Compare commits
1 Commits
| Author | SHA1 | Date | |
|---|---|---|---|
 gitea
|
0509ebd597 |
+7
-165
@@ -3,25 +3,8 @@
|
||||
Manifesty k8s składane Kustomize. Obrazy podbija automatycznie image-updater
|
||||
(`kustomization.yaml` → `images: newTag`) po każdym buildzie z repo aplikacji.
|
||||
|
||||
Warstwy: `presentation` (wejście z przeglądarki przez **Ingress po https**) →
|
||||
`logic` → `data` (pliki Excel montowane **z NFS**, nie z obrazu).
|
||||
|
||||
Adres aplikacji: **https://astrololo.czernobog.pl** — patrz [TLS](#-tls--wymagane-kroki-przed-wdrożeniem).
|
||||
|
||||
## Co śledzi image-updater — [`image-updater.yaml`](image-updater.yaml)
|
||||
|
||||
Lista obrazów podbijanych automatycznie jest **jawna** i żyje w CRD `ImageUpdater`
|
||||
(ns `argocd`). Obraz, którego na niej nie ma, **nigdy się nie podbije**, choćby CI
|
||||
go budowało — tak przez chwilę wisiał `render` na `:latest`, zanim dopisaliśmy go do
|
||||
listy. Dodając nową usługę, dopisz jej wpis w `image-updater.yaml` i nałóż:
|
||||
|
||||
```bash
|
||||
kubectl apply -f astrololo/image-updater.yaml
|
||||
```
|
||||
|
||||
Ten plik **celowo nie jest w `kustomization.yaml`**: resource stoi w ns `argocd`
|
||||
(poza namespace docelowym aplikacji), a to konfiguracja kontrolera, który wdraża tę
|
||||
aplikację — nakładamy go ręcznie, w repo trzymamy dla odtwarzalności i historii.
|
||||
Warstwy: `presentation` (NodePort, wejście z przeglądarki) → `logic` → `data`
|
||||
(pliki Excel montowane **z NFS**, nie z obrazu).
|
||||
|
||||
## ⚠️ Sekret `astrololo-auth` — utwórz PRZED wdrożeniem
|
||||
|
||||
@@ -67,156 +50,15 @@ trzech** usług naraz, inaczej przestaną się dogadywać.)
|
||||
### Sprawdzenie po wdrożeniu
|
||||
```bash
|
||||
kubectl -n astrololo rollout status deploy/presentation deploy/logic deploy/data
|
||||
curl -s -o /dev/null -w "bez hasła: %{http_code}\n" https://astrololo.czernobog.pl/
|
||||
curl -s -o /dev/null -w "z hasłem: %{http_code}\n" -u astrololo:'<hasło>' https://astrololo.czernobog.pl/
|
||||
NODE_PORT=$(kubectl -n astrololo get svc presentation -o jsonpath='{.spec.ports[0].nodePort}')
|
||||
curl -s -o /dev/null -w "bez hasła: %{http_code}\n" http://<adres-noda>:$NODE_PORT/
|
||||
curl -s -o /dev/null -w "z hasłem: %{http_code}\n" -u astrololo:'<hasło>' http://<adres-noda>:$NODE_PORT/
|
||||
```
|
||||
Oczekiwane: **401** bez hasła, **200** z hasłem. `/health` zostaje publiczny (sondy k8s).
|
||||
|
||||
## 🔒 TLS — wymagane kroki przed wdrożeniem
|
||||
|
||||
Do tej pory Basic Auth szedł siecią po zwykłym http, czyli **hasło dało się
|
||||
podsłuchać** (base64 to nie szyfrowanie). Poza tym http blokował dwie funkcje,
|
||||
bo przeglądarki udostępniają je wyłącznie w tzw. *secure context*:
|
||||
**geolokalizacja** („Tu i teraz") i **kopiowanie do schowka**. Certyfikat załatwia
|
||||
oba tematy naraz.
|
||||
|
||||
Certyfikat wystawia **własne CA** trzymane w klastrze (cert-manager). Let's Encrypt
|
||||
odpada, bo klaster stoi w LAN — walidacja HTTP-01 nie ma jak do niego dojść z
|
||||
internetu, a DNS-01 wymagałby trzymania tu tokena API do domeny.
|
||||
|
||||
**Kolejność ma znaczenie — oba kroki PRZED synchronizacją ArgoCD.**
|
||||
|
||||
### 1. cert-manager (jednorazowo, cały klaster)
|
||||
```bash
|
||||
kubectl apply -f https://github.com/cert-manager/cert-manager/releases/download/v1.21.0/cert-manager.yaml
|
||||
kubectl -n cert-manager rollout status deploy/cert-manager deploy/cert-manager-webhook
|
||||
```
|
||||
Bez tego API odrzuci `Certificate` i `Issuer` jako nieznane rodzaje zasobów,
|
||||
a ArgoCD pokaże aplikację jako niezsynchronizowaną.
