Martijn Heemels's questions

Habilitei a identidade da carga de trabalho em nosso cluster do GKE. Agora estou implantando um aplicativo no GKE que usa WI para autenticar em outro serviço do Google. Já usei o Deployment Manager para criar uma conta de serviço do IAM com acesso correto ao serviço do Google. Também implantei o aplicativo com sua própria conta de serviço do GKE no cluster.

Por fim, preciso vincular os dois tipos diferentes de contas de serviço. Isso permite que a conta de serviço do Kubernetes atue como a conta de serviço do Google, permitindo assim que o pod acesse os serviços em nuvem.

A documentação usa a gcloudferramenta CLI para adicionar a vinculação de política assim:

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:PROJECT_ID.svc.id.goog[K8S_NAMESPACE/KSA_NAME]" \
  GSA_NAME@PROJECT_ID.iam.gserviceaccount.com

Claro, eu gostaria de fazer isso via GCP Deployment Manager (infra-as-code e tudo isso), mas não consigo descobrir a sintaxe correta do DM!?

Eu normalmente faço a ligação de função por meio do gcp-types/cloudresourcemanager-v1:virtual.projects.iamMemberBindingtipo, como no exemplo de código , mas não consigo descobrir como replicar o gcloudcomando acima e não consigo encontrar nenhum exemplo público. Quem pode ajudar, por favor?

Anteriormente actionsseriam usados, eu acho, mas como eles estão obsoletos, prefiro não usá-los para novo código. O iamMemberBindingparece ser o caminho recomendado.

Estou tentando desinstalar e reinstalar o cert-manager em nossos clusters Kubernetes. Seus documentos de desinstalação mencionam:

Antes de continuar, certifique-se de que todos os recursos do cert-manager que foram criados pelos usuários foram excluídos. Você pode verificar quaisquer recursos existentes com o seguinte comando:

$ kubectl get Issuers,ClusterIssuers,Certificates,CertificateRequests,Orders,Challenges --all-namespaces

O comando gera centenas de recursos, espalhados por duas dúzias de namespaces.

Como posso excluir todos eles com eficiência, sem excluir mais nada nos namespaces?

O kubectl deletecomando requer a especificação de um namespace ao excluir todos de um determinado tipo, como este: kubectl delete certificates -n example-ns, então isso não é bom aqui.

Excluir cada um por nome em um loop ao especificar -Atambém não funciona, pois preciso especificar o namespace:

$ kubectl delete -A order.certmanager.k8s.io/fcfa95477bc0149dbc16c99c54faa82e-cert-1862418815
error: a resource cannot be retrieved by name across all namespaces

Qual é a mágica cli correta aqui?

Eu tenho o Varnish rodando atrás de um proxy reverso (rodando no host local, para descarregamento de SSL). O proxy define o cabeçalho X-Forwarded-For ou se adiciona a ele se o cabeçalho já existir.

Quando faço verificações de ACL, é claro que quero verificar o IP do cliente original, não o IP do meu proxy, portanto, não posso usar o client.ipcampo. Com o stdvmod posso fazer o seguinte:

vcl 4.0;
import std;
sub vcl_recv {
    if (std.ip(regsub(req.http.X-Forwarded-For, ", 127.0.0.1$", ""), "0.0.0.0") ~ my_acl) {
        ...do stuff...
    }
}

Em outras palavras, eu corto o IP do proxy (127.0.0.1) do cabeçalho antes de executá-lo std.ipe compará-lo com minha ACL. Isso funciona bem, exceto...

Isso falha quando o cabeçalho X-Forwarded-For já está definido antes de atingir meu proxy. Nesse caso, o cabeçalho XFF contém três ou mais endereços IP. Aparar o último ainda deixa mais de um e std.ipengasga com isso, atrasando a solicitação por vários segundos e, claro, falhando em verificar o ACL.

Preciso garantir que o cabeçalho XFF contenha apenas um IP (IPv4 ou IPv6) depois de cortar o proxy. Este deve ser o IP do cliente.

Por exemplo:

X-Forwarded-For: 10.10.1.1, 10.10.2.2, 2001:a031:100a:dead:beef:1234:1234:1234, 127.0.0.1

Deve se tornar

X-Forwarded-For: 2001:a031:100a:dead:beef:1234:1234:1234, 127.0.0.1

Como não posso confiar em nenhum cabeçalho XFF que venha de fora, gostaria de descartar qualquer coisa, exceto o ip do cliente que meu proxy viu. Meu proxy não suporta a modificação do cabeçalho XFF, então precisarei fazer isso no Varnish.

O primeiro ponto no fluxo do Varnish em que posso interagir com os cabeçalhos é dentro vcl_recv()e, nesse ponto, o Varnish já adicionou o client.ipao final da lista.

Eu esperava usar uma expressão regular para capturar os dois últimos itens (IPv4 ou IPv6) em um grupo de captura numerado ($ 1) e simplesmente substituir o cabeçalho pelo grupo de captura. Assim:

vcl 4.0;
import std;
sub vcl_recv {
    set req.http.X-Forwarded-For = regsub(req.http.X-Forwarded-For, "([a-f0-9:.]+, [a-f0-9:.]+)$", "\1");
}

O terceiro argumento (a string que substitui os caracteres correspondentes ao regex) não funciona. O cabeçalho resultante é exatamente o mesmo de antes, embora o regex capture apenas os dois últimos endereços IP.

