Příspěvky

Dobrý den,
jake a kolik je tech ib karet a ib kabelu ?

neprodal byste pouze ty dve ib karty ? ?

Nemam zajem o koupi, jen se chci zeptat cim jste ho nahradil ? Sam mam doma na labovani Gen8 a Gen10 a jsou to super stroje! Nelituju ani koruny ktere sem za ne dal

Tak ako bolo spomenute uz vyssie,K8s samozrejme spravu pouzivatelov ma. Nechapem skor tie otazky ludi,bolo by fajm,keby odpovedal niekto,kto s k8s skutocne robi a pozna ho.

Ako uz bolo sppmenute,zakladom je RBAC,teda presnejsie definovanie roli s opravneniami a ich mapovanie. A k8s dokonca pozna aj pojem User (lepsie je ale Group,vysvetlim neskor preco), len User je "identifikovany" certifikatom a nie credentials ako sme zvyknuti.

Ja na to ale idem inak. Definujem RBAC,ale napojim kubeapi server na oidc keycloak,ty si riesim v realme spravu a login flow pouzivatela (napr. obycajna login obrazovka). K8s poviem,aby z tokenu mapovala v role mapping groupu z tokenu pouzivatela.

A voala,zrazu mam normalne prihlasovanie do k8s clusteru. A tu to nekonci.

Keycloak OIDC a tych istych userov (a dalsie skupiny do ktorych userov mozem zaradit) dalej vyuzivam pre prihlasenie do Grafany,Traefiku,PgAdmina a inych veci,co podporuju oidc a su v ramci operativy nasadene v k8s clusterim.

Je to velmi sikovne a handy riesenie autorizacie v celom k8s clusteri...a hlavne je to velmi jednoduche spravit.

A vsetkymi desiatimi odporucam K3s (len traefik si instalovat sam cez helm chart - aj kvlli dashboardu)

A hlavne nepouzivajte nejake klikatka...definovanie RBAC nie je zlozite a hlavne vie co robi...skutocne su to par riadkove YAML subory.

Mozem na ukazku pastnut,ak bude zaujem.

Ukazku urcite pastnete, oidc je tema velmi siroke nicmene nastavit ho dobre (treba client id/aud separation) neni obcas uplne trivka. Tech flow nebo scenaru je taky mrte

Btw neresil jste nekdy na  keycloak/k8s neco jako workload federation identity ? Ve zkratce:

Pod ma mountlej sa token vydanej k8s a vy ho pres token exchange na keycloak vymenite za access token k nejakemu resourcu.

Jinak v tech ansible rolich co jsem pastoval je autentizaci kubernetes api a kyecloak sam o sobe je syncnutej s AD/Ipou (tedy keycloak je ro a ad je zdroj pravdy)

Cus, mam naky laby plus minus fcni kde jsou externi uzivatele v ipe(AD), replikuji se do keycloaku, kterej dela identity provdera a proti nemu je oprenej kubernetes api aserver. Uzivatel na zaklade skupiny nebo usernamu v ipe ma konkretni prava v k8s. Jak to muze vypadat je treba zde (hromada playbooku - zajima te hlavne slozka deploy/08_k8s:

https://github.com/veldrane/citadel-core

Funguje to tak ze skupiny a useri ktere, jsou externi maji v ramci kubernetes sveta nejaky prefix, na ktery pak delas clusterrolebiding. Uzivatel se prihlasi pres keycloak, dostane token, ten ma groups claim a aud ktery overuje kube-api server. Na zaklade nej pak user prihlaseny pres kubectl nebo treba pres dashboard vidi objekty na ktere ma prava. Pokud chces vic informaci klidne pis do pm.

btw nemá někdo tip na alternativu k vyrazene APU4d4 od pcengines ? Tedy 4 sitovky, x86, podpora aes, pasivni chlazeni a rozumna  cena ?

server Vam vydrzi dalsich x desitek let.

Kolik desítek let vám běžně vydrží sloužit server nebo i běžný počítač? Když koupím 10+ let starý server, tak z něj stěží dostanu dalších 10 let, to už to ale bude totální nepodporovaný brak, který předčí i mobilní telefon.

