Compare commits
1 Commits
| Author | SHA1 | Date | |
|---|---|---|---|
 unkinben
|
7ce0cdcb6d |
@@ -6,13 +6,3 @@ steps:
|
|||||||
image: git.unkin.net/unkin/almalinux9-kubetest:20260319
|
image: git.unkin.net/unkin/almalinux9-kubetest:20260319
|
||||||
commands:
|
commands:
|
||||||
- make kubeconform
|
- make kubeconform
|
||||||
backend_options:
|
|
||||||
kubernetes:
|
|
||||||
serviceAccountName: default
|
|
||||||
resources:
|
|
||||||
requests:
|
|
||||||
memory: 512Mi
|
|
||||||
cpu: 1
|
|
||||||
limits:
|
|
||||||
memory: 2Gi
|
|
||||||
cpu: 2
|
|
||||||
|
|||||||
@@ -6,13 +6,3 @@ steps:
|
|||||||
image: git.unkin.net/unkin/almalinux9-base:20260308
|
image: git.unkin.net/unkin/almalinux9-base:20260308
|
||||||
commands:
|
commands:
|
||||||
- uvx pre-commit run --all-files
|
- uvx pre-commit run --all-files
|
||||||
backend_options:
|
|
||||||
kubernetes:
|
|
||||||
serviceAccountName: default
|
|
||||||
resources:
|
|
||||||
requests:
|
|
||||||
memory: 256Mi
|
|
||||||
cpu: 250m
|
|
||||||
limits:
|
|
||||||
memory: 1Gi
|
|
||||||
cpu: 1
|
|
||||||
|
|||||||
@@ -19,7 +19,7 @@ spec:
|
|||||||
automountServiceAccountToken: true
|
automountServiceAccountToken: true
|
||||||
containers:
|
containers:
|
||||||
- name: artifactapi
|
- name: artifactapi
|
||||||
image: git.unkin.net/unkin/artifactapi:v2.7.2
|
image: git.unkin.net/unkin/artifactapi:v2.7.1
|
||||||
imagePullPolicy: IfNotPresent
|
imagePullPolicy: IfNotPresent
|
||||||
ports:
|
ports:
|
||||||
- containerPort: 8000
|
- containerPort: 8000
|
||||||
|
|||||||
@@ -1,37 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: Gateway
|
|
||||||
metadata:
|
|
||||||
labels:
|
|
||||||
traefik.io/instance: internal
|
|
||||||
annotations:
|
|
||||||
cert-manager.io/cluster-issuer: vault-issuer
|
|
||||||
cert-manager.io/common-name: artifactapi.k8s.syd1.au.unkin.net
|
|
||||||
cert-manager.io/private-key-size: "4096"
|
|
||||||
external-dns.alpha.kubernetes.io/hostname: artifactapi.k8s.syd1.au.unkin.net
|
|
||||||
external-dns.alpha.kubernetes.io/target: 198.18.200.4
|
|
||||||
name: artifactapi
|
|
||||||
namespace: artifactapi
|
|
||||||
spec:
|
|
||||||
gatewayClassName: traefik-internal
|
|
||||||
listeners:
|
|
||||||
- allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
hostname: artifactapi.k8s.syd1.au.unkin.net
|
|
||||||
name: http
|
|
||||||
port: 80
|
|
||||||
protocol: HTTP
|
|
||||||
- allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
hostname: artifactapi.k8s.syd1.au.unkin.net
|
|
||||||
name: https
|
|
||||||
port: 443
|
|
||||||
protocol: HTTPS
|
|
||||||
tls:
|
|
||||||
certificateRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Secret
|
|
||||||
name: artifactapi-tls
|
|
||||||
mode: Terminate
|
|
||||||
@@ -1,49 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: artifactapi-http-redirect
|
|
||||||
namespace: artifactapi
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- artifactapi.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: artifactapi
|
|
||||||
sectionName: http
|
|
||||||
rules:
|
|
||||||
- filters:
|
|
||||||
- type: RequestRedirect
|
|
||||||
requestRedirect:
|
|
||||||
scheme: https
|
|
||||||
statusCode: 301
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: artifactapi
|
|
||||||
namespace: artifactapi
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- artifactapi.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: artifactapi
|
|
||||||
sectionName: https
|
|
||||||
rules:
|
|
||||||
- backendRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Service
|
|
||||||
name: artifactapi-api
|
|
||||||
port: 80
|
|
||||||
weight: 1
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
@@ -0,0 +1,32 @@
|
|||||||
|
---
|
||||||
|
apiVersion: networking.k8s.io/v1
|
||||||
|
kind: Ingress
|
||||||
|
metadata:
|
||||||
|
annotations:
|
||||||
|
cert-manager.io/cluster-issuer: vault-issuer
|
||||||
|
cert-manager.io/common-name: artifactapi.k8s.syd1.au.unkin.net
|
||||||
|
cert-manager.io/private-key-size: "4096"
|
||||||
|
external-dns.alpha.kubernetes.io/hostname: artifactapi.k8s.syd1.au.unkin.net
|
||||||
|
external-dns.alpha.kubernetes.io/target: 198.18.200.0
|
||||||
|
nginx.ingress.kubernetes.io/proxy-body-size: 10g
|
||||||
|
nginx.ingress.kubernetes.io/proxy-read-timeout: "600"
|
||||||
|
nginx.ingress.kubernetes.io/ssl-redirect: "false"
|
||||||
|
name: artifactapi-ingress
|
||||||
|
namespace: artifactapi
|
||||||
|
spec:
|
||||||
|
ingressClassName: nginx
|
||||||
|
rules:
|
||||||
|
- host: artifactapi.k8s.syd1.au.unkin.net
|
||||||
|
http:
|
||||||
|
paths:
|
||||||
|
- backend:
|
||||||
|
service:
|
||||||
|
name: artifactapi-api
|
||||||
|
port:
|
||||||
|
number: 80
|
||||||
|
path: /
|
||||||
|
pathType: Prefix
|
||||||
|
tls:
|
||||||
|
- hosts:
|
||||||
|
- artifactapi.k8s.syd1.au.unkin.net
|
||||||
|
secretName: artifactapi-tls
|
||||||
@@ -6,8 +6,7 @@ resources:
|
|||||||
- artifactapi-deployment.yaml
|
- artifactapi-deployment.yaml
|
||||||
- artifactapi-hpa.yaml
|
- artifactapi-hpa.yaml
|
||||||
- configmap.yaml
|
- configmap.yaml
|
||||||
- gateway.yaml
|
- ingress.yaml
|
||||||
- httproute.yaml
|
|
||||||
- namespace.yaml
|
- namespace.yaml
|
||||||
- postgres-deployment.yaml
|
- postgres-deployment.yaml
|
||||||
- pvc.yaml
|
- pvc.yaml
|
||||||
|
|||||||
@@ -6,10 +6,8 @@ remotes:
|
|||||||
immutable_patterns:
|
immutable_patterns:
|
||||||
- "^cloudnative-pg/cloudnative-pg"
|
- "^cloudnative-pg/cloudnative-pg"
|
||||||
- "^emberstack/helm-charts"
|
- "^emberstack/helm-charts"
|
||||||
- "^open-webui/open-webui"
|
|
||||||
- "^openvoxproject/"
|
- "^openvoxproject/"
|
||||||
- "^stakater/reloader"
|
- "^stakater/reloader"
|
||||||
- "^stalwartlabs/stalwart"
|
|
||||||
- "^voxpupuli/puppetboard"
|
- "^voxpupuli/puppetboard"
|
||||||
- "^woodpecker-ci/helm"
|
- "^woodpecker-ci/helm"
|
||||||
cache:
|
cache:
|
||||||
@@ -21,10 +19,7 @@ remotes:
|
|||||||
package: "docker"
|
package: "docker"
|
||||||
description: "Docker Hub registry"
|
description: "Docker Hub registry"
|
||||||
immutable_patterns:
|
immutable_patterns:
|
||||||
- "^library/almalinux"
|
|
||||||
- "^library/busybox"
|
- "^library/busybox"
|
||||||
- "^library/debian"
|
|
||||||
- "^library/fedora"
|
|
||||||
- "^library/nginx"
|
- "^library/nginx"
|
||||||
- "^library/postgres"
|
- "^library/postgres"
|
||||||
- "^library/redis"
|
- "^library/redis"
|
||||||
@@ -32,15 +27,9 @@ remotes:
|
|||||||
- "^bitnami/"
|
- "^bitnami/"
|
||||||
- "^curlimages/curl"
|
- "^curlimages/curl"
|
||||||
- "^emberstack/kubernetes-reflector"
|
- "^emberstack/kubernetes-reflector"
|
||||||
- "^hashicorp/consul"
|
- "^hashicorp/vault-secrets-operator"
|
||||||
- "^hashicorp/vault"
|
|
||||||
- "^jfrog/"
|
- "^jfrog/"
|
||||||
- "^kanidm/"
|
|
||||||
- "^rancher/"
|
- "^rancher/"
|
||||||
- "^rspamd/rspamd"
|
|
||||||
- "^tozd/postfix"
|
|
||||||
- "^traefik/"
|
|
||||||
- "^valkey/valkey"
|
|
||||||
- "^ubi9/ubi-minimal"
|
- "^ubi9/ubi-minimal"
|
||||||
- "^victoriametrics/"
|
- "^victoriametrics/"
|
||||||
- "^woodpeckerci/"
|
- "^woodpeckerci/"
|
||||||
|
|||||||
@@ -5,7 +5,6 @@ remotes:
|
|||||||
description: "GitHub releases and files"
|
description: "GitHub releases and files"
|
||||||
mutable_patterns:
|
mutable_patterns:
|
||||||
- ".*/archive/refs/heads/.*.tar.gz$"
|
- ".*/archive/refs/heads/.*.tar.gz$"
|
||||||
- "stalwartlabs/webadmin/releases/latest/download/webadmin.zip$"
|
|
||||||
immutable_patterns:
|
immutable_patterns:
|
||||||
- ".*/archive/refs/tags/.*.tar.gz$"
|
- ".*/archive/refs/tags/.*.tar.gz$"
|
||||||
- "ahmetb/kubectx/.*/kubectx_.*_linux_x86_64.tar.gz$"
|
- "ahmetb/kubectx/.*/kubectx_.*_linux_x86_64.tar.gz$"
|
||||||
@@ -27,16 +26,12 @@ remotes:
|
|||||||
- "helmfile/helmfile/.*/helmfile_.*_linux_amd64.tar.gz$"
|
- "helmfile/helmfile/.*/helmfile_.*_linux_amd64.tar.gz$"
|
||||||
- "helmfile/vals/.*/vals_.*_linux_amd64.tar.gz$"
|
- "helmfile/vals/.*/vals_.*_linux_amd64.tar.gz$"
|
||||||
