Docker swarm обновление сертификатов?

Question

kiranananda @kiranananda

Docker

Docker swarm обновление сертификатов?

Здравствуйте!

Есть запущенный в docker swarm nginx. К нему подключается куча сертификатов. В данный момент сделал через secrets. Но после обновления файла сертификата докер ругается

failed to update secret dev-test_sec: Error response from daemon: rpc error: code = InvalidArgument desc = only updates to Labels are allowed

То есть надо менять названия, тобиш ротейт получается. Да для конфигов такой подход очень хороший, что бы случайно не уронить сервис и была возможность отката, но для сертификата хорошо бы вырубить как то это ограничение или на крайняк как то решить этот вопрос другим путем. Сами сертификаты обновляются по крону через certbot...

Пока на ум приходит мысль писать скрипт, проверять если какой то сертификат изменен, менять ему лабел и растратить сервис...

Есть ли какие идеи?

Вопрос задан более трёх лет назад
181 просмотр

6 комментариев

Подписаться 1 Простой 6 комментариев

Дмитрий Шицков @Zarom

А почему вы не удаляете старый secret перед добавлением нового?

Написано более трёх лет назад
kiranananda @kiranananda Автор вопроса
Дмитрий Шицков, Так там штука такая, при изменении этих данных swarm рестартит процесс. Если удалять и добавлять будет 2 рестарта. Самое хреновое то что у меня эти все настройки в docker-compose.

Ради эксперимента таки попробовал но при удалении получаю
Error response from daemon: rpc error: code = InvalidArgument desc = secret 'dev-test_sec' is in use by the following service: dev-fedsp_nginx

Если совсем удалять и растратить сервис, тогда nginx упадет и скажет "А где мой секрет?" :)
Написано более трёх лет назад
Дмитрий Шицков @Zarom

kiranananda, а если остановить контейнер, удалить секрет, добавить секрет, предоставлять доступ nginx и запустить его снова ? :)
Секрет невозможно обновить, так что вариантов без остановки контейнера, как мне кажется, нет.

Написано более трёх лет назад
kiranananda @kiranananda Автор вопроса

Дмитрий Шицков, Есть ротейт, он работает все хорошо. Но для этого надо писать скрипт который будет проверять какие секреты изменены и делать ротейт, это делать совсем не охота :). Останавливать там совсем низя, может до сотни онлайн подключений быть, нагрузка хорошая, мне потом начальство по шапке даст )))...

Написано более трёх лет назад
Дмитрий Шицков @Zarom

kiranananda, ну тут претензии у меня будут к вашей инфраструктуре :)

Останавливать там совсем низя

А почему сервис в единичном экземпляре?

Но для этого надо писать скрипт который будет проверять какие секреты изменены и делать ротейт

А где ваша система управления конфигурациями для таких задач?

Написано более трёх лет назад

kiranananda @kiranananda Автор вопроса

Ну тут nginx. Можно конечно 2 реплики сделать это не проблема, но тогда часть трафика начнет гоняться по сети до второго nginx, что мне совсем не хочется. На самом деле там при рестарте стартует новый сервис, старый остается висеть пока все клиенты не отвалятся... Так что простоев там нет никаких.

Конфигурация у меня на отдельной виртуалочке пока что, что бы туда никто кроме меня не ползал :).
Вот он пока тестовый такой

nginx:
    image: 127.0.0.1:5000/nginx:0.1
    ports:
      - target: 8080
        published: 8082
        mode: host
    user: www-data:www-data
    volumes:
      - /srv:/srv
    depends_on:
      - web-dev

    secrets:
      - source: test_sec
        target: /etc/test.11
    stop_grace_period: 3m
    stop_signal: SIGQUIT

    deploy:
        #Перезапуск сервиса
        restart_policy:
            condition: on-failure
            delay: 15s
            window: 120s

        rollback_config:
            order: start-first

        update_config:
            failure_action: rollback
            monitor: 10s
            max_failure_ratio: 0
            order: start-first

        placement:
            constraints: [node.labels.registry == true]

    logging:
        driver: syslog
        options:
            tag: nginx-dev
            syslog-address: "udp://10.0.0.151:514"

secrets:
  cert_mysite_com:
    file: /etc/docker/certbot/letsencrypt/live/mysite/cert.pem
  test_sec:
    file: ./deploy

Написано более трёх лет назад

Пригласить эксперта

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации

Похожие вопросы

Laravel

+2 ещё

Средний
Не удается подключиться к ClickHouse container?
- 1 подписчик
- 37 минут назад
- 15 просмотров
1

ответ
Docker

+1 ещё

Сложный
В Nuxt 3 useFetch() вызывает ошибку Vue Router в Docker?
- 1 подписчик
- вчера
- 30 просмотров
0

