Nick SzaunigandClaude Opus 5.5
7a60af9cd4
Docker-Images bauen und veroeffentlichen / build-and-push (push) Successful in 1m40s
Befunde des Commit-Security-Reviews behoben: - Klartextuebertragung: vers=3.1.1 mit "seal" (SMB3-Verschluesselung) fuer Medien- und Backup-Volume. - Rueckschritt Zugriffskontrolle: Backup-PV/PVC wieder ReadWriteOnce statt ReadWriteMany (nur der Backup-Job haengt es ein). - Zu weite Rechte: Medien-Volume nur lesbar (dir_mode 0550, file_mode 0440); geschrieben wird ausschliesslich ueber das NAS. Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>
48 lines
1.6 KiB
YAML
48 lines
1.6 KiB
YAML
# Produktions-Overlay. Anpassen: Images/Tags, Domain, IngressClass,
|
|
# ClusterIssuer und TLS-Secret-Name. Anwenden:
|
|
# kubectl apply -k k8s/overlays/production
|
|
apiVersion: kustomize.config.k8s.io/v1beta1
|
|
kind: Kustomization
|
|
namespace: artista
|
|
resources:
|
|
- ../../base
|
|
- ingress.yaml
|
|
# Medien und Sicherungen auf SMB (PostgreSQL bewusst nicht, siehe Datei).
|
|
# Ohne SMB: diese Zeile und die beiden PVC-Patches unten entfernen.
|
|
- smb-volumes.yaml
|
|
|
|
images:
|
|
# Gebaut von .gitea/workflows/docker-build.yml: Git-Tag "v0.1.0" pushen
|
|
# ergibt Image-Tag "0.1.0" (Alternativen: "sha-<kurz>", "latest").
|
|
# Beide Images immer mit identischem Tag ausrollen.
|
|
- name: artista-modelcamp
|
|
newName: git.encry.de/nick.rosenloecher/artista-modelcamp
|
|
newTag: "0.1.0"
|
|
- name: artista-modelcamp-tools
|
|
newName: git.encry.de/nick.rosenloecher/artista-modelcamp-tools
|
|
newTag: "0.1.0"
|
|
|
|
patches:
|
|
# PVCs fest an die SMB-PersistentVolumes binden (statisch, ohne StorageClass).
|
|
- target: { kind: PersistentVolumeClaim, name: artista-modelcamp-media }
|
|
patch: |-
|
|
- op: add
|
|
path: /spec/storageClassName
|
|
value: ""
|
|
- op: add
|
|
path: /spec/volumeName
|
|
value: artista-modelcamp-media-smb
|
|
- target: { kind: PersistentVolumeClaim, name: artista-modelcamp-db-backup }
|
|
patch: |-
|
|
- op: add
|
|
path: /spec/storageClassName
|
|
value: ""
|
|
- op: add
|
|
path: /spec/volumeName
|
|
value: artista-modelcamp-db-backup-smb
|
|
- target: { kind: ConfigMap, name: artista-modelcamp-config }
|
|
patch: |-
|
|
- op: replace
|
|
path: /data/APP_URL
|
|
value: https://modelcamp.example.org
|