feat(astrololo): profil deployu swisseph (silnik B, AGPL)

Drugi, opcjonalny wariant deployu: ten sam stack co produkcja, ale logic
liczy na Swiss Ephemeris zamiast na wlasnym Skyfieldzie.

Overlay Kustomize nad ../astrololo:
- dokłada usluge engine-swisseph (Deployment + Service, ClusterIP — bez
  wejscia z zewnatrz, izolacja AGPL: rozmawia z nia tylko logic),
- patchuje logic: EPHEMERIS_ENGINE=swisseph + ENGINE_SWISSEPH_URL (wlacza
  tez /chart/compare, LOG-25/26),
- tagi data/logic/presentation dziedziczy z bazy (sledzi wersje produkcji).

Aktywacja przez wskazanie GitOps na katalog astrololo-swisseph zamiast
astrololo (profil zastepujacy baze w tym samym ns). Szczegoly w README.
Zwalidowane `kubectl kustomize` (9 obiektow, env logica i ClusterIP OK).

Wymaga obrazu astrololo-engine-swisseph w registry — buduje go osobny
workflow w repo astrololo (PR rownolegly).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

astrololo/README.md

@@ -1,107 +0,0 @@
-# astrololo — deploy (namespace `astrololo`)
-
-Manifesty k8s składane Kustomize. Obrazy podbija automatycznie image-updater
-(`kustomization.yaml` → `images: newTag`) po każdym buildzie z repo aplikacji.
-
-Warstwy: `presentation` (NodePort, wejście z przeglądarki) → `logic` → `data`
-(pliki Excel montowane **z NFS**, nie z obrazu).
-
-## ⚠️ Sekret `astrololo-auth` — utwórz PRZED wdrożeniem
-
-Aplikacja wystawia treść **oryginalnych baz interpretacyjnych**, dlatego wymaga
-logowania i tokenu międzywarstwowego (LOG-32). Manifesty odwołują się do sekretu
-`astrololo-auth` i **celowo nie zawierają jego wartości** — to repo GitOps, więc
-cokolwiek by tu wpadło, zostałoby w historii gita na zawsze.
-
-To ta sama konwencja co `gitea-registry`: sekret tworzymy poza repo.
-
-**Pody nie wstaną bez tego sekretu — i tak ma być.** Wolimy widoczną awarię niż
-cichy start aplikacji bez ochrony.
-
-```bash
-# hasło wczytane bez zapisu w historii powłoki
-read -rs -p "Hasło do aplikacji (APP_PASSWORD): " APP_PASSWORD; echo
-
-kubectl -n astrololo create secret generic astrololo-auth \
-  --from-literal=APP_PASSWORD="$APP_PASSWORD" \
-  --from-literal=INTERNAL_TOKEN="$(openssl rand -hex 32)"
-
-unset APP_PASSWORD
-```
-
-`INTERNAL_TOKEN` jest losowany i **nikt go nigdy nie musi oglądać** — służy tylko
-usługom do rozmowy między sobą. `APP_PASSWORD` wpisujesz w przeglądarce
-(użytkownik: `astrololo`, zmienny przez `APP_USER` w `presentation.yaml`).
-
-### Zmiana hasła
-```bash
-read -rs -p "Nowe hasło: " NEW; echo
-kubectl -n astrololo create secret generic astrololo-auth \
-  --from-literal=APP_PASSWORD="$NEW" \
-  --from-literal=INTERNAL_TOKEN="$(kubectl -n astrololo get secret astrololo-auth \
-      -o jsonpath='{.data.INTERNAL_TOKEN}' | base64 -d)" \
-  --dry-run=client -o yaml | kubectl apply -f -
-kubectl -n astrololo rollout restart deploy/presentation
-unset NEW
-```
-(Zachowujemy istniejący `INTERNAL_TOKEN`; jego zmiana wymaga restartu **wszystkich
