feat(prezentacja): wolumen na konta zakładane z aplikacji (PRE-27)

Ekran „Konta" zapisuje konta do pliku, więc prezentacja potrzebuje trwałego miejsca — inaczej wszystkie konta znikałyby przy restarcie poda. subPath, NIE cały udział: prezentacja dostaje wyłącznie własny podkatalog `presentation-state` i nie widzi baz interpretacyjnych. Zamontowanie tu całego /mnt/Tank1/astrololo dałoby jej wgląd w bazy i obeszłoby bokiem zamknięcie dostępu z DAN-25. Konto administracyjne zostaje w APP_USER/APP_PASSWORD z sekretu — celowo poza plikiem, żeby nie dało się go skasować ani ograniczyć z aplikacji. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
sec(astrololo): pody bez tokenu konta serwisowego (LOG-33)
2026-08-06 21:45:24 +02:00 · 2026-08-04 17:08:39 +02:00 · 2026-08-04 13:18:01 +00:00 · 2026-08-04 11:43:36 +00:00 · 2026-08-04 10:59:11 +00:00 · 2026-08-04 10:29:00 +00:00
6 changed files with 37 additions and 4 deletions
@@ -9,6 +9,10 @@ spec:
  template:
    metadata: { labels: { app: data } }
    spec:
+      # LOG-33: pody nie rozmawiają z API Kubernetesa, więc token konta
+      # serwisowego jest im niepotrzebny — a zamontowany byłby gotowym
+      # punktem wyjścia do klastra dla kogoś, kto przejmie kontener.
+      automountServiceAccountToken: false
      imagePullSecrets: [{ name: gitea-registry }]
      containers:
        - name: data
@@ -10,10 +10,10 @@ resources:
  - ingress.yaml # wejście po https + przekierowanie z http
 images:
  - name: gitea.czernobog.pl/gitea/astrololo-data
-    newTag: b36b3bee
+    newTag: 70c83cfc
  - name: gitea.czernobog.pl/gitea/astrololo-logic
-    newTag: b36b3bee
+    newTag: 70c83cfc
  - name: gitea.czernobog.pl/gitea/astrololo-render
    newTag: latest
  - name: gitea.czernobog.pl/gitea/astrololo-presentation
-    newTag: a9f2a038
+    newTag: 70c83cfc
@@ -9,6 +9,10 @@ spec:
  template:
    metadata: { labels: { app: logic } }
    spec:
+      # LOG-33: pody nie rozmawiają z API Kubernetesa, więc token konta
+      # serwisowego jest im niepotrzebny — a zamontowany byłby gotowym
+      # punktem wyjścia do klastra dla kogoś, kto przejmie kontener.
+      automountServiceAccountToken: false
      imagePullSecrets: [{ name: gitea-registry }]
      containers:
        - name: logic
@@ -9,6 +9,10 @@ spec:
  template:
    metadata: { labels: { app: presentation } }
    spec:
+      # LOG-33: pody nie rozmawiają z API Kubernetesa, więc token konta
+      # serwisowego jest im niepotrzebny — a zamontowany byłby gotowym
+      # punktem wyjścia do klastra dla kogoś, kto przejmie kontener.
+      automountServiceAccountToken: false
      imagePullSecrets: [{ name: gitea-registry }]
      containers:
        - name: presentation
@@ -56,9 +60,26 @@ spec:
                secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_RENDER }
            - name: LINK_ENCRYPTION_REQUIRED
              value: "true"
+            # Konta zakładane z ekranu „Konta" (PRE-26). Konto administracyjne
+            # zostaje w APP_USER/APP_PASSWORD powyżej — celowo, bo dzięki temu
+            # NIE DA SIĘ go skasować ani ograniczyć z aplikacji.
+            - name: ACCOUNTS_FILE
+              value: "/app/state/accounts.json"
+          volumeMounts:
+            # subPath, NIE cały udział: prezentacja dostaje wyłącznie własny
+            # podkatalog i nie widzi baz interpretacyjnych. Zamontowanie tu całego
+            # /mnt/Tank1/astrololo obeszłoby bokiem zamknięcie dostępu z DAN-25.
+            - name: state
+              mountPath: /app/state
+              subPath: presentation-state
          resources:
            requests: { cpu: "100m", memory: "128Mi" }
            limits:   { cpu: "300m", memory: "256Mi" }
+      volumes:
+        - name: state
+          nfs:
+            server: 192.168.1.34
+            path: /mnt/Tank1/astrololo
 ---
 apiVersion: v1
 kind: Service
@@ -19,6 +19,10 @@ spec:
  template:
    metadata: { labels: { app: render } }
    spec:
+      # LOG-33: pody nie rozmawiają z API Kubernetesa, więc token konta
+      # serwisowego jest im niepotrzebny — a zamontowany byłby gotowym
+      # punktem wyjścia do klastra dla kogoś, kto przejmie kontener.
