Claude
19796bec70
Kustomize- och Argo CD-vägen är borttagen. Den beskrev samma system en
gång till och kunde inte köras samtidigt som Terraform utan att de
motarbetade varandra — selfHeal återställde det Terraform ändrade och
prune tog bort det Terraform skapade. Kvar utanför Terraform är bara
postgres-init.sql, som läses av både definitionen och integrationstestet
så att schemat inte kan glida isär från det som testas.
Säkerhetskopieringen var en förhoppning: en StatefulSet med en volym och
ingen kopia. Går volymen förlorad är det inte "data" som försvinner utan
varje ärendes bevisvärde — vad som kontrollerades, av vem, när, med
vilken evidens — och det går inte att återskapa i efterhand.
databas_lage är därför ett obligatoriskt val utan standardvärde:
extern managerad Postgres, leverantörens backup och PITR
(rekommenderat i produktion)
cnpg CloudNativePG i klustret: basbackup 02:30, kontinuerlig
WAL-arkivering till objektlagring, PITR och failover
inbyggd en volym, ingen backup — spärras av en precondition när
miljön är produktion
Preconditions fångar felkonfiguration vid plan i stället för vid drift:
extern utan anslutning, cnpg utan backupmål eller nycklar, inbyggd i
produktion.
Driftsättningen är nu två åtskilda flöden. Publicera bygger och taggar
bilderna vid varje main-push; Driftsätt startas för hand med en tagg mot
en GitHub-miljö som kan kräva godkännande, kör fmt/init/validate/plan/
apply, skriver ut kartan och rökkontrollerar hälsa och API-spec. En bild
i registret är inte samma sak som en bild som kör. Rollback är att köra
Driftsätt igen med en tidigare tagg. CI kör dessutom terraform validate
på varje PR — den kontroll jag inte kunde köra själv.
Två fel hittade vid egengranskning av definitionen: schemafilen delades
på semikolon, vilket hade klippt itu plpgsql-funktionen med
append-only-triggern (nu hela filen via postInitApplicationSQLRefs), och
null-satta fält i kubernetes_manifest utelämnas nu i stället.
Verifierat: 87 vitest-tester, typkontroll, eslint, OpenAPI-validering,
terraform fmt, statisk referenskontroll av modulen och integrationstest
mot riktig Postgres. terraform validate kunde inte köras här —
registry.terraform.io är blockerad av sessionens egress-policy, därav
CI-jobbet.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt
44 lines
1.3 KiB
Terraform
44 lines
1.3 KiB
Terraform
# Namnrymden och den enda hemligheten.
|
|
|
|
resource "kubernetes_namespace_v1" "denna" {
|
|
metadata {
|
|
name = var.namnrymd
|
|
labels = local.etiketter
|
|
}
|
|
}
|
|
|
|
# En Secret, men varje tjänst monterar bara sina egna nycklar — se
|
|
# hemligt-fältet per tjänst i karta.tf.
|
|
#
|
|
# Vill ni hellre ha hemligheterna utanför Terraform-tillståndet: byt den
|
|
# här resursen mot ett ExternalSecret och peka manifesten på samma namn.
|
|
resource "kubernetes_secret_v1" "hemligheter" {
|
|
metadata {
|
|
name = "felsokning-hemligheter"
|
|
namespace = kubernetes_namespace_v1.denna.metadata[0].name
|
|
labels = local.etiketter
|
|
}
|
|
|
|
type = "Opaque"
|
|
data = local.hemligheter
|
|
}
|
|
|
|
# Databasschemat körs vid databasens första start. Samma fil används av
|
|
# integrationstestet, så schemat kan aldrig glida isär från det som testas.
|
|
# I inbyggt läge körs schemat av postgres-bilden vid första starten, i
|
|
# cnpg-läget av operatorn via postInitApplicationSQLRefs. I externt läge
|
|
# ansvarar ni för att köra filen mot er databas.
|
|
resource "kubernetes_config_map_v1" "postgres_init" {
|
|
count = local.extern_databas ? 0 : 1
|
|
|
|
metadata {
|
|
name = "postgres-init"
|
|
namespace = kubernetes_namespace_v1.denna.metadata[0].name
|
|
labels = local.etiketter
|
|
}
|
|
|
|
data = {
|
|
"init.sql" = file("${path.module}/../postgres-init.sql")
|
|
}
|
|
}
|