Como posso jogar fora qualquer coisa além dos dois últimos endereços IP do cabeçalho XFF?

É verdade que é possível montar um volume GlusterFS em qualquer tijolo e o cliente FUSE descobrirá automaticamente os outros tijolos e se conectará a eles também. Se o tijolo inicial falhar, o cliente falhará em um dos outros tijolos. Portanto, após o bootstrap inicial, o sistema de arquivos está altamente disponível.

No entanto, quando você reinicializa um host cliente e o tijolo que você definiu para inicializar (por exemplo, em /etc/fstab) está inativo, o cliente não se conectará, até que você o aponte manualmente para outro tijolo para inicializá-lo.

Isso pode ser um problema em um cenário em que os clientes são reinicializados ou adicionados enquanto o bloco 'principal' está inativo. Por exemplo, no Amazon AWS, suponha que você tenha dois tijolos GlusterFS replicantes em zonas de disponibilidade separadas. Quando o AZ que contém o seu 'principal' falha ou perde a conectividade, há uma boa chance de você dimensionar automaticamente servidores adicionais no outro AZ para lidar com o aumento da carga ali. Como o 'primário' está inacessível, esses servidores não podem montar o sistema de arquivos, até que você os configure para montar o outro bloco.

Como posso garantir que os clientes (novos ou reinicializando) tentem se conectar a qualquer bloco disponível?

Usamos o Puppet para gerenciar todos os nós, incluindo o conteúdo de /etc/fstab, e estamos usando o GlusterFS 3.9.

Nosso provedor de internet comercial habilitou recentemente o IPv6 para nossa conexão de fibra. Eles nos designaram um /48 para usar. Ótimo, finalmente posso deixar de usar nosso túnel 6in4. Ou não?...

Eles querem que usemos PD, o que seria bom, exceto que nosso Cisco ASA 5505 não parece oferecer suporte a isso. Na verdade, acho que o ASA suporta apenas endereçamento IPv6 estático na interface WAN.

Como posso fazer isso funcionar?

Para a configuração do túnel, configurei um host Linux DMZ em nosso cluster ESXi interno que encerrou o túnel. O tráfego IPv6 interno passou pelo ASA para a DMZ, foi inserido no túnel pelo host Linux e roteado pelo ASA novamente para o provedor do túnel. Isso foi muito feio, já que o tráfego cruzou o ASA duas vezes e criou uma configuração confusa e frágil.

Com o IPv6 nativo, espero que haja uma maneira mais fácil, mesmo que eu tenha que comprar outro hardware. Alguma dica?

Migramos nossas caixas de correio locais do Exchange 2010 para o Office 365 e sincronizamos nosso Active Directory. Sou o administrador do locatário do Office 365.

Agora meus usuários estão usando o Outlook 2010 e 2013 e estão tentando compartilhar seus calendários uns com os outros, com detalhes completos, usando o botão mostrado abaixo (desculpe a versão em holandês do Outlook 2013). Este botão exibe uma nova mensagem de e-mail onde é possível compartilhar sua própria agenda e/ou solicitar acesso às agendas de um ou mais destinatários.

Conceder permissões de disponibilidade ao destinatário funciona bem. Qualquer coisa maior, como 'detalhes limitados' ou 'detalhes completos' falha quando alguém tenta enviar a mensagem. A seguinte janela aparece (novamente, em holandês):

Essa mensagem basicamente diz que não é permitido pela política atribuir permissões desse nível a um ou mais destinatários.

O estranho é que editar manualmente as permissões por meio do botão mais à direita funciona bem. Posso conceder permissões de Revisor a um usuário sem problemas. No entanto, meus usuários estão acostumados com o outro método e prefiro que ambos funcionem.

De que política ele está falando e onde posso alterá-lo? A única coisa relacionada que encontrei é a "Política de Compartilhamento Padrão", mas isso parece lidar exclusivamente com o compartilhamento para usuários externos!

Estou tentando reduzir o número de arquivos de log mantidos para o Apache reduzindo 'rotate 52' em /etc/logrotate.d/apache2 para 'rotate 8'. Com a rotação semanal, isso deve manter 2 meses de registros em vez de um ano inteiro.

Implantei a nova configuração por meio do Puppet em nossos doze servidores e notei que ela funciona de maneira diferente do que eu esperava. Eu esperava que ele removesse o erro do Apache e os logs de acesso com mais de 8 semanas, ou seja, 9-52. Em vez disso, manteve todos os logs antigos e simplesmente não criou nenhum novo que exceda o limite de 8 semanas! A rotação 9 agora está faltando, mas a 10-52 ainda existe.

A pesquisa no arquivo me mostrou que esse é um comportamento conhecido, por exemplo, Logrotate não remove logs antigos

Como faço para me livrar dos logs antigos facilmente? Quero evitar excluí-los manualmente em cada servidor. Ainda não tenho nenhum software de orquestração implantado, então o Puppet terá que servir.

Meu arquivo /etc/logrotate.d/apache2 lê:

/var/log/apache2/*.log {
    weekly
    missingok
    rotate 8
    compress
    delaycompress
    notifempty
    create 644 root adm
    sharedscripts
    postrotate
        /etc/init.d/apache2 reload > /dev/null
    endscript
    prerotate
        if [ -d /etc/logrotate.d/httpd-prerotate ]; then \
            run-parts /etc/logrotate.d/httpd-prerotate; \
        fi; \
    endscript
}