ответов
Docker

Средний
Как получить удалённый доступ к http контейнеру?
- 1 подписчик
- вчера
- 73 просмотра
3

ответа
Java

+3 ещё

Средний
Пытаюсь подключиться к postgresql 16 через docker-compose, использую spring-boot 3.2.4, что не так?
- 1 подписчик
- 17 апр.
- 156 просмотров
3

ответа
Docker

+1 ещё

Простой
Как замаскировать переменную внутри контейнера?
- 1 подписчик
- 17 апр.
- 84 просмотра
2

ответа
Docker

+2 ещё

Простой
Как подружить Zabbix-agent 2 и zabbix-server?
- 1 подписчик
- 17 апр.
- 96 просмотров
3

ответа
PostgreSQL

+2 ещё

Простой
Где искать рекомендуемые настройки SSL-аутентификации для Docker-образа Posgres?
- 1 подписчик
- 17 апр.
- 59 просмотров
3

ответа
Yii

+1 ещё

Средний
Почему открывается папка (директория) вместо страницы docker yii2?
- 1 подписчик
- 12 апр.
- 67 просмотров
1

ответ
Python

+2 ещё

Простой
Docker-compose не видит статические файлы Джанго, как исправить?
- 1 подписчик
- 11 апр.
- 140 просмотров
0

ответов
Docker

+1 ещё

Сложный
Установил MailCow, почему выдает ошибку сертификации, кто сталкивался?
- 1 подписчик
- 10 апр.
- 69 просмотров
0

ответов
Показать ещё Загружается…

Senior Backend разработчик (PHP 8, Symfony 6, PostgreSQL)

TextMagic

от 5 000 $

Разработчик на Vue.js

Checkngo

от 60 000 до 140 000 ₽

DevOps/Backend разработчик

Idea Platform

от 90 000 до 200 000 ₽

DevOps задачи, работа с Yandex Cloud и Yandex Database

19 апр. 2024, в 18:38

1500 руб./в час

Верстка сайта -4-5 страниц

19 апр. 2024, в 18:36

1500 руб./за проект

MiniApp для телеграмм на React

19 апр. 2024, в 18:36

30000 руб./за проект

А почему вы не удаляете старый secret перед добавлением нового?
Дмитрий Шицков, Так там штука такая, при изменении этих данных swarm рестартит процесс. Если удалять и добавлять будет 2 рестарта. Самое хреновое то что у меня эти все настройки в docker-compose.

Ради эксперимента таки попробовал но при удалении получаю
Error response from daemon: rpc error: code = InvalidArgument desc = secret 'dev-test_sec' is in use by the following service: dev-fedsp_nginx

Если совсем удалять и растратить сервис, тогда nginx упадет и скажет "А где мой секрет?" :)
kiranananda, а если остановить контейнер, удалить секрет, добавить секрет, предоставлять доступ nginx и запустить его снова ? :)
Секрет невозможно обновить, так что вариантов без остановки контейнера, как мне кажется, нет.
Дмитрий Шицков, Есть ротейт, он работает все хорошо. Но для этого надо писать скрипт который будет проверять какие секреты изменены и делать ротейт, это делать совсем не охота :). Останавливать там совсем низя, может до сотни онлайн подключений быть, нагрузка хорошая, мне потом начальство по шапке даст )))...
kiranananda, ну тут претензии у меня будут к вашей инфраструктуре :)

Останавливать там совсем низя

А почему сервис в единичном экземпляре?

Но для этого надо писать скрипт который будет проверять какие секреты изменены и делать ротейт

А где ваша система управления конфигурациями для таких задач?
Ну тут nginx. Можно конечно 2 реплики сделать это не проблема, но тогда часть трафика начнет гоняться по сети до второго nginx, что мне совсем не хочется. На самом деле там при рестарте стартует новый сервис, старый остается висеть пока все клиенты не отвалятся... Так что простоев там нет никаких.

Конфигурация у меня на отдельной виртуалочке пока что, что бы туда никто кроме меня не ползал :).
Вот он пока тестовый такой
nginx: image: 127.0.0.1:5000/nginx:0.1 ports: - target: 8080 published: 8082 mode: host user: www-data:www-data volumes: - /srv:/srv depends_on: - web-dev secrets: - source: test_sec target: /etc/test.11 stop_grace_period: 3m stop_signal: SIGQUIT deploy: #Перезапуск сервиса restart_policy: condition: on-failure delay: 15s window: 120s rollback_config: order: start-first update_config: failure_action: rollback monitor: 10s max_failure_ratio: 0 order: start-first placement: constraints: [node.labels.registry == true] logging: driver: syslog options: tag: nginx-dev syslog-address: "udp://10.0.0.151:514" secrets: cert_mysite_com: file: /etc/docker/certbot/letsencrypt/live/mysite/cert.pem test_sec: file: ./deploy

Docker swarm обновление сертификатов?

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт