feat(astrololo): sekrety logowania i tokenu miedzywarstwowego (LOG-32)

Domyka od strony wdrozenia ochrone dodana w aplikacji (PR #10 w repo astrololo).
Bez tych zmiennych aplikacja startuje OTWARTA, a wystawia tresc oryginalnych
baz interpretacyjnych.

- presentation: APP_PASSWORD + INTERNAL_TOKEN z sekretu, APP_USER i
  RATE_LIMIT_PER_MIN jawnie (nie sa tajne).
- logic, data: INTERNAL_TOKEN z sekretu — bez niego da sie ominac logowanie,
  uderzajac wprost w warstwe nizej. Warstwa danych oddaje SUROWE wiersze,
  wiec to najwrazliwszy punkt.

WARTOSCI SEKRETOW CELOWO NIE TRAFIAJA DO REPO — to GitOps, wiec zostalyby
w historii gita na zawsze i przekreslily caly sens tej zmiany. Manifesty
tylko odwoluja sie do sekretu `astrololo-auth`, tworzonego poza repo — ta sama
konwencja co istniejacy `gitea-registry`.

UWAGA: sekret jest WYMAGANY (bez `optional: true`), wiec pody nie wstana,
dopoki go nie utworzysz. To swiadome: lepsza widoczna awaria niz cichy start
bez ochrony. Instrukcja tworzenia i zmiany hasla w astrololo/README.md.

Przy okazji: poprawiony mylacy komentarz przy EXCEL_DIR — pliki baz ida
z NFS, nie z obrazu (montaz je nadpisuje).

Zwalidowane `kubectl kustomize` dla bazy i profilu swisseph: sekrety trafiaja
do wlasciwych uslug, a w wyniku nie ma zadnego `kind: Secret`.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

astrololo/README.md

@@ -3,25 +3,8 @@
 Manifesty k8s składane Kustomize. Obrazy podbija automatycznie image-updater
 (`kustomization.yaml` → `images: newTag`) po każdym buildzie z repo aplikacji.
 
-Warstwy: `presentation` (wejście z przeglądarki przez **Ingress po https**) →
+Warstwy: `presentation` (NodePort, wejście z przeglądarki) → `logic` → `data`
-`logic` → `data` (pliki Excel montowane **z NFS**, nie z obrazu).
+(pliki Excel montowane **z NFS**, nie z obrazu).
-
-Adres aplikacji: **https://astrololo.czernobog.pl** — patrz [TLS](#-tls--wymagane-kroki-przed-wdrożeniem).
-
-## Co śledzi image-updater — [`image-updater.yaml`](image-updater.yaml)
-
-Lista obrazów podbijanych automatycznie jest **jawna** i żyje w CRD `ImageUpdater`
-(ns `argocd`). Obraz, którego na niej nie ma, **nigdy się nie podbije**, choćby CI
-go budowało — tak przez chwilę wisiał `render` na `:latest`, zanim dopisaliśmy go do
-listy. Dodając nową usługę, dopisz jej wpis w `image-updater.yaml` i nałóż:
-
-```bash
-kubectl apply -f astrololo/image-updater.yaml
-```
-
-Ten plik **celowo nie jest w `kustomization.yaml`**: resource stoi w ns `argocd`
-(poza namespace docelowym aplikacji), a to konfiguracja kontrolera, który wdraża tę
-aplikację — nakładamy go ręcznie, w repo trzymamy dla odtwarzalności i historii.
 
 ## ⚠️ Sekret `astrololo-auth` — utwórz PRZED wdrożeniem
 
@@ -67,156 +50,15 @@ trzech** usług naraz, inaczej przestaną się dogadywać.)
 ### Sprawdzenie po wdrożeniu
 ```bash
 kubectl -n astrololo rollout status deploy/presentation deploy/logic deploy/data
-curl -s -o /dev/null -w "bez hasła: %{http_code}\n"  https://astrololo.czernobog.pl/
+NODE_PORT=$(kubectl -n astrololo get svc presentation -o jsonpath='{.spec.ports[0].nodePort}')
-curl -s -o /dev/null -w "z hasłem: %{http_code}\n" -u astrololo:'<hasło>' https://astrololo.czernobog.pl/
+curl -s -o /dev/null -w "bez hasła: %{http_code}\n"  http://<adres-noda>:$NODE_PORT/
+curl -s -o /dev/null -w "z hasłem: %{http_code}\n" -u astrololo:'<hasło>' http://<adres-noda>:$NODE_PORT/
 ```
 Oczekiwane: **401** bez hasła, **200** z hasłem. `/health` zostaje publiczny (sondy k8s).
 
-## 🔒 TLS — wymagane kroki przed wdrożeniem
-
-Do tej pory Basic Auth szedł siecią po zwykłym http, czyli **hasło dało się
-podsłuchać** (base64 to nie szyfrowanie). Poza tym http blokował dwie funkcje,
-bo przeglądarki udostępniają je wyłącznie w tzw. *secure context*:
-**geolokalizacja** („Tu i teraz") i **kopiowanie do schowka**. Certyfikat załatwia
-oba tematy naraz.
-
-Certyfikat wystawia **własne CA** trzymane w klastrze (cert-manager). Let's Encrypt
-odpada, bo klaster stoi w LAN — walidacja HTTP-01 nie ma jak do niego dojść z
-internetu, a DNS-01 wymagałby trzymania tu tokena API do domeny.
-
-**Kolejność ma znaczenie — oba kroki PRZED synchronizacją ArgoCD.**
-
-### 1. cert-manager (jednorazowo, cały klaster)
-```bash
-kubectl apply -f https://github.com/cert-manager/cert-manager/releases/download/v1.21.0/cert-manager.yaml
-kubectl -n cert-manager rollout status deploy/cert-manager deploy/cert-manager-webhook
-```
-Bez tego API odrzuci `Certificate` i `Issuer` jako nieznane rodzaje zasobów,
-a ArgoCD pokaże aplikację jako niezsynchronizowaną.
-
-### 2. DNS: `astrololo.czernobog.pl` → adres Traefika
-```bash
-kubectl -n kube-system get svc traefik -o jsonpath='{.status.loadBalancer.ingress[*].ip}'; echo
-```
-Wpis w routerze / lokalnym DNS-ie (albo doraźnie `/etc/hosts`). **Service
-`presentation` jest teraz `ClusterIP`** — NodePort był drugą, nieszyfrowaną drogą
-do aplikacji, więc został zdjęty. Zanim DNS zacznie odpowiadać, jedyne wejście to:
-```bash
-kubectl -n astrololo port-forward svc/presentation 8000:8000   # awaryjnie, http://localhost:8000
-```
-
-### 3. Zaufanie do własnego CA (raz na urządzenie)
-Bez tego przeglądarka pokaże ostrzeżenie o certyfikacie. Korzeń ważny 10 lat,
-więc import robisz raz:
-```bash
-kubectl -n astrololo get secret astrololo-ca -o jsonpath='{.data.ca\.crt}' \
-  | base64 -d > astrololo-ca.crt
-
-# macOS — do systemowego zaufania (poprosi o hasło administratora)
-sudo security add-trusted-cert -d -r trustRoot \
-  -k /Library/Keychains/System.keychain astrololo-ca.crt
-
-# Linux (Debian/Ubuntu)
-sudo cp astrololo-ca.crt /usr/local/share/ca-certificates/ && sudo update-ca-certificates
-```
-Firefox ma własny magazyn — tam import przez *Ustawienia → Prywatność →
-Wyświetl certyfikaty → Organy certyfikacji*.
-
-### Sprawdzenie samego TLS
-```bash
-# certyfikat wystawiony i gotowy
-kubectl -n astrololo get certificate
-# oczekiwane: astrololo-ca True, astrololo-tls True
-
-# http odsyła na https
-curl -sI http://astrololo.czernobog.pl/ | head -2       # 301 + Location: https://...
-
-# HSTS obecny
-curl -skI -u astrololo:'<hasło>' https://astrololo.czernobog.pl/ | grep -i strict-transport
-```
-
-### Odnawianie
-Certyfikat serwera żyje 90 dni i odnawia się sam 30 dni przed końcem. Termin jest
-krótki **celowo** — odnawianie sprawdza się wtedy w praktyce co kwartał, a nie
-dopiero za dziesięć lat, gdy nikt nie będzie pamiętał, jak to było skonfigurowane.
-
-## ⚠️ Sekret `astrololo-link` — szyfrowanie między warstwami
-
-Token międzywarstwowy mówi **kto** pyta, ale nie ukrywa **czego dotyczy odpowiedź**
-— a płyną nią surowe wiersze oryginalnych baz. Kto podsłuchał ruch wewnątrz sieci
-(drugi pod, mirror portu na switchu, zrzut z węzła), miał je w całości. Łącza są
-więc szyfrowane **AES-256-GCM**, osobnym kluczem na każdą parę rozmówców.
-
-```bash
-kubectl -n astrololo create secret generic astrololo-link \
-  --from-literal=LINK_KEY_PRESENTATION_LOGIC="$(openssl rand -hex 32)" \
-  --from-literal=LINK_KEY_LOGIC_DATA="$(openssl rand -hex 32)"
-```
-
-Kluczy **nikt nigdy nie musi oglądać** — służą tylko usługom. Rozdzielenie jest
-celowe: przejęcie klucza prezentacji nie daje dostępu do warstwy danych, gdzie
-leżą całe bazy. Logika trzyma oba, bo rozmawia w obie strony; prezentacja i dane
-dostają przez `secretKeyRef` wyłącznie swój.
-
-**Pody nie wstaną bez tych kluczy** (`LINK_ENCRYPTION_REQUIRED=true`) — i tak ma
-być. Usługa, która wstała i po cichu nie szyfruje, jest gorsza niż pod w CrashLoop,
-bo awarii nie widać.
-
-### Wymiana kluczy
-```bash
-kubectl -n astrololo create secret generic astrololo-link \
-  --from-literal=LINK_KEY_PRESENTATION_LOGIC="$(openssl rand -hex 32)" \
-  --from-literal=LINK_KEY_LOGIC_DATA="$(openssl rand -hex 32)" \
-  --dry-run=client -o yaml | kubectl apply -f -
-kubectl -n astrololo rollout restart deploy/presentation deploy/logic deploy/data
-```
-Restart **wszystkich trzech naraz** — w trakcie wymiany warstwy chwilowo się nie
-dogadują (klucze muszą być zgodne po obu stronach łącza).
-
-## Klucze do modeli w chmurze — sekret `astrololo-llm` (opcjonalny)
-
-Domyślnie działa **model lokalny** i nic nie opuszcza sieci. Żeby móc wybrać w UI
-OpenAI lub Anthropic, potrzebne są ich klucze. Ten sekret jest **opcjonalny**
-(`optional: true`) — bez niego pody startują normalnie, tylko chmura jest niedostępna.
-
-```bash
-read -rs -p "OPENAI_API_KEY (Enter = pomiń): " OPENAI_KEY; echo
-read -rs -p "ANTHROPIC_API_KEY (Enter = pomiń): " ANTHROPIC_KEY; echo
-
-kubectl -n astrololo create secret generic astrololo-llm \
-  --from-literal=OPENAI_API_KEY="$OPENAI_KEY" \
-  --from-literal=ANTHROPIC_API_KEY="$ANTHROPIC_KEY"
-
-unset OPENAI_KEY ANTHROPIC_KEY
-kubectl -n astrololo rollout restart deploy/logic     # klucze wstrzykują się przy starcie
-```
-
-Podmiana pojedynczego klucza (bez kasowania drugiego):
-```bash
-kubectl -n astrololo create secret generic astrololo-llm \
-  --from-literal=OPENAI_API_KEY="$(kubectl -n astrololo get secret astrololo-llm \
-      -o jsonpath='{.data.OPENAI_API_KEY}' | base64 -d)" \
-  --from-literal=ANTHROPIC_API_KEY='NOWY-KLUCZ' \
-  --dry-run=client -o yaml | kubectl apply -f -
-kubectl -n astrololo rollout restart deploy/logic
-```
-
-**Adres modelu lokalnego** ustawia `LOCAL_BASE_URL` w `logic.yaml` — dopasuj do miejsca,
-gdzie faktycznie stoi Ollama/vLLM. Konfiguracja jest **per dostawca**
-(`LOCAL_*`, `OPENAI_*`, `ANTHROPIC_*`), więc ustawienia lokalnego modelu nie przejmują
-żądań do chmury.
-
-> Wybór dostawcy w chmurze oznacza, że **oryginalne opisy z baz opuszczają naszą sieć**.
-> Prompt można obejrzeć przed wysłaniem. Warto zawnioskować u dostawcy o Zero Data
-> Retention — patrz LOG-32.
-
 ## Czego to nie załatwia
-- **Własne CA to nie to samo co publiczne zaufanie** — każde nowe urządzenie
+- **Brak TLS** — Basic Auth idzie po sieci w postaci łatwej do podsłuchania. Przy
-  wymaga importu korzenia (krok 3 powyżej). Gdyby aplikacja miała kiedyś wyjść
+  niezaufanej sieci potrzebny ingress z certyfikatem.
-  na świat, właściwą drogą jest Let's Encrypt przez DNS-01.
-- **Szyfrowane są ciała żądań, nie nagłówki** — ścieżka (`/search`) i token
-  międzywarstwowy jadą czytelnie. Sam token nikomu nic nie daje: bez klucza łącza
-  każde żądanie kończy się odmową. Pełne ukrycie metadanych wymagałoby mTLS.
 - **NFS `192.168.1.34:/mnt/Tank1/astrololo`** — kto ma dostęp do share'u, bierze
   pliki baz **z pominięciem całej aplikacji**. Do zamknięcia po stronie infrastruktury
   (eksport tylko dla IP węzłów, `root_squash`, najlepiej read-only).