|
||||
|
||||
### 2. DNS: `astrololo.czernobog.pl` → adres Traefika
|
||||
```bash
|
||||
kubectl -n kube-system get svc traefik -o jsonpath='{.status.loadBalancer.ingress[*].ip}'; echo
|
||||
```
|
||||
Wpis w routerze / lokalnym DNS-ie (albo doraźnie `/etc/hosts`). **Service
|
||||
`presentation` jest teraz `ClusterIP`** — NodePort był drugą, nieszyfrowaną drogą
|
||||
do aplikacji, więc został zdjęty. Zanim DNS zacznie odpowiadać, jedyne wejście to:
|
||||
```bash
|
||||
kubectl -n astrololo port-forward svc/presentation 8000:8000 # awaryjnie, http://localhost:8000
|
||||
```
|
||||
|
||||
### 3. Zaufanie do własnego CA (raz na urządzenie)
|
||||
Bez tego przeglądarka pokaże ostrzeżenie o certyfikacie. Korzeń ważny 10 lat,
|
||||
więc import robisz raz:
|
||||
```bash
|
||||
kubectl -n astrololo get secret astrololo-ca -o jsonpath='{.data.ca\.crt}' \
|
||||
| base64 -d > astrololo-ca.crt
|
||||
|
||||
# macOS — do systemowego zaufania (poprosi o hasło administratora)
|
||||
sudo security add-trusted-cert -d -r trustRoot \
|
||||
-k /Library/Keychains/System.keychain astrololo-ca.crt
|
||||
|
||||
# Linux (Debian/Ubuntu)
|
||||
sudo cp astrololo-ca.crt /usr/local/share/ca-certificates/ && sudo update-ca-certificates
|
||||
```
|
||||
Firefox ma własny magazyn — tam import przez *Ustawienia → Prywatność →
|
||||
Wyświetl certyfikaty → Organy certyfikacji*.
|
||||
|
||||
### Sprawdzenie samego TLS
|
||||
```bash
|
||||
# certyfikat wystawiony i gotowy
|
||||
kubectl -n astrololo get certificate
|
||||
# oczekiwane: astrololo-ca True, astrololo-tls True
|
||||
|
||||
# http odsyła na https
|
||||
curl -sI http://astrololo.czernobog.pl/ | head -2 # 301 + Location: https://...
|
||||
|
||||
# HSTS obecny
|
||||
curl -skI -u astrololo:'<hasło>' https://astrololo.czernobog.pl/ | grep -i strict-transport
|
||||
```
|
||||
|
||||
### Odnawianie
|
||||
Certyfikat serwera żyje 90 dni i odnawia się sam 30 dni przed końcem. Termin jest
|
||||
krótki **celowo** — odnawianie sprawdza się wtedy w praktyce co kwartał, a nie
|
||||
dopiero za dziesięć lat, gdy nikt nie będzie pamiętał, jak to było skonfigurowane.
|
||||
|
||||
## ⚠️ Sekret `astrololo-link` — szyfrowanie między warstwami
|
||||
|
||||
Token międzywarstwowy mówi **kto** pyta, ale nie ukrywa **czego dotyczy odpowiedź**
|
||||
— a płyną nią surowe wiersze oryginalnych baz. Kto podsłuchał ruch wewnątrz sieci
|
||||
(drugi pod, mirror portu na switchu, zrzut z węzła), miał je w całości. Łącza są
|
||||
więc szyfrowane **AES-256-GCM**, osobnym kluczem na każdą parę rozmówców.
|
||||
|
||||
```bash
|
||||
kubectl -n astrololo create secret generic astrololo-link \
|
||||
--from-literal=LINK_KEY_PRESENTATION_LOGIC="$(openssl rand -hex 32)" \
|
||||
--from-literal=LINK_KEY_LOGIC_DATA="$(openssl rand -hex 32)"
|
||||
```
|
||||
|
||||
Kluczy **nikt nigdy nie musi oglądać** — służą tylko usługom. Rozdzielenie jest
|
||||
celowe: przejęcie klucza prezentacji nie daje dostępu do warstwy danych, gdzie
|
||||
leżą całe bazy. Logika trzyma oba, bo rozmawia w obie strony; prezentacja i dane
|
||||
dostają przez `secretKeyRef` wyłącznie swój.
|
||||
|
||||
**Pody nie wstaną bez tych kluczy** (`LINK_ENCRYPTION_REQUIRED=true`) — i tak ma
|
||||
być. Usługa, która wstała i po cichu nie szyfruje, jest gorsza niż pod w CrashLoop,
|
||||
bo awarii nie widać.
|
||||
|
||||
### Wymiana kluczy
|
||||
```bash
|
||||
kubectl -n astrololo create secret generic astrololo-link \
|
||||
--from-literal=LINK_KEY_PRESENTATION_LOGIC="$(openssl rand -hex 32)" \
|
||||
--from-literal=LINK_KEY_LOGIC_DATA="$(openssl rand -hex 32)" \
|
||||
--dry-run=client -o yaml | kubectl apply -f -
|
||||
kubectl -n astrololo rollout restart deploy/presentation deploy/logic deploy/data
|
||||
```
|
||||
Restart **wszystkich trzech naraz** — w trakcie wymiany warstwy chwilowo się nie
|
||||
dogadują (klucze muszą być zgodne po obu stronach łącza).
|
||||
|
||||
## Klucze do modeli w chmurze — sekret `astrololo-llm` (opcjonalny)
|
||||
|
||||
Domyślnie działa **model lokalny** i nic nie opuszcza sieci. Żeby móc wybrać w UI
|
||||
OpenAI lub Anthropic, potrzebne są ich klucze. Ten sekret jest **opcjonalny**
|
||||
(`optional: true`) — bez niego pody startują normalnie, tylko chmura jest niedostępna.
