Claude
a5e276534c
Andra lagret läser nu basens utdata i stället för att upprepa någonting. 05-aws.tf hämtar klustret, domänen, certifikatet, registret, rollerna, hinken och hemligheternas namn — ändras något i basen slår det igenom här utan att en rad ändras. Autentiseringen mot klustret sker med en färsk EKS-token i stället för en kubeconfig på disk: inget att distribuera, inget som går ut. Hemligheterna bor i Secrets Manager och speglas in av External Secrets var timme. Terraform ser aldrig värdena, och det är själva poängen — en hemlighet som passerar Terraform hamnar i tillståndsfilen. Roteras en hemlighet följer klustret efter av sig självt. Plattformstjänsten kör som ett tjänstekonto med IRSA. Rollen är bunden till exakt det kontot i den namnrymden, så grannpodden på samma nod får ingenting på köpet. Bilagorna signeras mot S3 med samma roll — inga nycklar existerar att läcka. Postgres-podden är borta. Händelseloggen ligger i Aurora utanför klustret, i ett subnätlager utan routing ut, med automatisk säkerhetskopiering och PITR. Ingressen är en ALB med ACM-certifikat i stället för nginx, och alla tre tjänsterna delar den genom samma gruppnamn. Gitea med egna Actions-runners kör i samma kluster. Därmed finns inget externt beroende kvar: källkod, bygge, register och driftsättning ligger allt i vår AWS-miljö. Runnern och driftsättningen har varsitt tjänstekonto med skilda roller — bygget får publicera till ECR men inte röra klustret, driften tvärtom. Ett komprometterat bygge kan inte driftsätta. Gitea kör SQLite på en EBS-volym i stället för en egen Aurora-databas. En verkstadsinstallation har en handfull utvecklare, och ytterligare en databas att säkerhetskopiera och övervaka är kostnad utan motsvarande nytta. Verifierat: 96 vitest-tester, rotens lint och format:check, terraform fmt på båda lagren och statisk referenskontroll av vardera (88 respektive 35 resurser, inga dinglande referenser, alla count-resurser indexerade). terraform validate kunde inte köras här — registry.terraform.io är blockerad av sessionens egress-policy — så CI-jobbet kör den. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt
36 lines
1.0 KiB
Terraform
36 lines
1.0 KiB
Terraform
# Kopplingen till AWS-basen.
|
|
#
|
|
# Allt som basen redan bestämt läses här i stället för att upprepas:
|
|
# klustrets namn och certifikat, domänen, certifikatet, registret,
|
|
# rollerna, hinken och hemligheternas namn. Ändras något i basen slår
|
|
# det igenom här utan att en enda rad ändras.
|
|
|
|
data "terraform_remote_state" "bas" {
|
|
backend = "s3"
|
|
|
|
config = {
|
|
bucket = var.tillstandshink
|
|
key = "aws/terraform.tfstate"
|
|
region = var.region
|
|
}
|
|
}
|
|
|
|
locals {
|
|
aws = data.terraform_remote_state.bas.outputs.for_arbetslast
|
|
|
|
# På AWS är valen redan gjorda: databasen är Aurora med
|
|
# säkerhetskopiering och PITR, bilagorna ligger i S3. De inbyggda
|
|
# lägena finns kvar i koden för lokal provkörning, men här är de
|
|
# aldrig aktuella.
|
|
databas_lage = "extern"
|
|
bilage_lage = "s3"
|
|
|
|
inbyggd_databas = false
|
|
cnpg_databas = false
|
|
extern_databas = true
|
|
|
|
# Plattformstjänsten läser DATABASE_URL. Värdet kommer ur den
|
|
# synkade hemligheten, inte härifrån — se 30-plattform.tf.
|
|
databas_anslutning = "" # sätts via secretKeyRef
|
|
}
|