astrololo/data.yaml

@@ -29,17 +29,6 @@ spec:
             - name: INTERNAL_TOKEN
               valueFrom:
                 secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
-            # Szyfrowanie łącza między warstwami (PRE-16). OSOBNY klucz na każdą
-            # parę rozmówców: przejęcie klucza prezentacji nie otwiera warstwy
-            # danych, gdzie leżą całe bazy. Sekret tworzony POZA repo — patrz README.
-            - name: LINK_KEY_LOGIC_DATA
-              valueFrom:
-                secretKeyRef: { name: astrololo-link, key: LINK_KEY_LOGIC_DATA }
-            # Bez klucza usługa ma NIE wstać, a klient ma nie wysłać niczego.
-            # Sam serwer broni się fail-closed, ale to za mało: klient bez klucza
-            # zdążyłby wypuścić zapytanie jawnym tekstem, zanim dostanie odmowę.
-            - name: LINK_ENCRYPTION_REQUIRED
-              value: "true"
           volumeMounts:
             - name: cache
               mountPath: /app/.cache

astrololo/image-updater.yaml

@@ -1,44 +0,0 @@
-# Konfiguracja argocd-image-updater dla astrololo — ŹRÓDŁO PRAWDY tego, CO śledzimy.
-#
-# Model v1.x: osobny CRD `ImageUpdater` w ns `argocd` (nie adnotacje na Application).
-# Lista `images` jest JAWNA — obraz, którego tu NIE MA, nigdy nie zostanie podbity,
-# choćby CI go budowało. Tak przez chwilę wisiał `render` na `:latest` (PRE-24):
-# usługa istniała i budowała tag SHA, ale updater jej nie znał, więc kustomization
-# jej nie ruszał. Dopisanie wpisu = wejście usługi do rotacji.
-#
-# ⚠️ TEGO PLIKU NIE MA w astrololo/kustomization.yaml i NIE MA GO TAM MIEĆ:
-#   1. resource żyje w ns `argocd`, a Application astrololo celuje w ns `astrololo`
-#      — auto-sync przez kustomize próbowałby zapisać poza swój namespace docelowy;
-#   2. to konfiguracja kontrolera, który wdraża tę właśnie aplikację — niech app
-#      nie zarządza narzędziem, które ją wdraża.
-# Plik jest trzymany w repo dla odtwarzalności i historii; nakłada się go RĘCZNIE:
-#   kubectl apply -f astrololo/image-updater.yaml
-#
-# Strategia `newest-build`: updater bierze obraz o NAJNOWSZYM znaczniku czasu builda
-# i zapisuje jego tag SHA do kustomization (write-back git). Uwaga na reprodukowalne
-# buildy — identyczny `created` na kilku tagach potrafi zablokować wybór najnowszego.
-apiVersion: argocd-image-updater.argoproj.io/v1alpha1
-kind: ImageUpdater
-metadata:
-  name: astrololo
-  namespace: argocd
-spec:
-  applicationRefs:
-    - namePattern: astrololo
-      images:
-        - alias: data
-          imageName: gitea.czernobog.pl/gitea/astrololo-data
-        - alias: logic
-          imageName: gitea.czernobog.pl/gitea/astrololo-logic
-        - alias: presentation
-          imageName: gitea.czernobog.pl/gitea/astrololo-presentation
-        - alias: render
-          imageName: gitea.czernobog.pl/gitea/astrololo-render
-  commonUpdateSettings:
-    updateStrategy: newest-build
-  writeBackConfig:
-    method: git:secret:argocd/git-creds
-    gitConfig:
-      repository: https://gitea.czernobog.pl/gitea/deploy.git
-      branch: master
-      writeBackTarget: kustomization:/astrololo

astrololo/ingress.yaml

@@ -1,75 +0,0 @@
-# Wejście do aplikacji po HTTPS (PRE-16).
-#
-# Poza bezpieczeństwem — Basic Auth po zwykłym http leci siecią czytelny dla
-# każdego, kto słucha — TLS naprawia DWIE funkcje zepsute dziś z tego samego
-# powodu: geolokalizacja przeglądarki („Tu i teraz") oraz kopiowanie promptu do
-# schowka działają wyłącznie w tzw. secure context i po http po prostu odmawiają.
----
-apiVersion: traefik.io/v1alpha1
-kind: Middleware
-metadata:
-  name: security-headers
-  namespace: astrololo
-spec:
-  headers:
-    stsSeconds: 31536000                  # HSTS: rok
-    stsIncludeSubdomains: false           # dotyczy tylko tego hosta
-    stsPreload: false                     # preload to wpis na listę w przeglądarkach
-                                          # — praktycznie nieodwracalny, nie wchodzimy
-    forceSTSHeader: true                  # nagłówek także przy odpowiedziach z backendu
-    contentTypeNosniff: true
-    frameDeny: true
-    referrerPolicy: same-origin
----
-apiVersion: traefik.io/v1alpha1
-kind: Middleware
-metadata:
-  name: redirect-https
-  namespace: astrololo
-spec:
-  redirectScheme:
-    scheme: https
-    permanent: true
----
-apiVersion: networking.k8s.io/v1
-kind: Ingress
-metadata:
-  name: astrololo
-  namespace: astrololo
-  annotations:
-    traefik.ingress.kubernetes.io/router.entrypoints: websecure
-    traefik.ingress.kubernetes.io/router.middlewares: astrololo-security-headers@kubernetescrd
-spec:
-  tls:
-    - hosts: [astrololo.czernobog.pl]
-      secretName: astrololo-tls           # wypełnia cert-manager (tls.yaml)
-  rules:
-    - host: astrololo.czernobog.pl
-      http:
-        paths:
-          - path: /
-            pathType: Prefix
-            backend:
-              service: { name: presentation, port: { number: 8000 } }
----
-# Osobny Ingress wyłącznie na porcie 80 — istnieje po to, żeby odesłać na https.
-# Rozdzielone świadomie: gdyby przekierowanie wisiało na tym samym routerze, co
-# wejście po https, odsyłałoby samo do siebie w kółko. Backend jest tu formalnością,
-# bo żadne żądanie do niego nie dojdzie.
-apiVersion: networking.k8s.io/v1
-kind: Ingress
-metadata:
-  name: astrololo-redirect
-  namespace: astrololo
-  annotations:
-    traefik.ingress.kubernetes.io/router.entrypoints: web
-    traefik.ingress.kubernetes.io/router.middlewares: astrololo-redirect-https@kubernetescrd
-spec:
-  rules:
-    - host: astrololo.czernobog.pl
-      http:
-        paths:
-          - path: /
-            pathType: Prefix
-            backend:
-              service: { name: presentation, port: { number: 8000 } }

