Nick SzaunigandClaude Opus 5.5
24939b58d5
Statische PVs ueber csi-driver-smb (smb.csi.k8s.io), fest an die PVCs artista-modelcamp-media (App liest, uid 1001) und artista-modelcamp-db-backup (pg_dump-Job, uid 70, 0700/0600) gebunden, reclaimPolicy Retain. Zugang ueber Secret artista-modelcamp-smb. Das PostgreSQL-Datenverzeichnis bleibt bewusst auf Blockspeicher (SMB erfuellt dessen Sperr- und fsync-Anforderungen nicht, Briefing §13); die Datenbank landet ueber die taeglichen Dumps trotzdem auf dem NAS. Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>
46 lines
1.8 KiB
YAML
46 lines
1.8 KiB
YAML
# VORLAGE — nicht mit echten Werten ins Repository einchecken.
|
|
# Anlegen z. B. per:
|
|
# kubectl -n artista create secret generic artista-modelcamp-secrets \
|
|
# --from-literal=DB_PASSWORD='…' \
|
|
# --from-literal=DATABASE_URL='postgresql://artista:…@artista-modelcamp-postgres:5432/artista' \
|
|
# --from-literal=APP_SECRET="$(openssl rand -base64 48)" \
|
|
# --from-literal=BETTER_AUTH_SECRET="$(openssl rand -base64 48)" \
|
|
# --from-literal=STRIPE_SECRET_KEY='sk_test_…' \
|
|
# --from-literal=STRIPE_WEBHOOK_SECRET='whsec_…' \
|
|
# --from-literal=SMTP_HOST='…' --from-literal=SMTP_USER='…' --from-literal=SMTP_PASSWORD='…'
|
|
# Besser noch: Sealed Secrets oder External Secrets Operator.
|
|
apiVersion: v1
|
|
kind: Secret
|
|
metadata:
|
|
name: artista-modelcamp-secrets
|
|
namespace: artista
|
|
type: Opaque
|
|
stringData:
|
|
DB_PASSWORD: "<starkes-passwort>"
|
|
# Passwort URL-kodiert einsetzen, falls Sonderzeichen enthalten sind.
|
|
DATABASE_URL: "postgresql://artista:<starkes-passwort>@artista-modelcamp-postgres:5432/artista"
|
|
APP_SECRET: "<mind-32-zeichen-zufall>"
|
|
BETTER_AUTH_SECRET: "<anderer-mind-32-zeichen-zufall>"
|
|
STRIPE_SECRET_KEY: "<sk_test_… oder sk_live_…>"
|
|
STRIPE_WEBHOOK_SECRET: "<whsec_…>"
|
|
SMTP_HOST: "<smtp.example.org>"
|
|
SMTP_USER: "<benutzer>"
|
|
SMTP_PASSWORD: "<passwort>"
|
|
---
|
|
# Zugang zur SMB-Freigabe fuer die PersistentVolumes
|
|
# (k8s/overlays/production/smb-volumes.yaml). Eigener, auf die Artista-
|
|
# Ordner beschraenkter NAS-Benutzer empfohlen.
|
|
# kubectl -n artista create secret generic artista-modelcamp-smb \
|
|
# --from-literal=username='…' --from-literal=password='…'
|
|
apiVersion: v1
|
|
kind: Secret
|
|
metadata:
|
|
name: artista-modelcamp-smb
|
|
namespace: artista
|
|
type: Opaque
|
|
stringData:
|
|
username: "<nas-benutzer>"
|
|
password: "<nas-passwort>"
|
|
# Optional bei Domaenenkonten:
|
|
# domain: "<domaene>"
|