Ten DL380 Gen8 je nějakých 12 let starý HW a už teď je to v podstatě šrot. Ano, na hraní se to dá ještě použít, ale za pár let to nebude chtít nikdo ani zadarmo.

x desitek let bylo prehnane to uznavam, ale na poradnej LAB vam ten server tech cca 10 let vydrzi. A vazne uz vidim jak na telefonu nebo na lepsim notebooku rozjizdite 6
kubernetich 4 nodovych clusteru s integraci do IPy, keycloaku, s privstnimy registry a elasticem na kterym si studenti muzou dane technologie odzkouset, pripadne si osahate serverovej hw.

Jinak me vazne docela bavi sledovat, jak lidem prijde ok dat 50k za novej macbook ale 30k za server pro labovani je moc. Imo bez poradnyho lab serveru profesionalni devops/sysops moc delat nejde.

Zalezi na tom kolik do toho chcete dat penez a zda to pobezi nebo nepobezi 24x7.

Obecne:

Imo na lab a load co ste popsal se vyplati starsi plnotucnej server ala HPE DL360/DL380. Sam mam doma uz asi 7 let DL380 gen8 a byla to nejlepsi investice ever. Bezi jen kdyz neco testuju, delam nejake poc nebo na tom bezi laby pro studenty, vse mam v ansible takze jsem schopen si vytocit i pomerne slozite prostredi prakticky na "klik" (v tomhle pripade na command) V nejake rozumne konfiguraci se vlezete do cca 30k a server Vam vydrzi dalsich x desitek let. Jinak czech-server je fajn ale drahej, doporucuju spis ebay na nemecke prodejce.

Jinak nekdo tu zminoval "nepotrebu" avx2. Na to pozor, protoze treba rhel10/rocky10 apod nepodporuji nic nezsiho nez prave x86_64_v3, takze aby Vam hw vydrzel doporucuji uz jit na v4. Sam budu delat pristi rok upgrade.

Nadšenec do SDR sice jsem, ale s časem to je u mě hodně problematické (stará nerdí garda dorostla holt do věku, kdy je vytěžuje rodina )

This!

Nejsem z prahy ale naky rychly kafe/caj/vino zkratka jed dle preferenci dat klidne muzem. Nejake hrani mam za sebou, ale nic vaznyho a momentalne na to nemam vubec protoze rodina.

Pujdu proti proudu.

Pokud mam takovou konfiguraci a hw raid mi to podporuje pak nevidim jediny duvod proc se morit se ZFS. Udelal bych raid 5 plus mirror (pokud bych nechtel spare), lvm + fs dle meho vyberu a jdu dom. Snapshoty si resim na kvm/proxmoxu. ZFS je fajn pokud nemam slusny raid. Znackovej raid karty nejsou vubec zle, napriklad hpeckova smart array maji genezi snad 30 let jeste z dob compaqu a jsou to spolehlive karty, s vicemene stejnymi tooly a filosofii. Dell na tom bude imo podobne (nemam zkusenost) - zkus pohledat po forech.

on je rozdíl v provozu, pokud mám raid 5+0 (ať už SW nebo HW), tak největší problém je používání v degraded stavu, prostě to musím nejprve obnovit a obnova u 5 trvá snad ze všech možností nejdéle.

Skvělé na zfs je schopnost ověřit stav na disku a případně chyby opravit, to u jiných řešení není tak běžné.

Pokud jde o řešení uložiště, hlavní rozhodování by mělo být podle toho, jak se to chová v případě problémů a ne když vše funguje jak má, pak není skoro co porovnávat, že?

Také spravuji servery, které 20+ let fungují nad jediným diskem a běží stabilně, ale přece na základě toho nebudu říkat, že raid je k ničemu. Stejně tak mám pod rukama clustery s tisíci disky, kde každý týden se nějaký disk mění, z toho ale také nemohu vyvozovat, že disky jsou k ničemu a bez raidu si ani nevrznu.

1) nepsal sem raid 50. Psal sem RAID5 + RAID1 - uzivatel ma 6 disku a ma to na lab - za me naprosto idealni setup Chovani v degraded stavu muzete ovlivnit nastavenim radice, kdy muzete prioritizovat rebuild nad i/o a obracene. Souhlasim s tim ze vice disku v raidu/logical volumu => vetsi moznost ze nejaky selze. Ncimene jak se s tim to ci ono pole popasuje zalezi na name. Meli jsme to treba HPE Evu ktera delala diskgroupy po 12 discich a nikomu to nevadilo. Meli jsme tu treba ibm storvize, kde byl aktivni cely rack a taky to nikomu nevadilo.

