gitea
4eed105571
Domyslnie dziala model LOKALNY i nic nie opuszcza sieci. Zeby dalo sie wybrac w UI OpenAI albo Anthropic, logika potrzebuje ich kluczy. - LLM_PROVIDER=local, LOCAL_BASE_URL, LOCAL_MODEL, LLM_TIMEOUT, LLM_MAX_TOKENS jawnie (nie sa tajne), - OPENAI_API_KEY i ANTHROPIC_API_KEY z osobnego sekretu `astrololo-llm`. Sekret jest OPCJONALNY (optional: true) — inaczej niz `astrololo-auth`. Auth to zabezpieczenie i ma zatrzymac pody, gdy go brak; klucze do chmury to funkcja, wiec ich brak nie moze wywracac wdrozenia. Bez nich pody startuja normalnie, tylko chmura jest niedostepna. Osobny sekret, a nie doklejenie do astrololo-auth, zeby klucze LLM dalo sie wymieniac bez dotykania hasla i tokenu miedzywarstwowego. Zwalidowane kubectl kustomize; w wyniku nadal zadnego `kind: Secret`. Instrukcja tworzenia i podmiany kluczy w astrololo/README.md. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
108 lines
4.9 KiB
Markdown
108 lines
4.9 KiB
Markdown
# astrololo — deploy (namespace `astrololo`)
|
|
|
|
Manifesty k8s składane Kustomize. Obrazy podbija automatycznie image-updater
|
|
(`kustomization.yaml` → `images: newTag`) po każdym buildzie z repo aplikacji.
|
|
|
|
Warstwy: `presentation` (NodePort, wejście z przeglądarki) → `logic` → `data`
|
|
(pliki Excel montowane **z NFS**, nie z obrazu).
|
|
|
|
## ⚠️ Sekret `astrololo-auth` — utwórz PRZED wdrożeniem
|
|
|
|
Aplikacja wystawia treść **oryginalnych baz interpretacyjnych**, dlatego wymaga
|
|
logowania i tokenu międzywarstwowego (LOG-32). Manifesty odwołują się do sekretu
|
|
`astrololo-auth` i **celowo nie zawierają jego wartości** — to repo GitOps, więc
|
|
cokolwiek by tu wpadło, zostałoby w historii gita na zawsze.
|
|
|
|
To ta sama konwencja co `gitea-registry`: sekret tworzymy poza repo.
|
|
|
|
**Pody nie wstaną bez tego sekretu — i tak ma być.** Wolimy widoczną awarię niż
|
|
cichy start aplikacji bez ochrony.
|
|
|
|
```bash
|
|
# hasło wczytane bez zapisu w historii powłoki
|
|
read -rs -p "Hasło do aplikacji (APP_PASSWORD): " APP_PASSWORD; echo
|
|
|
|
kubectl -n astrololo create secret generic astrololo-auth \
|
|
--from-literal=APP_PASSWORD="$APP_PASSWORD" \
|
|
--from-literal=INTERNAL_TOKEN="$(openssl rand -hex 32)"
|
|
|
|
unset APP_PASSWORD
|
|
```
|
|
|
|
`INTERNAL_TOKEN` jest losowany i **nikt go nigdy nie musi oglądać** — służy tylko
|
|
usługom do rozmowy między sobą. `APP_PASSWORD` wpisujesz w przeglądarce
|
|
(użytkownik: `astrololo`, zmienny przez `APP_USER` w `presentation.yaml`).
|
|
|
|
### Zmiana hasła
|
|
```bash
|
|
read -rs -p "Nowe hasło: " NEW; echo
|
|
kubectl -n astrololo create secret generic astrololo-auth \
|
|
--from-literal=APP_PASSWORD="$NEW" \
|
|
--from-literal=INTERNAL_TOKEN="$(kubectl -n astrololo get secret astrololo-auth \
|
|
-o jsonpath='{.data.INTERNAL_TOKEN}' | base64 -d)" \
|
|
--dry-run=client -o yaml | kubectl apply -f -
|
|
kubectl -n astrololo rollout restart deploy/presentation
|
|
unset NEW
|
|
```
|
|
(Zachowujemy istniejący `INTERNAL_TOKEN`; jego zmiana wymaga restartu **wszystkich
|
|
trzech** usług naraz, inaczej przestaną się dogadywać.)
