Nick.Rosenloecher/Artista-Filmcamp
1
0 Fork 0
Code Issues 13 Pull Requests Actions Packages Projects Releases Wiki Activity

Kubernetes-Deployment: Namespace artista, Ingress, TLS, SMB-Speicher, NetworkPolicies #17

New Issue
Closed
opened 2026-10-16 05:55:14 +00:00 by Nick.Rosenloecher · 0 comments
Nick.Rosenloecher commented 2026-10-16 05:55:14 +00:00
Owner
Copy link
Copy source

Ziel

Betrieb im eigenen RKE2-Cluster mit Traefik, cert-manager und persistentem Speicher; mehrere Replikate ohne Zustand im Prozessspeicher.

Umgesetzt

  • Flache Manifeste k8s/00-namespace.yaml bis k8s/09-db-backup-cronjob.yaml nach dem Muster von Wabenhain und ApiCore (91791b7, a0ba921)
  • Namespace artista mit Pod Security baseline (erzwungen) und restricted (gemeldet); alle eigenen Pods non-root, ohne Capabilities, seccomp RuntimeDefault (32a5b8e)
  • PostgreSQL 18.6 als StatefulSet auf SMB (bewusste Ausnahme mit hard, cache=strict, seal, 120 s Herunterfahren), Medien-Volume schreibgeschützt (24939b5, 7a60af9, c84eb1e, 98d1f76)
  • App-Deployment mit 2 Replikaten, Migration als initContainer, Readiness /api/health/ready, Liveness /api/health, nur Limits, keine Reservierungen (d3a7f8b)
  • Ingress für Traefik mit cert-manager (letsencrypt-prod), HTTP-01-Challenge im selben Ingress (28663cd), Umleitung auf HTTPS
  • NetworkPolicies: Datenbank nur für Pods mit db-client=true, App nur von Traefik in kube-system (d813d56, 66247cf)
  • Images auf CI-Build gepinnt (sha-<commit>, IfNotPresent) statt latest, Rollout per kubectl set image (f2b548c, 12.10.2026)
  • Live unter https://modelcamp.artistasphotography.de (DNS-only bei Cloudflare, deshalb ohne cloudflare-only-Middleware)

Hinweise zum Betrieb

  • Im Cluster liegen alle SMB-Volumes auf der Hetzner Storage Box. Die Cluster-Härtung vom 12.10.2026 hat zusätzlich default-deny-ingress, allow-same-namespace und allow-from-traefik im Namespace angelegt; diese Policies liegen nicht in diesem Repo, sondern im Ordner rke2-cluster (ohne Git).
  • Im selben Namespace läuft Artista-Telefonie (Repo Artista-TeleTracking) mit eigener Datenbank telefonie in artista-modelcamp-postgres.
  • Nach SMB-Unterbrechungen kann Postgres „Bad file descriptor“ melden; Abhilfe rollout restart sts/artista-modelcamp-postgres.

Grundlage

k8s/README.md, docs/BETRIEB.md Abschnitte 2 und 3. Aktueller Rollout-Stand: #21.

Status

Code: ja · Geprüft: ja · Gemergt: ja · Produktiv: ja
Stand: 2026-10-16 (Quelle: git origin/main 9785eb2, Gitea-CI-Läufe und Registry, Memory der Sessions)

## Ziel Betrieb im eigenen RKE2-Cluster mit Traefik, cert-manager und persistentem Speicher; mehrere Replikate ohne Zustand im Prozessspeicher. ## Umgesetzt - [x] Flache Manifeste `k8s/00-namespace.yaml` bis `k8s/09-db-backup-cronjob.yaml` nach dem Muster von Wabenhain und ApiCore (`91791b7`, `a0ba921`) - [x] Namespace `artista` mit Pod Security `baseline` (erzwungen) und `restricted` (gemeldet); alle eigenen Pods non-root, ohne Capabilities, seccomp RuntimeDefault (`32a5b8e`) - [x] PostgreSQL 18.6 als StatefulSet auf SMB (bewusste Ausnahme mit `hard`, `cache=strict`, `seal`, 120 s Herunterfahren), Medien-Volume schreibgeschützt (`24939b5`, `7a60af9`, `c84eb1e`, `98d1f76`) - [x] App-Deployment mit 2 Replikaten, Migration als initContainer, Readiness `/api/health/ready`, Liveness `/api/health`, nur Limits, keine Reservierungen (`d3a7f8b`) - [x] Ingress für Traefik mit cert-manager (`letsencrypt-prod`), HTTP-01-Challenge im selben Ingress (`28663cd`), Umleitung auf HTTPS - [x] NetworkPolicies: Datenbank nur für Pods mit `db-client=true`, App nur von Traefik in `kube-system` (`d813d56`, `66247cf`) - [x] Images auf CI-Build gepinnt (`sha-<commit>`, `IfNotPresent`) statt `latest`, Rollout per `kubectl set image` (`f2b548c`, 12.10.2026) - [x] Live unter https://modelcamp.artistasphotography.de (DNS-only bei Cloudflare, deshalb ohne `cloudflare-only`-Middleware) ## Hinweise zum Betrieb - Im Cluster liegen alle SMB-Volumes auf der Hetzner Storage Box. Die Cluster-Härtung vom 12.10.2026 hat zusätzlich `default-deny-ingress`, `allow-same-namespace` und `allow-from-traefik` im Namespace angelegt; diese Policies liegen nicht in diesem Repo, sondern im Ordner `rke2-cluster` (ohne Git). - Im selben Namespace läuft Artista-Telefonie (Repo `Artista-TeleTracking`) mit eigener Datenbank `telefonie` in `artista-modelcamp-postgres`. - Nach SMB-Unterbrechungen kann Postgres „Bad file descriptor“ melden; Abhilfe `rollout restart sts/artista-modelcamp-postgres`. ## Grundlage `k8s/README.md`, `docs/BETRIEB.md` Abschnitte 2 und 3. Aktueller Rollout-Stand: #21. ## Status Code: ja · Geprüft: ja · Gemergt: ja · Produktiv: ja Stand: 2026-10-16 (Quelle: git origin/main 9785eb2, Gitea-CI-Läufe und Registry, Memory der Sessions)
Nick.Rosenloecher added the status/erledigtart/technikprio/hoch labels 2026-10-16 05:55:15 +00:00
Sign in to join this conversation.
No Branch/Tag Specified
Labels
Clear labels
art/bug
art/design
art/doku
art/feature
art/technik
bereit-zur-pruefung
PR offen, wartet auf Review/Merge
 blockiert
Wartet auf Entscheidung oder externen Zugang; Ursache im Issue
 prio/hoch
prio/mittel
prio/niedrig
status/erledigt
Umgesetzt, geprueft und in main integriert
 status/in-arbeit
Wird aktuell umgesetzt
 status/offen
Erfasst, noch nicht begonnen
No labels art/technik prio/hoch status/erledigt
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
Nick.Rosenloecher
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: Nick.Rosenloecher/Artista-Filmcamp#17