2) Na server raid radicich zase ocenuji prediktive failure, kdy casto dostane hlasku o tom "ze se neco deje", ncimene disk funguje dal a pole neni v degraded stavu. Vendori takova disky uzvanvaji jako vadne a automaticky je meni (ne ze by pro lab to bylo smerodate), ale mate imo vetsi cas tim neco udelat.

HW Raid skryje před ZFS cenná data o chování disků a přidává falešné flushe, tj. zvyšuje se riziko ztráty dat.

Jak ? Prosim rozvest

Qemu a jeho qcow sice poskytuje podobné funkce pokud jde o snapshoty, ale jeho stabilita a rychlost jsou naprosto tristní.

Takovou zkusenost tedy opravdu nemam. Rychlost a stabilita je naprosto bezna s podobnout operaci treba ve vshpere

Obecne: bylo by fajn se taky podivat do historie proc a kdy zfs vzniklo. Zatimco jedni vendori (ibm, hp, dell apod) sli cestou hw raidu, Sun sel cestou zfs sw raidu. Obe reseni se v praxi ukazala jako zivotaschopna a maji sva pro a proti. Prijde mi ze uzivatele a vyvojari zfs spatne chapou jak server like/enterprise controllery (ne fakt se nebavime o pseudo desktop raidech) funguji. Byl tu zminen napr. "reordering" - wtf ? Nejspis je minen reordering v ramci raidu ale to je pro zfs cokoliv naprosto irelevantni, v podostaten neexistuje scenar ze byste nedostali data, ktera byla potvrzena. Pokud by to byla pravda pak Vam nebou fungovat ani relacni db. Je otazka proc pak zfs nad takovy raid nasazovat kdyz obe veci delaji vicemene to stejne, Kdyz to shrnu tak:

Hw raid + legacy fs bych nasadil v pripade ze:
- Mam slusnej kontroler/kartu/pole
- Mam obecne v raidech mensi pocet disku, pripadne je umim delit
- Nepotrebuji resit snapshoty na baremetalu, pripadne nemam technologie ktere je podporuji (fs/db/virtualizaci)
- umim s prislusnou technologii

ZFS bych nasadil v pripade ze:
- mam jbod disky a chci raid
- mam nejake specificke pozadavky na vykon/dostupnost/io - napriklad pokud stavim nejake kriticke centralni uloziste a potrebuju versatilitu
- umim se zfs


Slusnej standartni hw raid typu p420 kterej se rve do kazdyho proliantu je imo naprosto dostacujici pro 90% entry/midrange prostredi

Pujdu proti proudu.

Pokud mam takovou konfiguraci a hw raid mi to podporuje pak nevidim jediny duvod proc se morit se ZFS. Udelal bych raid 5 plus mirror (pokud bych nechtel spare), lvm + fs dle meho vyberu a jdu dom. Snapshoty si resim na kvm/proxmoxu. ZFS je fajn pokud nemam slusny raid. Znackovej raid karty nejsou vubec zle, napriklad hpeckova smart array maji genezi snad 30 let jeste z dob compaqu a jsou to spolehlive karty, s vicemene stejnymi tooly a filosofii. Dell na tom bude imo podobne (nemam zkusenost) - zkus pohledat po forech.

Mam tri velmi male deti (5let + 2x11 mesicu) a jezdim do coworku. Doma se to neda i kdyz mam mistnost jen pro sebe a i kdyz mam velmi hodne deti i velmi hodnou zenu . Bohuzel muj mozek ma zafizovan vzorec "deti >> prace", takze pri sebemensim audio sumu pripominajici plac ci detskou nelibost je moje soustredeni v haji.

Cowork mam za rohem, neresim dopravni zacpy, deti, kolegy a je to vlastne idealni stav.

yep, mel sem doma AlphaStation 200, pak sgi indigo a nakou parisc wks - ani u jednoho uz si nepamatuju typ. Ta Alpha byla docela pouzitelna a par firem co meli treba True Clustery jsme spravovali. A pak samozrejme pSeries od ibmky (powery jedou defacto do dnesnich dni)

Jak uz tu zaznelo:
- moznost osahat si enterprise technologie
- spolehlivy hardware, casto hotplug a vymenitelnost komponent
- lepsi podpora driveru
- robustnejsi architektura (rychly procesor neni vse)

Jinak  s tou hlucnosti a spotrebiu to mnohdy neni tak zle, zalezi na rade, vendorovi a zatezi samozrejme. Zkratka na lab je to idealni vec, na domaci provoz 24x7 to nedoporucuji .