configuration/storage/raft
Vault by HashiCorp
Integrated Storage - Storage Backends - Configuration | Vault by HashiCorp
The Integrated Storage (Raft) backend is used to persist Vault's data. Unlike all the other
storage backends, this backend does not operate from a single source for the
data. Instead all the nodes in a Vault cluster will have a replicated copy of
the entire data. The data is replicated across the nodes using the Raft
Consensus Algorithm.
источник
16:16пожаловаться#14

V

V in ru_hashicorp
Получается и дешевле по ресурсам
источник
16:16пожаловаться#15

YS

Yura Shutkin (pc) in ru_hashicorp
V
Получается и дешевле по ресурсам
Надо проверять, мб сами машины должны быть не меньше чем волт и консул по отдельности.
источник
16:18пожаловаться#16

V

V in ru_hashicorp
Yura Shutkin (pc)
Привет, не знаю завезли ли, но транзит ансил нельзя сделать цикличным, т.е. чтобы кластер А хранил ключ от кластера Б и наоборот. Кластер А может быть настроен на автоансил через траниз кластера Б, но кластер Б, даже если настроить, не будет распечатываться кластером А.
Проверил. Распечатывают друг дргуа
источник
16:29пожаловаться#17

YS

Yura Shutkin (pc) in ru_hashicorp
V
Проверил. Распечатывают друг дргуа
Круто, год назад не распечатывали. Спасибо Проверю на новых версиях.
источник
16:29пожаловаться#18

V

V in ru_hashicorp
Осталось понять что делать когда обе ноды упали, как их поднимать
источник
16:30пожаловаться#19

YS

Yura Shutkin (pc) in ru_hashicorp
V
Осталось понять что делать когда обе ноды упали, как их поднимать
Либо экспортером, кажется node_exporter умеет в сервисы на хосте и по его показаниям настроить автоматизацию, или прост спамить когда нода лежит. Мы проверяем с помощью blackbox каждую ноду и проббером проверяем работу проббера в целом, с точки зрения клиента.

Если кратко: когда всё упало - чинить, тут зависит от уровня критичности сервиса, если Mission Critical - не просыпаясь чиним, если Best Effort, можно и кофе успеть заварить, ну или глаза открыть, хотя бы
источник
16:41пожаловаться#20