From 974c403a8be77121cb1b2088807b8a94d6762ba2 Mon Sep 17 00:00:00 2001 From: Nick Szaunig Date: Sun, 27 Sep 2026 20:14:58 +0200 Subject: [PATCH] docs: SMB-Verschluesselung und Rechte der Volumes beschrieben Co-Authored-By: Claude Opus 5.5 (1M context) --- docs/BETRIEB.md | 3 ++- 1 file changed, 2 insertions(+), 1 deletion(-) diff --git a/docs/BETRIEB.md b/docs/BETRIEB.md index b03b09a..1f4d543 100644 --- a/docs/BETRIEB.md +++ b/docs/BETRIEB.md @@ -32,7 +32,8 @@ Der Build braucht Internet für `next/font` (Schriften werden eingebettet), aber 1. csi-driver-smb installieren, Befehl steht im Kopf der Datei. 2. Auf dem NAS die Ordner `modelcamp-media` und `modelcamp-backup` anlegen und `source` in der Datei anpassen. 3. Das SMB-Secret anlegen: `kubectl -n artista create secret generic artista-modelcamp-smb --from-literal=username='…' --from-literal=password='…'`. Empfohlen ist ein eigener NAS-Benutzer, der nur diese Ordner sieht. - - Die PVCs sind statisch an die PVs gebunden. Die Rechte setzen die `mountOptions`: `uid=1001` für die App, `uid=70` für den Backup-Job, der mit `0700` bzw. `0600` geschützt ist, weil die Dumps personenbezogene Daten enthalten. Auf SMB wirkt `fsGroup` nicht. + - Die PVCs sind statisch an die PVs gebunden. Die Rechte setzen die `mountOptions`: `uid=1001` für die App, `uid=70` für den Backup-Job, der mit `0700` bzw. `0600` geschützt ist, weil die Dumps personenbezogene Daten enthalten. Auf SMB wirkt `fsGroup` nicht. Das Medienvolume ist für die App nur lesbar (`0550`/`0440`), das Backup-Volume nutzt ReadWriteOnce. + - Die Verbindungen sind verschlüsselt (`vers=3.1.1`, `seal`). Das NAS muss SMB 3.1.1 mit Verschlüsselung erlauben, z. B. Synology unter „SMB-Verschlüsselung für Übertragung“, Windows mit `Set-SmbShare -EncryptData $true`. - Ohne SMB: `smb-volumes.yaml` und die beiden PVC-Patches im Overlay entfernen, dann greift die Default-StorageClass. Das Medienvolume braucht dann ReadWriteMany, sonst `replicas: 1`. 3. **Secret anlegen:** Befehl steht in `k8s/secret.example.yaml`, besser über Sealed Secrets oder den External Secrets Operator. 4. **Anwenden:** `kubectl apply -k k8s/overlays/production`