Compare commits
2 Commits
| Author | SHA1 | Date | |
|---|---|---|---|
 gitea
|
a30a4afece | ||
|
gitea
|
d4a57cc4f5 |
@@ -8,21 +8,6 @@ Warstwy: `presentation` (wejście z przeglądarki przez **Ingress po https**)
|
||||
|
||||
Adres aplikacji: **https://astrololo.czernobog.pl** — patrz [TLS](#-tls--wymagane-kroki-przed-wdrożeniem).
|
||||
|
||||
## Co śledzi image-updater — [`image-updater.yaml`](image-updater.yaml)
|
||||
|
||||
Lista obrazów podbijanych automatycznie jest **jawna** i żyje w CRD `ImageUpdater`
|
||||
(ns `argocd`). Obraz, którego na niej nie ma, **nigdy się nie podbije**, choćby CI
|
||||
go budowało — tak przez chwilę wisiał `render` na `:latest`, zanim dopisaliśmy go do
|
||||
listy. Dodając nową usługę, dopisz jej wpis w `image-updater.yaml` i nałóż:
|
||||
|
||||
```bash
|
||||
kubectl apply -f astrololo/image-updater.yaml
|
||||
```
|
||||
|
||||
Ten plik **celowo nie jest w `kustomization.yaml`**: resource stoi w ns `argocd`
|
||||
(poza namespace docelowym aplikacji), a to konfiguracja kontrolera, który wdraża tę
|
||||
aplikację — nakładamy go ręcznie, w repo trzymamy dla odtwarzalności i historii.