astrololo/kustomization.yaml

@@ -5,15 +5,10 @@ resources:
   - data.yaml
   - logic.yaml
   - presentation.yaml
-  - render.yaml # składanie raportu PDF (PRE-24), osobny obraz z TeX Live
-  - tls.yaml # certyfikat z własnego CA (wymaga cert-managera)
-  - ingress.yaml # wejście po https + przekierowanie z http
 images:
   - name: gitea.czernobog.pl/gitea/astrololo-data
-    newTag: 8ebce816
+    newTag: de5d5895
   - name: gitea.czernobog.pl/gitea/astrololo-logic
-    newTag: 8ebce816
+    newTag: 6f87b2b3
-  - name: gitea.czernobog.pl/gitea/astrololo-render
-    newTag: latest
   - name: gitea.czernobog.pl/gitea/astrololo-presentation
-    newTag: 8ebce816
+    newTag: 6f87b2b3

astrololo/logic.yaml

@@ -26,44 +26,6 @@ spec:
             - name: INTERNAL_TOKEN
               valueFrom:
                 secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
-            # Szyfrowanie łącza między warstwami (PRE-16). OSOBNY klucz na każdą
-            # parę rozmówców: przejęcie klucza prezentacji nie otwiera warstwy
-            # danych, gdzie leżą całe bazy. Sekret tworzony POZA repo — patrz README.
-            - name: LINK_KEY_PRESENTATION_LOGIC
-              valueFrom:
-                secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_LOGIC }
-            - name: LINK_KEY_LOGIC_DATA
-              valueFrom:
-                secretKeyRef: { name: astrololo-link, key: LINK_KEY_LOGIC_DATA }
-            # Bez klucza usługa ma NIE wstać, a klient ma nie wysłać niczego.
-            # Sam serwer broni się fail-closed, ale to za mało: klient bez klucza
-            # zdążyłby wypuścić zapytanie jawnym tekstem, zanim dostanie odmowę.
-            - name: LINK_ENCRYPTION_REQUIRED
-              value: "true"
-
-            # --- Model językowy (LOG-31) ---
-            # Domyślnie LOKALNY: prompt niesie oryginalne opisy z baz, więc nic nie
-            # opuszcza sieci. Dostawcę można przełączyć w UI przy pojedynczym żądaniu.
-            - name: LLM_PROVIDER
-              value: "local"
-            - name: LOCAL_BASE_URL
-              value: "http://ollama.ollama.svc.cluster.local:11434/v1"
-            - name: LOCAL_MODEL
-              value: "llama3.1:8b"
-            - name: LLM_TIMEOUT
-              value: "180"                       # dłuższe horoskopy potrafią trwać
-            - name: LLM_MAX_TOKENS
-              value: "2000"
-
-            # Klucze do chmury — OPCJONALNE (optional: true), bo to funkcja, nie
-            # zabezpieczenie: bez sekretu pody startują normalnie i działa model
-            # lokalny. Wybór chmury w UI oznacza, że treść baz OPUSZCZA naszą sieć.
-            - name: OPENAI_API_KEY
-              valueFrom:
-                secretKeyRef: { name: astrololo-llm, key: OPENAI_API_KEY, optional: true }
-            - name: ANTHROPIC_API_KEY
-              valueFrom:
-                secretKeyRef: { name: astrololo-llm, key: ANTHROPIC_API_KEY, optional: true }
           resources:
             requests: { cpu: "100m", memory: "128Mi" }
             limits:   { cpu: "500m", memory: "512Mi" }

astrololo/presentation.yaml

@@ -30,32 +30,6 @@ spec:
               value: "astrololo"
             - name: RATE_LIMIT_PER_MIN
               value: "120"                       # 0 = bez limitu
-            # Aplikacja stoi za Ingressem, więc bezpośrednim rozmówcą jest zawsze
-            # pod Traefika. Bez tego limit żądań liczyłby WSZYSTKICH do jednego
-            # wiadra i pierwsza osoba, która go wyklika, odcięłaby pozostałych.
-            # Włączać wyłącznie gdy ruch faktycznie idzie przez proxy — inaczej
-            # nagłówek staje się furtką do ominięcia limitu.
-            - name: TRUST_PROXY
-              value: "true"
-            # Szyfrowanie łącza między warstwami (PRE-16). OSOBNY klucz na każdą
-            # parę rozmówców: przejęcie klucza prezentacji nie otwiera warstwy
-            # danych, gdzie leżą całe bazy. Sekret tworzony POZA repo — patrz README.
-            - name: LINK_KEY_PRESENTATION_LOGIC
-              valueFrom:
-                secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_LOGIC }
-            # Bez klucza usługa ma NIE wstać, a klient ma nie wysłać niczego.
-            # Sam serwer broni się fail-closed, ale to za mało: klient bez klucza
-            # zdążyłby wypuścić zapytanie jawnym tekstem, zanim dostanie odmowę.
-            # Usługa składająca PDF (PRE-24) — osobny komponent.
-            - name: RENDER_URL
-              value: "http://render:8004"        # discovery po nazwie Service
-            # Trzeci klucz łącza: prezentacja ↔ render. Osobny, bo tym łączem
-            # idzie CAŁY raport (dane urodzeniowe + opisy z baz).
-            - name: LINK_KEY_PRESENTATION_RENDER
-              valueFrom:
-                secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_RENDER }
-            - name: LINK_ENCRYPTION_REQUIRED
-              value: "true"
           resources:
             requests: { cpu: "100m", memory: "128Mi" }
             limits:   { cpu: "300m", memory: "256Mi" }
@@ -66,10 +40,7 @@ metadata:
   name: presentation
   namespace: astrololo
 spec:
-  # Wejście z przeglądarki idzie teraz WYŁĄCZNIE przez Ingress po https
+  type: NodePort                                  # wejście z przeglądarki
-  # (ingress.yaml). NodePort był drugą, nieszyfrowaną drogą do środka — czyli
-  # obejściem całego PRE-16 — więc znika.
-  type: ClusterIP
   selector: { app: presentation }
   ports: [{ port: 8000, targetPort: 8000 }]
 

