gitea
e52284c88f
Zmiana wobec pierwszej wersji: demo NIE pracuje już na produkcyjnej warstwie danych. Ma własną logikę i własne dane, na osobnym udziale astrololo-demo, pustym na starcie. Oryginalne bazy są dla demo nieosiągalne — nie przez uprawnienia, tylko dlatego, że nie ma do nich drogi. DLACZEGO OSOBNA JEST TEŻ WARSTWA LOGICZNA. Zna ona JEDEN adres warstwy danych, więc astroklient korzystający z produkcyjnej logiki i tak trafiłby na produkcyjne bazy. Izolacja musi sięgnąć obu warstw naraz, inaczej nie ma jej wcale. Jedyną różnicą logic-demo wobec produkcyjnej jest DATA_URL — i to jest cała izolacja, więc wpisanie tam „logic" cofnęłoby ją jednym słowem. Stąd komentarz przy tej linii i sąsiedztwo obu plików. PULE PER KONTO. Każde konto demo dostaje własny podkatalog na tym udziale, niewidoczny dla pozostałych — w liście plików i w wynikach wyszukiwania. Konta są listą `login:sekret` w sekrecie, bo jedno wspólne oznaczałoby wspólną pulę, czyli klientów oglądających nawzajem swoje wgrania. Ten sam OBRAZ co produkcja dla data i logic — różni je wyłącznie konfiguracja. Osobny obraz to drugi kod do utrzymania i pewność, że kiedyś się rozjadą. Logika demo nie dostaje kluczy do modeli językowych: astroklient nie umie o nie prosić, więc nie ma powodu, żeby leżały w tym podzie. Runbook opisuje IMPORT PULI KLIENTA do pełnej aplikacji — sedno całego układu, bo klient przechodzący na pełną wersję nie może stracić wgrań. Jego pula to jeden katalog: sprawdzenie kolizji nazw, kopiowanie z -n (nigdy nadpisania bazy produkcyjnej), bez pliku stanu (produkcja ma własny), a na końcu świadome włączenie w zakładce Pliki. Nie włączają się same, bo przeniesienie jest czynnością techniczną, a decyzja o użyciu należy do właściciela. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
80 lines
3.5 KiB
YAML
80 lines
3.5 KiB
YAML
# astroklient — wersja demonstracyjna (PRE-28).
|
|
#
|
|
# Osobna usługa o DWÓCH funkcjach: dodanie pliku bazy i zapytanie o interpretację
|
|
# urodzeniową. Pozostałe funkcje nie są tu ukryte — nie ma ich w obrazie.
|
|
#
|
|
# IZOLACJA (PRE-29): astroklient ma WŁASNĄ warstwę logiczną i WŁASNĄ warstwę
|
|
# danych (astroklient-stack.yaml), pracujące na osobnym, pustym na starcie
|
|
# udziale. Oryginalne bazy interpretacyjne są dla demo NIEOSIĄGALNE.
|
|
#
|
|
# Wewnątrz demo każde konto ma własną pulę plików — swój podkatalog na tym
|
|
# udziale — niewidoczną dla pozostałych kont. Dzięki temu demo można rozdawać
|
|
# szeroko, a pliki jednego klienta da się później przenieść do pełnej aplikacji
|
|
# jako jeden katalog (patrz README-astroklient.md).
|
|
apiVersion: apps/v1
|
|
kind: Deployment
|
|
metadata:
|
|
name: astroklient
|
|
namespace: astrololo
|
|
spec:
|
|
replicas: 1
|
|
selector:
|
|
matchLabels: { app: astroklient }
|
|
template:
|
|
metadata:
|
|
labels: { app: astroklient }
|
|
spec:
|
|
containers:
|
|
- name: astroklient
|
|
image: gitea.czernobog.pl/gitea/astrololo-astroklient:latest
|
|
ports: [{ containerPort: 8005 }]
|
|
env:
|
|
# WŁASNA warstwa logiczna, wskazująca na WŁASNĄ warstwę danych.
|
|
# Wpisanie tu produkcyjnego `logic` cofnęłoby całą izolację demo
|
|
# jednym słowem — dlatego stoi to tuż obok siebie w jednym pliku.
|
|
- name: LOGIC_URL
|
|
value: "http://logic-demo:8001"
|
|
# Konto demo — WŁASNE, nie astrololo-auth. Sekret tworzony POZA repo
|
|
# (jak pozostałe), patrz README-astroklient.md.
|
|
# KONTA DEMO — lista `login:sekret` po przecinku. Każde konto ma
|
|
# WŁASNĄ, niewidoczną dla pozostałych pulę baz (PRE-29), więc jedno
|
|
# wspólne konto oznaczałoby klientów oglądających swoje wgrania
|
|
# nawzajem. Sekrety najlepiej jako hash scrypt.
|
|
- name: DEMO_USERS
|
|
valueFrom:
|
|
secretKeyRef: { name: astrololo-demo, key: DEMO_USERS }
|
|
# Token międzywarstwowy i klucz łącza — TE SAME co prezentacja:
|
|
# demo nie jest furtką omijającą ochronę warstwy logicznej.
|
|
- name: INTERNAL_TOKEN
|
|
valueFrom:
|
|
secretKeyRef: { name: astrololo-auth, key: INTERNAL_TOKEN }
|
|
- name: LINK_KEY_PRESENTATION_LOGIC
|
|
valueFrom:
|
|
secretKeyRef: { name: astrololo-link, key: LINK_KEY_PRESENTATION_LOGIC }
|
|
- name: LINK_ENCRYPTION_REQUIRED
|
|
value: "true"
|
|
# Za Ingressem bezpośrednim rozmówcą jest pod Traefika. Bez tego limit
|
|
# liczyłby WSZYSTKICH do jednego wiadra i pierwsza osoba, która go
|
|
# wyklika, odcięłaby pozostałe.
|
|
- name: TRUST_PROXY
|
|
value: "true"
|
|
# Niższy niż w pełnej aplikacji: demo bywa udostępniane szerzej,
|
|
# a każde zapytanie sięga do treści baz.
|
|
- name: RATE_LIMIT_PER_MIN
|
|
value: "60"
|
|
resources:
|
|
requests: { cpu: "50m", memory: "96Mi" }
|
|
limits: { cpu: "300m", memory: "256Mi" }
|
|
---
|
|
apiVersion: v1
|
|
kind: Service
|
|
metadata:
|
|
name: astroklient
|
|
namespace: astrololo
|
|
spec:
|
|
# ClusterIP — wejście z zewnątrz wyłącznie przez Ingress po https, tak samo
|
|
# jak prezentacja. Druga, nieszyfrowana droga byłaby obejściem PRE-16.
|
|
type: ClusterIP
|
|
selector: { app: astroklient }
|
|
ports: [{ port: 8005, targetPort: 8005 }]
|