+      automountServiceAccountToken: false
      imagePullSecrets: [{ name: gitea-registry }]
      containers:
        - name: render
@@ -8,7 +8,7 @@ resources:
  - deploy-bot-backup.yaml
 images:
  - name: gitea.czernobog.pl/gitea/conjurer-librarian
-    newTag: fbd1ec9f
+    newTag: ae1bd677
  - name: gitea.czernobog.pl/gitea/conjurer-bot
    newTag: fbd1ec9f
  # Production bot channel - only bumped when a [deploy]-tagged build appears.
Author	SHA1	Message	Date
gitea	4bf16c41d0	feat(prezentacja): wolumen na konta zakładane z aplikacji (PRE-27) Ekran „Konta" zapisuje konta do pliku, więc prezentacja potrzebuje trwałego miejsca — inaczej wszystkie konta znikałyby przy restarcie poda. subPath, NIE cały udział: prezentacja dostaje wyłącznie własny podkatalog `presentation-state` i nie widzi baz interpretacyjnych. Zamontowanie tu całego /mnt/Tank1/astrololo dałoby jej wgląd w bazy i obeszłoby bokiem zamknięcie dostępu z DAN-25. Konto administracyjne zostaje w APP_USER/APP_PASSWORD z sekretu — celowo poza plikiem, żeby nie dało się go skasować ani ograniczyć z aplikacji. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-06 21:45:24 +02:00
gitea	abc0f98034	sec(astrololo): pody bez tokenu konta serwisowego (LOG-33) Wszystkie cztery usługi biegły na koncie `default` z AUTOMATYCZNIE montowanym tokenem API Kubernetesa. Żadna z nich nie rozmawia z API klastra — sekrety dostają przez `secretKeyRef`, który wstrzykuje kubelet, nie pod. Token był więc zbędny, a leżał w każdym kontenerze jako gotowy punkt wyjścia do klastra dla kogoś, kto przejmie proces (np. przez lukę w zależności). `automountServiceAccountToken: false` w szablonie poda data/logic/presentation/ render. Zweryfikowane `kubectl kustomize` — pole trafia do `.spec.template.spec`, nie do specu Deploymentu (tam byłoby ciche i bez efektu). Zero wpływu na działanie: nic w kodzie nie woła API Kubernetesa. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-08-04 17:08:39 +02:00
argocd-image-updater	71b9fe0842	build: automatic update of conjurer updates image gitea/conjurer-librarian tag '9f22dbf9' to 'ae1bd677'	2026-08-04 13:18:01 +00:00
argocd-image-updater	261b41240d	build: automatic update of conjurer updates image gitea/conjurer-librarian tag 'fbd1ec9f' to '9f22dbf9'	2026-08-04 11:43:36 +00:00
argocd-image-updater	de4d41808a	build: automatic update of astrololo updates image gitea/astrololo-data tag '4c1e7f88' to '70c83cfc' updates image gitea/astrololo-logic tag '4c1e7f88' to '70c83cfc' updates image gitea/astrololo-presentation tag '4c1e7f88' to '70c83cfc'	2026-08-04 10:59:11 +00:00
argocd-image-updater	b9289c4f8c	build: automatic update of astrololo updates image gitea/astrololo-data tag 'dd32f7e8' to '4c1e7f88' updates image gitea/astrololo-logic tag 'dd32f7e8' to '4c1e7f88' updates image gitea/astrololo-presentation tag 'd3d9b365' to '4c1e7f88'	2026-08-04 10:29:00 +00:00
argocd-image-updater	536b2bbbbb	build: automatic update of astrololo updates image gitea/astrololo-presentation tag 'dd32f7e8' to 'd3d9b365'	2026-08-03 23:04:28 +00:00
argocd-image-updater	e2af5e331e	build: automatic update of astrololo updates image gitea/astrololo-data tag '78af6d47' to 'dd32f7e8' updates image gitea/astrololo-logic tag '7b435d42' to 'dd32f7e8' updates image gitea/astrololo-presentation tag '7b435d42' to 'dd32f7e8'	2026-08-03 22:34:20 +00:00
argocd-image-updater	1a02704422	build: automatic update of astrololo updates image gitea/astrololo-data tag 'b36b3bee' to '78af6d47'	2026-08-03 20:33:52 +00:00
argocd-image-updater	91890b701e	build: automatic update of astrololo updates image gitea/astrololo-logic tag 'b36b3bee' to '7b435d42' updates image gitea/astrololo-presentation tag 'a9f2a038' to '7b435d42'	2026-08-03 19:38:53 +00:00