Представьте, что у вас есть веб-сервер, работающий вне вашего кластера Kubernetes, который вы хотите интегрировать в свой контроллер ingress. Существует несколько причин, по которым вы можете захотеть это сделать:

• Внешний веб-сервер разработан не таким образом, чтобы вы могли (легко) запустить его в контейнере вашего кластера.






• Возможно, внешний веб-сервер запущен в другом центре обработки данных, чем ваш кластер Kubernetes.






• Вы хотите воспользоваться преимуществами автоматической настройки HTTPS вашего контроллера Nginx Ingress.

Оказывается, на самом деле это довольно просто настроить.

В этом примере мы предполагаем, что внешний веб-сайт размещен на IP-адресе 10.20.30.40 и прослушивается через порт 8080. Обратите внимание, что для этого примера мы предполагаем, что порт 8080 обслуживает незашифрованный простой HTTP.

Также убедитесь, что вы правильно настроили свой брандмауэр и ограничили IP-адрес, по которому этот веб-сервер принимает подключения. Вы же не хотите открывать незашифрованный порт 8080 для всего мира.

Прежде всего, вам необходимо создать сервис с конечной точкой:

service.yaml

apiVersion: v1
kind: Service
metadata:
  name: <my-external-service>
spec:
  ports:
  - name: http
    port: 80
    protocol: TCP
    targetPort: 8080
  clusterIP: None
  type: ClusterIP
---
apiVersion: v1
kind: Endpoints
metadata:
  name: <my-external-service>
subsets:
- addresses:
  - ip: 10.20.30.40
  ports:
  - name: http
    port: 8080
    protocol: TCP

По сути, мы сообщаем Kubernetes, что определяем службу, которая связана с внешним IP-адресом, прослушивающим определенный порт. Мы используем IP-адрес, чтобы избежать DNS-запросов, задействованных в этой настройке.

Загрузка его в кластер выполняется следующим образом:

$ kubectl apply -f service.yaml

Для завершения настройки мы добавляем сервис в определение ingress точно так же, как мы бы поступили с обычным сервисом:

ingress.yaml

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: ingress
  annotations:
    nginx.ingress.kubernetes.io/proxy-read-timeout: "3600"
    nginx.ingress.kubernetes.io/proxy-send-timeout: "3600"
    kubernetes.io/ingress.class: nginx
    certmanager.k8s.io/cluster-issuer: letsencrypt-prod
spec:
  tls:
  - hosts:
    - <my-domain-name.com>
    secretName: letsencrypt-prod
  rules:
  - host: <my-domain-name.com>
    http:
      paths:
      - backend:
          serviceName: <my-external-service>
          servicePort: 80

Примените это также, и все готово.

$ kubectl apply -f ingress.yaml

Если вы сейчас перейдете на https://my-domain-name.com, должно появиться правильное содержимое.

Источник: https://www.yellowduck.be/posts/k8s-proxy-an-external-site

Создание пользователей

Сначала необходимо убедиться, что в качестве источника пользователей выбрана внутренняя БД дженкинса.

Далее идём в раздел Управление пользователями.

Там будет кнопка “Создать пользователя”

Настройка прав доступа

Должен быть установлен плагин Matrix Authorization Strategy. Он устанавливается в числе рекомендованных плагинов если вы выбрали этот путь в мастере установки дженкинса.

Этот плагин добавляет в разделе с настройками безопасности таблицу, где столбцы это права, а строки это пользователи.

Важно: при выборе этого способа авторизации не забудьте сразу выдать пользователю admin полные права. Если всё же у вас пропал доступ к настройке системы, то его можно вернуть отредактировав файл /var/jenkins_home/config.xml. Необходимо в строчке <useSecurity>true</useSecurity> написать false и перезапустить дженкинс.