|
|
|
|
### Sprawdzenie po wdrożeniu
|
|
```bash
|
|
kubectl -n astrololo rollout status deploy/presentation deploy/logic deploy/data
|
|
NODE_PORT=$(kubectl -n astrololo get svc presentation -o jsonpath='{.spec.ports[0].nodePort}')
|
|
curl -s -o /dev/null -w "bez hasła: %{http_code}\n" http://<adres-noda>:$NODE_PORT/
|
|
curl -s -o /dev/null -w "z hasłem: %{http_code}\n" -u astrololo:'<hasło>' http://<adres-noda>:$NODE_PORT/
|
|
```
|
|
Oczekiwane: **401** bez hasła, **200** z hasłem. `/health` zostaje publiczny (sondy k8s).
|
|
|
|
## Klucze do modeli w chmurze — sekret `astrololo-llm` (opcjonalny)
|
|
|
|
Domyślnie działa **model lokalny** i nic nie opuszcza sieci. Żeby móc wybrać w UI
|
|
OpenAI lub Anthropic, potrzebne są ich klucze. Ten sekret jest **opcjonalny**
|
|
(`optional: true`) — bez niego pody startują normalnie, tylko chmura jest niedostępna.
|
|
|
|
```bash
|
|
read -rs -p "OPENAI_API_KEY (Enter = pomiń): " OPENAI_KEY; echo
|
|
read -rs -p "ANTHROPIC_API_KEY (Enter = pomiń): " ANTHROPIC_KEY; echo
|
|
|
|
kubectl -n astrololo create secret generic astrololo-llm \
|
|
--from-literal=OPENAI_API_KEY="$OPENAI_KEY" \
|
|
--from-literal=ANTHROPIC_API_KEY="$ANTHROPIC_KEY"
|
|
|
|
unset OPENAI_KEY ANTHROPIC_KEY
|
|
kubectl -n astrololo rollout restart deploy/logic # klucze wstrzykują się przy starcie
|
|
```
|
|
|
|
Podmiana pojedynczego klucza (bez kasowania drugiego):
|
|
```bash
|
|
kubectl -n astrololo create secret generic astrololo-llm \
|
|
--from-literal=OPENAI_API_KEY="$(kubectl -n astrololo get secret astrololo-llm \
|
|
-o jsonpath='{.data.OPENAI_API_KEY}' | base64 -d)" \
|
|
--from-literal=ANTHROPIC_API_KEY='NOWY-KLUCZ' \
|
|
--dry-run=client -o yaml | kubectl apply -f -
|
|
kubectl -n astrololo rollout restart deploy/logic
|
|
```
|
|
|
|
**Adres modelu lokalnego** ustawia `LOCAL_BASE_URL` w `logic.yaml` — dopasuj do miejsca,
|
|
gdzie faktycznie stoi Ollama/vLLM. Konfiguracja jest **per dostawca**
|
|
(`LOCAL_*`, `OPENAI_*`, `ANTHROPIC_*`), więc ustawienia lokalnego modelu nie przejmują
|
|
żądań do chmury.
|
|
|
|
> Wybór dostawcy w chmurze oznacza, że **oryginalne opisy z baz opuszczają naszą sieć**.
|
|
> Prompt można obejrzeć przed wysłaniem. Warto zawnioskować u dostawcy o Zero Data
|
|
> Retention — patrz LOG-32.
|
|
|
|
## Czego to nie załatwia
|
|
- **Brak TLS** — Basic Auth idzie po sieci w postaci łatwej do podsłuchania. Przy
|
|
niezaufanej sieci potrzebny ingress z certyfikatem.
|
|
- **NFS `192.168.1.34:/mnt/Tank1/astrololo`** — kto ma dostęp do share'u, bierze
|
|
pliki baz **z pominięciem całej aplikacji**. Do zamknięcia po stronie infrastruktury
|
|
(eksport tylko dla IP węzłów, `root_squash`, najlepiej read-only).
|
|
- **Sekret w etcd** jest tylko zakodowany base64. Docelowo: szyfrowanie etcd at-rest
|
|
albo Sealed Secrets / SOPS, jeśli chcecie trzymać sekrety deklaratywnie w repo.
|
|
|
|
## Profil ze swissephem
|
|
Wariant z silnikiem B: [`../astrololo-swisseph/`](../astrololo-swisseph/README.md).
|
|
Dziedziczy powyższe zmienne z tej bazy, więc też wymaga sekretu `astrololo-auth`.
|