- "jesseduffield/lazydocker/.*/lazydocker_.*_Linux_x86_64.tar.gz$"
|
- "jesseduffield/lazydocker/.*/lazydocker_.*_Linux_x86_64.tar.gz$"
|
||||||
- "kubecolor/kubecolor/.*/kubecolor_.*_linux_amd64.tar.gz$"
|
|
||||||
- "kubernetes-sigs/gateway-api/.*/standard-install.yaml$"
|
|
||||||
- "kubernetes-sigs/kustomize/.*/kustomize_.*_linux_amd64.tar.gz$"
|
|
||||||
- "lxc/incus/.*.tar.gz$"
|
- "lxc/incus/.*.tar.gz$"
|
||||||
- "mikefarah/yq/.*/yq_linux_amd64$"
|
- "mikefarah/yq/.*/yq_linux_amd64$"
|
||||||
- "neovim/neovim-releases/.*/nvim-linux-x86_64.tar.gz$"
|
- "neovim/neovim-releases/.*/nvim-linux-x86_64.tar.gz$"
|
||||||
- "neovim/neovim/.*/nvim-linux-x86_64.tar.gz$"
|
- "neovim/neovim/.*/nvim-linux-x86_64.tar.gz$"
|
||||||
- "nzbgetcom/nzbget/.*/nzbget-.*.x86_64.rpm$"
|
- "nzbgetcom/nzbget/.*/nzbget-.*.x86_64.rpm$"
|
||||||
- "onedr0p/exportarr/.*/exportarr_.*_linux_amd64.tar.gz$"
|
- "onedr0p/exportarr/.*/exportarr_.*_linux_amd64.tar.gz$"
|
||||||
- "open-policy-agent/conftest/.*/conftest_.*_Linux_x86_64.tar.gz$"
|
|
||||||
- "openbao/openbao-plugins/.*/openbao-plugin-secrets-consul_linux_amd64_.*.tar.gz$"
|
- "openbao/openbao-plugins/.*/openbao-plugin-secrets-consul_linux_amd64_.*.tar.gz$"
|
||||||
- "openbao/openbao-plugins/.*/openbao-plugin-secrets-nomad_linux_amd64_.*.tar.gz$"
|
- "openbao/openbao-plugins/.*/openbao-plugin-secrets-nomad_linux_amd64_.*.tar.gz$"
|
||||||
- "prometheus-community/bind_exporter/.*/bind_exporter-.*.linux-amd64.tar.gz$"
|
- "prometheus-community/bind_exporter/.*/bind_exporter-.*.linux-amd64.tar.gz$"
|
||||||
@@ -58,7 +53,6 @@ remotes:
|
|||||||
- "VictoriaMetrics/VictoriaMetrics/.*/vlutils-linux-amd64-.*.tar.gz$"
|
- "VictoriaMetrics/VictoriaMetrics/.*/vlutils-linux-amd64-.*.tar.gz$"
|
||||||
- "VictoriaMetrics/VictoriaMetrics/.*/vmutils-linux-amd64-.*.tar.gz$"
|
- "VictoriaMetrics/VictoriaMetrics/.*/vmutils-linux-amd64-.*.tar.gz$"
|
||||||
- "xorpaul/g10k/.*/g10k-.*-linux-amd64.zip$"
|
- "xorpaul/g10k/.*/g10k-.*-linux-amd64.zip$"
|
||||||
- "yannh/kubeconform/.*/kubeconform-linux-amd64.tar.gz$"
|
|
||||||
cache:
|
cache:
|
||||||
immutable_ttl: 0
|
immutable_ttl: 0
|
||||||
mutable_ttl: 7200
|
mutable_ttl: 7200
|
||||||
|
|||||||
@@ -109,17 +109,6 @@ remotes:
|
|||||||
immutable_ttl: 0
|
immutable_ttl: 0
|
||||||
mutable_ttl: 3600
|
mutable_ttl: 3600
|
||||||
|
|
||||||
traefik:
|
|
||||||
base_url: "https://traefik.github.io/charts"
|
|
||||||
package: "helm"
|
|
||||||
description: "Traefik Helm charts"
|
|
||||||
check_mutable_updates: true
|
|
||||||
immutable_patterns:
|
|
||||||
- "\\.tgz$"
|
|
||||||
cache:
|
|
||||||
immutable_ttl: 0
|
|
||||||
mutable_ttl: 3600
|
|
||||||
|
|
||||||
victoriametrics:
|
victoriametrics:
|
||||||
base_url: "https://victoriametrics.github.io/helm-charts/"
|
base_url: "https://victoriametrics.github.io/helm-charts/"
|
||||||
package: "helm"
|
package: "helm"
|
||||||
@@ -130,14 +119,3 @@ remotes:
|
|||||||
cache:
|
cache:
|
||||||
immutable_ttl: 0
|
immutable_ttl: 0
|
||||||
mutable_ttl: 3600
|
mutable_ttl: 3600
|
||||||
|
|
||||||
argo-helm:
|
|
||||||
base_url: "https://argoproj.github.io/argo-helm"
|
|
||||||
package: "helm"
|
|
||||||
description: "Argo Project Helm charts (ArgoCD, Image Updater, Rollouts, etc.)"
|
|
||||||
check_mutable_updates: true
|
|
||||||
immutable_patterns:
|
|
||||||
- "\\.tgz$"
|
|
||||||
cache:
|
|
||||||
immutable_ttl: 0
|
|
||||||
mutable_ttl: 3600
|
|
||||||
|
|||||||
@@ -13,6 +13,4 @@ virtuals:
|
|||||||
- purelb
|
- purelb
|
||||||
- rancher-stable
|
- rancher-stable
|
||||||
- stakater
|
- stakater
|
||||||
- traefik
|
|
||||||
- victoriametrics
|
- victoriametrics
|
||||||
- argo-helm
|
|
||||||
|
|||||||
@@ -1,37 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: Gateway
|
|
||||||
metadata:
|
|
||||||
labels:
|
|
||||||
traefik.io/instance: internal
|
|
||||||
annotations:
|
|
||||||
cert-manager.io/cluster-issuer: vault-issuer
|
|
||||||
cert-manager.io/common-name: rancher.k8s.syd1.au.unkin.net
|
|
||||||
cert-manager.io/private-key-size: "4096"
|
|
||||||
external-dns.alpha.kubernetes.io/hostname: rancher.k8s.syd1.au.unkin.net
|
|
||||||
external-dns.alpha.kubernetes.io/target: "198.18.200.4"
|
|
||||||
name: rancher
|
|
||||||
namespace: cattle-system
|
|
||||||
spec:
|
|
||||||
gatewayClassName: traefik-internal
|
|
||||||
listeners:
|
|
||||||
- allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
hostname: rancher.k8s.syd1.au.unkin.net
|
|
||||||
name: http
|
|
||||||
port: 80
|
|
||||||
protocol: HTTP
|
|
||||||
- allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
hostname: rancher.k8s.syd1.au.unkin.net
|
|
||||||
name: https
|
|
||||||
port: 443
|
|
||||||
protocol: HTTPS
|
|
||||||
tls:
|
|
||||||
certificateRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Secret
|
|
||||||
name: rancher-tls
|
|
||||||
mode: Terminate
|
|
||||||
@@ -1,49 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: rancher-http-redirect
|
|
||||||
namespace: cattle-system
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- rancher.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: rancher
|
|
||||||
sectionName: http
|
|
||||||
rules:
|
|
||||||
- filters:
|
|
||||||
- type: RequestRedirect
|
|
||||||
requestRedirect:
|
|
||||||
scheme: https
|
|
||||||
statusCode: 301
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: rancher
|
|
||||||
namespace: cattle-system
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- rancher.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: rancher
|
|
||||||
sectionName: https
|
|
||||||
rules:
|
|
||||||
- backendRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Service
|
|
||||||
name: rancher
|
|
||||||
port: 80
|
|
||||||
weight: 1
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
@@ -0,0 +1,29 @@
|
|||||||
|
---
|
||||||
|
apiVersion: networking.k8s.io/v1
|
||||||
|
kind: Ingress
|
||||||
|
metadata:
|
||||||
|
name: rancher
|
||||||
|
namespace: cattle-system
|
||||||
|
annotations:
|
||||||
|
cert-manager.io/cluster-issuer: vault-issuer
|
||||||
|
cert-manager.io/common-name: rancher.k8s.syd1.au.unkin.net
|
||||||
|
cert-manager.io/private-key-size: "4096"
|
||||||
|
external-dns.alpha.kubernetes.io/hostname: rancher.k8s.syd1.au.unkin.net
|
||||||
|
external-dns.alpha.kubernetes.io/target: "198.18.200.0"
|
||||||
|
spec:
|
||||||
|
ingressClassName: nginx
|
||||||
|
tls:
|
||||||
|
- hosts:
|
||||||
|
- rancher.k8s.syd1.au.unkin.net
|
||||||
|
secretName: rancher-tls
|
||||||
|
rules:
|
||||||
|
- host: rancher.k8s.syd1.au.unkin.net
|
||||||
|
http:
|
||||||
|
paths:
|
||||||
|
- path: /
|
||||||
|
pathType: Prefix
|
||||||
|
backend:
|
||||||
|
service:
|
||||||
|
name: rancher
|
||||||
|
port:
|
||||||
|
number: 80
|
||||||
@@ -6,5 +6,4 @@ resources:
|
|||||||
- namespace.yaml
|
- namespace.yaml
|
||||||
- vaultauth.yaml
|
- vaultauth.yaml
|
||||||
- vaultstaticsecret.yaml
|
- vaultstaticsecret.yaml
|
||||||
- gateway.yaml
|
- ingress.yaml
|
||||||
- httproute.yaml
|
|
||||||
|
|||||||
@@ -1,53 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: Gateway
|
|
||||||
metadata:
|
|
||||||
name: consul
|
|
||||||
namespace: consul
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: consul
|
|
||||||
app.kubernetes.io/instance: consul
|
|
||||||
traefik.io/instance: internal
|
|
||||||
annotations:
|
|
||||||
cert-manager.io/cluster-issuer: vault-issuer
|
|
||||||
cert-manager.io/common-name: consul.k8s.syd1.au.unkin.net
|
|
||||||
cert-manager.io/private-key-size: "4096"
|
|
||||||
cert-manager.io/alt-names: consul.service.consul
|
|
||||||
external-dns.alpha.kubernetes.io/hostname: consul.k8s.syd1.au.unkin.net
|
|
||||||
external-dns.alpha.kubernetes.io/target: 198.18.200.4
|
|
||||||
spec:
|
|
||||||
gatewayClassName: traefik-internal
|
|
||||||
listeners:
|
|
||||||
- name: http
|
|
||||||
port: 80
|
|
||||||
protocol: HTTP
|
|
||||||
hostname: consul.k8s.syd1.au.unkin.net
|
|
||||||
allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