|
||||
|
||||
```bash
|
||||
read -rs -p "OPENAI_API_KEY (Enter = pomiń): " OPENAI_KEY; echo
|
||||
read -rs -p "ANTHROPIC_API_KEY (Enter = pomiń): " ANTHROPIC_KEY; echo
|
||||
|
||||
kubectl -n astrololo create secret generic astrololo-llm \
|
||||
--from-literal=OPENAI_API_KEY="$OPENAI_KEY" \
|
||||
--from-literal=ANTHROPIC_API_KEY="$ANTHROPIC_KEY"
|
||||
|
||||
unset OPENAI_KEY ANTHROPIC_KEY
|
||||
kubectl -n astrololo rollout restart deploy/logic # klucze wstrzykują się przy starcie
|
||||
```
|
||||
|
||||
Podmiana pojedynczego klucza (bez kasowania drugiego):
|
||||
```bash
|
||||
kubectl -n astrololo create secret generic astrololo-llm \
|
||||
--from-literal=OPENAI_API_KEY="$(kubectl -n astrololo get secret astrololo-llm \
|
||||
-o jsonpath='{.data.OPENAI_API_KEY}' | base64 -d)" \
|
||||
--from-literal=ANTHROPIC_API_KEY='NOWY-KLUCZ' \
|
||||
--dry-run=client -o yaml | kubectl apply -f -
|
||||
kubectl -n astrololo rollout restart deploy/logic
|
||||
```
|
||||
|
||||
**Adres modelu lokalnego** ustawia `LOCAL_BASE_URL` w `logic.yaml` — dopasuj do miejsca,
|
||||
gdzie faktycznie stoi Ollama/vLLM. Konfiguracja jest **per dostawca**
|
||||
(`LOCAL_*`, `OPENAI_*`, `ANTHROPIC_*`), więc ustawienia lokalnego modelu nie przejmują
|
||||
żądań do chmury.
|
||||
|
||||
> Wybór dostawcy w chmurze oznacza, że **oryginalne opisy z baz opuszczają naszą sieć**.
|
||||
> Prompt można obejrzeć przed wysłaniem. Warto zawnioskować u dostawcy o Zero Data
|
||||
> Retention — patrz LOG-32.
|
||||
|
||||
## Czego to nie załatwia
|
||||
- **Własne CA to nie to samo co publiczne zaufanie** — każde nowe urządzenie
|
||||
wymaga importu korzenia (krok 3 powyżej). Gdyby aplikacja miała kiedyś wyjść
|
||||
na świat, właściwą drogą jest Let's Encrypt przez DNS-01.
|
||||
- **Szyfrowane są ciała żądań, nie nagłówki** — ścieżka (`/search`) i token
|
||||
międzywarstwowy jadą czytelnie. Sam token nikomu nic nie daje: bez klucza łącza
|
||||
każde żądanie kończy się odmową. Pełne ukrycie metadanych wymagałoby mTLS.
|
||||
- **Brak TLS** — Basic Auth idzie po sieci w postaci łatwej do podsłuchania. Przy
|
||||
niezaufanej sieci potrzebny ingress z certyfikatem.
|
||||
- **NFS `192.168.1.34:/mnt/Tank1/astrololo`** — kto ma dostęp do share'u, bierze
|
||||
pliki baz **z pominięciem całej aplikacji**. Do zamknięcia po stronie infrastruktury
|
||||
(eksport tylko dla IP węzłów, `root_squash`, najlepiej read-only).
|
||||
|
||||
@@ -29,17 +29,6 @@ spec:
|
||||
- name: INTERNAL_TOKEN
|
||||
valueFrom:
|
||||
secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
|
||||
# Szyfrowanie łącza między warstwami (PRE-16). OSOBNY klucz na każdą
|
||||
# parę rozmówców: przejęcie klucza prezentacji nie otwiera warstwy
|
||||
# danych, gdzie leżą całe bazy. Sekret tworzony POZA repo — patrz README.
|
||||
- name: LINK_KEY_LOGIC_DATA
|
||||
valueFrom:
|
||||
secretKeyRef: { name: astrololo-link, key: LINK_KEY_LOGIC_DATA }
|
||||
# Bez klucza usługa ma NIE wstać, a klient ma nie wysłać niczego.
|
||||
# Sam serwer broni się fail-closed, ale to za mało: klient bez klucza
|
||||
# zdążyłby wypuścić zapytanie jawnym tekstem, zanim dostanie odmowę.
|
||||
- name: LINK_ENCRYPTION_REQUIRED
|
||||
value: "true"
|
||||
volumeMounts:
|
||||
- name: cache
|
||||
mountPath: /app/.cache
|
||||
|
||||
@@ -1,44 +0,0 @@
|
||||
# Konfiguracja argocd-image-updater dla astrololo — ŹRÓDŁO PRAWDY tego, CO śledzimy.
|
||||
#
|
||||
# Model v1.x: osobny CRD `ImageUpdater` w ns `argocd` (nie adnotacje na Application).
|
||||
# Lista `images` jest JAWNA — obraz, którego tu NIE MA, nigdy nie zostanie podbity,
|
||||
# choćby CI go budowało. Tak przez chwilę wisiał `render` na `:latest` (PRE-24):
|
||||
# usługa istniała i budowała tag SHA, ale updater jej nie znał, więc kustomization
|
||||
# jej nie ruszał. Dopisanie wpisu = wejście usługi do rotacji.
|
||||
#
|
||||
# ⚠️ TEGO PLIKU NIE MA w astrololo/kustomization.yaml i NIE MA GO TAM MIEĆ:
|
||||
# 1. resource żyje w ns `argocd`, a Application astrololo celuje w ns `astrololo`
|
||||
# — auto-sync przez kustomize próbowałby zapisać poza swój namespace docelowy;
|
||||
# 2. to konfiguracja kontrolera, który wdraża tę właśnie aplikację — niech app
|
||||
# nie zarządza narzędziem, które ją wdraża.
|
||||
# Plik jest trzymany w repo dla odtwarzalności i historii; nakłada się go RĘCZNIE:
|
||||
# kubectl apply -f astrololo/image-updater.yaml
|
||||
#
|
||||
# Strategia `newest-build`: updater bierze obraz o NAJNOWSZYM znaczniku czasu builda
|
||||
# i zapisuje jego tag SHA do kustomization (write-back git). Uwaga na reprodukowalne
|
||||
# buildy — identyczny `created` na kilku tagach potrafi zablokować wybór najnowszego.
|
||||
apiVersion: argocd-image-updater.argoproj.io/v1alpha1
|
||||
kind: ImageUpdater
|
||||
metadata:
|
||||
name: astrololo
|
||||
namespace: argocd
|
||||
spec:
|
||||
applicationRefs:
|
||||
- namePattern: astrololo
|
||||
images:
|
||||
- alias: data
|
||||
imageName: gitea.czernobog.pl/gitea/astrololo-data
|
||||
- alias: logic
|
||||
imageName: gitea.czernobog.pl/gitea/astrololo-logic
|
||||
- alias: presentation
|
||||
imageName: gitea.czernobog.pl/gitea/astrololo-presentation
|
||||
- alias: render
|
||||
imageName: gitea.czernobog.pl/gitea/astrololo-render
|
||||
commonUpdateSettings:
|
||||
updateStrategy: newest-build
|
||||
writeBackConfig:
|
||||
method: git:secret:argocd/git-creds
|
||||
gitConfig:
|
||||
repository: https://gitea.czernobog.pl/gitea/deploy.git
|
||||
branch: master
|
||||
writeBackTarget: kustomization:/astrololo
|
||||
@@ -1,75 +0,0 @@
|
||||
# Wejście do aplikacji po HTTPS (PRE-16).
|
||||
#
|
||||
# Poza bezpieczeństwem — Basic Auth po zwykłym http leci siecią czytelny dla
|
||||
# każdego, kto słucha — TLS naprawia DWIE funkcje zepsute dziś z tego samego
|
||||
# powodu: geolokalizacja przeglądarki („Tu i teraz") oraz kopiowanie promptu do
|
||||
# schowka działają wyłącznie w tzw. secure context i po http po prostu odmawiają.
|
||||
---
|
||||
apiVersion: traefik.io/v1alpha1
|
||||
kind: Middleware
|
||||
metadata:
|
||||
name: security-headers
|
||||
namespace: astrololo
|
||||
spec:
|
||||
headers:
|
||||
stsSeconds: 31536000 # HSTS: rok
|
||||
stsIncludeSubdomains: false # dotyczy tylko tego hosta
|
||||
stsPreload: false # preload to wpis na listę w przeglądarkach
|
||||
# — praktycznie nieodwracalny, nie wchodzimy
|
||||
forceSTSHeader: true # nagłówek także przy odpowiedziach z backendu
|
||||
contentTypeNosniff: true
|
||||
frameDeny: true
|
||||
referrerPolicy: same-origin
|
||||
---
|
||||
apiVersion: traefik.io/v1alpha1
|
||||
kind: Middleware
|
||||
metadata:
|
||||
name: redirect-https
|
||||
namespace: astrololo
|
||||
spec:
|
||||
redirectScheme:
|
||||
scheme: https
|
||||
permanent: true
|
||||
---
|
||||
apiVersion: networking.k8s.io/v1
|
||||
kind: Ingress
|
||||
metadata:
|
||||
name: astrololo
|
||||
namespace: astrololo
|
||||
annotations:
|
||||
traefik.ingress.kubernetes.io/router.entrypoints: websecure
|
||||
traefik.ingress.kubernetes.io/router.middlewares: astrololo-security-headers@kubernetescrd
|
||||
spec:
|
||||
tls:
|
||||
- hosts: [astrololo.czernobog.pl]
|
||||
secretName: astrololo-tls # wypełnia cert-manager (tls.yaml)
|
||||
rules:
|
||||
- host: astrololo.czernobog.pl
|
||||
http:
|
||||
paths:
|
||||
- path: /
|
||||
pathType: Prefix
|
||||
backend:
|
||||
service: { name: presentation, port: { number: 8000 } }
|
||||
---
|
||||
# Osobny Ingress wyłącznie na porcie 80 — istnieje po to, żeby odesłać na https.
|
||||
# Rozdzielone świadomie: gdyby przekierowanie wisiało na tym samym routerze, co
|
||||
# wejście po https, odsyłałoby samo do siebie w kółko. Backend jest tu formalnością,
|
||||
# bo żadne żądanie do niego nie dojdzie.
|
||||
apiVersion: networking.k8s.io/v1
|
||||
kind: Ingress
|
||||
metadata:
|
||||
name: astrololo-redirect
|
||||
namespace: astrololo
|
||||
annotations:
|
||||
traefik.ingress.kubernetes.io/router.entrypoints: web
|
||||
traefik.ingress.kubernetes.io/router.middlewares: astrololo-redirect-https@kubernetescrd
|
||||
spec:
|
||||
rules:
|
||||
- host: astrololo.czernobog.pl
|
||||
http:
|
||||
paths:
|
||||
- path: /
|
||||
pathType: Prefix
|
||||
backend:
|
||||
service: { name: presentation, port: { number: 8000 } }
|
||||
@@ -5,15 +5,10 @@ resources:
|
||||
- data.yaml
|
||||
- logic.yaml
|
||||
- presentation.yaml
|
||||
- render.yaml # składanie raportu PDF (PRE-24), osobny obraz z TeX Live
|
||||
- tls.yaml # certyfikat z własnego CA (wymaga cert-managera)
|
||||
- ingress.yaml # wejście po https + przekierowanie z http
|
||||
images:
|
||||
- name: gitea.czernobog.pl/gitea/astrololo-data
|
||||
newTag: 8ebce816
|
||||
newTag: de5d5895
|
||||
- name: gitea.czernobog.pl/gitea/astrololo-logic
|
||||
newTag: 8ebce816
|
||||
- name: gitea.czernobog.pl/gitea/astrololo-render
|
||||
newTag: latest
|
||||
newTag: 6f87b2b3
|
||||
- name: gitea.czernobog.pl/gitea/astrololo-presentation
|
||||
newTag: 8ebce816
|
||||
newTag: 6f87b2b3
|
||||
|
||||
@@ -26,44 +26,6 @@ spec:
|
||||
- name: INTERNAL_TOKEN
|
||||
valueFrom:
|
||||
secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
|
||||
# Szyfrowanie łącza między warstwami (PRE-16). OSOBNY klucz na każdą
|
||||
# parę rozmówców: przejęcie klucza prezentacji nie otwiera warstwy
|
||||
# danych, gdzie leżą całe bazy. Sekret tworzony POZA repo — patrz README.
|
||||
- name: LINK_KEY_PRESENTATION_LOGIC
|
||||
valueFrom:
|
||||
secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_LOGIC }
|
||||
- name: LINK_KEY_LOGIC_DATA
|
||||
valueFrom:
|
||||
secretKeyRef: { name: astrololo-link, key: LINK_KEY_LOGIC_DATA }
|
||||
# Bez klucza usługa ma NIE wstać, a klient ma nie wysłać niczego.
|
||||
# Sam serwer broni się fail-closed, ale to za mało: klient bez klucza
|
||||
# zdążyłby wypuścić zapytanie jawnym tekstem, zanim dostanie odmowę.
|
||||
- name: LINK_ENCRYPTION_REQUIRED
|
||||
value: "true"
|
||||
|
||||
# --- Model językowy (LOG-31) ---
|
||||
# Domyślnie LOKALNY: prompt niesie oryginalne opisy z baz, więc nic nie
|
||||
# opuszcza sieci. Dostawcę można przełączyć w UI przy pojedynczym żądaniu.
|
||||
- name: LLM_PROVIDER
|
||||
value: "local"
|
||||
- name: LOCAL_BASE_URL
|
||||
value: "http://ollama.ollama.svc.cluster.local:11434/v1"
|
||||
- name: LOCAL_MODEL
|
||||
value: "llama3.1:8b"
|
||||
- name: LLM_TIMEOUT
|
||||
value: "180" # dłuższe horoskopy potrafią trwać
|
||||
- name: LLM_MAX_TOKENS
|
||||
value: "2000"
|
||||
|
||||
# Klucze do chmury — OPCJONALNE (optional: true), bo to funkcja, nie
|
||||
# zabezpieczenie: bez sekretu pody startują normalnie i działa model
|
||||
# lokalny. Wybór chmury w UI oznacza, że treść baz OPUSZCZA naszą sieć.
|
||||
- name: OPENAI_API_KEY
|
||||
valueFrom:
|
||||
secretKeyRef: { name: astrololo-llm, key: OPENAI_API_KEY, optional: true }
|
||||
- name: ANTHROPIC_API_KEY
|
||||
valueFrom:
|
||||
secretKeyRef: { name: astrololo-llm, key: ANTHROPIC_API_KEY, optional: true }
|
||||
resources:
|
||||
requests: { cpu: "100m", memory: "128Mi" }
|
||||
limits: { cpu: "500m", memory: "512Mi" }
|
||||
|
||||
@@ -30,32 +30,6 @@ spec:
|
||||
value: "astrololo"
|
||||
- name: RATE_LIMIT_PER_MIN
|
||||
value: "120" # 0 = bez limitu
|
||||
# Aplikacja stoi za Ingressem, więc bezpośrednim rozmówcą jest zawsze
|
||||
# pod Traefika. Bez tego limit żądań liczyłby WSZYSTKICH do jednego
|
||||
# wiadra i pierwsza osoba, która go wyklika, odcięłaby pozostałych.
|
||||
# Włączać wyłącznie gdy ruch faktycznie idzie przez proxy — inaczej
|
||||
# nagłówek staje się furtką do ominięcia limitu.
|
||||
- name: TRUST_PROXY
|
||||
value: "true"
|
||||
# Szyfrowanie łącza między warstwami (PRE-16). OSOBNY klucz na każdą
|
||||
# parę rozmówców: przejęcie klucza prezentacji nie otwiera warstwy
|
||||
# danych, gdzie leżą całe bazy. Sekret tworzony POZA repo — patrz README.
|
||||
- name: LINK_KEY_PRESENTATION_LOGIC
|
||||
valueFrom:
|
||||
secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_LOGIC }
|
||||
# Bez klucza usługa ma NIE wstać, a klient ma nie wysłać niczego.
|
||||
# Sam serwer broni się fail-closed, ale to za mało: klient bez klucza
|
||||
# zdążyłby wypuścić zapytanie jawnym tekstem, zanim dostanie odmowę.
|
||||
# Usługa składająca PDF (PRE-24) — osobny komponent.
|
||||
- name: RENDER_URL
|
||||
value: "http://render:8004" # discovery po nazwie Service
|
||||
# Trzeci klucz łącza: prezentacja ↔ render. Osobny, bo tym łączem
|
||||
# idzie CAŁY raport (dane urodzeniowe + opisy z baz).
|
||||
- name: LINK_KEY_PRESENTATION_RENDER
|
||||
valueFrom:
|
||||
secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_RENDER }
|
||||
- name: LINK_ENCRYPTION_REQUIRED
|
||||
value: "true"
|
||||
resources:
|
||||
requests: { cpu: "100m", memory: "128Mi" }
|
||||
limits: { cpu: "300m", memory: "256Mi" }
|
||||
@@ -66,10 +40,7 @@ metadata:
|
||||
name: presentation
|
||||
namespace: astrololo
|
||||
spec:
