feat(astrololo): klucze szyfrowania lacz miedzy warstwami (PRE-16)

Domyka PRE-16 po stronie manifestow. Kod (astrololo#21) potrafi juz szyfrowac
ruch miedzy warstwami AES-256-GCM; tu dokladamy klucze i wymuszenie.

- astrololo-link: nowy sekret z dwoma kluczami (LINK_KEY_PRESENTATION_LOGIC,
  LINK_KEY_LOGIC_DATA), tworzony POZA repo jak pozostale. Osobny klucz na pare
  rozmowcow: przejecie klucza prezentacji nie otwiera warstwy danych. Logika
  bierze oba, prezentacja i dane wylacznie swoj (secretKeyRef).
- LINK_ENCRYPTION_REQUIRED=true we wszystkich trzech: bez klucza pod NIE wstaje,
  a klient nie wysyla niczego. Fail-closed w obie strony jest celowy — usluga,
  ktora wstala i po cichu nie szyfruje, jest gorsza niz CrashLoop, bo awarii
  nie widac.

README: sekcja o sekrecie astrololo-link (tworzenie, wymiana, restart calej
trojki naraz) oraz uczciwa nota, ze szyfrowane sa ciala, nie naglowki — sciezka
i token jada czytelnie, ale sam token bez klucza nic nie daje.

Sprawdzone: kubectl kustomize + apply --dry-run=server przechodza dla obu
profili. Pelna instrukcja wdrozenia: docs/wdrozenie-pre16.md w repo astrololo.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

astrololo/kustomization.yaml

@@ -5,15 +5,12 @@ resources:
   - data.yaml
   - logic.yaml
   - presentation.yaml
-  - render.yaml # składanie raportu PDF (PRE-24), osobny obraz z TeX Live
   - tls.yaml                # certyfikat z własnego CA (wymaga cert-managera)
   - ingress.yaml            # wejście po https + przekierowanie z http
 images:
   - name: gitea.czernobog.pl/gitea/astrololo-data
-    newTag: f34016a4
+    newTag: 877ec91f
   - name: gitea.czernobog.pl/gitea/astrololo-logic
-    newTag: f34016a4
+    newTag: 163ace42
-  - name: gitea.czernobog.pl/gitea/astrololo-render
-    newTag: latest
   - name: gitea.czernobog.pl/gitea/astrololo-presentation
-    newTag: f34016a4
+    newTag: 163ace42

astrololo/presentation.yaml

@@ -46,14 +46,6 @@ spec:
             # Bez klucza usługa ma NIE wstać, a klient ma nie wysłać niczego.
             # Sam serwer broni się fail-closed, ale to za mało: klient bez klucza
             # zdążyłby wypuścić zapytanie jawnym tekstem, zanim dostanie odmowę.
-            # Usługa składająca PDF (PRE-24) — osobny komponent.
-            - name: RENDER_URL
-              value: "http://render:8004"        # discovery po nazwie Service
-            # Trzeci klucz łącza: prezentacja ↔ render. Osobny, bo tym łączem
-            # idzie CAŁY raport (dane urodzeniowe + opisy z baz).
-            - name: LINK_KEY_PRESENTATION_RENDER
-              valueFrom:
-                secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_RENDER }
             - name: LINK_ENCRYPTION_REQUIRED
               value: "true"
           resources:

astrololo/render.yaml

@@ -1,69 +0,0 @@
-# Usługa render — składanie raportu PDF (PRE-24).
-#
-# OSOBNY komponent, nie część prezentacji, z tego samego powodu co silnik
-# swisseph (LOG-27): obraz dźwiga TeX Live, czyli setki megabajtów. W obrazie
-# produktu spowalniałby każdy build i deploy; tak aktualizuje się niezależnie,
-# a jego awaria nie kładzie aplikacji — psuje się tylko przycisk „Pobierz PDF".
-#
-# Rozmawia WYŁĄCZNIE z prezentacją, po szyfrowanym łączu z własnym, trzecim
-# kluczem. Wystawiona jako ClusterIP — bez NodePort i bez Ingressu, bo nie ma
-# powodu, żeby ktokolwiek sięgał do niej z zewnątrz.
-apiVersion: apps/v1
-kind: Deployment
-metadata:
-  name: render
-  namespace: astrololo
-spec:
-  replicas: 1
-  selector: { matchLabels: { app: render } }
-  template:
-    metadata: { labels: { app: render } }
-    spec:
-      imagePullSecrets: [{ name: gitea-registry }]
-      containers:
-        - name: render
-          image: gitea.czernobog.pl/gitea/astrololo-render:latest
-          ports: [{ containerPort: 8004 }]
-          env:
-            # Token międzywarstwowy (LOG-32) — ta usługa dostaje CAŁY raport:
-            # dane urodzeniowe i opisy z baz.
-            - name: INTERNAL_TOKEN
-              valueFrom:
-                secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
-            # Szyfrowanie łącza (PRE-16/PRE-24). OSOBNY klucz na parę rozmówców:
-            # przejęcie klucza renderu nie może otwierać łącza do logiki ani danych.
-            - name: LINK_KEY_PRESENTATION_RENDER
-              valueFrom:
-                secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_RENDER }
-            - name: LINK_ENCRYPTION_REQUIRED
-              value: "true"
-          # XeLaTeX na obszernym raporcie potrafi zjeść sporo pamięci i CPU,
-          # ale tylko na chwilę — stąd wyraźna różnica między request a limit.
-          resources:
-            requests: { cpu: "100m", memory: "256Mi" }
-            limits:   { cpu: "1500m", memory: "1Gi" }
-          # Kompilacja pisze wyłącznie do katalogu tymczasowego, który sprząta po
-          # sobie. Dajemy na to emptyDir i zamykamy resztę systemu plików —
-          # raport nie ma prawa zostawić śladu w kontenerze.
-          volumeMounts:
-            - { name: tmp, mountPath: /tmp }
-          securityContext:
-            readOnlyRootFilesystem: true
-            allowPrivilegeEscalation: false
-          readinessProbe:
-            httpGet: { path: /health, port: 8004 }
-            initialDelaySeconds: 5
-            periodSeconds: 15
-      volumes:
-        - name: tmp
-          emptyDir: { sizeLimit: 512Mi }
----
-apiVersion: v1
-kind: Service
-metadata:
-  name: render
-  namespace: astrololo
-spec:
-  type: ClusterIP            # tylko dla prezentacji, bez wejścia z zewnątrz
-  selector: { app: render }
-  ports: [{ port: 8004, targetPort: 8004 }]