Claude
cbc7bf2751
Infrastrukturen får en definition som går att läsa: infra/terraform, där karta.tf beskriver hela systemet en gång som data — tjänster, portar, routing, vilken tjänst som ser vilken hemlighet, dataflöden och gränser. Resten av filerna läser därifrån i stället för att upprepa namn och portar, och `terraform output karta` skriver ut samma innehåll i klartext direkt ur definitionen. Filerna är numrerade i läsordning. Genomgången hittade sex saker som är åtgärdade här: Uppslaget mot märkesspecifika kopplingar kunde riktas inåt. Bas-URL:en sätts av kundens administratör men anropet görs av vår server — 169.254.169.254 eller ett internt tjänstenamn hade nått molnets metadatatjänst respektive klustrets insida, och svaret kommit tillbaka mappat genom svarsfälten. En tenant-administratör är inte infrastrukturens ägare. Nu stoppas IP-literaler, namn som resolvar till privata adresser och .local/.internal innan något anrop görs, och nätverkspolicyn undantar samma nät. TILLAT_INTERNA_UPPSLAG öppnar för verkstäder som har OEM-servern på eget nät. Delningsfiltret var en nekalista, alltså blev varje ny händelsetyp automatiskt synlig i kundens delningslänk tills någon kom ihåg att neka den — fel håll att fela åt på en integritetsgräns. Nu räknas i stället upp vad som får delas per nivå, och ett test kräver att varje händelsetyp i domänmodellen är klassificerad. Samma ändring i Supabase-funktionen via ny migration. Beteendet i dag är oförändrat; det är riktningen som vänts. Ingressen saknade kroppsgräns och hade därmed nginx standard på 1 MB medan tjänsten tar 4 MB — foto- och videodokumentation hade avvisats i produktion men aldrig i testerna. Satt till 8 MB i båda vägarna. Vidare: nätverkspolicyer som stänger namnrymden och bara öppnar de faktiska flödena, CORS-lista via TILLATNA_URSPRUNG i stället för "*", och säkerhetskontext + startprob på databaspodden. Kustomize-/Argo CD-vägen finns kvar men ska inte köras mot samma kluster som Terraform — selfHeal och prune motarbetar terraform apply. Val och bytesväg dokumenterade. Verifierat: 87 vitest-tester, typkontroll, eslint, OpenAPI-validering, terraform fmt och integrationstest mot riktig Postgres inklusive den nya spärren. terraform validate kunde inte köras här — registry.terraform.io är blockerad av sessionens egress-policy. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt
71 lines
2.3 KiB
Terraform
71 lines
2.3 KiB
Terraform
# Kartan utskriven.
|
|
#
|
|
# terraform output karta hela systemet i klartext
|
|
# terraform output -json karta samma sak maskinläsbart
|
|
|
|
output "karta" {
|
|
description = "Hela systemet: tjänster, routing, hemligheter, dataflöden och gränser."
|
|
|
|
value = {
|
|
miljo = var.miljo
|
|
domän = "https://${var.doman}"
|
|
namnrymd = var.namnrymd
|
|
bildtagg = var.bildtagg
|
|
|
|
tjanster = {
|
|
for namn, t in local.tjanster : namn => {
|
|
gör = t.roll
|
|
bild = t.bild
|
|
ser_hemlighet = length(t.hemligt) > 0 ? join(", ", t.hemligt) : "inga"
|
|
ringer = length(t.utat) > 0 ? join("; ", t.utat) : "ingenting"
|
|
}
|
|
}
|
|
|
|
routing = [
|
|
for r in local.routing : "https://${var.doman}${r.prefix} → ${r.till} (${r.varfor})"
|
|
]
|
|
|
|
dataflöden = local.dataflode
|
|
gränser = local.granser
|
|
|
|
databas = {
|
|
motor = "PostgreSQL 17"
|
|
volym = var.databas_storlek
|
|
säkerhet = "append-only via triggers — historik kan inte ändras eller raderas av någon roll"
|
|
backup = "INGEN i den här definitionen — se avgränsningar"
|
|
}
|
|
|
|
drift = {
|
|
registrering_öppen = var.registrering_oppen
|
|
interna_uppslag_tillåtna = var.tillat_interna_uppslag
|
|
max_kropp = "${var.max_kropp_mb} MB (ingress) / 4 MB (tjänst)"
|
|
cors = "https://${var.doman}"
|
|
}
|
|
|
|
avgränsningar = local.avgransningar
|
|
}
|
|
}
|
|
|
|
output "endpoints" {
|
|
description = "Adresser att kontrollera efter driftsättning."
|
|
|
|
value = {
|
|
klient = "https://${var.doman}/felsokning"
|
|
hälsa = "https://${var.doman}/halsa"
|
|
api_spec = "https://${var.doman}/api/openapi.yaml"
|
|
ai = "https://${var.doman}/api/ai"
|
|
delningslänk = "https://${var.doman}/felsokning/delad/<kod>"
|
|
}
|
|
}
|
|
|
|
output "genererade_hemligheter" {
|
|
description = "Hemligheter Terraform genererat (tomma om ni satt egna). Finns i tillståndet — skydda det."
|
|
sensitive = true
|
|
|
|
value = {
|
|
jwt_hemlighet = var.jwt_hemlighet == "" ? random_password.jwt.result : "(egen)"
|
|
postgres_losenord = var.postgres_losenord == "" ? random_password.postgres.result : "(egen)"
|
|
integration_nyckel = var.integration_nyckel == "" ? random_id.integration_nyckel.hex : "(egen)"
|
|
}
|
|
}
|