Helm: सिस्टम: डिफॉल्ट हेलम के लिए पर्याप्त नहीं है, लेकिन कुबेक्टल के लिए काम करता है

मैंने अपना मुद्दा तय किया - यह क्यूब-सिस्टम में चल रही चीजों से संबंधित था। मुझे नहीं पता कि मेरा हेल्म क्लाइंट (मेरे कुबेक्टल के समान कुबेकॉन्फिग का उपयोग करके) उस एनएस तक क्यों नहीं पहुंच सका, लेकिन मुझे लगता है कि हमें हेल्म डब्ल्यू/ओए कस्टम नेमस्पेस स्थापित करते समय एक चेतावनी प्रिंट करनी चाहिए।

@ jayunit100 क्या आप कृपया बता सकते हैं कि आप इस मुद्दे के आसपास कैसे पहुंचे? एक अलग नाम स्थान में टिलर-तैनाती को तैनात करके? मैं एक ओपनशिफ्ट क्लस्टर का उपयोग कर रहा हूं और यह क्यूब-सिस्टम नेमस्पेस में स्वचालित रूप से टिलर-तैनाती को तैनात करता है।

@श्रेडर्डम

• http://jayunit100.blogspot.com/2017/07/helm-on.html मैंने अपने नोट्स यहां लिखे हैं। tiller-namespace= आपके लिए नाम स्थान बदल सकता है, लेकिन संभावना है,

• यदि आप failed to list त्रुटियाँ देख रहे हैं, तो वास्तविक समस्या यह है कि, डिफ़ॉल्ट रूप से, आपका क्लस्टर पॉड्स में एक सेवा खाता नहीं जोड़ता है जो टिलर पॉड्स को सामान सूचीबद्ध करने की अनुमति देता है।

• तो असली चाल यह है कि आपको यह सुनिश्चित करना होगा कि एक संबंधित सेवा खाता है, जो उन विशेषाधिकारों को अनुदान देता है जिन्हें पतवार की आवश्यकता होती है यानी

roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin

• एक अंतिम नोट: उपरोक्त svc खाता वास्तव में हेलम के लिए आवश्यक चीज़ों का एक सुपरसेट हो सकता है, लेकिन यह काम करता है, और हेप्टियो लोगों द्वारा w / me साझा किया गया था, जैसा कि कुछ समूहों पर आवश्यक है, जो पॉड्स को मिलने वाले डिफ़ॉल्ट सेवा खातों पर निर्भर करता है। के साथ लॉन्च किया गया /

@ jayunit100 इस मुद्दे पर पहुंचने में देरी के लिए खेद है। क्या आप इस मुद्दे को हल करने के बाद भी अपने प्रारंभिक प्रस्ताव को मान्य मानेंगे? यह वास्तव में अच्छा लग रहा है और मुझे इसे चर्चा के लिए खुला रखना अच्छा लगेगा ताकि हम इसे सड़क पर लागू कर सकें

@jayunit100 अच्छा ब्लॉग पोस्ट! मैंने इसे इसी तरह हल किया था, लेकिन कुछ अन्य मुद्दे थे जिन्हें मुझे ओपनशिफ्ट में भी हल करना था। यह मूल रूप से एक ही मुद्दे पर नीचे आया, हालांकि, आरबीएसी ने मेरी पहुंच को अवरुद्ध कर दिया, और टिलर को तैनात करने वाले सेवा खाते में क्लस्टर-व्यवस्थापक जोड़ने की आवश्यकता थी। मैंने इसे एक अलग नामस्थान में भी तैनात किया और कुछ नोडसेलेक्टर्स इत्यादि को हटाना पड़ा (हालांकि मैं उस बिंदु से पहले ही था जब मैंने अपना प्रश्न यहां पोस्ट किया था)। मुझे आशा है कि आपका प्रस्ताव आगे बढ़ेगा, ताकि भविष्य में दूसरों को इस मुद्दे को अधिक आसानी से हल करने की अनुमति मिल सके। :)

हाँ, निश्चित रूप से मुझे उम्मीद है। मुझे भी लागू करने में मदद करने में खुशी हो रही है; हेलम देव/परीक्षण पर रैंप अप करने के तरीके पर कुछ पॉइंटर्स की आवश्यकता हो सकती है। मैं पहले डॉक्स की जाँच करूँगा

अच्छा लगता है @ jayunit100। आपको किसी भी मदद की जरूरत है तो हमें बताए।

प्रति jayunit100 की सलाह के अनुसार, मेरे लिए serviceaccount kube-system:default भूमिका cluster-admin जोड़ें, नीचे cmd है।

kubectl create clusterrolebinding add-on-cluster-admin --clusterrole=cluster-admin --serviceaccount=kube-system:default

आप टिलर को "डिफ़ॉल्ट" सेवा खाते के साथ क्यों चला रहे हैं?

यह संबंधित लगता है और https://github.com/kubernetes/helm/issues/2962 में प्रस्तावित दस्तावेज़ीकरण के माध्यम से बंद होने की संभावना है

@seh मैं डिफ़ॉल्ट के साथ पतवार चला रहा हूं, जैसा कि निर्देशों ने "हेल्म

मेरा मानना ​​है कि अब हम इसे बंद कर सकते हैं क्योंकि #3094 का विलय हो गया था और यह देखने के लिए https://docs.helm.sh/using_helm/#role -based-access-control पर उपलब्ध है। मैं इसे बंद करने जा रहा हूं, लेकिन कृपया हमें बताएं कि क्या कुछ और छूट गया है। धन्यवाद!

