Nick SzaunigandClaude Opus 5.5
a0ba921d19
Docker-Images bauen und veroeffentlichen / build-and-push (push) Successful in 3m2s
- Dateinamen nach Wabenhain-Schema (01-configmap, 02-secret, 03-storage, 04-postgres, 05-app-deployment, 06-ingress, 07-worker-cronjob, 08-networkpolicy); Secret-Vorlage als 02-secret.yaml.example, echte 02-secret.yaml gitignored. - Namespace: Pod Security "baseline" erzwungen, "restricted" als warn/audit. "restricted" kann den HTTP-01-Solver-Pod von cert-manager abweisen und damit die Zertifikatsausstellung blockieren. - NetworkPolicy nur noch fuer PostgreSQL; keine Policy vor der App (wie Wabenhain/ApiCore), da sie bei Traefik im Host-Netzwerk die Seite sperrt. - README: kompletter Neuaufbau inkl. Freigabe der Retain-PVs nach "kubectl delete namespace", Zertifikats-Diagnose. Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>
24 lines
660 B
YAML
24 lines
660 B
YAML
# Die Datenbank ist nur fuer Pods mit dem Label db-client=true erreichbar
|
|
# (App inkl. Migration, Worker, Admin-Anlage). Beruehrt weder Traefik noch
|
|
# cert-manager.
|
|
#
|
|
# Bewusst KEINE Policy vor der App (wie bei Wabenhain/ApiCore): laeuft
|
|
# Traefik im Host-Netzwerk, wuerde sie die Website aussperren.
|
|
apiVersion: networking.k8s.io/v1
|
|
kind: NetworkPolicy
|
|
metadata:
|
|
name: artista-modelcamp-postgres
|
|
namespace: artista
|
|
spec:
|
|
podSelector:
|
|
matchLabels:
|
|
app: artista-modelcamp-postgres
|
|
policyTypes: ["Ingress"]
|
|
ingress:
|
|
- from:
|
|
- podSelector:
|
|
matchLabels:
|
|
db-client: "true"
|
|
ports:
|
|
- port: 5432
|