gitea
a9955a736b
Nowy komponent skladajacy raport PDF. Osobny obraz, bo dzwiga TeX Live (setki MB) — ta sama zasada co przy izolacji swissepha (LOG-27): obraz produktu zostaje maly, TeX aktualizuje sie niezaleznie, a awaria renderu nie kladzie aplikacji, tylko przycisk „Pobierz PDF". - render.yaml — Deployment + Service. ClusterIP, BEZ NodePortu i Ingressu: nie ma powodu, zeby ktokolwiek siegal do tej uslugi z zewnatrz. Rozmawia wylacznie z prezentacja. - Szyfrowanie: wlasny, TRZECI klucz LINK_KEY_PRESENTATION_RENDER z sekretu astrololo-link. Osobny, bo tym laczem plynie CALY raport (dane urodzeniowe i opisy z baz) — przejecie go nie moze otwierac lacza do logiki ani danych. LINK_ENCRYPTION_REQUIRED=true, wiec bez klucza pod NIE wstaje. - readOnlyRootFilesystem + emptyDir na /tmp: kompilacja pisze tylko do katalogu tymczasowego, raport nie zostawia sladu w kontenerze. - Limity rozjechane celowo (100m/256Mi -> 1500m/1Gi): XeLaTeX na obszernym raporcie bierze duzo, ale na krotko. - presentation: RENDER_URL + trzeci klucz lacza. Sekret astrololo-link trzeba UZUPELNIC o trzeci klucz PRZED wdrozeniem, zachowujac dwa dotychczasowe — komenda w instrukcji. Sprawdzone: kubectl kustomize + apply --dry-run=server na zywym klastrze (service/render i deployment.apps/render created). Pelna instrukcja: docs/wdrozenie-render-pdf.md w repo astrololo. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
70 lines
2.8 KiB
YAML
70 lines
2.8 KiB
YAML
# Usługa render — składanie raportu PDF (PRE-24).
|
|
#
|
|
# OSOBNY komponent, nie część prezentacji, z tego samego powodu co silnik
|
|
# swisseph (LOG-27): obraz dźwiga TeX Live, czyli setki megabajtów. W obrazie
|
|
# produktu spowalniałby każdy build i deploy; tak aktualizuje się niezależnie,
|
|
# a jego awaria nie kładzie aplikacji — psuje się tylko przycisk „Pobierz PDF".
|
|
#
|
|
# Rozmawia WYŁĄCZNIE z prezentacją, po szyfrowanym łączu z własnym, trzecim
|
|
# kluczem. Wystawiona jako ClusterIP — bez NodePort i bez Ingressu, bo nie ma
|
|
# powodu, żeby ktokolwiek sięgał do niej z zewnątrz.
|
|
apiVersion: apps/v1
|
|
kind: Deployment
|
|
metadata:
|
|
name: render
|
|
namespace: astrololo
|
|
spec:
|
|
replicas: 1
|
|
selector: { matchLabels: { app: render } }
|
|
template:
|
|
metadata: { labels: { app: render } }
|
|
spec:
|
|
imagePullSecrets: [{ name: gitea-registry }]
|
|
containers:
|
|
- name: render
|
|
image: gitea.czernobog.pl/gitea/astrololo-render:latest
|
|
ports: [{ containerPort: 8004 }]
|
|
env:
|
|
# Token międzywarstwowy (LOG-32) — ta usługa dostaje CAŁY raport:
|
|
# dane urodzeniowe i opisy z baz.
|
|
- name: INTERNAL_TOKEN
|
|
valueFrom:
|
|
secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
|
|
# Szyfrowanie łącza (PRE-16/PRE-24). OSOBNY klucz na parę rozmówców:
|
|
# przejęcie klucza renderu nie może otwierać łącza do logiki ani danych.
|
|
- name: LINK_KEY_PRESENTATION_RENDER
|
|
valueFrom:
|
|
secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_RENDER }
|
|
- name: LINK_ENCRYPTION_REQUIRED
|
|
value: "true"
|
|
# XeLaTeX na obszernym raporcie potrafi zjeść sporo pamięci i CPU,
|
|
# ale tylko na chwilę — stąd wyraźna różnica między request a limit.
|
|
resources:
|
|
requests: { cpu: "100m", memory: "256Mi" }
|
|
limits: { cpu: "1500m", memory: "1Gi" }
|
|
# Kompilacja pisze wyłącznie do katalogu tymczasowego, który sprząta po
|
|
# sobie. Dajemy na to emptyDir i zamykamy resztę systemu plików —
|
|
# raport nie ma prawa zostawić śladu w kontenerze.
|
|
volumeMounts:
|
|
- { name: tmp, mountPath: /tmp }
|
|
securityContext:
|
|
readOnlyRootFilesystem: true
|
|
allowPrivilegeEscalation: false
|
|
readinessProbe:
|
|
httpGet: { path: /health, port: 8004 }
|
|
initialDelaySeconds: 5
|
|
periodSeconds: 15
|
|
volumes:
|
|
- name: tmp
|
|
emptyDir: { sizeLimit: 512Mi }
|
|
---
|
|
apiVersion: v1
|
|
kind: Service
|
|
metadata:
|
|
name: render
|
|
namespace: astrololo
|
|
spec:
|
|
type: ClusterIP # tylko dla prezentacji, bez wejścia z zewnątrz
|
|
selector: { app: render }
|
|
ports: [{ port: 8004, targetPort: 8004 }]
|