क्या हेल्म का इनिशियलाइज़ेशन इस खाते को स्वचालित रूप से सेटअप नहीं करना चाहिए, क्योंकि यह इसके बिना काम नहीं कर सकता है, यह अजीब लगता है कि मुझे सेवा खाते को भी सेटअप करने की आवश्यकता है, क्योंकि यह इसके सही ढंग से काम करने के लिए एक शर्त है?

डिफ़ॉल्ट सेवा खाता पहले से ही होना चाहिए ... रंगों पर डालता है ... डिफ़ॉल्ट। मैं

क्या यह मामला नही है? मैंने पहले ऐसे मामले के बारे में नहीं सुना है जहां क्यूब-सिस्टम में डिफ़ॉल्ट सेवा खाता मौजूद नहीं है।

पृष्ठभूमि की जानकारी के लिए, हेल्म (और इसलिए टिलर) को पता नहीं है कि सेवा खाता क्या है। कुबेरनेट्स एपीआई सर्वर से बात करने के लिए उन्हें बस एक की आवश्यकता होती है। आरबीएसी वातावरण में कई अलग-अलग उपयोग के मामले हैं, जिनमें से कुछ को डॉक्स में देखा जा सकता है । अन्य प्रमाणीकरण नीतियां भी हैं जैसे विशेषता-आधारित अभिगम नियंत्रण (एबीएसी) जो आरबीएसी भूमिकाओं में बिल्कुल भी नहीं जुड़ती हैं। इसे ध्यान में रखते हुए, हमने RBAC समर्थन को सीधे helm init और पिजन-होल उपयोगकर्ताओं को एक परिदृश्य में नहीं बनाने का निर्णय लिया।

ठीक है, इसलिए इसे इंस्टॉलेशन निर्देशों का हिस्सा होना चाहिए, उसी स्थान पर जहां हेलम इनिट का वर्णन किया गया है, क्योंकि यह वास्तव में इंस्टॉलेशन के लिए एक मेक या ब्रेक मुद्दा है और उन्नत विकल्प नहीं है, इसका शाब्दिक रूप से हम में से अधिकांश डिफ़ॉल्ट चीज है अगर हम कुबेरनेट्स 1.8 पर डिफ़ॉल्ट सेटअप के साथ चल रहे हैं तो करना होगा।

और इसका कहीं भी वर्णन नहीं किया गया है, एक अलग पृष्ठ को छोड़कर, जो मुझे इसके एक साइड इश्यू, या एक उन्नत विषय पर विश्वास करने के लिए प्रेरित करता है, लेकिन कुबेरनेट्स डिफ़ॉल्ट आरबीएसी मोड में काम करने के लिए यह वास्तव में महत्वपूर्ण है

@ leejian0612 बहुत बहुत धन्यवाद, मैं इस मुद्दे के साथ ~ 3 दिनों के लिए फंस गया था https://github.com/kubernetes/helm/issues/2464#issuecomment -356986809 और इसे हल करने के बाद मैं इस मुद्दे पर आ गया जो आपके सुझाव से हल हो गया था .
यह भी देखें https://github.com/kubernetes/helm/issues/2464#issuecomment -381101015
@chrisglass आपसे पूरी तरह सहमत हैं। यह हेल्म दस्तावेज़ का हिस्सा होना चाहिए, उदाहरण के लिए अक्सर पूछे जाने वाले प्रश्न अनुभाग।

मैं सहमत हूं। अगर कोई पीआर बनाना चाहता है और खुद को सीसी करना चाहता है तो मैं खुशी से इसकी समीक्षा करूंगा।

kubectl -n kube-system edit deploy/tiller-deploy

# add these two lines in container (tiller) scope
serviceAccount: admin-user
serviceAccountName: admin-user

यह समाधान अगले पैराम्स (--clusterrole=cluster-admin --serviceaccount=kube-system:default) के साथ क्लस्टररोलबाइंडिंग बनाने की तुलना में अधिक सुरक्षित है।

नमस्ते

@shults
मैंने यह कोशिश की है लेकिन मुझे अभी भी यह त्रुटि मिल रही है:
Error: configmaps is forbidden: User "system:serviceaccount:kube-system:default" cannot list configmaps in the namespace "kube-system"
क्या ऐसा कुछ है जो मैंने याद किया है?

@फाल्कोकोरिस

1. helm init चलाएं
2. kubectl -n kube-system edit deploy/tiller-deploy और ऊपरी दो पंक्तियाँ
3. टिलर पॉड्स का निरीक्षण शुरू करें kubectl get pods -w | grep tiller ; उन्हें असफल नहीं होना चाहिए।

अभी किस्मत नहीं..! उपरोक्त के साथ

इन पंक्तियों का उपयोग करके मेरे pb को ठीक किया:

# kubectl create clusterrolebinding add-on-cluster-admin \
  --clusterrole=cluster-admin \
  --serviceaccount=kube-system:default
clusterrolebinding "add-on-cluster-admin" created
# helm reset     

Error: error unstalling Tiller: timed out waiting for the condition

अंत में त्रुटि पर ध्यान दें, मुझे यकीन नहीं है कि इस आदेश ने अंत में कुछ भी किया लेकिन इन सभी के साथ काम किया।