gitea
7e0a51878e
SESSION_SECRET w sekrecie astrololo-demo — WŁASNY, nie ten z pełnej aplikacji: demo i produkcja nie mają powodu uznawać nawzajem swoich sesji. W runbooku zapisana różnica wobec pełnej wersji: demo nie ma własnego wolumenu, więc nie ma licznika sesji. Zdalne unieważnienie robi się przez DEMO_USERS — usunięcie konta albo zmiana hasła natychmiast ubija jego otwarte sesje. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
87 lines
4.0 KiB
YAML
87 lines
4.0 KiB
YAML
# astroklient-demo — wersja demonstracyjna (PRE-28).
|
|
#
|
|
# Osobna usługa o DWÓCH funkcjach: dodanie pliku bazy i zapytanie o interpretację
|
|
# urodzeniową. Pozostałe funkcje nie są tu ukryte — nie ma ich w obrazie.
|
|
#
|
|
# IZOLACJA (PRE-29): astroklient-demo ma WŁASNĄ warstwę logiczną i WŁASNĄ warstwę
|
|
# danych (astroklient-demo-stack.yaml), pracujące na osobnym, pustym na starcie
|
|
# udziale. Oryginalne bazy interpretacyjne są dla demo NIEOSIĄGALNE.
|
|
#
|
|
# Wewnątrz demo każde konto ma własną pulę plików — swój podkatalog na tym
|
|
# udziale — niewidoczną dla pozostałych kont. Dzięki temu demo można rozdawać
|
|
# szeroko, a pliki jednego klienta da się później przenieść do pełnej aplikacji
|
|
# jako jeden katalog (patrz README-astroklient-demo.md).
|
|
apiVersion: apps/v1
|
|
kind: Deployment
|
|
metadata:
|
|
name: astroklient-demo
|
|
namespace: astrololo
|
|
spec:
|
|
replicas: 1
|
|
selector:
|
|
matchLabels: { app: astroklient-demo }
|
|
template:
|
|
metadata:
|
|
labels: { app: astroklient-demo }
|
|
spec:
|
|
containers:
|
|
- name: astroklient-demo
|
|
image: gitea.czernobog.pl/gitea/astrololo-astroklient-demo:latest
|
|
ports: [{ containerPort: 8005 }]
|
|
env:
|
|
# WŁASNA warstwa logiczna, wskazująca na WŁASNĄ warstwę danych.
|
|
# Wpisanie tu produkcyjnego `logic` cofnęłoby całą izolację demo
|
|
# jednym słowem — dlatego stoi to tuż obok siebie w jednym pliku.
|
|
- name: LOGIC_URL
|
|
value: "http://logic-demo:8001"
|
|
# Konto demo — WŁASNE, nie astrololo-auth. Sekret tworzony POZA repo
|
|
# (jak pozostałe), patrz README-astroklient-demo.md.
|
|
# KONTA DEMO — lista `login:sekret` po przecinku. Każde konto ma
|
|
# WŁASNĄ, niewidoczną dla pozostałych pulę baz (PRE-29), więc jedno
|
|
# wspólne konto oznaczałoby klientów oglądających swoje wgrania
|
|
# nawzajem. Sekrety najlepiej jako hash scrypt.
|
|
- name: DEMO_USERS
|
|
valueFrom:
|
|
secretKeyRef: { name: astrololo-demo, key: DEMO_USERS }
|
|
# Token międzywarstwowy i klucz łącza — TE SAME co prezentacja:
|
|
# demo nie jest furtką omijającą ochronę warstwy logicznej.
|
|
- name: INTERNAL_TOKEN
|
|
valueFrom:
|
|
secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
|
|
- name: LINK_KEY_PRESENTATION_LOGIC
|
|
valueFrom:
|
|
secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_LOGIC }
|
|
- name: LINK_ENCRYPTION_REQUIRED
|
|
value: "true"
|
|
# Klucz podpisu ciasteczek sesji (LOG-34). WYMAGANY — pod bez niego
|
|
# celowo nie wstaje. WŁASNY, nie ten z pełnej aplikacji: demo i produkcja
|
|
# nie mają powodu uznawać nawzajem swoich sesji, a wspólny klucz
|
|
# znaczyłby, że sesja z demo bywa ważna tam, gdzie nie powinna.
|
|
- name: SESSION_SECRET
|
|
valueFrom:
|
|
secretKeyRef: { name: astrololo-demo, key: SESSION_SECRET }
|
|
# Za Ingressem bezpośrednim rozmówcą jest pod Traefika. Bez tego limit
|
|
# liczyłby WSZYSTKICH do jednego wiadra i pierwsza osoba, która go
|
|
# wyklika, odcięłaby pozostałe.
|
|
- name: TRUST_PROXY
|
|
value: "true"
|
|
# Niższy niż w pełnej aplikacji: demo bywa udostępniane szerzej,
|
|
# a każde zapytanie sięga do treści baz.
|
|
- name: RATE_LIMIT_PER_MIN
|
|
value: "60"
|
|
resources:
|
|
requests: { cpu: "50m", memory: "96Mi" }
|
|
limits: { cpu: "300m", memory: "256Mi" }
|
|
---
|
|
apiVersion: v1
|
|
kind: Service
|
|
metadata:
|
|
name: astroklient-demo
|
|
namespace: astrololo
|
|
spec:
|
|
# ClusterIP — wejście z zewnątrz wyłącznie przez Ingress po https, tak samo
|
|
# jak prezentacja. Druga, nieszyfrowana droga byłaby obejściem PRE-16.
|
|
type: ClusterIP
|
|
selector: { app: astroklient-demo }
|
|
ports: [{ port: 8005, targetPort: 8005 }]
|