- name: https
|
|
||||||
port: 443
|
|
||||||
protocol: HTTPS
|
|
||||||
hostname: consul.k8s.syd1.au.unkin.net
|
|
||||||
allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
tls:
|
|
||||||
mode: Terminate
|
|
||||||
certificateRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Secret
|
|
||||||
name: consul-tls
|
|
||||||
- name: consul-svc
|
|
||||||
port: 443
|
|
||||||
protocol: HTTPS
|
|
||||||
hostname: consul.service.consul
|
|
||||||
allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
tls:
|
|
||||||
mode: Terminate
|
|
||||||
certificateRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Secret
|
|
||||||
name: consul-tls
|
|
||||||
@@ -1,83 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: consul-http-redirect
|
|
||||||
namespace: consul
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: consul
|
|
||||||
app.kubernetes.io/instance: consul
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- consul.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: consul
|
|
||||||
sectionName: http
|
|
||||||
rules:
|
|
||||||
- filters:
|
|
||||||
- type: RequestRedirect
|
|
||||||
requestRedirect:
|
|
||||||
scheme: https
|
|
||||||
statusCode: 301
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: consul
|
|
||||||
namespace: consul
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: consul
|
|
||||||
app.kubernetes.io/instance: consul
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- consul.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: consul
|
|
||||||
sectionName: https
|
|
||||||
rules:
|
|
||||||
- backendRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Service
|
|
||||||
name: consul-ui
|
|
||||||
port: 80
|
|
||||||
weight: 1
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: consul-svc
|
|
||||||
namespace: consul
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: consul
|
|
||||||
app.kubernetes.io/instance: consul
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- consul.service.consul
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: consul
|
|
||||||
sectionName: consul-svc
|
|
||||||
rules:
|
|
||||||
- backendRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Service
|
|
||||||
name: consul-ui
|
|
||||||
port: 80
|
|
||||||
weight: 1
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
@@ -1,8 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: kustomize.config.k8s.io/v1beta1
|
|
||||||
kind: Kustomization
|
|
||||||
|
|
||||||
resources:
|
|
||||||
- namespace.yaml
|
|
||||||
- gateway.yaml
|
|
||||||
- httproute.yaml
|
|
||||||
@@ -1,5 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: v1
|
|
||||||
kind: Namespace
|
|
||||||
metadata:
|
|
||||||
name: consul
|
|
||||||
@@ -7,12 +7,12 @@ resources:
|
|||||||
|
|
||||||
helmCharts:
|
helmCharts:
|
||||||
- name: intel-device-plugins-operator
|
- name: intel-device-plugins-operator
|
||||||
repo: https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
repo: https://intel.github.io/helm-charts/
|
||||||
version: "0.35.0"
|
version: "0.35.0"
|
||||||
releaseName: intel-device-plugins-operator
|
releaseName: intel-device-plugins-operator
|
||||||
namespace: inteldeviceplugins-system
|
namespace: inteldeviceplugins-system
|
||||||
- name: intel-device-plugins-gpu
|
- name: intel-device-plugins-gpu
|
||||||
repo: https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
repo: https://intel.github.io/helm-charts/
|
||||||
version: "0.34.1"
|
version: "0.34.1"
|
||||||
releaseName: intel-gpu-plugin
|
releaseName: intel-gpu-plugin
|
||||||
namespace: inteldeviceplugins-system
|
namespace: inteldeviceplugins-system
|
||||||
|
|||||||
@@ -1,51 +0,0 @@
|
|||||||
# kanidm
|
|
||||||
|
|
||||||
Three-replica kanidm identity server with Vault-managed replication certificates.
|
|
||||||
|
|
||||||
## Architecture
|
|
||||||
|
|
||||||
- Per-pod `server-N.toml` in `resources/` — each has its own replication origin hardcoded
|
|
||||||
- `config-init` busybox init container copies the right config and injects peer certs from the
|
|
||||||
vault-synced `kanidm-repl-certs` Secret at pod startup
|
|
||||||
- `reloader.stakater.com/auto: "true"` triggers a rolling restart when the ConfigMap or Secret changes
|
|
||||||
- Vault path: `kv/kubernetes/namespace/kanidm/default/repl-certs`
|
|
||||||
- Keys: `kanidm-0`, `kanidm-1`, `kanidm-2` — each holds that pod's replication certificate
|
|
||||||
|
|
||||||
## Initial setup
|
|
||||||
|
|
||||||
After the first pod starts, generate the admin credentials:
|
|
||||||
|
|
||||||
```bash
|
|
||||||
kubectl exec -n kanidm kanidm-0 -- /sbin/kanidmd recover-account -c /config/server.toml admin
|
|
||||||
kubectl exec -n kanidm kanidm-0 -- /sbin/kanidmd recover-account -c /config/server.toml idm_admin
|
|
||||||
```
|
|
||||||
|
|
||||||
## Replication certificate rotation
|
|
||||||
|
|
||||||
When certs need to be renewed, update vault and reloader will roll the StatefulSet:
|
|
||||||
|
|
||||||
```bash
|
|
||||||
# Get new cert from a pod
|
|
||||||
kubectl exec -it -n kanidm kanidm-N -- /sbin/kanidmd renew-replication-certificate -c /config/server.toml
|
|
||||||
|
|
||||||
# Write updated cert to vault (reloader triggers restart automatically)
|
|
||||||
vault kv patch kv/kubernetes/namespace/kanidm/default/repl-certs "kanidm-N=<cert>"
|
|
||||||
```
|
|
||||||
|
|
||||||
## Resolving domain UUID mismatch
|
|
||||||
|
|
||||||
If pods initialized independently (each with a different domain UUID), replication will fail with
|
|
||||||
`Consumer Domain UUID does not match`. Fix by resetting kanidm-1 and kanidm-2 to sync from
|
|
||||||
kanidm-0 (the authoritative node):
|
|
||||||
|
|
||||||
```bash
|
|
||||||
# Scale down to avoid split-brain during reset
|
|
||||||
kubectl scale statefulset -n kanidm kanidm --replicas=1
|
|
||||||
|
|
||||||
# Delete the stale PVCs for the replica pods
|
|
||||||
kubectl delete pvc -n kanidm data-kanidm-1 data-kanidm-2
|
|
||||||
|
|
||||||
# Scale back up — replicas start with empty DBs and automatic_refresh=true
|
|
||||||
# will trigger a full sync from kanidm-0 once TLS peer certs are verified
|
|
||||||
kubectl scale statefulset -n kanidm kanidm --replicas=3
|
|
||||||
```
|
|
||||||
@@ -1,26 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: cert-manager.io/v1
|
|
||||||
kind: Certificate
|
|
||||||
metadata:
|
|
||||||
name: kanidm-tls
|
|
||||||
namespace: kanidm
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
spec:
|
|
||||||
secretName: kanidm-tls
|
|
||||||
issuerRef:
|
|
||||||
kind: ClusterIssuer
|
|
||||||
name: vault-issuer
|
|
||||||
commonName: auth.unkin.net
|
|
||||||
dnsNames:
|
|
||||||
- auth.unkin.net
|
|
||||||
- au.auth.unkin.net
|
|
||||||
- kanidm.k8s.syd1.au.unkin.net
|
|
||||||
- kanidm.kanidm.svc.cluster.local
|
|
||||||
- kanidm-0.kanidm-headless.kanidm.svc.cluster.local
|
|
||||||
- kanidm-1.kanidm-headless.kanidm.svc.cluster.local
|
|
||||||
- kanidm-2.kanidm-headless.kanidm.svc.cluster.local
|
|
||||||
privateKey:
|
|
||||||
algorithm: RSA
|
|
||||||
size: 4096
|
|
||||||
@@ -1,30 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: Gateway
|
|
||||||
metadata:
|
|
||||||
name: kanidm
|
|
||||||
namespace: kanidm
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
traefik.io/instance: internal
|
|
||||||
annotations:
|
|
||||||
external-dns.alpha.kubernetes.io/hostname: kanidm.k8s.syd1.au.unkin.net
|
|
||||||
external-dns.alpha.kubernetes.io/target: 198.18.200.4
|
|
||||||
spec:
|
|
||||||
gatewayClassName: traefik-internal
|
|
||||||
listeners:
|
|
||||||
- name: http
|
|
||||||
port: 80
|
|
||||||
protocol: HTTP
|
|
||||||
allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
- name: https-passthrough
|
|
||||||
port: 443
|
|
||||||
protocol: TLS
|
|
||||||
tls:
|
|
||||||
mode: Passthrough
|
|
||||||
allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
@@ -1,29 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: kanidm-http-redirect
|
|
||||||
namespace: kanidm
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- kanidm.k8s.syd1.au.unkin.net
|
|
||||||
- auth.unkin.net
|
|
||||||
- au.auth.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: kanidm
|
|
||||||
sectionName: http
|
|
||||||
rules:
|
|
||||||
- filters:
|
|
||||||
- type: RequestRedirect
|
|
||||||
requestRedirect:
|
|
||||||
scheme: https
|
|
||||||
statusCode: 301
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
@@ -1,29 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: kustomize.config.k8s.io/v1beta1
|
|
||||||
kind: Kustomization
|
|
||||||
|
|
||||||
resources:
|
|
||||||
- namespace.yaml
|
|
||||||
- serviceaccount.yaml
|
|
||||||
- vaultauth.yaml
|
|
||||||
- vaultstaticsecret.yaml
|
|
||||||
- certificate.yaml
|
|
||||||
- service.yaml
|
|
||||||
- statefulset.yaml
|
|
||||||
- poddisruptionbudget.yaml
|
|
||||||
- gateway.yaml
|
|
||||||
- httproute.yaml
|
|
||||||
- tlsroute.yaml
|
|
||||||
|
|
||||||
configMapGenerator:
|
|
||||||
- name: kanidm-config
|
|
||||||
namespace: kanidm
|
|
||||||
options:
|
|
||||||
disableNameSuffixHash: true
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
files:
|
|
||||||
- server-0.toml=resources/server-0.toml
|
|
||||||
- server-1.toml=resources/server-1.toml
|
|
||||||
- server-2.toml=resources/server-2.toml
|
|
||||||
@@ -1,5 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: v1
|
|
||||||
kind: Namespace
|
|
||||||
metadata:
|
|
||||||
name: kanidm
|
|
||||||
@@ -1,15 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: policy/v1
|
|
||||||
kind: PodDisruptionBudget
|
|
||||||
metadata:
|
|
||||||
name: kanidm
|
|
||||||
namespace: kanidm
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
spec:
|
|
||||||
maxUnavailable: 1
|
|
||||||
selector:
|
|
||||||
matchLabels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
@@ -1,37 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: rbac.authorization.k8s.io/v1
|
|
||||||
kind: Role
|
|
||||||
metadata:
|
|
||||||
name: kanidm-repl
|
|
||||||
namespace: kanidm
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
rules:
|
|
||||||
- apiGroups: [""]
|
|
||||||
resources: ["pods"]
|
|
||||||
verbs: ["get", "list"]
|
|
||||||
- apiGroups: [""]
|
|
||||||
resources: ["pods/exec"]
|
|
||||||
verbs: ["create"]
|
|
||||||
- apiGroups: [""]
|
|
||||||
resources: ["configmaps"]
|
|
||||||
resourceNames: ["kanidm-repl-certs"]
|
|
||||||
verbs: ["get", "patch"]
|
|
||||||
---
|
|
||||||
apiVersion: rbac.authorization.k8s.io/v1
|
|
||||||
kind: RoleBinding
|
|
||||||
metadata:
|
|
||||||
name: kanidm-repl
|
|
||||||
namespace: kanidm
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
subjects:
|
|
||||||
- kind: ServiceAccount
|
|
||||||
name: kanidm
|
|
||||||
namespace: kanidm
|
|
||||||
roleRef:
|
|
||||||
kind: Role
|
|
||||||
name: kanidm-repl
|
|
||||||
apiGroup: rbac.authorization.k8s.io
|
|
||||||
@@ -1,19 +0,0 @@
|
|||||||
version = "2"
|
|
||||||
|
|
||||||
domain = "auth.unkin.net"
|
|
||||||
origin = "https://auth.unkin.net"
|
|
||||||
bindaddress = "[::]:8443"
|
|
||||||
db_path = "/data/kanidm.db"
|
|
||||||
db_arc_size = 2048
|
|
||||||
tls_chain = "/data/tls/tls.crt"
|
|
||||||
tls_key = "/data/tls/tls.key"
|
|
||||||
log_level = "info"
|
|
||||||
|
|
||||||
[online_backup]
|
|
||||||
path = "/data/backups/"
|
|
||||||
schedule = "0 22 * * *"
|
|
||||||
versions = 7
|
|
||||||
|
|
||||||
[replication]
|
|
||||||
origin = "repl://kanidm-0.kanidm-headless.kanidm.svc.cluster.local:8444"
|
|
||||||
bindaddress = "[::]:8444"
|
|
||||||
@@ -1,19 +0,0 @@
|
|||||||
version = "2"
|
|
||||||
|
|
||||||
domain = "auth.unkin.net"
|
|
||||||
origin = "https://auth.unkin.net"
|
|
||||||
bindaddress = "[::]:8443"
|
|
||||||
db_path = "/data/kanidm.db"
|
|
||||||
db_arc_size = 2048
|
|
||||||
tls_chain = "/data/tls/tls.crt"
|
|
||||||
tls_key = "/data/tls/tls.key"
|
|
||||||
log_level = "info"
|
|
||||||
|
|
||||||
[online_backup]
|
|
||||||
path = "/data/backups/"
|
|
||||||
schedule = "0 22 * * *"
|
|
||||||
versions = 7
|
|
||||||
|
|
||||||
[replication]
|
|
||||||
origin = "repl://kanidm-1.kanidm-headless.kanidm.svc.cluster.local:8444"
|
|
||||||
bindaddress = "[::]:8444"
|
|
||||||
@@ -1,19 +0,0 @@
|
|||||||
version = "2"
|
|
||||||
|
|
||||||
domain = "auth.unkin.net"
|
|
||||||
origin = "https://auth.unkin.net"
|
|
||||||
bindaddress = "[::]:8443"
|
|
||||||
db_path = "/data/kanidm.db"
|
|
||||||
db_arc_size = 2048
|
|
||||||
tls_chain = "/data/tls/tls.crt"
|
|
||||||
tls_key = "/data/tls/tls.key"
|
|
||||||
log_level = "info"
|
|
||||||
|
|
||||||
[online_backup]
|
|
||||||
path = "/data/backups/"
|
|
||||||
schedule = "0 22 * * *"
|
|
||||||
versions = 7
|
|
||||||
|
|
||||||
[replication]
|
|
||||||
origin = "repl://kanidm-2.kanidm-headless.kanidm.svc.cluster.local:8444"
|
|
||||||
bindaddress = "[::]:8444"
|
|
||||||
@@ -1,43 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: v1
|
|
||||||
kind: Service
|
|
||||||
metadata:
|
|
||||||
name: kanidm
|
|
||||||
namespace: kanidm
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
spec:
|
|
||||||
type: ClusterIP
|
|
||||||
ports:
|
|
||||||
- name: https
|
|
||||||
port: 8443
|
|
||||||
targetPort: https
|
|
||||||
protocol: TCP
|
|
||||||
selector:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
---
|
|
||||||
apiVersion: v1
|
|
||||||
kind: Service
|
|
||||||
metadata:
|
|
||||||
name: kanidm-headless
|
|
||||||
namespace: kanidm
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
spec:
|
|
||||||
type: ClusterIP
|
|
||||||
clusterIP: None
|
|
||||||
ports:
|
|
||||||
- name: https
|
|
||||||
port: 8443
|
|
||||||
targetPort: https
|
|
||||||
protocol: TCP
|
|
||||||
- name: replication
|
|
||||||
port: 8444
|
|
||||||
targetPort: replication
|
|
||||||
protocol: TCP
|
|
||||||
selector:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
@@ -1,9 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: v1
|
|
||||||
kind: ServiceAccount
|
|
||||||
metadata:
|
|
||||||
name: kanidm
|
|
||||||
namespace: kanidm
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
@@ -1,133 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: apps/v1
|
|
||||||
kind: StatefulSet
|
|
||||||
metadata:
|
|
||||||
name: kanidm
|
|
||||||
namespace: kanidm
|
|
||||||
annotations:
|
|
||||||
reloader.stakater.com/auto: "true"
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
spec:
|
|
||||||
serviceName: kanidm-headless
|
|
||||||
replicas: 3
|
|
||||||
selector:
|
|
||||||
matchLabels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
template:
|
|
||||||
metadata:
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
spec:
|
|
||||||
serviceAccountName: kanidm
|
|
||||||
affinity:
|
|
||||||
podAntiAffinity:
|
|
||||||
requiredDuringSchedulingIgnoredDuringExecution:
|
|
||||||
- labelSelector:
|
|
||||||
matchLabels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
topologyKey: kubernetes.io/hostname
|
|
||||||
securityContext:
|
|
||||||
runAsUser: 1000
|
|
||||||
runAsGroup: 1000
|
|
||||||
runAsNonRoot: true
|
|
||||||
fsGroup: 1000
|
|
||||||
initContainers:
|
|
||||||
- name: config-init
|
|
||||||
image: busybox:1.36
|
|
||||||
command: ["/bin/sh", "-c"]
|
|
||||||
args:
|
|
||||||
- |
|
|
||||||
set -e
|
|
||||||
cp "/config-template/server-${POD_NAME##*-}.toml" /config/server.toml
|
|
||||||
for peer in kanidm-0 kanidm-1 kanidm-2; do
|
|
||||||
[ "${peer}" = "${POD_NAME}" ] && continue
|
|
||||||
cert_file="/repl-certs/${peer}"
|
|
||||||
[ -s "${cert_file}" ] || continue
|
|
||||||
fqdn="${peer}.kanidm-headless.kanidm.svc.cluster.local"
|
|
||||||
printf '\n[replication."repl://%s:8444"]\ntype = "mutual-pull"\npartner_cert = "%s"\n' \
|
|
||||||
"${fqdn}" "$(cat ${cert_file})" >> /config/server.toml
|
|
||||||
done
|
|
||||||
env:
|
|
||||||
- name: POD_NAME
|
|
||||||
valueFrom:
|
|
||||||
fieldRef:
|
|
||||||
fieldPath: metadata.name
|
|
||||||
volumeMounts:
|
|
||||||
- name: config-template
|
|
||||||
mountPath: /config-template
|
|
||||||
readOnly: true
|
|
||||||
- name: config
|
|
||||||
mountPath: /config
|
|
||||||
- name: repl-certs
|
|
||||||
mountPath: /repl-certs
|
|
||||||
readOnly: true
|
|
||||||
securityContext:
|
|
||||||
allowPrivilegeEscalation: false
|
|
||||||
readOnlyRootFilesystem: true
|
|
||||||
containers:
|
|
||||||
- name: kanidm
|
|
||||||
image: kanidm/server:1.10.3
|
|
||||||
command: ["/sbin/kanidmd"]
|
|
||||||
args: ["server", "-c", "/config/server.toml"]
|
|
||||||
ports:
|
|
||||||
- name: https
|
|
||||||
containerPort: 8443
|
|
||||||
protocol: TCP
|
|
||||||
- name: replication
|
|
||||||
containerPort: 8444
|
|
||||||
protocol: TCP
|
|
||||||
volumeMounts:
|
|
||||||
- name: data
|
|
||||||
mountPath: /data
|
|
||||||
- name: config
|
|
||||||
mountPath: /config
|
|
||||||
readOnly: true
|
|
||||||
- name: tls
|
|
||||||
mountPath: /data/tls
|
|
||||||
readOnly: true
|
|
||||||
securityContext:
|
|
||||||
allowPrivilegeEscalation: false
|
|
||||||
readOnlyRootFilesystem: false
|
|
||||||
resources:
|
|
||||||
requests:
|
|
||||||
memory: 256Mi
|
|
||||||
cpu: 100m
|
|
||||||
limits:
|
|
||||||
memory: 1Gi
|
|
||||||
cpu: 500m
|
|
||||||
readinessProbe:
|
|
||||||
tcpSocket:
|
|
||||||
port: 8443
|
|
||||||
initialDelaySeconds: 15
|
|
||||||
periodSeconds: 10
|
|
||||||
livenessProbe:
|
|
||||||
tcpSocket:
|
|
||||||
port: 8443
|
|
||||||
initialDelaySeconds: 30
|
|
||||||
periodSeconds: 30
|
|
||||||
volumes:
|
|
||||||
- name: config-template
|
|
||||||
configMap:
|
|
||||||
name: kanidm-config
|
|
||||||
- name: config
|
|
||||||
emptyDir: {}
|
|
||||||
- name: repl-certs
|
|
||||||
secret:
|
|
||||||
secretName: kanidm-repl-certs
|
|
||||||
- name: tls
|
|
||||||
secret:
|
|
||||||
secretName: kanidm-tls
|
|
||||||
volumeClaimTemplates:
|
|
||||||
- metadata:
|
|
||||||
name: data
|
|
||||||
spec:
|
|
||||||
accessModes: [ReadWriteOnce]
|
|
||||||
storageClassName: cephrbd-fast-delete
|
|
||||||
resources:
|
|
||||||
requests:
|
|
||||||
storage: 10Gi
|
|
||||||
@@ -1,26 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: TLSRoute
|
|
||||||
metadata:
|
|
||||||
name: kanidm
|
|
||||||
namespace: kanidm
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- kanidm.k8s.syd1.au.unkin.net
|
|
||||||
- auth.unkin.net
|
|
||||||
- au.auth.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: kanidm
|
|
||||||
sectionName: https-passthrough
|
|
||||||
rules:
|
|
||||||
- backendRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Service
|
|
||||||
name: kanidm
|
|
||||||
port: 8443
|
|
||||||
weight: 1
|
|
||||||
@@ -1,18 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: secrets.hashicorp.com/v1beta1
|
|
||||||
kind: VaultAuth
|
|
||||||
metadata:
|
|
||||||
name: default
|
|
||||||
namespace: kanidm
|
|
||||||
spec:
|
|
||||||
allowedNamespaces:
|
|
||||||
- kanidm
|
|
||||||
kubernetes:
|
|
||||||
audiences:
|
|
||||||
- vault
|
|
||||||
role: default
|
|
||||||
serviceAccount: default
|
|
||||||
tokenExpirationSeconds: 600
|
|
||||||
method: kubernetes
|
|
||||||
mount: k8s/au/syd1
|
|
||||||
vaultConnectionRef: vso-system/default
|
|
||||||
@@ -1,20 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: secrets.hashicorp.com/v1beta1
|
|
||||||
kind: VaultStaticSecret
|
|
||||||
metadata:
|
|
||||||
name: repl-certs
|
|
||||||
namespace: kanidm
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: kanidm
|
|
||||||
app.kubernetes.io/instance: kanidm
|
|
||||||
spec:
|
|
||||||
vaultAuthRef: default
|
|
||||||
mount: kv
|
|
||||||
type: kv-v2
|
|
||||||
path: kubernetes/namespace/kanidm/default/repl-certs
|
|
||||||
refreshAfter: 5m
|
|
||||||
destination:
|
|
||||||
name: kanidm-repl-certs
|
|
||||||
create: true
|
|
||||||
overwrite: true
|
|
||||||
hmacSecretData: true
|
|
||||||
@@ -76,11 +76,11 @@ spec:
|
|||||||
updateInterval: 30
|
updateInterval: 30
|
||||||
resources:
|
resources:
|
||||||
limits:
|
limits:
|
||||||
cpu: "1"
|
cpu: 500m
|
||||||
memory: 1Gi
|
memory: 512Mi
|
||||||
requests:
|
requests:
|
||||||
cpu: 250m
|
cpu: 250m
|
||||||
memory: 512Mi
|
memory: 256Mi
|
||||||
smartShutdownTimeout: 180
|
smartShutdownTimeout: 180
|
||||||
startDelay: 3600
|
startDelay: 3600
|
||||||
stopDelay: 1800
|
stopDelay: 1800
|
||||||
|
|||||||
@@ -10,8 +10,6 @@ spec:
|
|||||||
app: litellm
|
app: litellm
|
||||||
template:
|
template:
|
||||||
metadata:
|
metadata:
|
||||||
annotations:
|
|
||||||
reloader.stakater.com/auto: "true"
|
|
||||||
labels:
|
labels:
|
||||||
app: litellm
|
app: litellm
|
||||||
spec:
|
spec:
|
||||||
@@ -33,8 +31,6 @@ spec:
|
|||||||
envFrom:
|
envFrom:
|
||||||
- secretRef:
|
- secretRef:
|
||||||
name: litellm-credentials
|
name: litellm-credentials
|
||||||
- configMapRef:
|
|
||||||
name: litellm-env
|
|
||||||
livenessProbe:
|
livenessProbe:
|
||||||
httpGet:
|
httpGet:
|
||||||
path: /health/liveliness
|
path: /health/liveliness
|
||||||
@@ -55,11 +51,11 @@ spec:
|
|||||||
timeoutSeconds: 5
|
timeoutSeconds: 5
|
||||||
resources:
|
resources:
|
||||||
limits:
|
limits:
|
||||||
cpu: "2"
|
cpu: "1"
|
||||||
memory: 8Gi
|
memory: 2Gi
|
||||||
requests:
|
requests:
|
||||||
cpu: 250m
|
cpu: 250m
|
||||||
memory: 6Gi
|
memory: 512Mi
|
||||||
volumeMounts:
|
volumeMounts:
|
||||||
- mountPath: /app/config.yaml
|
- mountPath: /app/config.yaml
|
||||||
name: config
|
name: config
|
||||||
|
|||||||
@@ -1,37 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: Gateway
|
|
||||||
metadata:
|
|
||||||
labels:
|
|
||||||
traefik.io/instance: internal
|
|
||||||
annotations:
|
|
||||||
cert-manager.io/cluster-issuer: vault-issuer
|
|
||||||
cert-manager.io/common-name: litellm.k8s.syd1.au.unkin.net
|
|
||||||
cert-manager.io/private-key-size: "4096"
|
|
||||||
external-dns.alpha.kubernetes.io/hostname: litellm.k8s.syd1.au.unkin.net
|
|
||||||
external-dns.alpha.kubernetes.io/target: 198.18.200.4
|
|
||||||
name: litellm
|
|
||||||
namespace: litellm
|
|
||||||
spec:
|
|
||||||
gatewayClassName: traefik-internal
|
|
||||||
listeners:
|
|
||||||
- allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
hostname: litellm.k8s.syd1.au.unkin.net
|
|
||||||
name: http
|
|
||||||
port: 80
|
|
||||||
protocol: HTTP
|
|
||||||
- allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
hostname: litellm.k8s.syd1.au.unkin.net
|
|
||||||
name: https
|
|
||||||
port: 443
|
|
||||||
protocol: HTTPS
|
|
||||||
tls:
|
|
||||||
certificateRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Secret
|
|
||||||
name: litellm-tls
|
|
||||||
mode: Terminate
|
|
||||||
@@ -10,14 +10,14 @@ spec:
|
|||||||
kind: Deployment
|
kind: Deployment
|
||||||
name: litellm
|
name: litellm
|
||||||
minReplicas: 2
|
minReplicas: 2
|
||||||
maxReplicas: 4
|
maxReplicas: 10
|
||||||
metrics:
|
metrics:
|
||||||
- type: Resource
|
- type: Resource
|
||||||
resource:
|
resource:
|
||||||
name: cpu
|
name: cpu
|
||||||
target:
|
target:
|
||||||
type: Utilization
|
type: Utilization
|
||||||
averageUtilization: 80
|
averageUtilization: 60
|
||||||
behavior:
|
behavior:
|
||||||
scaleUp:
|
scaleUp:
|
||||||
stabilizationWindowSeconds: 0
|
stabilizationWindowSeconds: 0
|
||||||
@@ -25,7 +25,7 @@ spec:
|
|||||||
policies:
|
policies:
|
||||||
- type: Percent
|
- type: Percent
|
||||||
value: 100
|
value: 100
|
||||||
periodSeconds: 60
|
periodSeconds: 30
|
||||||
- type: Pods
|
- type: Pods
|
||||||
value: 4
|
value: 4
|
||||||
periodSeconds: 30
|
periodSeconds: 30
|
||||||
@@ -34,7 +34,7 @@ spec:
|
|||||||
selectPolicy: Min
|
selectPolicy: Min
|
||||||
policies:
|
policies:
|
||||||
- type: Percent
|
- type: Percent
|
||||||
value: 30
|
value: 10
|
||||||
periodSeconds: 60
|
periodSeconds: 60
|
||||||
- type: Pods
|
- type: Pods
|
||||||
value: 2
|
value: 2
|
||||||
|
|||||||
@@ -1,49 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: litellm-http-redirect
|
|
||||||
namespace: litellm
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- litellm.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: litellm
|
|
||||||
sectionName: http
|
|
||||||
rules:
|
|
||||||
- filters:
|
|
||||||
- type: RequestRedirect
|
|
||||||
requestRedirect:
|
|
||||||
scheme: https
|
|
||||||
statusCode: 301
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: litellm
|
|
||||||
namespace: litellm
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- litellm.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: litellm
|
|
||||||
sectionName: https
|
|
||||||
rules:
|
|
||||||
- backendRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Service
|
|
||||||
name: litellm
|
|
||||||
port: 4000
|
|
||||||
weight: 1
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
@@ -0,0 +1,29 @@
|
|||||||
|
---
|
||||||
|
apiVersion: networking.k8s.io/v1
|
||||||
|
kind: Ingress
|
||||||
|
metadata:
|
||||||
|
annotations:
|
||||||
|
kubernetes.io/ingress.class: nginx
|
||||||
|
external-dns.alpha.kubernetes.io/hostname: litellm.k8s.syd1.au.unkin.net
|
||||||
|
external-dns.alpha.kubernetes.io/target: 198.18.200.0
|
||||||
|
cert-manager.io/cluster-issuer: vault-issuer
|
||||||
|
cert-manager.io/common-name: litellm.k8s.syd1.au.unkin.net
|
||||||
|
cert-manager.io/private-key-size: "4096"
|
||||||
|
name: litellm
|
||||||
|
namespace: litellm
|
||||||
|
spec:
|
||||||
|
rules:
|
||||||
|
- host: litellm.k8s.syd1.au.unkin.net
|
||||||
|
http:
|
||||||
|
paths:
|
||||||
|
- backend:
|
||||||
|
service:
|
||||||
|
name: litellm
|
||||||
|
port:
|
||||||
|
number: 4000
|
||||||
|
path: /
|
||||||
|
pathType: Prefix
|
||||||
|
tls:
|
||||||
|
- hosts:
|
||||||
|
- litellm.k8s.syd1.au.unkin.net
|
||||||
|
secretName: litellm-tls
|
||||||
@@ -7,8 +7,7 @@ resources:
|
|||||||
- cnpg_pooler.yaml
|
- cnpg_pooler.yaml
|
||||||
- deployment.yaml
|
- deployment.yaml
|
||||||
- hpa.yaml
|
- hpa.yaml
|
||||||
- gateway.yaml
|
- ingress.yaml
|
||||||
- httproute.yaml
|
|
||||||
- namespace.yaml
|
- namespace.yaml
|
||||||
- redis-deployment.yaml
|
- redis-deployment.yaml
|
||||||
- redis-pvc.yaml
|
- redis-pvc.yaml
|
||||||
@@ -22,8 +21,3 @@ configMapGenerator:
|
|||||||
- config.yaml=resources/config.yaml
|
- config.yaml=resources/config.yaml
|
||||||
options:
|
options:
|
||||||
disableNameSuffixHash: true
|
disableNameSuffixHash: true
|
||||||
- name: litellm-env
|
|
||||||
literals:
|
|
||||||
- STORE_MODEL_IN_DB=True
|
|
||||||
options:
|
|
||||||
disableNameSuffixHash: true
|
|
||||||
|
|||||||
@@ -1,91 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: postgresql.cnpg.io/v1
|
|
||||||
kind: Cluster
|
|
||||||
metadata:
|
|
||||||
name: paperclip-postgres
|
|
||||||
namespace: paperclip
|
|
||||||
spec:
|
|
||||||
affinity:
|
|
||||||
podAntiAffinityType: preferred
|
|
||||||
bootstrap:
|
|
||||||
initdb:
|
|
||||||
database: paperclip
|
|
||||||
encoding: UTF8
|
|
||||||
localeCType: C
|
|
||||||
localeCollate: C
|
|
||||||
owner: paperclip
|
|
||||||
secret:
|
|
||||||
name: postgres-credentials
|
|
||||||
enablePDB: true
|
|
||||||
enableSuperuserAccess: false
|
|
||||||
failoverDelay: 0
|
|
||||||
imageName: ghcr.io/cloudnative-pg/postgresql:17-minimal-trixie
|
|
||||||
instances: 3
|
|
||||||
logLevel: info
|
|
||||||
maxSyncReplicas: 0
|
|
||||||
minSyncReplicas: 0
|
|
||||||
monitoring:
|
|
||||||
customQueriesConfigMap:
|
|
||||||
- key: queries
|
|
||||||
name: cnpg-default-monitoring
|
|
||||||
disableDefaultQueries: false
|
|
||||||
enablePodMonitor: false
|
|
||||||
postgresql:
|
|
||||||
parameters:
|
|
||||||
archive_mode: "on"
|
|
||||||
archive_timeout: 5min
|
|
||||||
dynamic_shared_memory_type: posix
|
|
||||||
effective_cache_size: 256MB
|
|
||||||
full_page_writes: "on"
|
|
||||||
log_destination: csvlog
|
|
||||||
log_directory: /controller/log
|
|
||||||
log_filename: postgres
|
|
||||||
log_rotation_age: "0"
|
|
||||||
log_rotation_size: "0"
|
|
||||||
log_truncate_on_rotation: "false"
|
|
||||||
logging_collector: "on"
|
|
||||||
max_connections: "200"
|
|
||||||
max_parallel_workers: "16"
|
|
||||||
max_replication_slots: "16"
|
|
||||||
max_worker_processes: "16"
|
|
||||||
shared_buffers: 128MB
|
|
||||||
shared_memory_type: mmap
|
|
||||||
ssl_max_protocol_version: TLSv1.3
|
|
||||||
ssl_min_protocol_version: TLSv1.3
|
|
||||||
wal_keep_size: 256MB
|
|
||||||
wal_level: logical
|
|
||||||
wal_log_hints: "on"
|
|
||||||
wal_receiver_timeout: 5s
|
|
||||||
wal_sender_timeout: 5s
|
|
||||||
syncReplicaElectionConstraint:
|
|
||||||
enabled: false
|
|
||||||
primaryUpdateMethod: restart
|
|
||||||
primaryUpdateStrategy: unsupervised
|
|
||||||
probes:
|
|
||||||
liveness:
|
|
||||||
isolationCheck:
|
|
||||||
connectionTimeout: 1000
|
|
||||||
enabled: true
|
|
||||||
requestTimeout: 1000
|
|
||||||
replicationSlots:
|
|
||||||
highAvailability:
|
|
||||||
enabled: true
|
|
||||||
slotPrefix: _cnpg_
|
|
||||||
synchronizeReplicas:
|
|
||||||
enabled: true
|
|
||||||
updateInterval: 30
|
|
||||||
resources:
|
|
||||||
limits:
|
|
||||||
cpu: 500m
|
|
||||||
memory: 512Mi
|
|
||||||
requests:
|
|
||||||
cpu: 250m
|
|
||||||
memory: 256Mi
|
|
||||||
smartShutdownTimeout: 180
|
|
||||||
startDelay: 3600
|
|
||||||
stopDelay: 1800
|
|
||||||
storage:
|
|
||||||
resizeInUseVolumes: true
|
|
||||||
size: 10Gi
|
|
||||||
storageClass: cephrbd-fast-delete
|
|
||||||
switchoverDelay: 3600
|
|
||||||
@@ -1,33 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: postgresql.cnpg.io/v1
|
|
||||||
kind: Pooler
|
|
||||||
metadata:
|
|
||||||
name: paperclip-pooler-rw
|
|
||||||
namespace: paperclip
|
|
||||||
spec:
|
|
||||||
cluster:
|
|
||||||
name: paperclip-postgres
|
|
||||||
instances: 2
|
|
||||||
pgbouncer:
|
|
||||||
parameters:
|
|
||||||
default_pool_size: "100"
|
|
||||||
max_client_conn: "400"
|
|
||||||
paused: false
|
|
||||||
poolMode: session
|
|
||||||
template:
|
|
||||||
metadata:
|
|
||||||
labels:
|
|
||||||
app: pooler
|
|
||||||
spec:
|
|
||||||
affinity:
|
|
||||||
podAntiAffinity:
|
|
||||||
requiredDuringSchedulingIgnoredDuringExecution:
|
|
||||||
- labelSelector:
|
|
||||||
matchExpressions:
|
|
||||||
- key: app
|
|
||||||
operator: In
|
|
||||||
values:
|
|
||||||
- pooler
|
|
||||||
topologyKey: kubernetes.io/hostname
|
|
||||||
containers: []
|
|
||||||
type: rw
|
|
||||||
@@ -1,108 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: apps/v1
|
|
||||||
kind: Deployment
|
|
||||||
metadata:
|
|
||||||
name: paperclip
|
|
||||||
namespace: paperclip
|
|
||||||
spec:
|
|
||||||
selector:
|
|
||||||
matchLabels:
|
|
||||||
app: paperclip
|
|
||||||
template:
|
|
||||||
metadata:
|
|
||||||
labels:
|
|
||||||
app: paperclip
|
|
||||||
spec:
|
|
||||||
containers:
|
|
||||||
- name: paperclip
|
|
||||||
image: ghcr.io/paperclipai/paperclip:latest
|
|
||||||
imagePullPolicy: Always
|
|
||||||
ports:
|
|
||||||
- containerPort: 3100
|
|
||||||
name: http
|
|
||||||
protocol: TCP
|
|
||||||
env:
|
|
||||||
- name: PORT
|
|
||||||
value: "3100"
|
|
||||||
- name: PAPERCLIP_BIND
|
|
||||||
value: custom
|
|
||||||
- name: PAPERCLIP_BIND_HOST
|
|
||||||
value: 0.0.0.0
|
|
||||||
- name: PAPERCLIP_API_URL
|
|
||||||
value: https://paperclip.k8s.syd1.au.unkin.net
|
|
||||||
- name: BETTER_AUTH_BASE_URL
|
|
||||||
value: https://paperclip.k8s.syd1.au.unkin.net
|
|
||||||
- name: PAPERCLIP_ALLOWED_HOSTNAMES
|
|
||||||
value: paperclip.k8s.syd1.au.unkin.net,localhost
|
|
||||||
- name: PAPERCLIP_HOME
|
|
||||||
value: /paperclip
|
|
||||||
- name: PAPERCLIP_INSTANCE_ID
|
|
||||||
value: default
|
|
||||||
- name: PAPERCLIP_DEPLOYMENT_MODE
|
|
||||||
value: authenticated
|
|
||||||
- name: PAPERCLIP_DEPLOYMENT_EXPOSURE
|
|
||||||
value: private
|
|
||||||
- name: SERVE_UI
|
|
||||||
value: "true"
|
|
||||||
- name: HEARTBEAT_SCHEDULER_ENABLED
|
|
||||||
value: "true"
|
|
||||||
- name: PAPERCLIP_MIGRATION_AUTO_APPLY
|
|
||||||
value: "true"
|
|
||||||
- name: PAPERCLIP_STORAGE_PROVIDER
|
|
||||||
value: s3
|
|
||||||
- name: PAPERCLIP_STORAGE_S3_BUCKET
|
|
||||||
value: paperclip
|
|
||||||
- name: PAPERCLIP_STORAGE_S3_REGION
|
|
||||||
value: us-east-1
|
|
||||||
- name: PAPERCLIP_STORAGE_S3_ENDPOINT
|
|
||||||
value: https://radosgw.service.consul
|
|
||||||
- name: PAPERCLIP_STORAGE_S3_FORCE_PATH_STYLE
|
|
||||||
value: "true"
|
|
||||||
- name: NODE_EXTRA_CA_CERTS
|
|
||||||
value: /etc/ssl/paperclip/ca.crt
|
|
||||||
envFrom:
|
|
||||||
- secretRef:
|
|
||||||
name: paperclip-credentials
|
|
||||||
volumeMounts:
|
|
||||||
- name: vault-ca-cert
|
|
||||||
mountPath: /etc/ssl/paperclip
|
|
||||||
readOnly: true
|
|
||||||
livenessProbe:
|
|
||||||
httpGet:
|
|
||||||
path: /api/health
|
|
||||||
port: 3100
|
|
||||||
httpHeaders:
|
|
||||||
- name: Host
|
|
||||||
value: localhost
|
|
||||||
failureThreshold: 3
|
|
||||||
initialDelaySeconds: 30
|
|
||||||
periodSeconds: 30
|
|
||||||
successThreshold: 1
|
|
||||||
timeoutSeconds: 5
|
|
||||||
readinessProbe:
|
|
||||||
httpGet:
|
|
||||||
path: /api/health
|
|
||||||
port: 3100
|
|
||||||
httpHeaders:
|
|
||||||
- name: Host
|
|
||||||
value: localhost
|
|
||||||
failureThreshold: 3
|
|
||||||
initialDelaySeconds: 10
|
|
||||||
periodSeconds: 10
|
|
||||||
successThreshold: 1
|
|
||||||
timeoutSeconds: 5
|
|
||||||
resources:
|
|
||||||
limits:
|
|
||||||
cpu: "1"
|
|
||||||
memory: 2Gi
|
|
||||||
requests:
|
|
||||||
cpu: 250m
|
|
||||||
memory: 512Mi
|
|
||||||
volumes:
|
|
||||||
- name: vault-ca-cert
|
|
||||||
secret:
|
|
||||||
secretName: vault-ca-cert
|
|
||||||
items:
|
|
||||||
- key: ca.crt
|
|
||||||
path: ca.crt
|
|
||||||
restartPolicy: Always
|
|
||||||
@@ -1,37 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: Gateway
|
|
||||||
metadata:
|
|
||||||
labels:
|
|
||||||
traefik.io/instance: internal
|
|
||||||
annotations:
|
|
||||||
cert-manager.io/cluster-issuer: vault-issuer
|
|
||||||
cert-manager.io/common-name: paperclip.k8s.syd1.au.unkin.net
|
|
||||||
cert-manager.io/private-key-size: "4096"
|
|
||||||
external-dns.alpha.kubernetes.io/hostname: paperclip.k8s.syd1.au.unkin.net
|
|
||||||
external-dns.alpha.kubernetes.io/target: 198.18.200.4
|
|
||||||
name: paperclip
|
|
||||||
namespace: paperclip
|
|
||||||
spec:
|
|
||||||
gatewayClassName: traefik-internal
|
|
||||||
listeners:
|
|
||||||
- allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
hostname: paperclip.k8s.syd1.au.unkin.net
|
|
||||||
name: http
|
|
||||||
port: 80
|
|
||||||
protocol: HTTP
|
|
||||||
- allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
hostname: paperclip.k8s.syd1.au.unkin.net
|
|
||||||
name: https
|
|
||||||
port: 443
|
|
||||||
protocol: HTTPS
|
|
||||||
tls:
|
|
||||||
certificateRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Secret
|
|
||||||
name: paperclip-tls
|
|
||||||
mode: Terminate
|
|
||||||
@@ -1,49 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: paperclip-http-redirect
|
|
||||||
namespace: paperclip
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- paperclip.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: paperclip
|
|
||||||
sectionName: http
|
|
||||||
rules:
|
|
||||||
- filters:
|
|
||||||
- type: RequestRedirect
|
|
||||||
requestRedirect:
|
|
||||||
scheme: https
|
|
||||||
statusCode: 301
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: paperclip
|
|
||||||
namespace: paperclip
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- paperclip.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: paperclip
|
|
||||||
sectionName: https
|
|
||||||
rules:
|
|
||||||
- backendRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Service
|
|
||||||
name: paperclip
|
|
||||||
port: 3100
|
|
||||||
weight: 1
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
@@ -1,14 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: kustomize.config.k8s.io/v1beta1
|
|
||||||
kind: Kustomization
|
|
||||||
|
|
||||||
resources:
|
|
||||||
- cnpg_cluster.yaml
|
|
||||||
- cnpg_pooler.yaml
|
|
||||||
- deployment.yaml
|
|
||||||
- gateway.yaml
|
|
||||||
- httproute.yaml
|
|
||||||
- namespace.yaml
|
|
||||||
- services.yaml
|
|
||||||
- vaultauth.yaml
|
|
||||||
- vaultstaticsecret.yaml
|
|
||||||
@@ -1,5 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: v1
|
|
||||||
kind: Namespace
|
|
||||||
metadata:
|
|
||||||
name: paperclip
|
|
||||||
@@ -1,17 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: v1
|
|
||||||
kind: Service
|
|
||||||
metadata:
|
|
||||||
name: paperclip
|
|
||||||
namespace: paperclip
|
|
||||||
spec:
|
|
||||||
internalTrafficPolicy: Cluster
|
|
||||||
ports:
|
|
||||||
- name: http
|
|
||||||
port: 3100
|
|
||||||
protocol: TCP
|
|
||||||
targetPort: http
|
|
||||||
selector:
|
|
||||||
app: paperclip
|
|
||||||
sessionAffinity: None
|
|
||||||
type: ClusterIP
|
|
||||||
@@ -1,18 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: secrets.hashicorp.com/v1beta1
|
|
||||||
kind: VaultAuth
|
|
||||||
metadata:
|
|
||||||
name: default
|
|
||||||
namespace: paperclip
|
|
||||||
spec:
|
|
||||||
allowedNamespaces:
|
|
||||||
- paperclip
|
|
||||||
kubernetes:
|
|
||||||
audiences:
|
|
||||||
- vault
|
|
||||||
role: default
|
|
||||||
serviceAccount: default
|
|
||||||
tokenExpirationSeconds: 600
|
|
||||||
method: kubernetes
|
|
||||||
mount: k8s/au/syd1
|
|
||||||
vaultConnectionRef: vso-system/default
|
|
||||||
@@ -1,34 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: secrets.hashicorp.com/v1beta1
|
|
||||||
kind: VaultStaticSecret
|
|
||||||
metadata:
|
|
||||||
name: postgres-credentials
|
|
||||||
namespace: paperclip
|
|
||||||
spec:
|
|
||||||
destination:
|
|
||||||
create: true
|
|
||||||
name: postgres-credentials
|
|
||||||
overwrite: true
|
|
||||||
hmacSecretData: true
|
|
||||||
mount: kv
|
|
||||||
path: kubernetes/namespace/paperclip/default/postgres-credentials
|
|
||||||
refreshAfter: 5m
|
|
||||||
type: kv-v2
|
|
||||||
vaultAuthRef: default
|
|
||||||
---
|
|
||||||
apiVersion: secrets.hashicorp.com/v1beta1
|
|
||||||
kind: VaultStaticSecret
|
|
||||||
metadata:
|
|
||||||
name: paperclip-credentials
|
|
||||||
namespace: paperclip
|
|
||||||
spec:
|
|
||||||
destination:
|
|
||||||
create: true
|
|
||||||
name: paperclip-credentials
|
|
||||||
overwrite: true
|
|
||||||
hmacSecretData: true
|
|
||||||
mount: kv
|
|
||||||
path: kubernetes/namespace/paperclip/default/paperclip-credentials
|
|
||||||
refreshAfter: 5m
|
|
||||||
type: kv-v2
|
|
||||||
vaultAuthRef: default
|
|
||||||
@@ -1,6 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: kustomize.config.k8s.io/v1beta1
|
|
||||||
kind: Kustomization
|
|
||||||
|
|
||||||
resources:
|
|
||||||
- priorityclasses.yaml
|
|
||||||
@@ -1,36 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: scheduling.k8s.io/v1
|
|
||||||
kind: PriorityClass
|
|
||||||
metadata:
|
|
||||||
name: low
|
|
||||||
value: 100
|
|
||||||
preemptionPolicy: Never
|
|
||||||
globalDefault: false
|
|
||||||
description: "Low-importance workloads. Can be evicted under pressure but will not preempt other pods."
|
|
||||||
---
|
|
||||||
apiVersion: scheduling.k8s.io/v1
|
|
||||||
kind: PriorityClass
|
|
||||||
metadata:
|
|
||||||
name: power
|
|
||||||
value: 100
|
|
||||||
preemptionPolicy: Never
|
|
||||||
globalDefault: false
|
|
||||||
description: "Compute-heavy workloads with low scheduling importance. Evictable under pressure."
|
|
||||||
---
|
|
||||||
apiVersion: scheduling.k8s.io/v1
|
|
||||||
kind: PriorityClass
|
|
||||||
metadata:
|
|
||||||
name: medium
|
|
||||||
value: 10000
|
|
||||||
preemptionPolicy: PreemptLowerPriority
|
|
||||||
globalDefault: false
|
|
||||||
description: "Standard workloads. Will preempt low-priority pods if the cluster is under pressure."
|
|
||||||
---
|
|
||||||
apiVersion: scheduling.k8s.io/v1
|
|
||||||
kind: PriorityClass
|
|
||||||
metadata:
|
|
||||||
name: high
|
|
||||||
value: 100000
|
|
||||||
preemptionPolicy: PreemptLowerPriority
|
|
||||||
globalDefault: false
|
|
||||||
description: "High-importance services. Will preempt medium- and low-priority pods if necessary."
