Libr

Konfiguracja argocd-image-updater istniała tylko w klastrze (ręczne `kubectl
apply`, brak w git). Skutkiem był PRE-24: `render` zbudował się i zdeployował raz,
ale kolejne buildy nie schodziły — bo nie było go na JAWNEJ liście obserwowanych
obrazów CRD, a nigdzie nie dało się tego podejrzeć ani odtworzyć.

Zrzucam manifest (z `render` już w środku, 4 obrazy: data/logic/presentation/
render) do `astrololo/image-updater.yaml` + opis w README.

Plik CELOWO nie jest w kustomization.yaml: resource stoi w ns `argocd` (poza
namespace docelowym aplikacji), a to konfiguracja kontrolera wdrażającego tę
aplikację — nakładany ręcznie (`kubectl apply -f astrololo/image-updater.yaml`),
w repo dla odtwarzalności i historii. Dodanie nowej usługi = dopisanie wpisu tutaj.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

astrololo/README.md

@@ -8,6 +8,21 @@ Warstwy: `presentation` (wejście z przeglądarki przez **Ingress po https**)
 
 Adres aplikacji: **https://astrololo.czernobog.pl** — patrz [TLS](#-tls--wymagane-kroki-przed-wdrożeniem).
 
+## Co śledzi image-updater — [`image-updater.yaml`](image-updater.yaml)
+
+Lista obrazów podbijanych automatycznie jest **jawna** i żyje w CRD `ImageUpdater`
+(ns `argocd`). Obraz, którego na niej nie ma, **nigdy się nie podbije**, choćby CI
+go budowało — tak przez chwilę wisiał `render` na `:latest`, zanim dopisaliśmy go do
+listy. Dodając nową usługę, dopisz jej wpis w `image-updater.yaml` i nałóż:
+
+```bash
+kubectl apply -f astrololo/image-updater.yaml
+```
+
+Ten plik **celowo nie jest w `kustomization.yaml`**: resource stoi w ns `argocd`
+(poza namespace docelowym aplikacji), a to konfiguracja kontrolera, który wdraża tę
+aplikację — nakładamy go ręcznie, w repo trzymamy dla odtwarzalności i historii.
+
 ## ⚠️ Sekret `astrololo-auth` — utwórz PRZED wdrożeniem
 
 Aplikacja wystawia treść **oryginalnych baz interpretacyjnych**, dlatego wymaga

astrololo/image-updater.yaml

@@ -0,0 +1,44 @@
+# Konfiguracja argocd-image-updater dla astrololo — ŹRÓDŁO PRAWDY tego, CO śledzimy.
+#
+# Model v1.x: osobny CRD `ImageUpdater` w ns `argocd` (nie adnotacje na Application).
+# Lista `images` jest JAWNA — obraz, którego tu NIE MA, nigdy nie zostanie podbity,
+# choćby CI go budowało. Tak przez chwilę wisiał `render` na `:latest` (PRE-24):
+# usługa istniała i budowała tag SHA, ale updater jej nie znał, więc kustomization
+# jej nie ruszał. Dopisanie wpisu = wejście usługi do rotacji.
+#
+# ⚠️ TEGO PLIKU NIE MA w astrololo/kustomization.yaml i NIE MA GO TAM MIEĆ:
+#   1. resource żyje w ns `argocd`, a Application astrololo celuje w ns `astrololo`
+#      — auto-sync przez kustomize próbowałby zapisać poza swój namespace docelowy;
+#   2. to konfiguracja kontrolera, który wdraża tę właśnie aplikację — niech app
+#      nie zarządza narzędziem, które ją wdraża.
+# Plik jest trzymany w repo dla odtwarzalności i historii; nakłada się go RĘCZNIE:
+#   kubectl apply -f astrololo/image-updater.yaml
+#
+# Strategia `newest-build`: updater bierze obraz o NAJNOWSZYM znaczniku czasu builda
+# i zapisuje jego tag SHA do kustomization (write-back git). Uwaga na reprodukowalne
+# buildy — identyczny `created` na kilku tagach potrafi zablokować wybór najnowszego.
+apiVersion: argocd-image-updater.argoproj.io/v1alpha1
+kind: ImageUpdater
+metadata:
+  name: astrololo
+  namespace: argocd
+spec:
+  applicationRefs:
+    - namePattern: astrololo
+      images:
+        - alias: data
+          imageName: gitea.czernobog.pl/gitea/astrololo-data
+        - alias: logic
+          imageName: gitea.czernobog.pl/gitea/astrololo-logic
+        - alias: presentation
+          imageName: gitea.czernobog.pl/gitea/astrololo-presentation
+        - alias: render
+          imageName: gitea.czernobog.pl/gitea/astrololo-render
+  commonUpdateSettings:
+    updateStrategy: newest-build
+  writeBackConfig:
+    method: git:secret:argocd/git-creds
+    gitConfig:
+      repository: https://gitea.czernobog.pl/gitea/deploy.git
+      branch: master
+      writeBackTarget: kustomization:/astrololo

