gitea
0509ebd597
Domyka od strony wdrozenia ochrone dodana w aplikacji (PR #10 w repo astrololo). Bez tych zmiennych aplikacja startuje OTWARTA, a wystawia tresc oryginalnych baz interpretacyjnych. - presentation: APP_PASSWORD + INTERNAL_TOKEN z sekretu, APP_USER i RATE_LIMIT_PER_MIN jawnie (nie sa tajne). - logic, data: INTERNAL_TOKEN z sekretu — bez niego da sie ominac logowanie, uderzajac wprost w warstwe nizej. Warstwa danych oddaje SUROWE wiersze, wiec to najwrazliwszy punkt. WARTOSCI SEKRETOW CELOWO NIE TRAFIAJA DO REPO — to GitOps, wiec zostalyby w historii gita na zawsze i przekreslily caly sens tej zmiany. Manifesty tylko odwoluja sie do sekretu `astrololo-auth`, tworzonego poza repo — ta sama konwencja co istniejacy `gitea-registry`. UWAGA: sekret jest WYMAGANY (bez `optional: true`), wiec pody nie wstana, dopoki go nie utworzysz. To swiadome: lepsza widoczna awaria niz cichy start bez ochrony. Instrukcja tworzenia i zmiany hasla w astrololo/README.md. Przy okazji: poprawiony mylacy komentarz przy EXCEL_DIR — pliki baz ida z NFS, nie z obrazu (montaz je nadpisuje). Zwalidowane `kubectl kustomize` dla bazy i profilu swisseph: sekrety trafiaja do wlasciwych uslug, a w wyniku nie ma zadnego `kind: Secret`. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
41 lines
1.4 KiB
YAML
41 lines
1.4 KiB
YAML
apiVersion: apps/v1
|
|
kind: Deployment
|
|
metadata:
|
|
name: logic
|
|
namespace: astrololo
|
|
spec:
|
|
replicas: 1
|
|
selector: { matchLabels: { app: logic } }
|
|
template:
|
|
metadata: { labels: { app: logic } }
|
|
spec:
|
|
imagePullSecrets: [{ name: gitea-registry }]
|
|
containers:
|
|
- name: logic
|
|
image: gitea.czernobog.pl/gitea/astrololo-logic:9323803c
|
|
ports: [{ containerPort: 8001 }]
|
|
env:
|
|
- name: DATA_URL
|
|
value: "http://data:8002" # discovery po nazwie Service
|
|
- name: EPHEMERIS_ENGINE
|
|
value: "own" # silnik własny; swisseph pominięty
|
|
# ENGINE_SWISSEPH_URL celowo NIE ustawiamy — engine-swisseph nie jest wdrażany
|
|
# Token międzywarstwowy (LOG-32): logika oddaje treść baz, więc musi
|
|
# odrzucać żądania z pominięciem logowania w prezentacji. Ten sam token
|
|
# służy jej do uwierzytelnienia się w warstwie danych.
|
|
- name: INTERNAL_TOKEN
|
|
valueFrom:
|
|
secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
|
|
resources:
|
|
requests: { cpu: "100m", memory: "128Mi" }
|
|
limits: { cpu: "500m", memory: "512Mi" }
|
|
---
|
|
apiVersion: v1
|
|
kind: Service
|
|
metadata:
|
|
name: logic
|
|
namespace: astrololo
|
|
spec:
|
|
selector: { app: logic }
|
|
ports: [{ port: 8001, targetPort: 8001 }]
|