-trzech** usług naraz, inaczej przestaną się dogadywać.)
-
-### Sprawdzenie po wdrożeniu
-```bash
-kubectl -n astrololo rollout status deploy/presentation deploy/logic deploy/data
-NODE_PORT=$(kubectl -n astrololo get svc presentation -o jsonpath='{.spec.ports[0].nodePort}')
-curl -s -o /dev/null -w "bez hasła: %{http_code}\n"  http://<adres-noda>:$NODE_PORT/
-curl -s -o /dev/null -w "z hasłem: %{http_code}\n" -u astrololo:'<hasło>' http://<adres-noda>:$NODE_PORT/
-```
-Oczekiwane: **401** bez hasła, **200** z hasłem. `/health` zostaje publiczny (sondy k8s).
-
-## Klucze do modeli w chmurze — sekret `astrololo-llm` (opcjonalny)
-
-Domyślnie działa **model lokalny** i nic nie opuszcza sieci. Żeby móc wybrać w UI
-OpenAI lub Anthropic, potrzebne są ich klucze. Ten sekret jest **opcjonalny**
-(`optional: true`) — bez niego pody startują normalnie, tylko chmura jest niedostępna.
-
-```bash
-read -rs -p "OPENAI_API_KEY (Enter = pomiń): " OPENAI_KEY; echo
-read -rs -p "ANTHROPIC_API_KEY (Enter = pomiń): " ANTHROPIC_KEY; echo
-
-kubectl -n astrololo create secret generic astrololo-llm \
-  --from-literal=OPENAI_API_KEY="$OPENAI_KEY" \
-  --from-literal=ANTHROPIC_API_KEY="$ANTHROPIC_KEY"
-
-unset OPENAI_KEY ANTHROPIC_KEY
-kubectl -n astrololo rollout restart deploy/logic     # klucze wstrzykują się przy starcie
-```
-
-Podmiana pojedynczego klucza (bez kasowania drugiego):
-```bash
-kubectl -n astrololo create secret generic astrololo-llm \
-  --from-literal=OPENAI_API_KEY="$(kubectl -n astrololo get secret astrololo-llm \
-      -o jsonpath='{.data.OPENAI_API_KEY}' | base64 -d)" \
-  --from-literal=ANTHROPIC_API_KEY='NOWY-KLUCZ' \
-  --dry-run=client -o yaml | kubectl apply -f -
-kubectl -n astrololo rollout restart deploy/logic
-```
-
-**Adres modelu lokalnego** ustawia `LOCAL_BASE_URL` w `logic.yaml` — dopasuj do miejsca,
-gdzie faktycznie stoi Ollama/vLLM. Konfiguracja jest **per dostawca**
-(`LOCAL_*`, `OPENAI_*`, `ANTHROPIC_*`), więc ustawienia lokalnego modelu nie przejmują
-żądań do chmury.
-
-> Wybór dostawcy w chmurze oznacza, że **oryginalne opisy z baz opuszczają naszą sieć**.
-> Prompt można obejrzeć przed wysłaniem. Warto zawnioskować u dostawcy o Zero Data
-> Retention — patrz LOG-32.
-
-## Czego to nie załatwia
-- **Brak TLS** — Basic Auth idzie po sieci w postaci łatwej do podsłuchania. Przy
-  niezaufanej sieci potrzebny ingress z certyfikatem.
-- **NFS `192.168.1.34:/mnt/Tank1/astrololo`** — kto ma dostęp do share'u, bierze
-  pliki baz **z pominięciem całej aplikacji**. Do zamknięcia po stronie infrastruktury
-  (eksport tylko dla IP węzłów, `root_squash`, najlepiej read-only).
-- **Sekret w etcd** jest tylko zakodowany base64. Docelowo: szyfrowanie etcd at-rest
-  albo Sealed Secrets / SOPS, jeśli chcecie trzymać sekrety deklaratywnie w repo.
-
-## Profil ze swissephem
-Wariant z silnikiem B: [`../astrololo-swisseph/`](../astrololo-swisseph/README.md).
-Dziedziczy powyższe zmienne z tej bazy, więc też wymaga sekretu `astrololo-auth`.