|
||||
# Wejście z przeglądarki idzie teraz WYŁĄCZNIE przez Ingress po https
|
||||
# (ingress.yaml). NodePort był drugą, nieszyfrowaną drogą do środka — czyli
|
||||
# obejściem całego PRE-16 — więc znika.
|
||||
type: ClusterIP
|
||||
type: NodePort # wejście z przeglądarki
|
||||
selector: { app: presentation }
|
||||
ports: [{ port: 8000, targetPort: 8000 }]
|
||||
|
||||
|
||||
@@ -1,69 +0,0 @@
|
||||
# Usługa render — składanie raportu PDF (PRE-24).
|
||||
#
|
||||
# OSOBNY komponent, nie część prezentacji, z tego samego powodu co silnik
|
||||
# swisseph (LOG-27): obraz dźwiga TeX Live, czyli setki megabajtów. W obrazie
|
||||
# produktu spowalniałby każdy build i deploy; tak aktualizuje się niezależnie,
|
||||
# a jego awaria nie kładzie aplikacji — psuje się tylko przycisk „Pobierz PDF".
|
||||
#
|
||||
# Rozmawia WYŁĄCZNIE z prezentacją, po szyfrowanym łączu z własnym, trzecim
|
||||
# kluczem. Wystawiona jako ClusterIP — bez NodePort i bez Ingressu, bo nie ma
|
||||
# powodu, żeby ktokolwiek sięgał do niej z zewnątrz.
|
||||
apiVersion: apps/v1
|
||||
kind: Deployment
|
||||
metadata:
|
||||
name: render
|
||||
namespace: astrololo
|
||||
spec:
|
||||
replicas: 1
|
||||
selector: { matchLabels: { app: render } }
|
||||
template:
|
||||
metadata: { labels: { app: render } }
|
||||
spec:
|
||||
imagePullSecrets: [{ name: gitea-registry }]
|
||||
containers:
|
||||
- name: render
|
||||
image: gitea.czernobog.pl/gitea/astrololo-render:latest
|
||||
ports: [{ containerPort: 8004 }]
|
||||
env:
|
||||
# Token międzywarstwowy (LOG-32) — ta usługa dostaje CAŁY raport:
|
||||
# dane urodzeniowe i opisy z baz.
|
||||
- name: INTERNAL_TOKEN
|
||||
valueFrom:
|
||||
secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
|
||||
# Szyfrowanie łącza (PRE-16/PRE-24). OSOBNY klucz na parę rozmówców:
|
||||
# przejęcie klucza renderu nie może otwierać łącza do logiki ani danych.
|
||||
- name: LINK_KEY_PRESENTATION_RENDER
|
||||
valueFrom:
|
||||
secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_RENDER }
|
||||
- name: LINK_ENCRYPTION_REQUIRED
|
||||
value: "true"
|
||||
# XeLaTeX na obszernym raporcie potrafi zjeść sporo pamięci i CPU,
|
||||
# ale tylko na chwilę — stąd wyraźna różnica między request a limit.
|
||||
resources:
|
||||
requests: { cpu: "100m", memory: "256Mi" }
|
||||
limits: { cpu: "1500m", memory: "1Gi" }
|
||||
# Kompilacja pisze wyłącznie do katalogu tymczasowego, który sprząta po
|
||||
# sobie. Dajemy na to emptyDir i zamykamy resztę systemu plików —
|
||||
# raport nie ma prawa zostawić śladu w kontenerze.
|
||||
volumeMounts:
|
||||
- { name: tmp, mountPath: /tmp }
|
||||
securityContext:
|
||||
readOnlyRootFilesystem: true
|
||||
allowPrivilegeEscalation: false
|
||||
readinessProbe:
|
||||
httpGet: { path: /health, port: 8004 }
|
||||
initialDelaySeconds: 5
|
||||
periodSeconds: 15
|
||||
volumes:
|
||||
- name: tmp
|
||||
emptyDir: { sizeLimit: 512Mi }
|
||||
---
|
||||
apiVersion: v1
|
||||
kind: Service
|
||||
metadata:
|
||||
name: render
|
||||
namespace: astrololo
|
||||
spec:
|
||||
type: ClusterIP # tylko dla prezentacji, bez wejścia z zewnątrz
|
||||
selector: { app: render }
|
||||
ports: [{ port: 8004, targetPort: 8004 }]
