Claude
cbc7bf2751
Infrastrukturen får en definition som går att läsa: infra/terraform, där karta.tf beskriver hela systemet en gång som data — tjänster, portar, routing, vilken tjänst som ser vilken hemlighet, dataflöden och gränser. Resten av filerna läser därifrån i stället för att upprepa namn och portar, och `terraform output karta` skriver ut samma innehåll i klartext direkt ur definitionen. Filerna är numrerade i läsordning. Genomgången hittade sex saker som är åtgärdade här: Uppslaget mot märkesspecifika kopplingar kunde riktas inåt. Bas-URL:en sätts av kundens administratör men anropet görs av vår server — 169.254.169.254 eller ett internt tjänstenamn hade nått molnets metadatatjänst respektive klustrets insida, och svaret kommit tillbaka mappat genom svarsfälten. En tenant-administratör är inte infrastrukturens ägare. Nu stoppas IP-literaler, namn som resolvar till privata adresser och .local/.internal innan något anrop görs, och nätverkspolicyn undantar samma nät. TILLAT_INTERNA_UPPSLAG öppnar för verkstäder som har OEM-servern på eget nät. Delningsfiltret var en nekalista, alltså blev varje ny händelsetyp automatiskt synlig i kundens delningslänk tills någon kom ihåg att neka den — fel håll att fela åt på en integritetsgräns. Nu räknas i stället upp vad som får delas per nivå, och ett test kräver att varje händelsetyp i domänmodellen är klassificerad. Samma ändring i Supabase-funktionen via ny migration. Beteendet i dag är oförändrat; det är riktningen som vänts. Ingressen saknade kroppsgräns och hade därmed nginx standard på 1 MB medan tjänsten tar 4 MB — foto- och videodokumentation hade avvisats i produktion men aldrig i testerna. Satt till 8 MB i båda vägarna. Vidare: nätverkspolicyer som stänger namnrymden och bara öppnar de faktiska flödena, CORS-lista via TILLATNA_URSPRUNG i stället för "*", och säkerhetskontext + startprob på databaspodden. Kustomize-/Argo CD-vägen finns kvar men ska inte köras mot samma kluster som Terraform — selfHeal och prune motarbetar terraform apply. Val och bytesväg dokumenterade. Verifierat: 87 vitest-tester, typkontroll, eslint, OpenAPI-validering, terraform fmt och integrationstest mot riktig Postgres inklusive den nya spärren. terraform validate kunde inte köras här — registry.terraform.io är blockerad av sessionens egress-policy. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt
39 lines
1.1 KiB
Terraform
39 lines
1.1 KiB
Terraform
# Namnrymden och den enda hemligheten.
|
|
|
|
resource "kubernetes_namespace_v1" "denna" {
|
|
metadata {
|
|
name = var.namnrymd
|
|
labels = local.etiketter
|
|
}
|
|
}
|
|
|
|
# En Secret, men varje tjänst monterar bara sina egna nycklar — se
|
|
# hemligt-fältet per tjänst i karta.tf.
|
|
#
|
|
# Vill ni hellre ha hemligheterna utanför Terraform-tillståndet: byt den
|
|
# här resursen mot ett ExternalSecret och peka manifesten på samma namn.
|
|
resource "kubernetes_secret_v1" "hemligheter" {
|
|
metadata {
|
|
name = "felsokning-hemligheter"
|
|
namespace = kubernetes_namespace_v1.denna.metadata[0].name
|
|
labels = local.etiketter
|
|
}
|
|
|
|
type = "Opaque"
|
|
data = local.hemligheter
|
|
}
|
|
|
|
# Databasschemat körs vid databasens första start. Samma fil används av
|
|
# integrationstestet, så schemat kan aldrig glida isär från det som testas.
|
|
resource "kubernetes_config_map_v1" "postgres_init" {
|
|
metadata {
|
|
name = "postgres-init"
|
|
namespace = kubernetes_namespace_v1.denna.metadata[0].name
|
|
labels = local.etiketter
|
|
}
|
|
|
|
data = {
|
|
"init.sql" = file("${path.module}/../k8s/postgres-init.sql")
|
|
}
|
|
}
|