DANIELSOFT: tak pokud to neni nikde zdokumentovany ktery klic pouziva a neda se mu predat parametrem nebo konfiguraci, tak pouziva defaultne nejaky konkretni nazev souboru s klicem, to zjistis tak ze jej spustis pod strace

ahoj! sháním teď nějaké informace ohledně zabezpečení Kubernetes clusteru (orchestrace Docker kontejnerů)

v /srv/kubernetes se po puštění bundlovaného skriptu make-ca-cert.sh vytvořily certifikáty a páry klíčů a metodou pokus/omyl jsem zjistil, který klíč použít pro "kubectl", aby se napojilo na apiserver: a zrovna tento klíč (kubecfg.key) je sice v tom adresáři /srv/kubernetes, ale nepředávám ho jako commandline parametr žádné z komponent Kubernetu při spuštění

je to tedy tak, že Kubernetes bere všechny klíče, které jsou v tom adresáři? nebo jde jen o to, že byl podepsán "správnou" CA, tedy tou CA, která je v souboru ca.crt, který předávám parametrem? dokumentace na netu je příliš stručná a z googlení nejsem moudrý :(

moc jsem se SSL ještě nepracoval, tak je to pro mě celkem nové, taky svět Dockeru a Kubernetu objevuju teprve od tohoto května...

Jinak Docker na Macu teda moc neuvolnuje misto, coz je pro nas s mensima diskama trochu otravny. Je potreba krom smazani images i "factory reset"

Docker doesn't release disk space used by `~/Library/Containers/com.docker.docker/` · Issue #23437 · docker/docker · GitHub
https://github.com/docker/docker/issues/23437

Jsem si teď konečně začal číst něco o VSphere a čím víc jsem se začítal, tím víc mi na mysl lezl docker.

Máte někdo praktický zkušenosti s dockerem na bare metal? Blade s dvěma socketama a 200+ GB RAM, původně jako ESX host. Má si člověk na něco dát pozor nebo je to no-brainer s člověk si prostě vybere distro / CoreOS etc. a nahodí ~ 25 kontejnerů (8 GB RAM na potřeby appky).

Druhá věc, jak zvládaj kubernetes/mesos/swarm fail-over kontejnerů či sama sebe na jinej host? Mám data cluster managementu udržovat někde sdíleně na SANce nebo to ta druhá instance zvládne se svým úložištěm?

RUDOLF: tak to bylo Safari;-)

ADM: vsechny data, ktery do dockeru potrebujes dostat z venku, musis primountovat. Sam docker treba nastavuje prave hostname, takze do tveho kontejneru mountne nejaky svoje hostname, kde je docker ID toho beziciho kontejneru. Tim se vlastne prepise ten soubor co mas uvnitr tim z venku, a system vidi jen ten venkovni. S pristupovymi pravy a/nebo read-only ochranou to nema nic spolecneho, krome toho ze nektery z volumes (mountu) muzes primountovat jako read-only.

ALMAD: s dockerem teprve zacinam a jsem ve fazi zkoumani, zatim jsem se dostal k tomu ze si vytvorim minimalni OS image, tu spustim pres run, doinstaluji a nakonfiguruji aplikaci a az jsem spokojenej commitnu z toho dalsi image (a snazim se to zautomatizovat). takze tohle je stav jak to vypada kdyz spustim kontejner pres run, ale s temihle soubory uz to asi chapu, jen me zarazil ten zpusob jakym je to dovnitr mapovany pres mount

ADM: Je to jenom kontejner, nebo kontejner launchnutej pres compose?

aha tak podle /proc/mounts se to tyka jeste /etc/resolv.conf a /etc/hostname a vsechny je mozno editovat. podle filesystemu (btrfs) to ukazuje na podle stejny subvolume id na subvolume kde mam docker data, takze je to asi nejaky interni mapovani zevnitr kontejneru na konfiguracni soubor ktery se drzi vne kontejneru

to je standardni chovani ten /etc/hosts? chapu ze je to asi aby se zajistilo ze je readonly, ale proc zrovna /dev/sdb2? v ty image nemam zadny fstab

myhost # docker run -i -t test-image /bin/bash
560fe7e1b8d3 / # df -h
Filesystem                                                                                    Size  Used Avail Use% Mounted on
/dev/mapper/docker-0:46-268-3e6c0dbd1f1e56164655cfd50dd6b2c3af075202f99fe4d1487c92c16d4bb54b  9.8G  888M  8.4G  10% /
tmpfs                                                                                         3.9G     0  3.9G   0% /dev
tmpfs                                                                                         3.9G     0  3.9G   0% /sys/fs/cgroup
/dev/sdb2                                                                                     902G  778G  120G  87% /etc/hosts
shm                                                                                            64M     0   64M   0% /dev/shm

ALMAD: kolega v praci uz taky machruje ze dostal a ja furt susim hubu :]

DARK_SAVANT: ...a experimentalne jsme zjistili, ze jde nainstalovat na max 5 stroju.

Taktez, nevypozorovali jsme zadny pattern v tom, jak se distribuujou klice (neni to first-come-first-served, zatim to nejvic vypada ze podle zemi...ale who knows).

DARK_SAVANT: Ten dmg sice mozna jo, ale potrebujes beta klic, co je per person...

ALMAD: uz jsem se prihlasil ale nic :-/ fakt to neni dmg, ktery se da nejak sirit?

DARK_SAVANT: Obavam se, ze ne, ale IMHO by te meli vybrat rozumne rychle, pokud se prihlasis.

ALMAD: to chci taky! nemuzes nejak nasdilet?

ALMAD: RUDOLF: tak fucking spotify:-) restartoval jsem docker-machine, safari a při vypnutí spotify mi uvolni 12 GB:-) Služba super, ale ta appka je hell..

Jinak ze zákopů, nativní docker na macu funguje obstojně a rychlejc (ne tak jako na linuxu, ale rozdíl značnej), ale především fakt celkem opravuje tu DX.