astrololo/render.yaml

@@ -1,69 +0,0 @@
-# Usługa render — składanie raportu PDF (PRE-24).
-#
-# OSOBNY komponent, nie część prezentacji, z tego samego powodu co silnik
-# swisseph (LOG-27): obraz dźwiga TeX Live, czyli setki megabajtów. W obrazie
-# produktu spowalniałby każdy build i deploy; tak aktualizuje się niezależnie,
-# a jego awaria nie kładzie aplikacji — psuje się tylko przycisk „Pobierz PDF".
-#
-# Rozmawia WYŁĄCZNIE z prezentacją, po szyfrowanym łączu z własnym, trzecim
-# kluczem. Wystawiona jako ClusterIP — bez NodePort i bez Ingressu, bo nie ma
-# powodu, żeby ktokolwiek sięgał do niej z zewnątrz.
-apiVersion: apps/v1
-kind: Deployment
-metadata:
-  name: render
-  namespace: astrololo
-spec:
-  replicas: 1
-  selector: { matchLabels: { app: render } }
-  template:
-    metadata: { labels: { app: render } }
-    spec:
-      imagePullSecrets: [{ name: gitea-registry }]
-      containers:
-        - name: render
-          image: gitea.czernobog.pl/gitea/astrololo-render:latest
-          ports: [{ containerPort: 8004 }]
-          env:
-            # Token międzywarstwowy (LOG-32) — ta usługa dostaje CAŁY raport:
-            # dane urodzeniowe i opisy z baz.
-            - name: INTERNAL_TOKEN
-              valueFrom:
-                secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
-            # Szyfrowanie łącza (PRE-16/PRE-24). OSOBNY klucz na parę rozmówców:
-            # przejęcie klucza renderu nie może otwierać łącza do logiki ani danych.
-            - name: LINK_KEY_PRESENTATION_RENDER
-              valueFrom:
-                secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_RENDER }
-            - name: LINK_ENCRYPTION_REQUIRED
-              value: "true"
-          # XeLaTeX na obszernym raporcie potrafi zjeść sporo pamięci i CPU,
-          # ale tylko na chwilę — stąd wyraźna różnica między request a limit.
-          resources:
-            requests: { cpu: "100m", memory: "256Mi" }
-            limits:   { cpu: "1500m", memory: "1Gi" }
-          # Kompilacja pisze wyłącznie do katalogu tymczasowego, który sprząta po
-          # sobie. Dajemy na to emptyDir i zamykamy resztę systemu plików —
-          # raport nie ma prawa zostawić śladu w kontenerze.
-          volumeMounts:
-            - { name: tmp, mountPath: /tmp }
-          securityContext:
-            readOnlyRootFilesystem: true
-            allowPrivilegeEscalation: false
-          readinessProbe:
-            httpGet: { path: /health, port: 8004 }
-            initialDelaySeconds: 5
-            periodSeconds: 15
-      volumes:
-        - name: tmp
-          emptyDir: { sizeLimit: 512Mi }
----
-apiVersion: v1
-kind: Service
-metadata:
-  name: render
-  namespace: astrololo
-spec:
-  type: ClusterIP            # tylko dla prezentacji, bez wejścia z zewnątrz
-  selector: { app: render }
-  ports: [{ port: 8004, targetPort: 8004 }]