Nexus является популярным менеджером репозиториев (repository manager). Он используется для хранения артефактов или прокси, т.е. всё что выкачивается через него, сохраняется в нём.

yum install java-1.8.0-openjdk java-1.8.0-openjdk-devel createrepo



wget http://download.sonatype.com/nexus/3/latest-unix.tar.gz



tar xvf latest-unix.tar.gz -C /opt/



ln -s /opt/nexus-*/ /opt/nexus

useradd -m -r -s /bin/false nexus



chown -R nexus:nexus /opt/nexus-* /opt/sonatype-work /opt/nexus

vim /opt/nexus/bin/nexus.rc

run_as_user="nexus"

vim /etc/systemd/system/nexus.service



[Unit]

Description=nexus service

After=network.target



[Service]

Type=forking

ExecStart=/opt/nexus/bin/nexus start

ExecStop=/opt/nexus/bin/nexus stop

User=nexus

Restart=on-abort



[Install]

WantedBy=multi-user.target

Уменьшить количество потребляемой оперативной памяти:

vim /var/nexus/nexus-3.19.1-01/bin/nexus.vmoptions
меняем
-Xms2703m
-Xmx2703m
на
-Xms512m
-Xmx512m

systemctl daemon-reload && systemctl enable nexus



systemctl start nexus && systemctl status nexus

WEB-интерфейс

http://<Nexus-server-ip-address>:8081

для авторизации в качестве логина используйте
admin
пароль можно посмотреть тут:

cat /opt/sonatype-work/nexus3/admin.password

также по умолчанию пароль может быть следующим:
Login: admin

Password: admin123

Настройка ротации логов Nexus

cat /etc/logrotate.d/nexus

/opt/sonatype-work/nexus3/log/*.log {
daily
dateext
copytruncate
missingok
rotate 3
compress
delaycompress
notifempty
}

отметим что в директории в которой установлен nexux должно быть не меньше 5Gb.

стартуем

systemctl start nexus

добавляем в автозапуск

systemctl enable nexus

логи хранятся тут:

/opt/sonatype-work/nexus3/log/

для удобства создадим симлинк
mkdir /var/log/nexus

ln -s /opt/sonatype-work/nexus3/log/ /var/log/nexus/

========================================================================

Описание работы с данной утилитой

Общий репозиторий:

не забываем включить анонимный доступ чтоб реп работал:
Anonymous — > Allow anonymous users to access the server

Далее переходим к списку репозиториев:

Создаём новый proxy репозиторий (create reposytory — > yum(proxy))

Name: test-repo-epel

ProxyRemote storage:  http://mirror.centos.org/centos-7/7/os/x86_64/

после чего нажимаем create reposytory

Создаём ещё один proxy репозиторий (create reposytory — > yum(proxy))
Name: yum-centos-7-repo_updates
Remote storage: http://mirror.centos.org/centos-7/7/updates/x86_64/

Создаём yum group

Name: yum-repo-group

добавляем в него 2 созданных нами прокси  и сохраняем.

всё, репозиторий создан.

Теперь чтобы использовать его необходимо пройти в раздел:
reposytory -> Repositories -> yum-repo-group
получаем следующую ссылку:
http://192.168.1.171:8081/repository/yum-repo-group/

и на целевой тачке создаем репозиторий:

cat /etc/yum.repos.d/Centos-7-Nexus.repo

[Centos-7-Nexus]

baseurl = http://192.168.1.177:8081/repository/yum-repo-group/

gpgcheck = 1

enabled=1

gpgkey = file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

name = Centos-Nexus

сохраняем и проверяем.

=======================================================================

Общий репозиторий docker:

создаём docker(hosted):
repositories -> create repository -> docker(hosted)

Name: docker-private
type hosted

http: 8083

можно ещё добавить для https

Нажимаем save

создаём docker(proxy):

repositories -> create repository -> docker(proxy)
Name: docker-hub
type proxy
remote storage: https://registry-1.docker.io
docker index: выбирем Use Docker Hub

Нажимаем save

создаём docker(group):

repositories -> create repository -> docker(group)
Name: docker-group
http:8082
и добавляем в него docker-private  docker-hub

Нажимаем save.

