問題名
監視できない！
問題文
あなたは新しくkubernetesのクラスタを構築しました。そして、クラスタの情報を取得するためにnotifierというアプリケーションを作りました。このアプリケーションは自身がデプロイされたクラスタのPodに関するイベントを外部のサーバにwebhookする機能を持っています。
さて、そのアプリケーションをデプロイしてRunningと表示されるのですが、なぜかイベントを見ることが出来ません。なんとかしてイベントを見れるようにしてください。
条件
- notifierのイメージを変更してはいけない。
- notifierはkubernetesの内部に設置する必要がある。
- default namespaceに別のPodをデプロイする際に、デフォルトで権限を与えすぎないようにする必要がある。
ゴール
miscサーバでlocalhostにcurlすると、最新のイベントが確認できる。
各マシンの説明
k8s
kubernetesが動作しているマシン。kubernetesの上ではnotifierが動作している。また、/manifestsにはnotifierをデプロイする際に使用したマニフェストが保存されている。
- IPアドレス: 192.168.0.1
- ユーザ名: admin
- パスワード: kkkkkkkks
misc
Docker Registryやwebappなどが動作しているマシン。
- IPアドレス: 192.168.0.201
- ユーザ名: admin
- パスワード: kkkkkkkks
各アプリケーションの説明
notifier
kubernetes上で動作しているアプリケーション。kubernetesのPodリソースを監視し、作成, 変更, 削除があった場合には http://misc/webhook にイベント情報を飛ばす。
webapp
misc上で動作しているWebhookを受け取るアプリケーション。notifierから受け取った最新10件のイベント情報を http://misc で公開している。
解説
踏み台サーバを経由してmiscサーバに入りcurl http://miscを実行してみると、確かにログが1件も見えていないことが分かります。
その次に、k8sサーバに入りkubectl get pods, kubectl logs ${POD_NAME}等のコマンドでnotifierのログを見てみます。
条件にもある通り、default namespaceにデプロイされるコンテナに不必要な権限が与えられてしまってはいけないので、まず初めにnotifier用のService Accountを作成します。
notifierが新しく作成したService Accountを使用するようにDeploymentにも変更を加えます。
次に、このService Accountに対し、notifierで必要とされる権限を付与していきます。何度かlogを見ながら試行錯誤していくと、podsに対するlist権限とwatch権限が必要だと分かるので、その2つをnotifierに付与します
最後に想定回答を示します。