|
||||
|
||||
## ⚠️ Sekret `astrololo-auth` — utwórz PRZED wdrożeniem
|
||||
|
||||
Aplikacja wystawia treść **oryginalnych baz interpretacyjnych**, dlatego wymaga
|
||||
|
||||
@@ -1,44 +0,0 @@
|
||||
# Konfiguracja argocd-image-updater dla astrololo — ŹRÓDŁO PRAWDY tego, CO śledzimy.
|
||||
#
|
||||
# Model v1.x: osobny CRD `ImageUpdater` w ns `argocd` (nie adnotacje na Application).
|
||||
# Lista `images` jest JAWNA — obraz, którego tu NIE MA, nigdy nie zostanie podbity,
|
||||
# choćby CI go budowało. Tak przez chwilę wisiał `render` na `:latest` (PRE-24):
|
||||
# usługa istniała i budowała tag SHA, ale updater jej nie znał, więc kustomization
|
||||
# jej nie ruszał. Dopisanie wpisu = wejście usługi do rotacji.
|
||||
#
|
||||
# ⚠️ TEGO PLIKU NIE MA w astrololo/kustomization.yaml i NIE MA GO TAM MIEĆ:
|
||||
# 1. resource żyje w ns `argocd`, a Application astrololo celuje w ns `astrololo`
|
||||
# — auto-sync przez kustomize próbowałby zapisać poza swój namespace docelowy;
|
||||
# 2. to konfiguracja kontrolera, który wdraża tę właśnie aplikację — niech app
|
||||
# nie zarządza narzędziem, które ją wdraża.
|
||||
# Plik jest trzymany w repo dla odtwarzalności i historii; nakłada się go RĘCZNIE:
|
||||
# kubectl apply -f astrololo/image-updater.yaml
|
||||
#
|
||||
# Strategia `newest-build`: updater bierze obraz o NAJNOWSZYM znaczniku czasu builda
|
||||
# i zapisuje jego tag SHA do kustomization (write-back git). Uwaga na reprodukowalne
|
||||
# buildy — identyczny `created` na kilku tagach potrafi zablokować wybór najnowszego.
|
||||
apiVersion: argocd-image-updater.argoproj.io/v1alpha1
|
||||
kind: ImageUpdater
|
||||
metadata:
|
||||
name: astrololo
|
||||
namespace: argocd
|
||||
spec:
|
||||
applicationRefs:
|
||||
- namePattern: astrololo
|
||||
images:
|
||||
- alias: data
|
||||
imageName: gitea.czernobog.pl/gitea/astrololo-data
|
||||
- alias: logic
|
||||
imageName: gitea.czernobog.pl/gitea/astrololo-logic
|
||||
- alias: presentation
|
||||
imageName: gitea.czernobog.pl/gitea/astrololo-presentation
|
||||
- alias: render
|
||||
imageName: gitea.czernobog.pl/gitea/astrololo-render
|
||||
commonUpdateSettings:
|
||||
updateStrategy: newest-build
|
||||
writeBackConfig:
|
||||
method: git:secret:argocd/git-creds
|
||||
gitConfig:
|
||||
repository: https://gitea.czernobog.pl/gitea/deploy.git
|
||||
branch: master
|
||||
writeBackTarget: kustomization:/astrololo
|
||||
@@ -5,15 +5,12 @@ resources:
|
||||
- data.yaml
|
||||
- logic.yaml
|
||||
- presentation.yaml
|
||||
- render.yaml # składanie raportu PDF (PRE-24), osobny obraz z TeX Live
|
||||
- tls.yaml # certyfikat z własnego CA (wymaga cert-managera)
|
||||
- ingress.yaml # wejście po https + przekierowanie z http
|
||||
images:
|
||||
- name: gitea.czernobog.pl/gitea/astrololo-data
|
||||
newTag: 8ebce816
|
||||
newTag: 877ec91f
|
||||
- name: gitea.czernobog.pl/gitea/astrololo-logic
|
||||
newTag: 8ebce816
|
||||
- name: gitea.czernobog.pl/gitea/astrololo-render
|
||||
newTag: latest
|
||||
newTag: 163ace42
|
||||
- name: gitea.czernobog.pl/gitea/astrololo-presentation
|
||||
newTag: 8ebce816
|
||||
newTag: 163ace42
|
||||
|
||||
@@ -46,14 +46,6 @@ spec:
|
||||
# Bez klucza usługa ma NIE wstać, a klient ma nie wysłać niczego.
|
||||
# Sam serwer broni się fail-closed, ale to za mało: klient bez klucza
|
||||
# zdążyłby wypuścić zapytanie jawnym tekstem, zanim dostanie odmowę.
|
||||
# Usługa składająca PDF (PRE-24) — osobny komponent.
|
||||
- name: RENDER_URL
|
||||
value: "http://render:8004" # discovery po nazwie Service
|
||||
# Trzeci klucz łącza: prezentacja ↔ render. Osobny, bo tym łączem
|
||||
# idzie CAŁY raport (dane urodzeniowe + opisy z baz).
|
||||
- name: LINK_KEY_PRESENTATION_RENDER
|
||||
valueFrom:
|
||||
secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_RENDER }
|
||||
- name: LINK_ENCRYPTION_REQUIRED
|
||||
value: "true"
|
||||
resources:
|
||||
|
||||
@@ -1,69 +0,0 @@
|
||||
# Usługa render — składanie raportu PDF (PRE-24).
|
||||
#
|
||||
# OSOBNY komponent, nie część prezentacji, z tego samego powodu co silnik
|
||||
# swisseph (LOG-27): obraz dźwiga TeX Live, czyli setki megabajtów. W obrazie
|
||||
# produktu spowalniałby każdy build i deploy; tak aktualizuje się niezależnie,
|
||||
# a jego awaria nie kładzie aplikacji — psuje się tylko przycisk „Pobierz PDF".
|
||||
#
|
||||
# Rozmawia WYŁĄCZNIE z prezentacją, po szyfrowanym łączu z własnym, trzecim
|
||||
# kluczem. Wystawiona jako ClusterIP — bez NodePort i bez Ingressu, bo nie ma
|
||||
# powodu, żeby ktokolwiek sięgał do niej z zewnątrz.
|
||||
apiVersion: apps/v1
|
||||
kind: Deployment
|
||||
metadata:
|
||||
name: render
|
||||
namespace: astrololo
|
||||
spec:
|
||||
replicas: 1
|
||||
selector: { matchLabels: { app: render } }
|
||||
template:
|
||||
metadata: { labels: { app: render } }
|
||||
spec:
|
||||
imagePullSecrets: [{ name: gitea-registry }]
|
||||
containers:
|
||||
- name: render
|
||||
image: gitea.czernobog.pl/gitea/astrololo-render:latest
|
||||
ports: [{ containerPort: 8004 }]
|
||||
env:
|
||||
# Token międzywarstwowy (LOG-32) — ta usługa dostaje CAŁY raport:
|
||||
# dane urodzeniowe i opisy z baz.
|
||||
- name: INTERNAL_TOKEN
|
||||
valueFrom:
|
||||
secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
|
||||
# Szyfrowanie łącza (PRE-16/PRE-24). OSOBNY klucz na parę rozmówców:
|
||||
# przejęcie klucza renderu nie może otwierać łącza do logiki ani danych.
|
||||
- name: LINK_KEY_PRESENTATION_RENDER
|
||||
valueFrom:
|
||||
secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_RENDER }
|
||||
- name: LINK_ENCRYPTION_REQUIRED
|
||||
value: "true"
|
||||
# XeLaTeX na obszernym raporcie potrafi zjeść sporo pamięci i CPU,
|
||||
# ale tylko na chwilę — stąd wyraźna różnica między request a limit.
|
||||
resources:
|
||||
requests: { cpu: "100m", memory: "256Mi" }
|
||||
limits: { cpu: "1500m", memory: "1Gi" }
|
||||
# Kompilacja pisze wyłącznie do katalogu tymczasowego, który sprząta po
|
||||
# sobie. Dajemy na to emptyDir i zamykamy resztę systemu plików —
|
||||
# raport nie ma prawa zostawić śladu w kontenerze.
|
||||
volumeMounts:
|
||||
- { name: tmp, mountPath: /tmp }
|
||||
securityContext:
|
||||
readOnlyRootFilesystem: true
|
||||
allowPrivilegeEscalation: false
|
||||
readinessProbe:
|
||||
httpGet: { path: /health, port: 8004 }
|
||||
initialDelaySeconds: 5
|
||||
periodSeconds: 15
|
||||
volumes:
|
||||
- name: tmp
|
||||
emptyDir: { sizeLimit: 512Mi }
|
||||
---
|
||||
apiVersion: v1
|
||||
kind: Service
|
||||
metadata:
|
||||
name: render
|
||||
namespace: astrololo
|
||||
spec:
|
||||
type: ClusterIP # tylko dla prezentacji, bez wejścia z zewnątrz
|
||||
selector: { app: render }
|
||||
ports: [{ port: 8004, targetPort: 8004 }]
|
||||
@@ -1,59 +0,0 @@
|
||||
apiVersion: apps/v1
|
||||
kind: Deployment
|
||||
metadata:
|
||||
name: bot
|
||||
namespace: conjurer
|
||||
spec:
|
||||
replicas: 1 # NIGDY więcej — jedna sesja gateway na token
|
||||
strategy: { type: Recreate } # NIE RollingUpdate — dwa pody = wojna o sesję Discord
|
||||
selector: { matchLabels: { app: bot } }
|
||||
template:
|
||||
metadata: { labels: { app: bot } }
|
||||
spec:
|
||||
imagePullSecrets: [{ name: gitea-registry }]
|
||||
containers:
|
||||
- name: bot
|
||||
image: gitea.czernobog.pl/gitea/conjurer-bot:c8aae106
