@mugenDeath: Pobawie sie z Kubespray i Ci napisze jeśli coś wykryję ciekawego. Najmniejszy VM na jakim stawiałem miniona to 2CPU/2GB RAM i dzialał sam kubelet + flanneld na tym + jakieś nasze gównokontenerki.
Wszystko na Ubuntu 16.04 z paczkami przygotowanymi przez Google - nie próbowałem nigdzie indziej.
Następny na linii do testów jest CoreOS zamiast ubuntu i Hyperkube zamiast paczek debowych.

Pisz jakie masz błędy, to można pokminić razem - iPokaż całość

@Atomic_Cookie: nie wiem o co pytasz ale dla webowych logów -> https://goaccess.io/

@Atomic_Cookie: Kibana?

Wydaje mi sie ze aplikacja webowa grafany wymaga polaczenia z data sourcem bezposrednio z przegladarki. Czyli musialbys dodatkowo przekierowac port na jakim sie laczy z influxDB czego nie polecam. U siebie mam postawione reverse proxy na grafane i smiga z zewnatrz

@dev-ops: ELK

Najszybszy grep to chyba for i in.. ssh .. grep..

Ładniej będzie ansiblem, w rodzaju: ansible hosts -i inventory -m shell -a "grep .... " -o itede

Jednak koszerniej i ładniej architekturalnie będzie faktycznie pchać logi gdzieś w jedno miejsce i tam je przeszukiwać (rsyslog skonfigurowany tak aby pchał gdzieś, ew. journald ew ELK właśnie)

@dajmiereparacjemamchorynarod:

nie tylko u programistow stawki szybuja w gore

3mam za słowo. Właśnie będę czegoś szukał dla siebie i wrażenie mam takie, że może tylko w moim regionie, ale jeśli chodzi o stawki to jakoś słabo. Jakby istniała jakaś zmowa :)

@lisek73: nie wiem jaki rejon ale w szeroko pojetej admince nie ma ludzi na roznych poziomach - od tier1 do tier3 przynajmiej w Krakowie

niektore firmy wrecz placa za nauke jak wyczaja ze ktos wie cokolwiek

@lysy_zwykopoux: aha

@lysy_zwykopoux: mógłbyś przestać spamować ten tag (devops) ew. zabrać się za qualitycontent i przestać wyklinać bez sensu?

@weakra: a jakieś konfigi? cokolwiek?

@weakra: jeśli wszystko zrobiłeś jak należy to tak, jak mi pokażesz Dockerfile, to mogę sprawdzić czy jest na to szansa. (Możesz na priv)

@dziki: To zależy czy będziesz devops czy sysadminem, który nazywa się devops. W tym drugim przypadku IMO to downgrade i mniejsza kasa. Ale jak potrafisz programować i automatyzować i jeszcze kumasz kubernetesa i dockera to w devops kasa godna. Chociaż z drugiej strony wiele firm bardziej ceni deweloperów.

@dziki: ja zrobilem dokladnie to o czym myslisz, ani downgrade ani upgrade a zmiana kierunku, bardzo fajna odskocznia

@dziki: Niby śmieszy ale jednak jak te błędy nigdzie wcześniej nie wyskoczył to jednak kiepski #devops. Po to jest staging i preprod by to złapać.

@MiKeyCo: trzeba się rejestrować, czyli nie tak za darmo.

@konradzet zawsze możesz zarejestrować się na fake konto (mail 10 minut)

@art212: Trzeba sparsować te PDFy (jak znam życie pewnie nie mają tekstu tylko samą grafikę, więc trzeba dobre OCR zastosować), do tego musisz znaleźć/kupić i zaciągnąć dane o stacjach, trasach między nimi, rozpoznawanie rodzaju pociągu. Do tego wystawić jakiś serwis które te dane podaje (bo pewne z czasem PDFy się zmienią). Nie jest to masa roboty (taki powiedzmy kumulatywne 2-3 miesiącoosoby z testami automatycznymi i grafiką + zapasem?), ale samo znajdowaniePokaż całość

