Terraform blir enda vägen, och backup ett obligatoriskt val

Kustomize- och Argo CD-vägen är borttagen. Den beskrev samma system en
gång till och kunde inte köras samtidigt som Terraform utan att de
motarbetade varandra — selfHeal återställde det Terraform ändrade och
prune tog bort det Terraform skapade. Kvar utanför Terraform är bara
postgres-init.sql, som läses av både definitionen och integrationstestet
så att schemat inte kan glida isär från det som testas.

Säkerhetskopieringen var en förhoppning: en StatefulSet med en volym och
ingen kopia. Går volymen förlorad är det inte "data" som försvinner utan
varje ärendes bevisvärde — vad som kontrollerades, av vem, när, med
vilken evidens — och det går inte att återskapa i efterhand.

databas_lage är därför ett obligatoriskt val utan standardvärde:

  extern    managerad Postgres, leverantörens backup och PITR
            (rekommenderat i produktion)
  cnpg      CloudNativePG i klustret: basbackup 02:30, kontinuerlig
            WAL-arkivering till objektlagring, PITR och failover
  inbyggd   en volym, ingen backup — spärras av en precondition när
            miljön är produktion

Preconditions fångar felkonfiguration vid plan i stället för vid drift:
extern utan anslutning, cnpg utan backupmål eller nycklar, inbyggd i
produktion.

Driftsättningen är nu två åtskilda flöden. Publicera bygger och taggar
bilderna vid varje main-push; Driftsätt startas för hand med en tagg mot
en GitHub-miljö som kan kräva godkännande, kör fmt/init/validate/plan/
apply, skriver ut kartan och rökkontrollerar hälsa och API-spec. En bild
i registret är inte samma sak som en bild som kör. Rollback är att köra
Driftsätt igen med en tidigare tagg. CI kör dessutom terraform validate
på varje PR — den kontroll jag inte kunde köra själv.

Två fel hittade vid egengranskning av definitionen: schemafilen delades
på semikolon, vilket hade klippt itu plpgsql-funktionen med
append-only-triggern (nu hela filen via postInitApplicationSQLRefs), och
null-satta fält i kubernetes_manifest utelämnas nu i stället.

Verifierat: 87 vitest-tester, typkontroll, eslint, OpenAPI-validering,
terraform fmt, statisk referenskontroll av modulen och integrationstest
mot riktig Postgres. terraform validate kunde inte köras här —
registry.terraform.io är blockerad av sessionens egress-policy, därav
CI-jobbet.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt

.github/workflows/ci.yml

@@ -33,6 +33,23 @@ jobs:
       - run: sudo bash integrationstest.sh
         working-directory: services/plattform
 
+  # Kontrollerar infrastrukturens definition utan kluster: formatering,
+  # leverantörer, typer och referenser — och att alla tre databaslägena
+  # går att planera.
+  terraform:
+    runs-on: ubuntu-latest
+    defaults:
+      run:
+        working-directory: infra/terraform
+    steps:
+      - uses: actions/checkout@v4
+      - uses: hashicorp/setup-terraform@v3
+        with:
+          terraform_version: 1.9.8
+      - run: terraform fmt -check -recursive
+      - run: terraform init -backend=false -input=false
+      - run: terraform validate
+
   container-byggen:
     runs-on: ubuntu-latest
     steps:

.github/workflows/driftsatt.yml

@@ -0,0 +1,103 @@
+# Driftsättning: terraform apply mot klustret.
+#
+# Startas för hand med en bildtagg från publiceringsflödet. Det är
+# avsiktligt — driftsättning är ett beslut, och miljön `produktion` kan
+# kräva godkännande i GitHub innan jobbet får köra.
+#
+# Rollback = kör flödet igen med en tidigare tagg.
+#
+# Krävs på miljön `produktion`:
+#   secrets  KUBE_CONFIG (base64), TF_API_TOKEN eller backend-uppgifter,
+#            ANTHROPIC_API_NYCKEL, DATABAS_URL
+#   vars     DOMAN, REGISTER, DATABAS_LAGE
+name: Driftsätt
+
+on:
+  workflow_dispatch:
+    inputs:
+      bildtagg:
+        description: "Bildtagg att driftsätta (git-SHA från Publicera)"
+        required: true
+        type: string
+      bara_plan:
+        description: "Visa bara planen, applicera inte"
+        required: false
+        default: false
+        type: boolean
+
+permissions:
+  contents: read
+
+jobs:
+  driftsatt:
+    runs-on: ubuntu-latest
+    environment: produktion
+    defaults:
+      run:
+        working-directory: infra/terraform
+
+    steps:
+      - uses: actions/checkout@v4
+
+      - uses: hashicorp/setup-terraform@v3
+        with:
+          terraform_version: 1.9.8
+
+      - name: Kubeconfig
+        run: |
+          mkdir -p "$HOME/.kube"
+          echo "${{ secrets.KUBE_CONFIG }}" | base64 -d > "$HOME/.kube/config"
+          chmod 600 "$HOME/.kube/config"
+
+      - name: Formatering
+        run: terraform fmt -check -recursive
+
+      - name: Init
+        run: terraform init -input=false
+
+      - name: Validering
+        run: terraform validate
+
+      - name: Plan
+        run: terraform plan -input=false -out=plan.tfplan
+        env:
+          TF_VAR_bildtagg: ${{ inputs.bildtagg }}
+          TF_VAR_doman: ${{ vars.DOMAN }}
+          TF_VAR_register: ${{ vars.REGISTER }}
+          TF_VAR_databas_lage: ${{ vars.DATABAS_LAGE }}
+          TF_VAR_databas_url: ${{ secrets.DATABAS_URL }}
+          TF_VAR_anthropic_api_nyckel: ${{ secrets.ANTHROPIC_API_NYCKEL }}
+          TF_VAR_jwt_hemlighet: ${{ secrets.JWT_HEMLIGHET }}
+          TF_VAR_postgres_losenord: ${{ secrets.POSTGRES_LOSENORD }}
+          TF_VAR_integration_nyckel: ${{ secrets.INTEGRATION_NYCKEL }}
+
+      - name: Applicera
+        if: ${{ !inputs.bara_plan }}
+        run: terraform apply -input=false plan.tfplan
+
+      - name: Kartan efter driftsättning
+        if: ${{ !inputs.bara_plan }}
+        run: |
+          {
+            echo "### Driftsatt \`${{ inputs.bildtagg }}\`"
+            echo ""
+            echo '```'
+            terraform output -no-color karta
+            echo '```'
+          } >> "$GITHUB_STEP_SUMMARY"
+
+      # Rök: klienten, API-specen och hälsokontrollen ska svara.
+      - name: Rökkontroll
+        if: ${{ !inputs.bara_plan }}
+        run: |
+          for i in 1 2 3 4 5 6 7 8 9 10; do
+            if curl -fsS "https://${{ vars.DOMAN }}/halsa" > /dev/null; then
+              echo "hälsokontrollen svarar"
+              curl -fsS "https://${{ vars.DOMAN }}/api/openapi.yaml" | head -1
+              exit 0
+            fi
+            echo "väntar på att tjänsten ska svara ($i/10)"
+            sleep 15
+          done
+          echo "tjänsten svarade inte inom 150 s"
+          exit 1

