gitea
99b9a0426f
Manifest, wpięcie w kustomization i runbook krok po kroku. DECYZJE ZAPISANE W MANIFEŚCIE, ŻEBY NIE TRZEBA ICH BYŁO ODTWARZAĆ Z GŁOWY: local-path, NIE NFS. Postgres zakłada semantykę blokad i fsync, której NFS nie gwarantuje — to klasyczne źródło uszkodzenia bazy przy nagłym restarcie. Ceną jest przywiązanie do węzła; przy luście odtwarzalnym z Excela to akceptowalne. strategy: Recreate. Wolumen jest ReadWriteOnce, a dwa procesy Postgresa na jednym katalogu danych to uszkodzona baza — rolling próbowałby wstać z nowym podem, zanim stary zejdzie. PGDATA w PODKATALOGU wolumenu: katalog główny potrafi zawierać wpisy systemu plików, a initdb odmawia pracy w niepustym katalogu. Wersja PRZYPIĘTA i poza image-updaterem: podbicie majora wymaga migracji katalogu danych, więc nie może się zdarzyć samo, w nocy, przy okazji builda aplikacji. C.UTF-8 zamiast pl_PL.UTF-8: dopasowanie tekstu robimy przez unaccent i pg_trgm, nie przez collation, a pl_PL wymagałby obrazu z wygenerowanymi lokalizacjami. DATA_PROVIDER zostaje na `excel`. Postgres można wdrożyć i obejrzeć BEZ ryzyka dla działającego wyszukiwania; przełączenie to osobna, późniejsza decyzja. SPRAWDZONE PRZED ODDANIEM: `kubectl kustomize astrololo` składa komplet 21 zasobów bez błędu, YAML parsuje się poprawnie, audyt odwołań potwierdza, że jedynym brakującym sekretem jest astrololo-postgres (oba klucze), a DSN postgresql+psycopg:// jest rozpoznawany przez SQLAlchemy z psycopg 3. NIE SPRAWDZONE: skrypt inicjalizujący nie biegł przeciwko prawdziwemu Postgresowi — na maszynie, na której to powstawało, nie ma Dockera. Zapisane wprost w runbooku; krok 4 jest tam prawdziwym testem. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
91 lines
4.0 KiB
YAML
91 lines
4.0 KiB
YAML
apiVersion: apps/v1
|
|
kind: Deployment
|
|
metadata:
|
|
name: data
|
|
namespace: astrololo
|
|
spec:
|
|
replicas: 1
|
|
selector: { matchLabels: { app: data } }
|
|
template:
|
|
metadata: { labels: { app: data } }
|
|
spec:
|
|
# LOG-33: pody nie rozmawiają z API Kubernetesa, więc token konta
|
|
# serwisowego jest im niepotrzebny — a zamontowany byłby gotowym
|
|
# punktem wyjścia do klastra dla kogoś, kto przejmie kontener.
|
|
automountServiceAccountToken: false
|
|
imagePullSecrets: [{ name: gitea-registry }]
|
|
containers:
|
|
- name: data
|
|
image: gitea.czernobog.pl/gitea/astrololo-data:9323803c
|
|
ports: [{ containerPort: 8002 }]
|
|
env:
|
|
- name: DATA_PROVIDER
|
|
value: "excel"
|
|
- name: EXCEL_DIR
|
|
value: "/app/data_files" # montowane z NFS (patrz volumes) — NIE z obrazu
|
|
- name: CACHE_DIR
|
|
value: "/app/.cache"
|
|
- name: INDEXED_KEYS
|
|
value: "name,id,symbol"
|
|
# Token międzywarstwowy (LOG-32). Ta warstwa oddaje SUROWE wiersze baz —
|
|
# najwrażliwszy punkt systemu. Bez tokenu dałoby się ją odpytać
|
|
# bezpośrednio, z pominięciem i logiki, i logowania w UI.
|
|
- name: INTERNAL_TOKEN
|
|
valueFrom:
|
|
secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
|
|
# Szyfrowanie łącza między warstwami (PRE-16). OSOBNY klucz na każdą
|
|
# parę rozmówców: przejęcie klucza prezentacji nie otwiera warstwy
|
|
# danych, gdzie leżą całe bazy. Sekret tworzony POZA repo — patrz README.
|
|
- name: LINK_KEY_LOGIC_DATA
|
|
valueFrom:
|
|
secretKeyRef: { name: astrololo-link, key: LINK_KEY_LOGIC_DATA }
|
|
# Bez klucza usługa ma NIE wstać, a klient ma nie wysłać niczego.
|
|
# Sam serwer broni się fail-closed, ale to za mało: klient bez klucza
|
|
# zdążyłby wypuścić zapytanie jawnym tekstem, zanim dostanie odmowę.
|
|
- name: LINK_ENCRYPTION_REQUIRED
|
|
value: "true"
|
|
# Lustro baz w SQL (DAN-28). DSN w SEKRECIE, bo niesie hasło —
|
|
# w manifeście zostałoby w historii gita na zawsze.
|
|
#
|
|
# Sam adres nie przełącza jeszcze warstwy na SQL: o tym decyduje
|
|
# DATA_PROVIDER, które celowo zostaje na `excel`, dopóki lustro nie
|
|
# jest zaimplementowane i sprawdzone. Dzięki temu Postgres można
|
|
# wdrożyć i obejrzeć BEZ ryzyka dla działającego wyszukiwania.
|
|
- name: SQL_URL
|
|
valueFrom:
|
|
secretKeyRef: { name: astrololo-postgres, key: SQL_URL }
|
|
volumeMounts:
|
|
- name: cache
|
|
mountPath: /app/.cache
|
|
# ZAPISYWALNY od DAN-27. Wcześniej read-only, bo warstwa danych tylko
|
|
# czytała bazy — teraz ekran „Pliki" pozwala je wgrywać, archiwizować
|
|
# i (dla administratora) kasować, a stan użycia jest KLIKANY, więc musi
|
|
# przetrwać restart poda.
|
|
#
|
|
# ŚWIADOMY KOSZT: znika jedna warstwa obrony w głąb. Przejęcie warstwy
|
|
# danych pozwala teraz nie tylko odczytać bazy, ale i je zmienić.
|
|
# Zostaje reszta: token międzywarstwowy, szyfrowane łącze, ograniczenie
|
|
# eksportu NFS do konkretnych hostów (DAN-25) i to, że kasować może
|
|
# wyłącznie konto administracyjne (PRE-27).
|
|
- name: excel
|
|
mountPath: /app/data_files
|
|
resources:
|
|
requests: { cpu: "100m", memory: "256Mi" }
|
|
limits: { cpu: "500m", memory: "512Mi" }
|
|
volumes:
|
|
- name: cache
|
|
emptyDir: {} # cache ulotny; odbuduje się po restarcie
|
|
- name: excel
|
|
nfs:
|
|
server: 192.168.1.34
|
|
path: /mnt/Tank1/astrololo
|
|
---
|
|
apiVersion: v1
|
|
kind: Service
|
|
metadata:
|
|
name: data
|
|
namespace: astrololo
|
|
spec:
|
|
selector: { app: data }
|
|
ports: [{ port: 8002, targetPort: 8002 }]
|