https://www.soulmap.cn/categories/k8s/ Recent content in K8s on 时光纪念馆 Hugo -- gohugo.io zh Wed, 27 Nov 2024 17:20:37 +0800 https://www.soulmap.cn/posts/ops/jenkins-outofmemory/ Wed, 27 Nov 2024 17:20:37 +0800 https://www.soulmap.cn/posts/ops/jenkins-outofmemory/ 今天接到一个报障，说在灵雀云平台上跑流水线报了个内存不足的错误，开发照过来让帮忙看看。看了一眼报错，判断并不是主机的内存不足，而是jenkins的内存不足。报错截图如下： 开发说不会处理，让帮忙看看。但是我也不熟悉灵雀云上的这套devops的环境，本来不想管的，不过刚好心情好，就帮 https://www.soulmap.cn/posts/ops/k8s-cks-exam-3/ Thu, 04 Jan 2024 12:03:38 +0800 https://www.soulmap.cn/posts/ops/k8s-cks-exam-3/ 9、网络策略（二） Task 创建一个名为 pod-restriction 的 NetworkPolicy 来限制对在 namespace dev-team 中运行的 Pod products-service 的访问， 只允许以下 Pod连接到 Pod products-service - namespace qaqa 中的 Pod - 位于任何namespace，带有标签 environment testing 的Pod 注意:确保应用 NetworkPolicy。 你可以在/cks/net/po.yaml 我到一个模板清单文件 清单文件就没啥内容 https://www.soulmap.cn/posts/ops/k8s-cks-exam-4/ Thu, 04 Jan 2024 12:03:38 +0800 https://www.soulmap.cn/posts/ops/k8s-cks-exam-4/ 13、容器安全上下文 Context Container Security Context 应在特定 namespace 中修改 Deployment。 Task 按照如下要求修改 sec-ns 命名空间里的 Deployment secdep 一、用 ID 为 30000 的用户启动容器（设置用户 ID 为: 30000） 二、不允许进程获得超出其父进程的特权（禁止 allowPrivilegeEscalation） 三、以只读方式加载容器的根文件系 https://www.soulmap.cn/posts/ops/k8s-cks-exam-2/ Tue, 02 Jan 2024 10:27:48 +0800 https://www.soulmap.cn/posts/ops/k8s-cks-exam-2/ 5、审计日志 Task 在 cluster 中启用审计日志。为此，请启用日志后端，并确保： - 日志存储在 /var/log/kubernetes/audit-logs.txt - 日志文件能保留 10 天 - 最多保留 2 个旧审计日志文件 /etc/kubernetes/logpolicy/sample-policy.yaml 提供了基本策略。它仅指定不记录的内容 注意:基本策略位于cluster 的master 节点上。 编辑和扩展基本策略以记录: - RequestResponse 级别的 persistentvolumes 更改 - namespace front-apps 中 configmaps 更改的请求 https://www.soulmap.cn/posts/ops/k8s-cks-exam-1/ Thu, 28 Dec 2023 17:03:33 +0800 https://www.soulmap.cn/posts/ops/k8s-cks-exam-1/ 前言 去年黑五买了cka和cks的认证考试套餐（实在是便宜，多个cks也就多500块），cka已经高分考过了，想着卷快到期了要把cks也考了，不要浪费。然后像cka一样，先去官网考试里的模拟考测试一番，把试题内容和答案下载下来复习了几遍，自认学习得不错，第二次模拟考机会也是高分通过 https://www.soulmap.cn/posts/ops/k8s-imagepullsecret/ Thu, 28 Dec 2023 15:26:02 +0800 https://www.soulmap.cn/posts/ops/k8s-imagepullsecret/ 1、问题描述 通过K8S集群部署应用时，时常会遇到pod的状态是ImagePullBackOff 或 ErrImagePull，查看pod的事件可以看到类似如下提示： Warning Failed 65s (x4 over 2m40s) kubelet Failed to pull image "tharbor.timesgroup.cn/chenhq/nginx-web1:v3": rpc error: code = Unknown desc = Error response from daemon: unauthorized: unauthorized to access repository: monitor/node-exporter, action: pull: unauthorized to access repository: monitor/node-exporter, action: pull 2、问题分析 出现这种情况说明是pod去har https://www.soulmap.cn/posts/ops/k8s-delete-force/ Wed, 22 Nov 2023 11:12:13 +0800 https://www.soulmap.cn/posts/ops/k8s-delete-force/ 1、强制删除命名空间 删除命名空间是危险操作，删除后命名空间下的所有资源都会丢失，请务必确认清楚！ 首先，尝试使用--force选项删除。 # kubectl delete ns gatekeeper-system --force 如果不行，则需要通过以下方法删除。 # k get ns gatekeeper-system NAME STATUS AGE gatekeeper-system Terminating 6h10m # k get ns gatekeeper-system -o json >gatekeeper.json #vi gatekeeper.json ##删除下面内容 21 "spec": { 22 "finalizers": [ 23 "kubernetes" 24 ] 25 }, #kubectl proxy ## 启动一个ku