.github/workflows/publicera.yml

@@ -1,17 +1,15 @@
-# CD-halvan av GitOps-flödet: varje push till main bygger och publicerar
-# de tre bilderna till GHCR taggade med git-SHA:t, och uppdaterar sedan
-# produktions-overlayens taggar i git. Argo CD ser ändringen och synkar
-# klustret — ingen kubectl-åtkomst från CI, klustret drar själv.
+# Bygger och publicerar de tre bilderna till GHCR, taggade med git-SHA:t.
+# Driftsättningen sker i ett eget flöde (driftsatt.yml) som kör
+# terraform apply mot en miljö med godkännandekrav — en bild som ligger i
+# registret är alltså inte samma sak som en bild som kör.
 name: Publicera
 
 on:
   push:
     branches: [main]
-    paths-ignore:
-      - "infra/overlays/**" # gitops-commiten ska inte trigga en ny publicering
 
 permissions:
-  contents: write
+  contents: read
   packages: write
 
 env:
@@ -28,34 +26,34 @@ jobs:
           username: ${{ github.actor }}
           password: ${{ secrets.GITHUB_TOKEN }}
 
+      # Klientens API-adress bakas in vid bygget (Vite), så bilden är
+      # miljöbunden — en bild byggd mot en domän pekar på fel API i en
+      # annan miljö.
       - name: Bygg och publicera web
         run: |
           docker build -t "$REGISTER/guidad-felsokning-web:${{ github.sha }}" \
             --build-arg VITE_PLATTFORM_URL="${{ vars.PLATTFORM_URL }}" \
             --build-arg VITE_AI_ORKESTER_URL="${{ vars.PLATTFORM_URL }}" .
           docker push "$REGISTER/guidad-felsokning-web:${{ github.sha }}"
+
       - name: Bygg och publicera ai-orkester
         run: |
           docker build -t "$REGISTER/guidad-felsokning-ai-orkester:${{ github.sha }}" services/ai-orkester
           docker push "$REGISTER/guidad-felsokning-ai-orkester:${{ github.sha }}"
+
       - name: Bygg och publicera plattform
         run: |
           docker build -t "$REGISTER/guidad-felsokning-plattform:${{ github.sha }}" services/plattform
           docker push "$REGISTER/guidad-felsokning-plattform:${{ github.sha }}"
 
-      - name: Uppdatera produktions-overlayen (GitOps)
+      - name: Sammanfatta
         run: |
-          curl -sL "https://github.com/kubernetes-sigs/kustomize/releases/download/kustomize%2Fv5.4.3/kustomize_v5.4.3_linux_amd64.tar.gz" | tar xz
-          cd infra/overlays/produktion
-          for tjanst in web ai-orkester plattform; do
-            ../../../kustomize edit set image \
-              "ghcr.io/ORGANISATION/guidad-felsokning-$tjanst=$REGISTER/guidad-felsokning-$tjanst:${{ github.sha }}"
-          done
-          ../../../kustomize build . > /dev/null # verifiera att overlayen fortfarande bygger
-      - name: Committa overlay-uppdateringen
-        run: |
-          git config user.name "gitops-bot"
-          git config user.email "gitops@users.noreply.github.com"
-          git add infra/overlays/produktion/kustomization.yaml
-          git diff --cached --quiet || git commit -m "gitops: driftsätt ${{ github.sha }} [skip ci]"
-          git push
+          {
+            echo "### Publicerat"
+            echo ""
+            echo '```'
+            echo "bildtagg: ${{ github.sha }}"
+            echo '```'
+            echo ""
+            echo "Driftsätt med flödet **Driftsätt** och den taggen."
+          } >> "$GITHUB_STEP_SUMMARY"