astrololo/tls.yaml

@@ -1,65 +0,0 @@
-# Certyfikat dla wejścia do aplikacji (PRE-16).
-#
-# Dlaczego WŁASNE CA, a nie Let's Encrypt: klaster stoi w LAN (traefik trzyma
-# LoadBalancera na 192.168.1.x), więc walidacja HTTP-01 nie ma jak dojść z
-# internetu, a DNS-01 wymagałby trzymania w klastrze tokena API do domeny.
-# Własne CA nie potrzebuje niczego z zewnątrz, a certyfikaty odnawia samo.
-#
-# WYMAGANIE WSTĘPNE: cert-manager musi być w klastrze PRZED synchronizacją tego
-# katalogu — inaczej API odrzuci poniższe obiekty jako nieznane rodzaje zasobów.
-# Instalacja jednorazowa: patrz README.md.
-#
-# Wszystko jest w namespace `astrololo` (Issuer, nie ClusterIssuer) świadomie:
-# ArgoCD ma tu włączone `prune`, a zasoby o zasięgu całego klastra chcemy trzymać
-# poza aplikacją, która może zostać skasowana.
----
-apiVersion: cert-manager.io/v1
-kind: Issuer
-metadata:
-  name: selfsigned
-  namespace: astrololo
-spec:
-  selfSigned: {}
----
-# Korzeń zaufania. TO JEST certyfikat, który raz importujesz do przeglądarki
-# i systemu — patrz README. Stąd długi termin ważności: importu nie chcemy
-# powtarzać co kwartał.
-apiVersion: cert-manager.io/v1
-kind: Certificate
-metadata:
-  name: astrololo-ca
-  namespace: astrololo
-spec:
-  isCA: true
-  commonName: astrololo internal CA
-  secretName: astrololo-ca                # tu lądują klucz i certyfikat korzenia
-  duration: 87600h                        # 10 lat
-  renewBefore: 8760h                      # odnowienie na rok przed końcem
-  privateKey: { algorithm: ECDSA, size: 256 }
-  issuerRef: { name: selfsigned, kind: Issuer, group: cert-manager.io }
----
-apiVersion: cert-manager.io/v1
-kind: Issuer
-metadata:
-  name: astrololo-ca
-  namespace: astrololo
-spec:
-  ca: { secretName: astrololo-ca }
----
-# Właściwy certyfikat serwera. Krótki termin CELOWO: przy 90 dniach odnawianie
-# jest sprawdzane w praktyce co kwartał, więc awaria wyjdzie od razu, a nie za
-# dziesięć lat, gdy nikt już nie będzie pamiętał, jak to działa.
-apiVersion: cert-manager.io/v1
-kind: Certificate
-metadata:
-  name: astrololo-tls
-  namespace: astrololo
-spec:
-  secretName: astrololo-tls               # tego szuka Ingress
-  commonName: astrololo.czernobog.pl
-  dnsNames:
-    - astrololo.czernobog.pl
-  duration: 2160h                         # 90 dni
-  renewBefore: 720h                       # 30 dni zapasu
-  privateKey: { algorithm: ECDSA, size: 256, rotationPolicy: Always }
-  issuerRef: { name: astrololo-ca, kind: Issuer, group: cert-manager.io }

conjurer/bot.yaml

@@ -1,59 +0,0 @@
-apiVersion: apps/v1
-kind: Deployment
-metadata:
-  name: bot
-  namespace: conjurer
-spec:
-  replicas: 1                     # NIGDY więcej — jedna sesja gateway na token
-  strategy: { type: Recreate }    # NIE RollingUpdate — dwa pody = wojna o sesję Discord
-  selector: { matchLabels: { app: bot } }
-  template:
-    metadata: { labels: { app: bot } }
-    spec:
-      imagePullSecrets: [{ name: gitea-registry }]
-      containers:
-        - name: bot
-          image: gitea.czernobog.pl/gitea/conjurer-bot:c8aae106
-          ports: [{ containerPort: 5000 }]
-          env:
-            - { name: CONJURER_DATA_DIR,      value: "/data" }
-            - { name: CONJURER_DISCORD_HOST,  value: "0.0.0.0" }
-            - { name: CONJURER_DISCORD_PORT,  value: "5000" }
-            - { name: CONJURER_API_KEY,  value: "d97008b3-7a5a-11f1-acd1-000b0e0f00ed" }
-            - { name: CONJURER_NETRC_FILE, value: "/secrets/.netrc" }
-            # ↓ NAZWY PODSTAW WG WYNIKU grepa z 0.2 ↓
-            - { name: CONJURER_LIBRARIAN_SERVICE, value: "http://librarian:5001" }
-            - { name: CONJURER_MUSICIAN_SERVICE,  value: "http://192.168.1.89:5000" }
-            - { name: CONJURER_RADIO_SERVICE,     value: "http://192.168.1.79:5005" }
-            - { name: CONJURER_FILE_SERVICE,     value: "http://192.168.1.89:5000" }
-
-            - { name: CONJURER_RADIO_HARBOR,      value: "http://192.168.1.79:54321" }
-          volumeMounts:
-            - { name: data,  mountPath: /data }
-            - { name: netrc, mountPath: /secrets, readOnly: true }
-          resources:
-            requests: { cpu: "200m", memory: "256Mi" }
-            limits:   { cpu: "2",    memory: "1Gi" }
-      volumes:
-        - name: data
-          persistentVolumeClaim: { claimName: bot-data }
-        - name: netrc
-          secret: { secretName: conjurer-netrc }
----
-apiVersion: v1
-kind: PersistentVolumeClaim
-metadata: { name: bot-data, namespace: conjurer }
-spec:
-  accessModes: [ReadWriteOnce]
-  resources: { requests: { storage: 2Gi } }
----
-apiVersion: v1
-kind: Service
-metadata: { name: bot, namespace: conjurer }
-spec:
-  type: NodePort                  # radio/musician z Dockera muszą go dosięgnąć
-  selector: { app: bot }
-  # nodePort PRZYPIĘTY na sztywno. Bez tego k8s losuje port z 30000-32767 przy
-  # (od)tworzeniu Service, a musician/betoniarka z Dockera adresują bota po
-  # http://192.168.1.73:32442 na sztywno - rozjazd = wyniki/eventy giną w locie.
-  ports: [{ port: 5000, targetPort: 5000, nodePort: 32442 }]