astrololo/data.yaml

@@ -18,17 +18,11 @@ spec:
             - name: DATA_PROVIDER
               value: "excel"
             - name: EXCEL_DIR
-              value: "/app/data_files"          # montowane z NFS (patrz volumes) — NIE z obrazu
+              value: "/app/data_files"          # pliki są W OBRAZIE (COPY . .)
             - name: CACHE_DIR
               value: "/app/.cache"
             - name: INDEXED_KEYS
               value: "name,id,symbol"
-            # Token międzywarstwowy (LOG-32). Ta warstwa oddaje SUROWE wiersze baz —
-            # najwrażliwszy punkt systemu. Bez tokenu dałoby się ją odpytać
-            # bezpośrednio, z pominięciem i logiki, i logowania w UI.
-            - name: INTERNAL_TOKEN
-              valueFrom:
-                secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
           volumeMounts:
             - name: cache
               mountPath: /app/.cache

astrololo/kustomization.yaml

@@ -7,8 +7,8 @@ resources:
   - presentation.yaml
 images:
   - name: gitea.czernobog.pl/gitea/astrololo-data
-    newTag: 752f477a
+    newTag: c75f8377
   - name: gitea.czernobog.pl/gitea/astrololo-logic
-    newTag: 4ef90b30
+    newTag: c75f8377
   - name: gitea.czernobog.pl/gitea/astrololo-presentation
-    newTag: 4ef90b30
+    newTag: c75f8377

astrololo/logic.yaml

@@ -20,36 +20,6 @@ spec:
             - name: EPHEMERIS_ENGINE
               value: "own"                       # silnik własny; swisseph pominięty
             # ENGINE_SWISSEPH_URL celowo NIE ustawiamy — engine-swisseph nie jest wdrażany
-            # Token międzywarstwowy (LOG-32): logika oddaje treść baz, więc musi
-            # odrzucać żądania z pominięciem logowania w prezentacji. Ten sam token
-            # służy jej do uwierzytelnienia się w warstwie danych.
-            - name: INTERNAL_TOKEN
-              valueFrom:
-                secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
-
-            # --- Model językowy (LOG-31) ---
-            # Domyślnie LOKALNY: prompt niesie oryginalne opisy z baz, więc nic nie
-            # opuszcza sieci. Dostawcę można przełączyć w UI przy pojedynczym żądaniu.
-            - name: LLM_PROVIDER
-              value: "local"
-            - name: LOCAL_BASE_URL
-              value: "http://ollama.ollama.svc.cluster.local:11434/v1"
-            - name: LOCAL_MODEL
-              value: "llama3.1:8b"
-            - name: LLM_TIMEOUT
-              value: "180"                       # dłuższe horoskopy potrafią trwać
-            - name: LLM_MAX_TOKENS
-              value: "2000"
-
-            # Klucze do chmury — OPCJONALNE (optional: true), bo to funkcja, nie
-            # zabezpieczenie: bez sekretu pody startują normalnie i działa model
-            # lokalny. Wybór chmury w UI oznacza, że treść baz OPUSZCZA naszą sieć.
-            - name: OPENAI_API_KEY
-              valueFrom:
-                secretKeyRef: { name: astrololo-llm, key: OPENAI_API_KEY, optional: true }
-            - name: ANTHROPIC_API_KEY
-              valueFrom:
-                secretKeyRef: { name: astrololo-llm, key: ANTHROPIC_API_KEY, optional: true }
           resources:
             requests: { cpu: "100m", memory: "128Mi" }
             limits:   { cpu: "500m", memory: "512Mi" }

astrololo/presentation.yaml

@@ -17,19 +17,6 @@ spec:
           env:
             - name: LOGIC_URL
               value: "http://logic:8001"
-            # Logowanie do aplikacji (LOG-32). Bez tych sekretów aplikacja stoi
-            # OTWARTA — a wystawia treść baz interpretacyjnych. Sekret tworzony
-            # POZA repo (jak gitea-registry) — patrz README.md.
-            - name: APP_PASSWORD
-              valueFrom:
-                secretKeyRef: { name: astrololo-auth, key: APP_PASSWORD }
-            - name: INTERNAL_TOKEN
-              valueFrom:
-                secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
-            - name: APP_USER
-              value: "astrololo"
-            - name: RATE_LIMIT_PER_MIN
-              value: "120"                       # 0 = bez limitu
           resources:
             requests: { cpu: "100m", memory: "128Mi" }
             limits:   { cpu: "300m", memory: "256Mi" }