Nick SzaunigandClaude Opus 5.5
c53810b8a6
ApiCore-Whisper: transcribe.py liest das Manifest im RAM-Arbeitsordner, dekodiert mit festem Demuxer je Endung, misst die Länge vor dem Abschreiben (TOO_LONG > 240 s, DECODE_FAILED bei Länge 0), sperrt das Netz vor dem Modell-Laden und schreibt nur Zähler auf stdout. Image: python:3.12-slim per Digest, Nutzer 1000, alle Pakete mit Hash (faster-whisper 1.2.1, av 18.1.0 wegen Inkompatibilität mit av 19), Modell faster-whisper-small auf fester Revision mit SHA-256 je Datei. CI-Workflow nur bei Änderungen unter ApiCore-Whisper/, Actions per SHA. deploy/k8s/components/voice: CronJob alle 2 Minuten mit fetch, whisper, ingest (gleiche UID, getrennte /tmp-Volumes, damit der Decoder dem Container mit den Secrets nichts unterschieben kann; whisper ohne Secrets und Umgebungsvariablen außer WHISPER_CPU_THREADS), Overlay mit Platzhalter-Digest, ConfigMap-Werte für Sprache, Policy-Tests (55). Die Anbindung des Anthropic-Schlüssels bleibt offen (Ruling 9). Refs #27 Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>
58 lines
2.9 KiB
YAML
58 lines
2.9 KiB
YAML
# Overlay fuer den RKE2-Cluster von EnCry (Namespace apicore, Traefik mit
|
|
# Middleware cloudflare-only). Vor jedem Rollout zeigt
|
|
# kubectl diff -k deploy/k8s/overlays/encry
|
|
# was sich aendert; nach dem Rollout ist der Diff leer.
|
|
#
|
|
# Gewollte Platzhalter, nie so anwenden:
|
|
# - Image-Digests sha256:000...: Runbook Schritt 0 traegt die Digests der
|
|
# CI-Builds (sha-<commit>) und von postgres:18.6-alpine ein.
|
|
# - Hosts und TLS in ingress-*.yaml: Runbook Schritt 1 uebernimmt sie aus dem
|
|
# Live-Stand. Die Werte in configmap-*.yaml sind seit 2026-10-15 schon die
|
|
# Live-Werte (Commit 6e3e9ae).
|
|
#
|
|
# Backend-Digest: Das neue Image (CMD nur `node dist/main.js`) geht erst
|
|
# zusammen mit components/backend-roles live (Runbook Schritt 3). Bis dahin
|
|
# bleibt hier der Digest des laufenden Images. Ohne APICORE_ROLE bricht das
|
|
# neue Image den Start in Produktion absichtlich ab. APICORE_ROLE nicht von
|
|
# Hand setzen: ohne die initContainer von backend-roles liefe dann keine
|
|
# Migration.
|
|
#
|
|
# Postgres: Bis 2026-10-13 wichen die Repo-Manifeste vom Cluster ab (Repo
|
|
# app: apicore-postgres, ohne Haertung, volumeClaimTemplates; Cluster
|
|
# app.kubernetes.io/name, gehaertet, statisches PVC apicore-postgres-data).
|
|
# Seit 2026-10-13 ist base/postgres der Live-Stand (StatefulSet, Service,
|
|
# PVC), nur das Image-Digest kommt von hier. Selektor und Volumes sind
|
|
# unveraenderlich: Aenderungen an Postgres immer zuerst gegen den Cluster
|
|
# pruefen (kubectl diff), nie die Live-Haertung zuruecknehmen. Das PV
|
|
# pv-apicore-postgres und sein SMB-Secret liegen nicht in diesem Repo.
|
|
apiVersion: kustomize.config.k8s.io/v1beta1
|
|
kind: Kustomization
|
|
namespace: apicore
|
|
resources:
|
|
- ../../base
|
|
- configmap-backend.yaml
|
|
- configmap-frontend.yaml
|
|
- ingress-backend.yaml
|
|
- ingress-frontend.yaml
|
|
# Zielstand. Je Runbook-Schritt nur die bis dahin freigegebenen Komponenten
|
|
# aktivieren (Schritt 1: keine). Das Auskommentieren ist nur lokal fuer
|
|
# kubectl diff/apply - nicht committen. Die CI rendert und prueft jeden
|
|
# Schritt (deploy/k8s/tests/render-stages.mjs).
|
|
components:
|
|
- ../../components/network-policies # Schritt 2
|
|
- ../../components/pod-hardening # Schritt 3
|
|
- ../../components/backend-roles # Schritt 3
|
|
- ../../components/api-hpa # Schritt 5
|
|
- ../../components/voice # Sprachnotizen (T7), erst nach VOICE_ENCRYPTION_KEY im Secret
|
|
images:
|
|
- name: git.encry.de/nick.rosenloecher/apicore-backend
|
|
digest: sha256:0000000000000000000000000000000000000000000000000000000000000000
|
|
- name: git.encry.de/nick.rosenloecher/apicore-frontend
|
|
digest: sha256:0000000000000000000000000000000000000000000000000000000000000000
|
|
# Abschreib-Image (.gitea/workflows/whisper-image.yml, Tag sha-<commit>).
|
|
# Platzhalter bis zum ersten CI-Build; dann den Digest eintragen.
|
|
- name: git.encry.de/nick.rosenloecher/apicore-whisper
|
|
digest: sha256:0000000000000000000000000000000000000000000000000000000000000000
|
|
- name: postgres
|
|
digest: sha256:0000000000000000000000000000000000000000000000000000000000000000
|