Claude
cbc7bf2751
Infrastrukturen får en definition som går att läsa: infra/terraform, där karta.tf beskriver hela systemet en gång som data — tjänster, portar, routing, vilken tjänst som ser vilken hemlighet, dataflöden och gränser. Resten av filerna läser därifrån i stället för att upprepa namn och portar, och `terraform output karta` skriver ut samma innehåll i klartext direkt ur definitionen. Filerna är numrerade i läsordning. Genomgången hittade sex saker som är åtgärdade här: Uppslaget mot märkesspecifika kopplingar kunde riktas inåt. Bas-URL:en sätts av kundens administratör men anropet görs av vår server — 169.254.169.254 eller ett internt tjänstenamn hade nått molnets metadatatjänst respektive klustrets insida, och svaret kommit tillbaka mappat genom svarsfälten. En tenant-administratör är inte infrastrukturens ägare. Nu stoppas IP-literaler, namn som resolvar till privata adresser och .local/.internal innan något anrop görs, och nätverkspolicyn undantar samma nät. TILLAT_INTERNA_UPPSLAG öppnar för verkstäder som har OEM-servern på eget nät. Delningsfiltret var en nekalista, alltså blev varje ny händelsetyp automatiskt synlig i kundens delningslänk tills någon kom ihåg att neka den — fel håll att fela åt på en integritetsgräns. Nu räknas i stället upp vad som får delas per nivå, och ett test kräver att varje händelsetyp i domänmodellen är klassificerad. Samma ändring i Supabase-funktionen via ny migration. Beteendet i dag är oförändrat; det är riktningen som vänts. Ingressen saknade kroppsgräns och hade därmed nginx standard på 1 MB medan tjänsten tar 4 MB — foto- och videodokumentation hade avvisats i produktion men aldrig i testerna. Satt till 8 MB i båda vägarna. Vidare: nätverkspolicyer som stänger namnrymden och bara öppnar de faktiska flödena, CORS-lista via TILLATNA_URSPRUNG i stället för "*", och säkerhetskontext + startprob på databaspodden. Kustomize-/Argo CD-vägen finns kvar men ska inte köras mot samma kluster som Terraform — selfHeal och prune motarbetar terraform apply. Val och bytesväg dokumenterade. Verifierat: 87 vitest-tester, typkontroll, eslint, OpenAPI-validering, terraform fmt och integrationstest mot riktig Postgres inklusive den nya spärren. terraform validate kunde inte köras här — registry.terraform.io är blockerad av sessionens egress-policy. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt
62 lines
1.6 KiB
Terraform
62 lines
1.6 KiB
Terraform
# Trafiken utifrån och in. En domän, fyra prefix — se local.routing.
|
|
#
|
|
# Kroppsgränsen är inte kosmetisk: teknikern dokumenterar med foto och
|
|
# video som följer med händelseloggen. Ingressens standardgräns (1 MB)
|
|
# skulle avvisa dokumentationen redan vid dörren, medan tjänsten själv
|
|
# accepterar 4 MB. Gränsen sätts därför uttryckligen och med marginal.
|
|
|
|
resource "kubernetes_ingress_v1" "denna" {
|
|
metadata {
|
|
name = local.namn
|
|
namespace = kubernetes_namespace_v1.denna.metadata[0].name
|
|
labels = local.etiketter
|
|
|
|
annotations = {
|
|
"cert-manager.io/cluster-issuer" = var.cert_issuer
|
|
"nginx.ingress.kubernetes.io/proxy-body-size" = "${var.max_kropp_mb}m"
|
|
"nginx.ingress.kubernetes.io/proxy-read-timeout" = "120" # AI-svar kan ta tid
|
|
"nginx.ingress.kubernetes.io/ssl-redirect" = "true"
|
|
}
|
|
}
|
|
|
|
spec {
|
|
ingress_class_name = var.ingress_klass
|
|
|
|
tls {
|
|
hosts = [var.doman]
|
|
secret_name = "${local.namn}-tls"
|
|
}
|
|
|
|
rule {
|
|
host = var.doman
|
|
|
|
http {
|
|
dynamic "path" {
|
|
for_each = local.routing
|
|
|
|
content {
|
|
path = path.value.prefix
|
|
path_type = "Prefix"
|
|
|
|
backend {
|
|
service {
|
|
name = path.value.till
|
|
|
|
port {
|
|
number = local.port_tjanst
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|
|
}
|
|
|
|
depends_on = [
|
|
kubernetes_service_v1.web,
|
|
kubernetes_service_v1.plattform,
|
|
kubernetes_service_v1.orkester,
|
|
]
|
|
}
|