Jest to do zrobienia, ale troche roboty jest. Mysle ze cena takiej aplikacji nie przekroczylaby 100 K PLN jesli zamowilbys ja w jakiejs firmie, ale wynioslaby 0 PLN jesli znalazlbys kilku zapalencow, ktorzy chetnie by pokodowali dla przyjemnosci a projekt bylby opensource. PDF trzeba by przerobic na jakies restowe api, bo nie ma najmniejsego sensu uzywac ocr tylko aby przeczytac odjazdy/przyjazdy w androidzie, jest to powolne i bezsensowne w porownaniu z udostepnieniemPokaż całość

@PortalZeSmiesznymiObrazkami: A co ma piernik do wiatraka? Napisane jest jedynie, że testowane było to na danej wersji systemu, dlatego jestem ciekaw czy na starszych też występował ten problem, bo nie mam aktualnie starszych wersji pod ręką.

@AvantaR: Na 10.12 Sierra nie ma tego problemu.

@Zdalny: coś poza rm -r --no-preserve-root / się przydaje? ( ͡° ͜ʖ ͡°)( ͡º ͜ʖ͡º)

@Zdalny aktualne?

@Zoxico: nie trzeba ich sprowadzać aż ze stanów ( ͡º ͜ʖ͡º)

@dev-ops:
1. nie dopuszczac logowania bezposrednio na roota. (to odp. na Twoje pytanie)
2. Nie dopuszczac do logowa po hasle.

@dev-ops:
1. Logowac sie do systemu na konto imienne po kluczach.
2. Eskalowac uprawnienia przez sudo.

@henk: istotna kwestia - nie musisz wyłączać całkowicie OOM Killer'a - możesz go wyłaczyć dla danego procesu

https://stromasys.atlassian.net/wiki/spaces/KBP/pages/151158785/How+to+prevent+Linux+OOM+from+killing+Charon+processes

Tutaj mniej więcej opisane jak to zrobić, na przykładzie innego procesu

@henk @maniac777: swap będzie o tyle przydany, że OOM Killer podlicza sobie dostępną pamięć dla procesu w formie RAM + SWAP. Jak nie ma RAMu to będzie patrzył tylko na dostępny RAM.

@trustME: Też nie wiem jak u nich angularowców, w życiu w tym nie pisałem. A ten artykuł jest...No myślałem że na medium.com jest jakikolwiek poziom.

@tenji: W zasadzie to @yggdrasil ma sporo racji. Klasyczna wirtualizacja oparta na hypervisorach (poziomu 1 czy 2) faktycznie wirtualizuje zasoby (stąd nazwa).

Kontenery natomiast (w szczególności linuksowe) bazują na izolacji zasobów poprzez kernelowe namespace'y. Najstarsza forma konteneryzacji (czy raczej izolacji) w Linuksach to przecież chroot. Z namespace'ami poszło nam sporo poczekać i tak na prawdę izolację kontenerową tworzy para namespace'ów oraz cgroupsów (namespace'y do izolacji czy mappingu użytkowników, części filesystemu, hostnamePokaż całość

@Lipathor: w zasadzie wszystko masz wyjaśnione tutaj w szczegółach: https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux_atomic_host/7/html-single/container_security_guide/index

Z głowy jednak tak na szybko:

1. nie uruchamiaj kontenerów w trybie privileged (zawsze jako jakiś konkretny user)
2. najlepiej uruchamiaj kontenery w trybie RO, RW tylko na wybranych, podpiętych volumenach
3. dropuj wszelkie capabilities i zezwalaj na te faktycznie potrzebne
4. usuń suida z obrazów (jeśli posiadasz takowe binarki w obrazach): https://blog.tutum.co/2015/02/03/hardening-containers-disable-suid-programs/
5. najlepiej poustawiaj jakiś management zasobami na cgroupsachPokaż całość