На целевой тачке добавляем:

cat /etc/docker/daemon.json
{
"insecure-registries": ["192.168.1.177:8081","192.168.1.177:8082","192.168.1.177:8083"],
"experimental": true
}

Далее необходимо залогиниться в nexus репозитории:
docker login http://192.168.1.177:8082/repository/docker-group

!!! ВАЖНО. Если вы используете прокси, то необходимо убрать его, перезапустить демон, и рестартануть docker(reload не хватит):

mv /etc/systemd/system/docker.service.d/http-proxy.conf /home/

systemctl daemon-reload

systemctl restart docker

проверить, что прокся не задействована вы можете с помощью команды:

docker info

в её выводе не должно быть прокси.

При логине в  192.168.1.177:8082/repository/docker-group в качестве логина и пароля надо указывать или тех пользователей которые вы создали в nexus или главного пользователя с которым вы авторизовались в nexus  admin admin123

чтобы выкачать образ необходимо указывать адрес источника, т.е.:
docker pull 192.168.1.177:8082/httpd

docker images
REPOSITORY TAG IMAGE ID CREATED SIZE
192.168.1.177:8082/nginx latest e445ab08b2be 37 hours ago 126MB
192.168.1.177:8082/httpd latest ee39f68eb241 12 days ago 154MB

переименуем наш образ и загрузим его в nexus:
docker tag 192.168.1.177:8082/nginx 192.168.1.177:8082/nginx33:3

docker push 192.168.1.177:8082/nginx33:3

========================================

чтобы использовать nexus как прокси для скачивания обновлений или докер образов надо пройти в:
System -> HTTP -> HTTP(s) Proxy 
указываем ip и port нашего прокси, также можем задать список адресов которые исключаются из прокси(т.е. обращаясь к ним запрос не пойдёт через проксю)
Hosts to exclude from HTTP/HTTPS proxy
и нажимаем saveне забываем логиниться
docker login 192.168.1.177:8082

=========================================

чтобы использовать nexus как прокси для установки через pip
надо создать репозиторий:
Create repository — pypi (proxy) задаём имя (произвольное) в качестве remote storage указываем
https://pypi.org
сохраняем, далее создаём pypi(group) задаём имя (произвольное) добавляем в группу ранее созданый прокси репозиторий и сохраняем
получаем ссылку группы:
http://192.168.1.177:8082/repository/pypi-repo/

далее на целевой тачке создаём файл pip.conf

cat /etc/pip.conf

[global]

index = http://192.168.1.177:8082/repository/pypi-repo/pypi

index-url = http://192.168.1.177:8082/repository/pypi-repo/simple

и запускаем установку так:

pip install pypi-install --trusted-host 192.168.1.177

Источник: https://sidmid.ru/nexus-install-and-settings/

Это краткая напоминалка для шифрования YAML-файлов с секретами, которые публикуются в Git. Удобно для дальнейшей интеграции с Flux2ArgoCD (через Helm Secrets плагин)

Вместо тысячи слов: Age is a simple, modern and secure file encryption tool, format, and Go library. Рекомендуется пользоваться age вместо GPG – по крайней мере, так рекомендуют сами разработчики sops.

Инструкция ниже была выполнена на Ubuntu 20.04 в WSL2

Getting started

• Необходимо сформировать приватный и публичный ключи, на основе которых будет производиться шифрование:

# создать каталог, где age по умолчанию будет искать ключи

mkdir -p $HOME/.config/sops/age/

 

# сгенерировать ключи

age-keygen -o $HOME/.config/sops/age/keys.txt

 

# добавить публичный ключ в переменную

PUB_KEY=$(cat $HOME/.config/sops/age/keys.txt | grep "public" | awk '{print $4}')

• В данном примере будут шифроваться yaml файлы с чувствительными данными. Поэтому для необходимых полей yaml необходимо создать маску. В encrypted_regex добавить необходимые значения полей, а в age – публичный ключ, сформированный на предыдущем шаге в файле $HOME/.config/sops/age/key.txt:

cat > $HOME/.sops.yaml << EOF

creation_rules:

  - encrypted_regex: '^(data|key|password)$'

    age: $(echo $PUB_KEY)

EOF

К файлу .sops.yaml и keys.txt sops будет обращаться при каждом выполнении.

