понял, спасибо
а с route'ами и сервисами - там стратегия балансировки random?

У меня такой ситуэйшн, что одна штука создает дэплой и он не взлетает изза NET_ADMIN. Я не могу ничего в этот дэплой добавить, убрать и тд

навешать на са дополнительных сцц всегда можно

на сами ямли деплоя это никак не влияет

Доброго времени суток.
При обновлении с 4.7.0-0.okd-2021-03-21-094146 на 4.7.0-0.okd-2021-04-24-103438 не может обновиться machine-config cluster operator

Unable to apply 4.7.0-0.okd-2021-04-24-103438: timed out waiting for the condition during waitForDaemonsetRollout: Daemonset machine-config-daemon is not ready. status: (desired: 12, updated: 12, ready: 11, unavailable: 1)

Один

из мастеров отвечает

Node ip-10-68-59-145.eu-central-1.compute.internal is reporting: "error running chcon -R -t var_run_t /run/mco-machine-os-content/os-content-025414853: chcon: cannot access '/run/mco-machine-os-content/os-content-025414853': No such file or directory\n: exit status 1"

oc debug node/ip-10-68-59-145.eu-central-1.compute.internal

Creating debug namespace/openshift-debug-node-f8x8k ...
Starting pod/ip-10-68-59-145eu-central-1computeinternal-debug ...
To use host binaries, run `chroot /host`
Pod IP: 10.68.59.145
If you don't see a command prompt, try pressing enter.
sh-4.4# chroot /host
sh-5.0# ls -l /var/run/mco-machine-os-content/
total 0
drwxr-xr-x. 4 root root 100 Apr 17 11:36 bootstrap
drwxr-xr-x. 4 root root  80 Apr 17 11:35 extensions
drwxr-xr-x. 2 root root  80 Apr 17 11:35 manifests
drwxr-xr-x. 5 root root 100 Apr 17 11:35 srv

Подозреваю что воркер застрял? Что говорит oc get mcp?

поменял глобальный пул секрет, собрался новый rendered machine config, MCP использует старый пока

его руками изменить надо?

Да, там в баге вроде описан воркэраунд, через ssh или oc debug

если напрямую меняю на машине, то

E0526 18:20:47.107598    2136 writer.go:135] Marking Degraded due to: unexpected on-disk state validating against rendered-master-081a1fd9d00a3c0d077ba2a415e302f8: content mismatch for file "/var/lib/kubelet/config.json"
I0526 18:21:47.128973    2136 daemon.go:802] Current config: rendered-master-081a1fd9d00a3c0d077ba2a415e302f8
I0526 18:21:47.129001    2136 daemon.go:803] Desired config: rendered-master-6e65a46a9fd6774dde3c34c98a49e4df
I0526 18:21:47.139037    2136 daemon.go:1088] Validating against current config rendered-master-081a1fd9d00a3c0d077ba2a415e302f8
E0526 18:21:47.146808    2136 daemon.go:1544] content mismatch for file "/var/lib/kubelet/config.json" (-want +got)

Поэтому я изменил секрет pull-secret в openshift-config, у меня сгенерился новый рендереный machinecofig c корректным секретом, но MCP пытается применить предыдущий(с некорректным конфигом)

У ноды есть аннотация какой MC применять, desired, поменяй её?

вроде одна нода прошла, сейчас второй мастер отправился на обновление.

@vrutkovs спасибо большое

Пытаюсь проапдейтиться с 4.7.0-0.okd-2021-04-24-103438 на 4.7.0-0.okd-2021-05-22-050008
I0527 07:59:56.245151       1 verify.go:182] keyring "verifier-public-key-openshift-ci" could not verify signature for sha256:301cd36b2ab370027ddb0ec43e540a03a24748a25b69578dec504d130475304b: invalid signature
I0527 07:59:56.403106       1 verify.go:202] Unable to verify sha256:301cd36b2ab370027ddb0ec43e540a03a24748a25b69578dec504d130475304b against keyring verifier-public-key-openshift-ci

Баги не нашел, так что наверное у меня что то сломано

https://github.com/openshift/okd/issues/631 + https://github.com/openshift/okd/issues/605#issuecomment-846375198

Какая минимальная роль в опеншифте имеет доступ к терминалу контейнера?

edit же?(если дефолтные роли рассматривать)

oc get clusterroles -o yaml говорит у system:aggregate-to-edit есть pods/attach c exec и меньше других пермишенов