|
||||
@@ -1,65 +0,0 @@
|
||||
# Certyfikat dla wejścia do aplikacji (PRE-16).
|
||||
#
|
||||
# Dlaczego WŁASNE CA, a nie Let's Encrypt: klaster stoi w LAN (traefik trzyma
|
||||
# LoadBalancera na 192.168.1.x), więc walidacja HTTP-01 nie ma jak dojść z
|
||||
# internetu, a DNS-01 wymagałby trzymania w klastrze tokena API do domeny.
|
||||
# Własne CA nie potrzebuje niczego z zewnątrz, a certyfikaty odnawia samo.
|
||||
#
|
||||
# WYMAGANIE WSTĘPNE: cert-manager musi być w klastrze PRZED synchronizacją tego
|
||||
# katalogu — inaczej API odrzuci poniższe obiekty jako nieznane rodzaje zasobów.
|
||||
# Instalacja jednorazowa: patrz README.md.
|
||||
#
|
||||
# Wszystko jest w namespace `astrololo` (Issuer, nie ClusterIssuer) świadomie:
|
||||
# ArgoCD ma tu włączone `prune`, a zasoby o zasięgu całego klastra chcemy trzymać
|
||||
# poza aplikacją, która może zostać skasowana.
|
||||
---
|
||||
apiVersion: cert-manager.io/v1
|
||||
kind: Issuer
|
||||
metadata:
|
||||
name: selfsigned
|
||||
namespace: astrololo
|
||||
spec:
|
||||
selfSigned: {}
|
||||
---
|
||||
# Korzeń zaufania. TO JEST certyfikat, który raz importujesz do przeglądarki
|
||||
# i systemu — patrz README. Stąd długi termin ważności: importu nie chcemy
|
||||
# powtarzać co kwartał.
|
||||
apiVersion: cert-manager.io/v1
|
||||
kind: Certificate
|
||||
metadata:
|
||||
name: astrololo-ca
|
||||
namespace: astrololo
|
||||
spec:
|
||||
isCA: true
|
||||
commonName: astrololo internal CA
|
||||
secretName: astrololo-ca # tu lądują klucz i certyfikat korzenia
|
||||
duration: 87600h # 10 lat
|
||||
renewBefore: 8760h # odnowienie na rok przed końcem
|
||||
privateKey: { algorithm: ECDSA, size: 256 }
|
||||
issuerRef: { name: selfsigned, kind: Issuer, group: cert-manager.io }
|
||||
---
|
||||
apiVersion: cert-manager.io/v1
|
||||
kind: Issuer
|
||||
metadata:
|
||||
name: astrololo-ca
|
||||
namespace: astrololo
|
||||
spec:
|
||||
ca: { secretName: astrololo-ca }
|
||||
---
|
||||
# Właściwy certyfikat serwera. Krótki termin CELOWO: przy 90 dniach odnawianie
|
||||
# jest sprawdzane w praktyce co kwartał, więc awaria wyjdzie od razu, a nie za
|
||||
# dziesięć lat, gdy nikt już nie będzie pamiętał, jak to działa.
|
||||
apiVersion: cert-manager.io/v1
|
||||
kind: Certificate
|
||||
metadata:
|
||||
name: astrololo-tls
|
||||
namespace: astrololo
|
||||
spec:
|
||||
secretName: astrololo-tls # tego szuka Ingress
|
||||
commonName: astrololo.czernobog.pl
|
||||
dnsNames:
|
||||
- astrololo.czernobog.pl
|
||||
duration: 2160h # 90 dni
|
||||
renewBefore: 720h # 30 dni zapasu
|
||||
privateKey: { algorithm: ECDSA, size: 256, rotationPolicy: Always }
|
||||
issuerRef: { name: astrololo-ca, kind: Issuer, group: cert-manager.io }
|
||||
@@ -1,59 +0,0 @@
|
||||
apiVersion: apps/v1
|
||||
kind: Deployment
|
||||
metadata:
|
||||
name: bot
|
||||
namespace: conjurer
|
||||
spec:
|
||||
replicas: 1 # NIGDY więcej — jedna sesja gateway na token
|
||||
strategy: { type: Recreate } # NIE RollingUpdate — dwa pody = wojna o sesję Discord
|
||||
selector: { matchLabels: { app: bot } }
|
||||
template:
|
||||
metadata: { labels: { app: bot } }
|
||||
spec:
|
||||
imagePullSecrets: [{ name: gitea-registry }]
|
||||
containers:
|
||||
- name: bot
|
||||
image: gitea.czernobog.pl/gitea/conjurer-bot:c8aae106
|
||||
ports: [{ containerPort: 5000 }]
|
||||
env:
|
||||
- { name: CONJURER_DATA_DIR, value: "/data" }
|
||||
- { name: CONJURER_DISCORD_HOST, value: "0.0.0.0" }
|
||||
- { name: CONJURER_DISCORD_PORT, value: "5000" }
|
||||
- { name: CONJURER_API_KEY, value: "d97008b3-7a5a-11f1-acd1-000b0e0f00ed" }
|
||||
- { name: CONJURER_NETRC_FILE, value: "/secrets/.netrc" }
|
||||
# ↓ NAZWY PODSTAW WG WYNIKU grepa z 0.2 ↓
|
||||
- { name: CONJURER_LIBRARIAN_SERVICE, value: "http://librarian:5001" }
|
||||
- { name: CONJURER_MUSICIAN_SERVICE, value: "http://192.168.1.89:5000" }
|
||||
- { name: CONJURER_RADIO_SERVICE, value: "http://192.168.1.79:5005" }
|
||||
- { name: CONJURER_FILE_SERVICE, value: "http://192.168.1.89:5000" }
|
||||
|
||||
- { name: CONJURER_RADIO_HARBOR, value: "http://192.168.1.79:54321" }
|
||||
volumeMounts:
|
||||
- { name: data, mountPath: /data }
|
||||
- { name: netrc, mountPath: /secrets, readOnly: true }
|
||||
resources:
|
||||
requests: { cpu: "200m", memory: "256Mi" }
|
||||
limits: { cpu: "2", memory: "1Gi" }
|
||||
volumes:
|
||||
- name: data
|
||||
persistentVolumeClaim: { claimName: bot-data }
|
||||
- name: netrc
|
||||
secret: { secretName: conjurer-netrc }
|
||||
---
|
||||
apiVersion: v1
|
||||
kind: PersistentVolumeClaim
|
||||
metadata: { name: bot-data, namespace: conjurer }
|
||||
spec:
|
||||
accessModes: [ReadWriteOnce]
|
||||
resources: { requests: { storage: 2Gi } }
|
||||
---
|
||||
apiVersion: v1
|
||||
kind: Service
|
||||
metadata: { name: bot, namespace: conjurer }
|
||||
spec:
|
||||
type: NodePort # radio/musician z Dockera muszą go dosięgnąć
|
||||
selector: { app: bot }
|
||||
# nodePort PRZYPIĘTY na sztywno. Bez tego k8s losuje port z 30000-32767 przy
|
||||
# (od)tworzeniu Service, a musician/betoniarka z Dockera adresują bota po
|
||||
# http://192.168.1.73:32442 na sztywno - rozjazd = wyniki/eventy giną w locie.
|
||||
ports: [{ port: 5000, targetPort: 5000, nodePort: 32442 }]
|
||||
@@ -1,19 +0,0 @@
|
||||
apiVersion: argocd-image-updater.argoproj.io/v1alpha1
|
||||
kind: ImageUpdater
|
||||
metadata:
|
||||
name: conjurer
|
||||
namespace: argocd
|
||||
spec:
|
||||
commonUpdateSettings:
|
||||
updateStrategy: "newest-build"
|
||||
writeBackConfig:
|
||||
method: "git:secret:argocd/git-creds"
|
||||
gitConfig:
|
||||
repository: "https://gitea.czernobog.pl/gitea/deploy.git"
|
||||
branch: "master" # ← gałąź repo deploy
|
||||
writeBackTarget: "kustomization:/conjurer"
|
||||
applicationRefs:
|
||||
- namePattern: "conjurer"
|
||||
images:
|
||||
- { alias: "librarian", imageName: "gitea.czernobog.pl/gitea/conjurer-librarian" }
|
||||
- { alias: "bot", imageName: "gitea.czernobog.pl/gitea/conjurer-bot" }
|
||||
@@ -1,11 +0,0 @@
|
||||
apiVersion: kustomize.config.k8s.io/v1beta1
|
||||
kind: Kustomization
|
||||
resources:
|
||||
- namespace.yaml
|
||||
- librarian.yaml
|
||||
- bot.yaml
|
||||
images:
|
||||
- name: gitea.czernobog.pl/gitea/conjurer-librarian
|
||||
newTag: 8e18071b
|
||||
- name: gitea.czernobog.pl/gitea/conjurer-bot
|
||||
newTag: 8e18071b
|
||||
@@ -1,62 +0,0 @@
|
||||
apiVersion: apps/v1
|
||||
kind: Deployment
|
||||
metadata:
|
||||
name: librarian
|
||||
namespace: conjurer
|
||||
spec:
|
||||
replicas: 1
|
||||
selector: { matchLabels: { app: librarian } }
|
||||
template:
|
||||
metadata: { labels: { app: librarian } }
|
||||
spec:
|
||||
imagePullSecrets: [{ name: gitea-registry }]
|
||||
containers:
|
||||
- name: librarian
|
||||
image: gitea.czernobog.pl/gitea/conjurer-librarian:e243777e
|
||||
ports: [{ containerPort: 5001 }]
|
||||
env:
|
||||
- { name: CONJURER_LIBRARIAN_HOST, value: "0.0.0.0" }
|
||||
- { name: CONJURER_LIBRARIAN_PORT, value: "5001" }
|
||||
- { name: CONJURER_LIBRARIAN_DB_PATH, value: "/doi/" }
|
||||
- { name: CONJURER_API_KEY, value: "d97008b3-7a5a-11f1-acd1-000b0e0f00ed" }
|
||||
- { name: CONJURER_LIBRARIAN_MAXTHREADS, value: "40" }
|
||||
- { name: CONJURER_CROSSREF_MAILTO, value: "mtuszowski@gmail.com" }
|
||||
- { name: CONJURER_LIBRARIAN_CHUNK, value: "_chunk.txt" }
|
||||
# Librarian jest W TYM SAMYM klastrze/namespace co bot - gada z nim
|
||||
# po DNS Service'u, nie przez nodePort węzła (ten zostaje tylko dla
|
||||
# zewnętrznych musician/betoniarka z Dockera). Odporne na przetasowania.
|
||||
- { name: CONJURER_MAIN_BOT, value: "http://bot:5000" }
|
||||
|
||||
- { name: CONJURER_LIBRARIAN_STATE_DIR, value: "/lib_temp_files" }
|
||||
|
||||
volumeMounts:
|
||||
- { name: doi, mountPath: /doi, readOnly: true }
|
||||
- { name: state, mountPath: /lib_temp_files }
|
||||
resources:
|
||||
requests: { cpu: "100m", memory: "512Mi" }
|
||||
# Headroom bump: the work-queue OOM is fixed in code, but a deep
|
||||
# search still pulls up to 15000 Crossref records into RAM and the
|
||||
# accumulating result JSONs are loaded whole. 2Gi gives margin so a
|
||||
# big search isn't OOM-killed. Tune down if the node is tight.
|
||||
limits: { cpu: "1", memory: "2Gi" }
|
||||
volumes:
|
||||
- name: doi
|
||||
nfs:
|
||||
server: 192.168.1.34
|
||||
path: /mnt/Tank1/conjurer_swap/librarian_data/base_it1
|
||||
- name: state
|
||||
persistentVolumeClaim: { claimName: librarian-state }
|
||||
---
|
||||
apiVersion: v1
|
||||
kind: PersistentVolumeClaim
|
||||
metadata: { name: librarian-state, namespace: conjurer }
|
||||
spec:
|
||||
accessModes: [ReadWriteOnce]
|
||||
resources: { requests: { storage: 1Gi } }
|
||||
---
|
||||
apiVersion: v1
|
||||
kind: Service
|
||||
metadata: { name: librarian, namespace: conjurer }
|
||||
spec:
|
||||
selector: { app: librarian }
|
||||
ports: [{ port: 5001, targetPort: 5001 }]
|
||||
@@ -1,4 +0,0 @@
|
||||
apiVersion: v1
|
||||
kind: Namespace
|
||||
metadata:
|
||||
name: conjurer
|
||||
Reference in New Issue
Block a user