conjurer/conjurer-imageupdater.yaml

@@ -1,19 +0,0 @@
-apiVersion: argocd-image-updater.argoproj.io/v1alpha1
-kind: ImageUpdater
-metadata:
-  name: conjurer
-  namespace: argocd
-spec:
-  commonUpdateSettings:
-    updateStrategy: "newest-build"
-  writeBackConfig:
-    method: "git:secret:argocd/git-creds"
-    gitConfig:
-      repository: "https://gitea.czernobog.pl/gitea/deploy.git"
-      branch: "master"                       # ← gałąź repo deploy
-      writeBackTarget: "kustomization:/conjurer"
-  applicationRefs:
-    - namePattern: "conjurer"
-      images:
-        - { alias: "librarian", imageName: "gitea.czernobog.pl/gitea/conjurer-librarian" }
-        - { alias: "bot",       imageName: "gitea.czernobog.pl/gitea/conjurer-bot" }

conjurer/kustomization.yaml

@@ -1,11 +0,0 @@
-apiVersion: kustomize.config.k8s.io/v1beta1
-kind: Kustomization
-resources:
-  - namespace.yaml
-  - librarian.yaml
-  - bot.yaml
-images:
-  - name: gitea.czernobog.pl/gitea/conjurer-librarian
-    newTag: 8e18071b
-  - name: gitea.czernobog.pl/gitea/conjurer-bot
-    newTag: 8e18071b

conjurer/librarian.yaml

@@ -1,62 +0,0 @@
-apiVersion: apps/v1
-kind: Deployment
-metadata:
-  name: librarian
-  namespace: conjurer
-spec:
-  replicas: 1
-  selector: { matchLabels: { app: librarian } }
-  template:
-    metadata: { labels: { app: librarian } }
-    spec:
-      imagePullSecrets: [{ name: gitea-registry }]
-      containers:
-        - name: librarian
-          image: gitea.czernobog.pl/gitea/conjurer-librarian:e243777e
-          ports: [{ containerPort: 5001 }]
-          env:
-            - { name: CONJURER_LIBRARIAN_HOST,      value: "0.0.0.0" }
-            - { name: CONJURER_LIBRARIAN_PORT,      value: "5001" }
-            - { name: CONJURER_LIBRARIAN_DB_PATH,   value: "/doi/" }
-            - { name: CONJURER_API_KEY,  value: "d97008b3-7a5a-11f1-acd1-000b0e0f00ed" }
-            - { name: CONJURER_LIBRARIAN_MAXTHREADS,  value: "40" }
-            - { name: CONJURER_CROSSREF_MAILTO,  value: "mtuszowski@gmail.com" }
-            - { name: CONJURER_LIBRARIAN_CHUNK,  value: "_chunk.txt" }
-            # Librarian jest W TYM SAMYM klastrze/namespace co bot - gada z nim
-            # po DNS Service'u, nie przez nodePort węzła (ten zostaje tylko dla
-            # zewnętrznych musician/betoniarka z Dockera). Odporne na przetasowania.
-            - { name: CONJURER_MAIN_BOT,  value: "http://bot:5000" }
-
-            - { name: CONJURER_LIBRARIAN_STATE_DIR, value: "/lib_temp_files" }
-
-          volumeMounts:
-            - { name: doi,   mountPath: /doi, readOnly: true }
-            - { name: state, mountPath: /lib_temp_files }
-          resources:
-            requests: { cpu: "100m", memory: "512Mi" }
-            # Headroom bump: the work-queue OOM is fixed in code, but a deep
-            # search still pulls up to 15000 Crossref records into RAM and the
-            # accumulating result JSONs are loaded whole. 2Gi gives margin so a
-            # big search isn't OOM-killed. Tune down if the node is tight.
-            limits:   { cpu: "1",    memory: "2Gi" }
-      volumes:
-        - name: doi
-          nfs:
-            server: 192.168.1.34
-            path: /mnt/Tank1/conjurer_swap/librarian_data/base_it1
-        - name: state
-          persistentVolumeClaim: { claimName: librarian-state }
----
-apiVersion: v1
-kind: PersistentVolumeClaim
-metadata: { name: librarian-state, namespace: conjurer }
-spec:
-  accessModes: [ReadWriteOnce]
-  resources: { requests: { storage: 1Gi } }
----
-apiVersion: v1
-kind: Service
-metadata: { name: librarian, namespace: conjurer }
-spec:
-  selector: { app: librarian }
-  ports: [{ port: 5001, targetPort: 5001 }]

conjurer/namespace.yaml

@@ -1,4 +0,0 @@
-apiVersion: v1
-kind: Namespace
-metadata:
-  name: conjurer