astrololo/kustomization.yaml

@@ -5,12 +5,15 @@ resources:
   - data.yaml
   - logic.yaml
   - presentation.yaml
-  - tls.yaml                # certyfikat z własnego CA (wymaga cert-managera)
-  - ingress.yaml            # wejście po https + przekierowanie z http
+  - render.yaml # składanie raportu PDF (PRE-24), osobny obraz z TeX Live
+  - tls.yaml # certyfikat z własnego CA (wymaga cert-managera)
+  - ingress.yaml # wejście po https + przekierowanie z http
 images:
   - name: gitea.czernobog.pl/gitea/astrololo-data
-    newTag: 877ec91f
+    newTag: 623603b1
   - name: gitea.czernobog.pl/gitea/astrololo-logic
-    newTag: 163ace42
+    newTag: 623603b1
+  - name: gitea.czernobog.pl/gitea/astrololo-render
+    newTag: latest
   - name: gitea.czernobog.pl/gitea/astrololo-presentation
-    newTag: 163ace42
+    newTag: 623603b1

astrololo/presentation.yaml

@@ -46,6 +46,14 @@ spec:
             # Bez klucza usługa ma NIE wstać, a klient ma nie wysłać niczego.
             # Sam serwer broni się fail-closed, ale to za mało: klient bez klucza
             # zdążyłby wypuścić zapytanie jawnym tekstem, zanim dostanie odmowę.
+            # Usługa składająca PDF (PRE-24) — osobny komponent.
+            - name: RENDER_URL
+              value: "http://render:8004"        # discovery po nazwie Service
+            # Trzeci klucz łącza: prezentacja ↔ render. Osobny, bo tym łączem
+            # idzie CAŁY raport (dane urodzeniowe + opisy z baz).
+            - name: LINK_KEY_PRESENTATION_RENDER
+              valueFrom:
+                secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_RENDER }
             - name: LINK_ENCRYPTION_REQUIRED
               value: "true"
           resources:

astrololo/render.yaml

@@ -0,0 +1,69 @@
+# Usługa render — składanie raportu PDF (PRE-24).
+#
+# OSOBNY komponent, nie część prezentacji, z tego samego powodu co silnik
+# swisseph (LOG-27): obraz dźwiga TeX Live, czyli setki megabajtów. W obrazie
+# produktu spowalniałby każdy build i deploy; tak aktualizuje się niezależnie,
+# a jego awaria nie kładzie aplikacji — psuje się tylko przycisk „Pobierz PDF".
+#
+# Rozmawia WYŁĄCZNIE z prezentacją, po szyfrowanym łączu z własnym, trzecim
+# kluczem. Wystawiona jako ClusterIP — bez NodePort i bez Ingressu, bo nie ma
+# powodu, żeby ktokolwiek sięgał do niej z zewnątrz.
+apiVersion: apps/v1
+kind: Deployment
+metadata:
+  name: render
+  namespace: astrololo
+spec:
+  replicas: 1
+  selector: { matchLabels: { app: render } }
+  template:
+    metadata: { labels: { app: render } }
+    spec:
+      imagePullSecrets: [{ name: gitea-registry }]
+      containers:
+        - name: render
+          image: gitea.czernobog.pl/gitea/astrololo-render:latest
+          ports: [{ containerPort: 8004 }]
+          env:
+            # Token międzywarstwowy (LOG-32) — ta usługa dostaje CAŁY raport:
+            # dane urodzeniowe i opisy z baz.
+            - name: INTERNAL_TOKEN
+              valueFrom:
+                secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
+            # Szyfrowanie łącza (PRE-16/PRE-24). OSOBNY klucz na parę rozmówców:
+            # przejęcie klucza renderu nie może otwierać łącza do logiki ani danych.
+            - name: LINK_KEY_PRESENTATION_RENDER
+              valueFrom:
+                secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_RENDER }
+            - name: LINK_ENCRYPTION_REQUIRED
+              value: "true"
+          # XeLaTeX na obszernym raporcie potrafi zjeść sporo pamięci i CPU,
+          # ale tylko na chwilę — stąd wyraźna różnica między request a limit.
+          resources:
+            requests: { cpu: "100m", memory: "256Mi" }
+            limits:   { cpu: "1500m", memory: "1Gi" }
+          # Kompilacja pisze wyłącznie do katalogu tymczasowego, który sprząta po
+          # sobie. Dajemy na to emptyDir i zamykamy resztę systemu plików —
+          # raport nie ma prawa zostawić śladu w kontenerze.
+          volumeMounts:
+            - { name: tmp, mountPath: /tmp }
+          securityContext:
+            readOnlyRootFilesystem: true
+            allowPrivilegeEscalation: false
+          readinessProbe:
+            httpGet: { path: /health, port: 8004 }
+            initialDelaySeconds: 5
+            periodSeconds: 15
+      volumes:
+        - name: tmp
+          emptyDir: { sizeLimit: 512Mi }
+---
+apiVersion: v1
+kind: Service
+metadata:
+  name: render
+  namespace: astrololo
+spec:
+  type: ClusterIP            # tylko dla prezentacji, bez wejścia z zewnątrz
+  selector: { app: render }
+  ports: [{ port: 8004, targetPort: 8004 }]

conjurer/kustomization.yaml

@@ -0,0 +1,5 @@
+apiVersion: kustomize.config.k8s.io/v1beta1
+kind: Kustomization
+resources:
+  - namespace.yaml
+  - librarian.yaml

conjurer/librarian.yaml

@@ -0,0 +1,48 @@
+apiVersion: apps/v1
+kind: Deployment
+metadata:
+  name: librarian
+  namespace: conjurer
+spec:
+  replicas: 1
+  selector: { matchLabels: { app: librarian } }
+  template:
+    metadata: { labels: { app: librarian } }
+    spec:
+      imagePullSecrets: [{ name: gitea-registry }]
+      containers:
+        - name: librarian
+          image: gitea.czernobog.pl/gitea/conjurer-librarian:v0.1.0
+          ports: [{ containerPort: 5001 }]
+          env:
+            - { name: CONJURER_LIBRARIAN_HOST,      value: "0.0.0.0" }
+            - { name: CONJURER_LIBRARIAN_PORT,      value: "5001" }
+            - { name: CONJURER_LIBRARIAN_DB_PATH,   value: "/doi/" }
+            - { name: CONJURER_LIBRARIAN_STATE_DIR, value: "/lib_temp_files" }
+          volumeMounts:
+            - { name: doi,   mountPath: /doi, readOnly: true }
+            - { name: state, mountPath: /lib_temp_files }
+          resources:
+            requests: { cpu: "100m", memory: "256Mi" }
+            limits:   { cpu: "1",    memory: "1Gi" }
+      volumes:
+        - name: doi
+          nfs:
+            server: 192.168.1.34
+            path: /mnt/Tank1/conjurer_doi
+        - name: state
+          persistentVolumeClaim: { claimName: librarian-state }
+---
+apiVersion: v1
+kind: PersistentVolumeClaim
+metadata: { name: librarian-state, namespace: conjurer }
+spec:
+  accessModes: [ReadWriteOnce]
+  resources: { requests: { storage: 1Gi } }
+---
+apiVersion: v1
+kind: Service
+metadata: { name: librarian, namespace: conjurer }
+spec:
+  selector: { app: librarian }
+  ports: [{ port: 5001, targetPort: 5001 }]

conjurer/namespace.yaml

@@ -0,0 +1,4 @@
+apiVersion: v1
+kind: Namespace
+metadata:
+  name: conjurer