|
||||
ports: [{ containerPort: 5000 }]
|
||||
env:
|
||||
- { name: CONJURER_DATA_DIR, value: "/data" }
|
||||
- { name: CONJURER_DISCORD_HOST, value: "0.0.0.0" }
|
||||
- { name: CONJURER_DISCORD_PORT, value: "5000" }
|
||||
- { name: CONJURER_API_KEY, value: "d97008b3-7a5a-11f1-acd1-000b0e0f00ed" }
|
||||
- { name: CONJURER_NETRC_FILE, value: "/secrets/.netrc" }
|
||||
# ↓ NAZWY PODSTAW WG WYNIKU grepa z 0.2 ↓
|
||||
- { name: CONJURER_LIBRARIAN_SERVICE, value: "http://librarian:5001" }
|
||||
- { name: CONJURER_MUSICIAN_SERVICE, value: "http://192.168.1.89:5000" }
|
||||
- { name: CONJURER_RADIO_SERVICE, value: "http://192.168.1.79:5005" }
|
||||
- { name: CONJURER_FILE_SERVICE, value: "http://192.168.1.89:5000" }
|
||||
|
||||
- { name: CONJURER_RADIO_HARBOR, value: "http://192.168.1.79:54321" }
|
||||
volumeMounts:
|
||||
- { name: data, mountPath: /data }
|
||||
- { name: netrc, mountPath: /secrets, readOnly: true }
|
||||
resources:
|
||||
requests: { cpu: "200m", memory: "256Mi" }
|
||||
limits: { cpu: "2", memory: "1Gi" }
|
||||
volumes:
|
||||
- name: data
|
||||
persistentVolumeClaim: { claimName: bot-data }
|
||||
- name: netrc
|
||||
secret: { secretName: conjurer-netrc }
|
||||
---
|
||||
apiVersion: v1
|
||||
kind: PersistentVolumeClaim
|
||||
metadata: { name: bot-data, namespace: conjurer }
|
||||
spec:
|
||||
accessModes: [ReadWriteOnce]
|
||||
resources: { requests: { storage: 2Gi } }
|
||||
---
|
||||
apiVersion: v1
|
||||
kind: Service
|
||||
metadata: { name: bot, namespace: conjurer }
|
||||
spec:
|
||||
type: NodePort # radio/musician z Dockera muszą go dosięgnąć
|
||||
selector: { app: bot }
|
||||
# nodePort PRZYPIĘTY na sztywno. Bez tego k8s losuje port z 30000-32767 przy
|
||||
# (od)tworzeniu Service, a musician/betoniarka z Dockera adresują bota po
|
||||
# http://192.168.1.73:32442 na sztywno - rozjazd = wyniki/eventy giną w locie.
|
||||
ports: [{ port: 5000, targetPort: 5000, nodePort: 32442 }]
|
||||
@@ -1,19 +0,0 @@
|
||||
apiVersion: argocd-image-updater.argoproj.io/v1alpha1
|
||||
kind: ImageUpdater
|
||||
metadata:
|
||||
name: conjurer
|
||||
namespace: argocd
|
||||
spec:
|
||||
commonUpdateSettings:
|
||||
updateStrategy: "newest-build"
|
||||
writeBackConfig:
|
||||
method: "git:secret:argocd/git-creds"
|
||||
gitConfig:
|
||||
repository: "https://gitea.czernobog.pl/gitea/deploy.git"
|
||||
branch: "master" # ← gałąź repo deploy
|
||||
writeBackTarget: "kustomization:/conjurer"
|
||||
applicationRefs:
|
||||
- namePattern: "conjurer"
|
||||
images:
|
||||
- { alias: "librarian", imageName: "gitea.czernobog.pl/gitea/conjurer-librarian" }
|
||||
- { alias: "bot", imageName: "gitea.czernobog.pl/gitea/conjurer-bot" }
|
||||
@@ -1,11 +0,0 @@
|
||||
apiVersion: kustomize.config.k8s.io/v1beta1
|
||||
kind: Kustomization
|
||||
resources:
|
||||
- namespace.yaml
|
||||
- librarian.yaml
|
||||
- bot.yaml
|
||||
images:
|
||||
- name: gitea.czernobog.pl/gitea/conjurer-librarian
|
||||
newTag: 40605b95
|
||||
- name: gitea.czernobog.pl/gitea/conjurer-bot
|
||||
newTag: 8e18071b
|
||||
@@ -1,67 +0,0 @@
|
||||
apiVersion: apps/v1
|
||||
kind: Deployment
|
||||
metadata:
|
||||
name: librarian
|
||||
namespace: conjurer
|
||||
spec:
|
||||
replicas: 1
|
||||
selector: { matchLabels: { app: librarian } }
|
||||
template:
|
||||
metadata: { labels: { app: librarian } }
|
||||
spec:
|
||||
imagePullSecrets: [{ name: gitea-registry }]
