Claude
cbc7bf2751
Infrastrukturen får en definition som går att läsa: infra/terraform, där karta.tf beskriver hela systemet en gång som data — tjänster, portar, routing, vilken tjänst som ser vilken hemlighet, dataflöden och gränser. Resten av filerna läser därifrån i stället för att upprepa namn och portar, och `terraform output karta` skriver ut samma innehåll i klartext direkt ur definitionen. Filerna är numrerade i läsordning. Genomgången hittade sex saker som är åtgärdade här: Uppslaget mot märkesspecifika kopplingar kunde riktas inåt. Bas-URL:en sätts av kundens administratör men anropet görs av vår server — 169.254.169.254 eller ett internt tjänstenamn hade nått molnets metadatatjänst respektive klustrets insida, och svaret kommit tillbaka mappat genom svarsfälten. En tenant-administratör är inte infrastrukturens ägare. Nu stoppas IP-literaler, namn som resolvar till privata adresser och .local/.internal innan något anrop görs, och nätverkspolicyn undantar samma nät. TILLAT_INTERNA_UPPSLAG öppnar för verkstäder som har OEM-servern på eget nät. Delningsfiltret var en nekalista, alltså blev varje ny händelsetyp automatiskt synlig i kundens delningslänk tills någon kom ihåg att neka den — fel håll att fela åt på en integritetsgräns. Nu räknas i stället upp vad som får delas per nivå, och ett test kräver att varje händelsetyp i domänmodellen är klassificerad. Samma ändring i Supabase-funktionen via ny migration. Beteendet i dag är oförändrat; det är riktningen som vänts. Ingressen saknade kroppsgräns och hade därmed nginx standard på 1 MB medan tjänsten tar 4 MB — foto- och videodokumentation hade avvisats i produktion men aldrig i testerna. Satt till 8 MB i båda vägarna. Vidare: nätverkspolicyer som stänger namnrymden och bara öppnar de faktiska flödena, CORS-lista via TILLATNA_URSPRUNG i stället för "*", och säkerhetskontext + startprob på databaspodden. Kustomize-/Argo CD-vägen finns kvar men ska inte köras mot samma kluster som Terraform — selfHeal och prune motarbetar terraform apply. Val och bytesväg dokumenterade. Verifierat: 87 vitest-tester, typkontroll, eslint, OpenAPI-validering, terraform fmt och integrationstest mot riktig Postgres inklusive den nya spärren. terraform validate kunde inte köras här — registry.terraform.io är blockerad av sessionens egress-policy. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt
48 lines
1.6 KiB
Terraform
48 lines
1.6 KiB
Terraform
# Guidad Felsökning — infrastrukturens definition.
|
|
#
|
|
# Läsordning för den som vill förstå hela systemet:
|
|
# versions.tf det här — leverantörer och tillstånd
|
|
# variables.tf alla rattar som finns att vrida på
|
|
# karta.tf locals: hela systemet som data (tjänster, portar,
|
|
# routing, hemligheter, dataflöden) — kartans källa
|
|
# 10-namnrymd.tf namnrymd + hemligheter
|
|
# 20-databas.tf Postgres: händelseloggen
|
|
# 30-plattform.tf backend: auth, händelse-API, delning, integrationer
|
|
# 40-orkester.tf AI-orkestern: modellrouting mot Claude
|
|
# 50-web.tf klienten
|
|
# 60-ingress.tf trafiken utifrån och in
|
|
# 70-natverk.tf nätverkspolicyer: vem får prata med vem
|
|
# outputs.tf kartan utskriven — kör `terraform output karta`
|
|
|
|
terraform {
|
|
required_version = ">= 1.6"
|
|
|
|
required_providers {
|
|
kubernetes = {
|
|
source = "hashicorp/kubernetes"
|
|
version = "~> 2.35"
|
|
}
|
|
random = {
|
|
source = "hashicorp/random"
|
|
version = "~> 3.6"
|
|
}
|
|
}
|
|
|
|
# Tillståndet innehåller hemligheter (JWT-hemlighet, databaslösenord,
|
|
# krypteringsnyckeln för kundernas leverantörsuppgifter). Lägg det i en
|
|
# backend med kryptering och åtkomststyrning — aldrig lokalt i git.
|
|
#
|
|
# backend "s3" {
|
|
# bucket = "guidad-felsokning-tfstate"
|
|
# key = "produktion/terraform.tfstate"
|
|
# region = "eu-north-1"
|
|
# encrypt = true
|
|
# use_lockfile = true
|
|
# }
|
|
}
|
|
|
|
provider "kubernetes" {
|
|
config_path = var.kubeconfig
|
|
config_context = var.kube_context
|
|
}
|