Claude
03f1ef20f6
Målarkitekturen ur Master Prompt som kod: - Webben containeriserad (flerstegs-Dockerfile → oprivilegierad nginx med SPA-fallback, hashade assets cachas hårt, säkerhetsheaders). - AI-orkestern som egen tjänst (services/ai-orkester): samma routing och AI-regler som edge-funktionen men körbar som pod — egen HS256-JWT-verifiering (fail closed), /halsa, storleksgränser, read-only container som kör som node-användaren. Livetestad: hälsokontroll ok, 401 utan/med ogiltig token, 400-validering bakom giltig JWT. - Kubernetes-manifest (infra/k8s, kustomize): namespace, Deployments med readiness/liveness och åtstramad securityContext, Services, HPA 2–10 pods på 70 % CPU, PodDisruptionBudgets, Ingress med TLS via cert-manager, secret-mall (riktiga värden skapas utanför git). - Klienten väljer AI-väg vid bygget: VITE_AI_ORKESTER_URL → tjänsten i klustret, annars Supabase-edge-funktionen. Samma orkester i båda, låst av paritetstest. - CI-arbetsflöde: tester + produktionsbygge + verifierande containerbyggen av båda bilderna på varje push/PR. - docs/DRIFT.md: arkitekturdiagram, driftsättningssteg, skalning, och vad som återstår mot full självhostning. Verifierat: 27 vitest-tester gröna, produktionsbygge ok, alla K8s-manifest YAML-validerade, orkestertjänsten livetestad, Playwright-röktest grönt. Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt
81 lines
2.2 KiB
YAML
81 lines
2.2 KiB
YAML
# AI-orkestern: plattformens AI-endpoint. Claude API-nyckeln och
|
|
# JWT-hemligheten kommer från secret:en felsokning-hemligheter —
|
|
# de finns aldrig i bilder, manifest eller klient.
|
|
apiVersion: apps/v1
|
|
kind: Deployment
|
|
metadata:
|
|
name: ai-orkester
|
|
namespace: guidad-felsokning
|
|
labels: { app: ai-orkester }
|
|
spec:
|
|
replicas: 2
|
|
selector:
|
|
matchLabels: { app: ai-orkester }
|
|
template:
|
|
metadata:
|
|
labels: { app: ai-orkester }
|
|
spec:
|
|
securityContext:
|
|
runAsNonRoot: true
|
|
containers:
|
|
- name: ai-orkester
|
|
image: ghcr.io/ORGANISATION/guidad-felsokning-ai-orkester:latest # ersätt med ert registry
|
|
ports:
|
|
- containerPort: 8080
|
|
env:
|
|
- name: ANTHROPIC_API_KEY
|
|
valueFrom:
|
|
secretKeyRef: { name: felsokning-hemligheter, key: anthropic-api-key }
|
|
- name: SUPABASE_JWT_SECRET
|
|
valueFrom:
|
|
secretKeyRef: { name: felsokning-hemligheter, key: supabase-jwt-secret }
|
|
resources:
|
|
requests: { cpu: 100m, memory: 128Mi }
|
|
limits: { cpu: "1", memory: 256Mi }
|
|
readinessProbe:
|
|
httpGet: { path: /halsa, port: 8080 }
|
|
initialDelaySeconds: 3
|
|
livenessProbe:
|
|
httpGet: { path: /halsa, port: 8080 }
|
|
periodSeconds: 15
|
|
securityContext:
|
|
allowPrivilegeEscalation: false
|
|
readOnlyRootFilesystem: true
|
|
capabilities: { drop: [ALL] }
|
|
---
|
|
apiVersion: v1
|
|
kind: Service
|
|
metadata:
|
|
name: ai-orkester
|
|
namespace: guidad-felsokning
|
|
spec:
|
|
selector: { app: ai-orkester }
|
|
ports:
|
|
- port: 80
|
|
targetPort: 8080
|
|
---
|
|
apiVersion: autoscaling/v2
|
|
kind: HorizontalPodAutoscaler
|
|
metadata:
|
|
name: ai-orkester
|
|
namespace: guidad-felsokning
|
|
spec:
|
|
scaleTargetRef: { apiVersion: apps/v1, kind: Deployment, name: ai-orkester }
|
|
minReplicas: 2
|
|
maxReplicas: 10
|
|
metrics:
|
|
- type: Resource
|
|
resource:
|
|
name: cpu
|
|
target: { type: Utilization, averageUtilization: 70 }
|
|
---
|
|
apiVersion: policy/v1
|
|
kind: PodDisruptionBudget
|
|
metadata:
|
|
name: ai-orkester
|
|
namespace: guidad-felsokning
|
|
spec:
|
|
minAvailable: 1
|
|
selector:
|
|
matchLabels: { app: ai-orkester }
|