|
||||
# On SIGTERM the librarian checkpoints the running search and exits within
|
||||
# CONJURER_LIBRARIAN_GRACEFUL_TIMEOUT (default 45s). Give k8s enough grace
|
||||
# to let that finish before it SIGKILLs - otherwise a long scan's checkpoint
|
||||
# is cut short and the search restarts from scratch instead of resuming.
|
||||
terminationGracePeriodSeconds: 60
|
||||
containers:
|
||||
- name: librarian
|
||||
image: gitea.czernobog.pl/gitea/conjurer-librarian:e243777e
|
||||
ports: [{ containerPort: 5001 }]
|
||||
env:
|
||||
- { name: CONJURER_LIBRARIAN_HOST, value: "0.0.0.0" }
|
||||
- { name: CONJURER_LIBRARIAN_PORT, value: "5001" }
|
||||
- { name: CONJURER_LIBRARIAN_DB_PATH, value: "/doi/" }
|
||||
- { name: CONJURER_API_KEY, value: "d97008b3-7a5a-11f1-acd1-000b0e0f00ed" }
|
||||
- { name: CONJURER_LIBRARIAN_MAXTHREADS, value: "40" }
|
||||
- { name: CONJURER_CROSSREF_MAILTO, value: "mtuszowski@gmail.com" }
|
||||
- { name: CONJURER_LIBRARIAN_CHUNK, value: "_chunk.txt" }
|
||||
# Librarian jest W TYM SAMYM klastrze/namespace co bot - gada z nim
|
||||
# po DNS Service'u, nie przez nodePort węzła (ten zostaje tylko dla
|
||||
# zewnętrznych musician/betoniarka z Dockera). Odporne na przetasowania.
|
||||
- { name: CONJURER_MAIN_BOT, value: "http://bot:5000" }
|
||||
|
||||
- { name: CONJURER_LIBRARIAN_STATE_DIR, value: "/lib_temp_files" }
|
||||
|
||||
volumeMounts:
|
||||
- { name: doi, mountPath: /doi, readOnly: true }
|
||||
- { name: state, mountPath: /lib_temp_files }
|
||||
resources:
|
||||
requests: { cpu: "100m", memory: "512Mi" }
|
||||
# Headroom bump: the work-queue OOM is fixed in code, but a deep
|
||||
# search still pulls up to 15000 Crossref records into RAM and the
|
||||
# accumulating result JSONs are loaded whole. 2Gi gives margin so a
|
||||
# big search isn't OOM-killed. Tune down if the node is tight.
|
||||
limits: { cpu: "1", memory: "2Gi" }
|
||||
volumes:
|
||||
- name: doi
|
||||
nfs:
|
||||
server: 192.168.1.34
|
||||
path: /mnt/Tank1/conjurer_swap/librarian_data/base_it1
|
||||
- name: state
|
||||
persistentVolumeClaim: { claimName: librarian-state }
|
||||
---
|
||||
apiVersion: v1
|
||||
kind: PersistentVolumeClaim
|
||||
metadata: { name: librarian-state, namespace: conjurer }
|
||||
spec:
|
||||
accessModes: [ReadWriteOnce]
|
||||
resources: { requests: { storage: 1Gi } }
|
||||
---
|
||||
apiVersion: v1
|
||||
kind: Service
|
||||
metadata: { name: librarian, namespace: conjurer }
|
||||
spec:
|
||||
selector: { app: librarian }
|
||||
ports: [{ port: 5001, targetPort: 5001 }]
|
||||
@@ -1,4 +0,0 @@
|
||||
apiVersion: v1
|
||||
kind: Namespace
|
||||
metadata:
|
||||
name: conjurer
|
||||
Reference in New Issue
Block a user