Arbetslasten kopplad till AWS — kedjan är helt egen

Andra lagret läser nu basens utdata i stället för att upprepa någonting.
05-aws.tf hämtar klustret, domänen, certifikatet, registret, rollerna,
hinken och hemligheternas namn — ändras något i basen slår det igenom
här utan att en rad ändras. Autentiseringen mot klustret sker med en
färsk EKS-token i stället för en kubeconfig på disk: inget att
distribuera, inget som går ut.

Hemligheterna bor i Secrets Manager och speglas in av External Secrets
var timme. Terraform ser aldrig värdena, och det är själva poängen — en
hemlighet som passerar Terraform hamnar i tillståndsfilen. Roteras en
hemlighet följer klustret efter av sig självt.

Plattformstjänsten kör som ett tjänstekonto med IRSA. Rollen är bunden
till exakt det kontot i den namnrymden, så grannpodden på samma nod får
ingenting på köpet. Bilagorna signeras mot S3 med samma roll — inga
nycklar existerar att läcka.

Postgres-podden är borta. Händelseloggen ligger i Aurora utanför
klustret, i ett subnätlager utan routing ut, med automatisk
säkerhetskopiering och PITR. Ingressen är en ALB med ACM-certifikat i
stället för nginx, och alla tre tjänsterna delar den genom samma
gruppnamn.

Gitea med egna Actions-runners kör i samma kluster. Därmed finns inget
externt beroende kvar: källkod, bygge, register och driftsättning ligger
allt i vår AWS-miljö. Runnern och driftsättningen har varsitt
tjänstekonto med skilda roller — bygget får publicera till ECR men inte
röra klustret, driften tvärtom. Ett komprometterat bygge kan inte
driftsätta.

Gitea kör SQLite på en EBS-volym i stället för en egen Aurora-databas.
En verkstadsinstallation har en handfull utvecklare, och ytterligare en
databas att säkerhetskopiera och övervaka är kostnad utan motsvarande
nytta.

Verifierat: 96 vitest-tester, rotens lint och format:check, terraform fmt
på båda lagren och statisk referenskontroll av vardera (88 respektive 35
resurser, inga dinglande referenser, alla count-resurser indexerade).
terraform validate kunde inte köras här — registry.terraform.io är
blockerad av sessionens egress-policy — så CI-jobbet kör den.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt

felsokning/infra/terraform/outputs.tf

@@ -8,7 +8,7 @@ output "karta" {
 
   value = {
     miljo    = var.miljo
-    domän    = "https://${var.doman}"
+    domän    = "https://${local.aws.doman}"
     namnrymd = var.namnrymd
     bildtagg = var.bildtagg
 
@@ -22,31 +22,17 @@ output "karta" {
     }
 
     routing = [
-      for r in local.routing : "https://${var.doman}${r.prefix}  →  ${r.till}   (${r.varfor})"
+      for r in local.routing : "https://${local.aws.doman}${r.prefix}  →  ${r.till}   (${r.varfor})"
     ]
 
     dataflöden = local.dataflode
     gränser    = local.granser
 
     databas = {
-      läge     = var.databas_lage
-      motor    = "PostgreSQL 17"
-      säkerhet = "append-only via triggers — historik kan inte ändras eller raderas av någon roll"
-
-      backup = (
-        var.databas_lage == "extern"
-        ? "Leverantörens — verifiera att PITR faktiskt är påslaget."
-        : var.databas_lage == "cnpg"
-        ? "Basbackup 02:30 + kontinuerlig WAL-arkivering till ${var.backup.mal}, ${var.backup.behall_dagar} dagars retention. PITR möjlig."
-        : "INGEN. Går volymen förlorad är händelseloggen borta."
-      )
-
-      volym = var.databas_lage == "extern" ? "(leverantörens)" : var.databas_storlek
-      instanser = (
-        var.databas_lage == "cnpg"
-        ? "${var.databas_instanser} (failover)"
-        : var.databas_lage == "extern" ? "(leverantörens)" : "1 (ingen failover)"
-      )
+      motor    = "Aurora PostgreSQL Serverless v2 — utanför klustret, se AWS-basen"
+      säkerhet = "append-only via triggers; ingen roll kan ändra eller radera en händelse"
+      backup   = "Auroras automatiska säkerhetskopiering med PITR"
+      atkomst  = "endast från klustrets noder, i ett subnätlager utan routing ut"
     }
 
     bilagor = local.bilagor
@@ -54,8 +40,9 @@ output "karta" {
     drift = {
       registrering_öppen       = var.registrering_oppen
       interna_uppslag_tillåtna = var.tillat_interna_uppslag
-      max_kropp                = "${var.max_kropp_mb} MB (ingress) / 4 MB (tjänst)"
-      cors                     = "https://${var.doman}"
+      max_kropp                = "${var.max_kropp_mb} MB (lastbalanserare) / 32 MB (bilaga) / 4 MB (händelse)"
+      cors                     = "https://${local.aws.doman}"
+      hemligheter              = "AWS Secrets Manager, speglade av External Secrets"
     }
 
     avgränsningar = local.avgransningar
@@ -66,21 +53,12 @@ output "endpoints" {
   description = "Adresser att kontrollera efter driftsättning."
 
   value = {
-    klient       = "https://${var.doman}/felsokning"
-    hälsa        = "https://${var.doman}/halsa"
-    api_spec     = "https://${var.doman}/api/openapi.yaml"
-    ai           = "https://${var.doman}/api/ai"
-    delningslänk = "https://${var.doman}/felsokning/delad/<kod>"
+    klient       = "https://${local.aws.doman}/felsokning"
+    hälsa        = "https://${local.aws.doman}/halsa"
+    api_spec     = "https://${local.aws.doman}/api/openapi.yaml"
+    ai           = "https://${local.aws.doman}/api/ai"
+    delningslänk = "https://${local.aws.doman}/felsokning/delad/<kod>"
+    git          = var.gitea.aktiv && var.gitea.doman != "" ? "https://${var.gitea.doman}" : "(gitea av)"
   }
 }
 
-output "genererade_hemligheter" {
-  description = "Hemligheter Terraform genererat (tomma om ni satt egna). Finns i tillståndet — skydda det."
-  sensitive   = true
-
-  value = {
-    jwt_hemlighet      = var.jwt_hemlighet == "" ? random_password.jwt.result : "(egen)"
-    postgres_losenord  = var.postgres_losenord == "" ? random_password.postgres.result : "(egen)"
-    integration_nyckel = var.integration_nyckel == "" ? random_id.integration_nyckel.hex : "(egen)"
-  }
-}