Claude
cbc7bf2751
Infrastrukturen får en definition som går att läsa: infra/terraform, där karta.tf beskriver hela systemet en gång som data — tjänster, portar, routing, vilken tjänst som ser vilken hemlighet, dataflöden och gränser. Resten av filerna läser därifrån i stället för att upprepa namn och portar, och `terraform output karta` skriver ut samma innehåll i klartext direkt ur definitionen. Filerna är numrerade i läsordning. Genomgången hittade sex saker som är åtgärdade här: Uppslaget mot märkesspecifika kopplingar kunde riktas inåt. Bas-URL:en sätts av kundens administratör men anropet görs av vår server — 169.254.169.254 eller ett internt tjänstenamn hade nått molnets metadatatjänst respektive klustrets insida, och svaret kommit tillbaka mappat genom svarsfälten. En tenant-administratör är inte infrastrukturens ägare. Nu stoppas IP-literaler, namn som resolvar till privata adresser och .local/.internal innan något anrop görs, och nätverkspolicyn undantar samma nät. TILLAT_INTERNA_UPPSLAG öppnar för verkstäder som har OEM-servern på eget nät. Delningsfiltret var en nekalista, alltså blev varje ny händelsetyp automatiskt synlig i kundens delningslänk tills någon kom ihåg att neka den — fel håll att fela åt på en integritetsgräns. Nu räknas i stället upp vad som får delas per nivå, och ett test kräver att varje händelsetyp i domänmodellen är klassificerad. Samma ändring i Supabase-funktionen via ny migration. Beteendet i dag är oförändrat; det är riktningen som vänts. Ingressen saknade kroppsgräns och hade därmed nginx standard på 1 MB medan tjänsten tar 4 MB — foto- och videodokumentation hade avvisats i produktion men aldrig i testerna. Satt till 8 MB i båda vägarna. Vidare: nätverkspolicyer som stänger namnrymden och bara öppnar de faktiska flödena, CORS-lista via TILLATNA_URSPRUNG i stället för "*", och säkerhetskontext + startprob på databaspodden. Kustomize-/Argo CD-vägen finns kvar men ska inte köras mot samma kluster som Terraform — selfHeal och prune motarbetar terraform apply. Val och bytesväg dokumenterade. Verifierat: 87 vitest-tester, typkontroll, eslint, OpenAPI-validering, terraform fmt och integrationstest mot riktig Postgres inklusive den nya spärren. terraform validate kunde inte köras här — registry.terraform.io är blockerad av sessionens egress-policy. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt
40 lines
1.4 KiB
YAML
40 lines
1.4 KiB
YAML
# Ingress med TLS (cert-manager). Längsta prefix vinner:
|
|
# /api/ai → AI-orkestern, övriga /api + /halsa → plattformen, / → webben.
|
|
apiVersion: networking.k8s.io/v1
|
|
kind: Ingress
|
|
metadata:
|
|
name: guidad-felsokning
|
|
namespace: guidad-felsokning
|
|
annotations:
|
|
cert-manager.io/cluster-issuer: letsencrypt # ersätt med er issuer
|
|
# Teknikern dokumenterar med foto och video som följer med
|
|
# händelseloggen. Standardgränsen (1 MB) skulle avvisa
|
|
# dokumentationen vid dörren medan tjänsten själv tar 4 MB.
|
|
nginx.ingress.kubernetes.io/proxy-body-size: 8m
|
|
nginx.ingress.kubernetes.io/proxy-read-timeout: "120" # AI-svar kan ta tid
|
|
spec:
|
|
ingressClassName: nginx
|
|
tls:
|
|
- hosts: [app.exempel.se] # ersätt med er domän
|
|
secretName: guidad-felsokning-tls
|
|
rules:
|
|
- host: app.exempel.se # ersätt med er domän
|
|
http:
|
|
paths:
|
|
- path: /api/ai
|
|
pathType: Prefix
|
|
backend:
|
|
service: { name: ai-orkester, port: { number: 80 } }
|
|
- path: /api
|
|
pathType: Prefix
|
|
backend:
|
|
service: { name: plattform, port: { number: 80 } }
|
|
- path: /halsa
|
|
pathType: Prefix
|
|
backend:
|
|
service: { name: plattform, port: { number: 80 } }
|
|
- path: /
|
|
pathType: Prefix
|
|
backend:
|
|
service: { name: web, port: { number: 80 } }
|