Так как $HOME/.config/sops/age/keys.txt – путь по умолчанию, sops не требуется явно передавать путь к файлу ключей. Но при необходимости его также можно задавать через переменную окружения – export SOPS_AGE_KEY_FILE=$HOME/.config/sops/age/keys.tx

• Теперь можно создать файл-пример:

cat > $HOME/secret.yaml << EOF

apiVersion: v1

kind: Secret

metadata:

  name: mysecret

type: Opaque

data:

  USER_NAME: bob

  PASSWORD: strongpass

EOF

• И при наличии всех необходимых данных выполнить шифрование:

sops -e -i secret.yaml

• На выходе будет файл с тем же именем, но с шифрованным содержимым в поле data:

cat secret.yaml

apiVersion: v1

kind: Secret

metadata:

    name: mysecret

type: Opaque

data:

    USER_NAME: ENC[AES256_GCM,data:BQ6O,iv:XyjcRI5/TzDykCQo6a9FoDotHjJlYNGH+4Yq30F+5k4=,tag:YNyd8LnwMnmHe0TUm5wKhg==,type:str]

    PASSWORD: ENC[AES256_GCM,data:dD3prw2Cs9VOxw==,iv:2adiZTUmXrIHnpwrgAvJvsMafvrG+DDGXhUKD/C9nio=,tag:Xbl9NCuVdFRwED1AuXFtQA==,type:str]

sops:

    kms: []

    gcp_kms: []

    azure_kv: []

    hc_vault: []

    age:

        - recipient: age10teuyr66yq0glkkdp8w8adpvuty7xl4vhp6ergna8k95r68g9p7q5gvt94

          enc: |

            -----BEGIN AGE ENCRYPTED FILE-----

            YWdlLWVuY3J5cHRpb24ub3JnL3YxCi0+IFgyNTUxOSBGdVRaTU1OT2g2SkhhK2tm

            ckpCZ0pWanBTYXJBdloybXVvYzNKeUFLM3lnCnUvd2FtbDAzZFlIY2ZHTEwyYmFs

            MWl0VmNldnk0VzBzSUdCZmJzZ0VZaU0KLS0tIFJ6ZzJyZmxKYUE5cjRVdVViVzV6

            ZFVLN3V0N3dUQ1lPSjUxZE0xMXh0SjgKFNwNL2bDPhuTZU7qb46ZPQ+qWm0dcSUf

            mt2xZismI0/g9oZH1K4CzMkrgYHDketCDPFLDZ9lRPha7jZzY9lKNA==

            -----END AGE ENCRYPTED FILE-----

    lastmodified: "2022-12-29T10:46:46Z"

    mac: ENC[AES256_GCM,data:ZEKJyGWWvKlP2/nrxosy7tLbiNx0p6Eu0+wYLz69NHjwa1bzIWAzVNXKQgZy1fWLT/AGlgwqTfx5zg8bg0iv43dHqL+NhIhTrqMLPlmYO/IiCn9PBfSY0UVdUwoz2E9QLCDHFaBvOqK5Q9EVkAApjsTwC39KlofPkwB5f+5FKqY=,iv:6hfqwbsUWHxkEWILMa5SrRnpPM81W2lX4gNntbxvoW0=,tag:lWl47uddfa4N/lQ0J+0fBA==,type:str]

    pgp: []

    encrypted_regex: ^(data|key|password)$

    version: 3.7.3

• Для расшифровки:

sops -d -i secret.yaml

 

apiVersion: v1

kind: Secret

metadata:

    name: mysecret

type: Opaque

data:

    USER_NAME: bob

    PASSWORD: strongpass

• При необходимости можно задать расширение (например, enc), указав, что файл зашифрован:

sops -e secret.yaml > secret.yaml.enc

• И дешифровать

sops -d --input-type yaml --output-type yaml secret.yaml.enc

Важно указать явно input и output формат – yaml. Этого нет в документации, см issue

VSCode extensions

Для удобства работы с шифрованными секретами можно установить плагин для VSC, который позволяет налету производить расшифровку. Плагин не требует настройки, если путь для хранения публичныхприватных ключей в linux лежит по пути $HOME/.config/sops/age/ – можно сразу открывать шифрованные файлы после установки и работать с ними.

Источник: https://it-lux.ru/sops-age/