|
|
||||||
@@ -1,41 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: Gateway
|
|
||||||
metadata:
|
|
||||||
annotations:
|
|
||||||
cert-manager.io/cluster-issuer: vault-issuer
|
|
||||||
cert-manager.io/common-name: puppetboard.k8s.syd1.au.unkin.net
|
|
||||||
cert-manager.io/private-key-size: "4096"
|
|
||||||
external-dns.alpha.kubernetes.io/hostname: puppetboard.k8s.syd1.au.unkin.net
|
|
||||||
external-dns.alpha.kubernetes.io/target: 198.18.200.4
|
|
||||||
labels:
|
|
||||||
traefik.io/instance: internal
|
|
||||||
app.kubernetes.io/component: puppetboard
|
|
||||||
app.kubernetes.io/instance: puppetserver
|
|
||||||
app.kubernetes.io/name: puppetserver
|
|
||||||
app.kubernetes.io/version: 8.8.0
|
|
||||||
name: puppetboard
|
|
||||||
namespace: puppet
|
|
||||||
spec:
|
|
||||||
gatewayClassName: traefik-internal
|
|
||||||
listeners:
|
|
||||||
- allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
hostname: puppetboard.k8s.syd1.au.unkin.net
|
|
||||||
name: http
|
|
||||||
port: 80
|
|
||||||
protocol: HTTP
|
|
||||||
- allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
hostname: puppetboard.k8s.syd1.au.unkin.net
|
|
||||||
name: https
|
|
||||||
port: 443
|
|
||||||
protocol: HTTPS
|
|
||||||
tls:
|
|
||||||
certificateRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Secret
|
|
||||||
name: puppetboard-tls
|
|
||||||
mode: Terminate
|
|
||||||
@@ -1,34 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: Gateway
|
|
||||||
metadata:
|
|
||||||
annotations:
|
|
||||||
cert-manager.io/cluster-issuer: vault-issuer
|
|
||||||
cert-manager.io/common-name: puppetdb.k8s.syd1.au.unkin.net
|
|
||||||
cert-manager.io/private-key-size: "4096"
|
|
||||||
external-dns.alpha.kubernetes.io/hostname: puppetdb.k8s.syd1.au.unkin.net
|
|
||||||
external-dns.alpha.kubernetes.io/target: 198.18.200.4
|
|
||||||
labels:
|
|
||||||
traefik.io/instance: internal
|
|
||||||
app.kubernetes.io/component: puppetdb
|
|
||||||
app.kubernetes.io/instance: puppetserver
|
|
||||||
app.kubernetes.io/name: puppetserver
|
|
||||||
app.kubernetes.io/version: 8.8.0
|
|
||||||
name: puppetdb
|
|
||||||
namespace: puppet
|
|
||||||
spec:
|
|
||||||
gatewayClassName: traefik-internal
|
|
||||||
listeners:
|
|
||||||
- allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
hostname: puppetdb.k8s.syd1.au.unkin.net
|
|
||||||
name: https
|
|
||||||
port: 443
|
|
||||||
protocol: HTTPS
|
|
||||||
tls:
|
|
||||||
certificateRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Secret
|
|
||||||
name: puppetdb-tls
|
|
||||||
mode: Terminate
|
|
||||||
@@ -1,59 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/component: puppetboard
|
|
||||||
app.kubernetes.io/instance: puppetserver
|
|
||||||
app.kubernetes.io/name: puppetserver
|
|
||||||
app.kubernetes.io/version: 8.8.0
|
|
||||||
name: puppetboard-http-redirect
|
|
||||||
namespace: puppet
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- puppetboard.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: puppetboard
|
|
||||||
sectionName: http
|
|
||||||
rules:
|
|
||||||
- filters:
|
|
||||||
- type: RequestRedirect
|
|
||||||
requestRedirect:
|
|
||||||
scheme: https
|
|
||||||
statusCode: 301
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/component: puppetboard
|
|
||||||
app.kubernetes.io/instance: puppetserver
|
|
||||||
app.kubernetes.io/name: puppetserver
|
|
||||||
app.kubernetes.io/version: 8.8.0
|
|
||||||
name: puppetboard
|
|
||||||
namespace: puppet
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- puppetboard.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: puppetboard
|
|
||||||
sectionName: https
|
|
||||||
rules:
|
|
||||||
- backendRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Service
|
|
||||||
name: puppetboard
|
|
||||||
port: 80
|
|
||||||
weight: 1
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
@@ -1,30 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/component: puppetdb
|
|
||||||
app.kubernetes.io/instance: puppetserver
|
|
||||||
app.kubernetes.io/name: puppetserver
|
|
||||||
app.kubernetes.io/version: 8.8.0
|
|
||||||
name: puppetdb
|
|
||||||
namespace: puppet
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- puppetdb.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: puppetdb
|
|
||||||
sectionName: https
|
|
||||||
rules:
|
|
||||||
- backendRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Service
|
|
||||||
name: puppetdb
|
|
||||||
port: 8080
|
|
||||||
weight: 1
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
@@ -0,0 +1,34 @@
|
|||||||
|
---
|
||||||
|
apiVersion: networking.k8s.io/v1
|
||||||
|
kind: Ingress
|
||||||
|
metadata:
|
||||||
|
annotations:
|
||||||
|
kubernetes.io/ingress.class: nginx
|
||||||
|
external-dns.alpha.kubernetes.io/hostname: puppetboard.k8s.syd1.au.unkin.net
|
||||||
|
external-dns.alpha.kubernetes.io/target: 198.18.200.0
|
||||||
|
cert-manager.io/cluster-issuer: vault-issuer
|
||||||
|
cert-manager.io/common-name: puppetboard.k8s.syd1.au.unkin.net
|
||||||
|
cert-manager.io/private-key-size: "4096"
|
||||||
|
labels:
|
||||||
|
app.kubernetes.io/component: puppetboard
|
||||||
|
app.kubernetes.io/instance: puppetserver
|
||||||
|
app.kubernetes.io/name: puppetserver
|
||||||
|
app.kubernetes.io/version: 8.8.0
|
||||||
|
name: puppetboard
|
||||||
|
namespace: puppet
|
||||||
|
spec:
|
||||||
|
rules:
|
||||||
|
- host: puppetboard.k8s.syd1.au.unkin.net
|
||||||
|
http:
|
||||||
|
paths:
|
||||||
|
- backend:
|
||||||
|
service:
|
||||||
|
name: puppetboard
|
||||||
|
port:
|
||||||
|
number: 80
|
||||||
|
path: /
|
||||||
|
pathType: Prefix
|
||||||
|
tls:
|
||||||
|
- hosts:
|
||||||
|
- puppetboard.k8s.syd1.au.unkin.net
|
||||||
|
secretName: puppetboard-tls
|
||||||
@@ -0,0 +1,34 @@
|
|||||||
|
---
|
||||||
|
apiVersion: networking.k8s.io/v1
|
||||||
|
kind: Ingress
|
||||||
|
metadata:
|
||||||
|
annotations:
|
||||||
|
kubernetes.io/ingress.class: nginx
|
||||||
|
external-dns.alpha.kubernetes.io/hostname: puppetdb.k8s.syd1.au.unkin.net
|
||||||
|
external-dns.alpha.kubernetes.io/target: 198.18.200.0
|
||||||
|
cert-manager.io/cluster-issuer: vault-issuer
|
||||||
|
cert-manager.io/common-name: puppetdb.k8s.syd1.au.unkin.net
|
||||||
|
cert-manager.io/private-key-size: "4096"
|
||||||
|
labels:
|
||||||
|
app.kubernetes.io/component: puppetdb
|
||||||
|
app.kubernetes.io/instance: puppetserver
|
||||||
|
app.kubernetes.io/name: puppetserver
|
||||||
|
app.kubernetes.io/version: 8.8.0
|
||||||
|
name: puppetdb
|
||||||
|
namespace: puppet
|
||||||
|
spec:
|
||||||
|
rules:
|
||||||
|
- host: puppetdb.k8s.syd1.au.unkin.net
|
||||||
|
http:
|
||||||
|
paths:
|
||||||
|
- backend:
|
||||||
|
service:
|
||||||
|
name: puppetdb
|
||||||
|
port:
|
||||||
|
number: 8080
|
||||||
|
path: /
|
||||||
|
pathType: Prefix
|
||||||
|
tls:
|
||||||
|
- hosts:
|
||||||
|
- puppetdb.k8s.syd1.au.unkin.net
|
||||||
|
secretName: puppetdb-tls
|
||||||
@@ -25,10 +25,8 @@ resources:
|
|||||||
- horizontalpodautoscaler_puppetserver-masters-autoscaler.yaml
|
- horizontalpodautoscaler_puppetserver-masters-autoscaler.yaml
|
||||||
- horizontalpodautoscaler_puppetserver-puppetboard-autoscaler.yaml
|
- horizontalpodautoscaler_puppetserver-puppetboard-autoscaler.yaml
|
||||||
- horizontalpodautoscaler_puppetserver-puppetdb-autoscaler.yaml
|
- horizontalpodautoscaler_puppetserver-puppetdb-autoscaler.yaml
|
||||||
- gateway_puppetboard.yaml
|
- ingress_puppetboard.yaml
|
||||||
- httproute_puppetboard.yaml
|
- ingress_puppetdb.yaml
|
||||||
- gateway_puppetdb.yaml
|
|
||||||
- httproute_puppetdb.yaml
|
|
||||||
- service_puppetserver-agents-to-puppet.yaml
|
- service_puppetserver-agents-to-puppet.yaml
|
||||||
- service_puppet-headless.yaml
|
- service_puppet-headless.yaml
|
||||||
- service_puppet.yaml
|
- service_puppet.yaml
|
||||||
|
|||||||
@@ -9,6 +9,7 @@ metadata:
|
|||||||
name: puppetdb
|
name: puppetdb
|
||||||
namespace: puppet
|
namespace: puppet
|
||||||
spec:
|
spec:
|
||||||
|
clusterIP: null
|
||||||
ports:
|
ports:
|
||||||
- name: pdb-http
|
- name: pdb-http
|
||||||
port: 8080
|
port: 8080
|
||||||
|
|||||||
@@ -1,9 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: GatewayClass
|
|
||||||
metadata:
|
|
||||||
labels:
|
|
||||||
traefik.io/instance: external
|
|
||||||
name: traefik-external
|
|
||||||
spec:
|
|
||||||
controllerName: traefik.io/gateway-controller
|
|
||||||
@@ -1,9 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: GatewayClass
|
|
||||||
metadata:
|
|
||||||
labels:
|
|
||||||
traefik.io/instance: internal
|
|
||||||
name: traefik-internal
|
|
||||||
spec:
|
|
||||||
controllerName: traefik.io/gateway-controller
|
|
||||||
@@ -1,8 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: kustomize.config.k8s.io/v1beta1
|
|
||||||
kind: Kustomization
|
|
||||||
|
|
||||||
resources:
|
|
||||||
- namespace.yaml
|
|
||||||
- gatewayclass-internal.yaml
|
|
||||||
- gatewayclass-external.yaml
|
|
||||||
@@ -1,5 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: v1
|
|
||||||
kind: Namespace
|
|
||||||
metadata:
|
|
||||||
name: traefik-system
|
|
||||||
@@ -1,52 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: Gateway
|
|
||||||
metadata:
|
|
||||||
name: vault
|
|
||||||
namespace: vault
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: vault
|
|
||||||
app.kubernetes.io/instance: vault
|
|
||||||
traefik.io/instance: internal
|
|
||||||
annotations:
|
|
||||||
cert-manager.io/cluster-issuer: vault-issuer
|
|
||||||
cert-manager.io/common-name: vault.k8s.syd1.au.unkin.net
|
|
||||||
cert-manager.io/private-key-size: "4096"
|
|
||||||
cert-manager.io/alt-names: vault.service.consul,vault.query.consul
|
|
||||||
external-dns.alpha.kubernetes.io/hostname: vault.k8s.syd1.au.unkin.net
|
|
||||||
external-dns.alpha.kubernetes.io/target: 198.18.200.4
|
|
||||||
spec:
|
|
||||||
gatewayClassName: traefik-internal
|
|
||||||
listeners:
|
|
||||||
- name: http
|
|
||||||
port: 80
|
|
||||||
protocol: HTTP
|
|
||||||
hostname: vault.k8s.syd1.au.unkin.net
|
|
||||||
allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
- name: https
|
|
||||||
port: 443
|
|
||||||
protocol: HTTPS
|
|
||||||
hostname: vault.k8s.syd1.au.unkin.net
|
|
||||||
allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
tls:
|
|
||||||
mode: Terminate
|
|
||||||
certificateRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Secret
|
|
||||||
name: vault-tls
|
|
||||||
- name: vault-direct
|
|
||||||
port: 8200
|
|
||||||
protocol: HTTPS
|
|
||||||
allowedRoutes:
|
|
||||||
namespaces:
|
|
||||||
from: Same
|
|
||||||
tls:
|
|
||||||
mode: Terminate
|
|
||||||
certificateRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Secret
|
|
||||||
name: vault-tls
|
|
||||||
@@ -1,84 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: vault-http-redirect
|
|
||||||
namespace: vault
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: vault
|
|
||||||
app.kubernetes.io/instance: vault
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- vault.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: vault
|
|
||||||
sectionName: http
|
|
||||||
rules:
|
|
||||||
- filters:
|
|
||||||
- type: RequestRedirect
|
|
||||||
requestRedirect:
|
|
||||||
scheme: https
|
|
||||||
statusCode: 301
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: vault
|
|
||||||
namespace: vault
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: vault
|
|
||||||
app.kubernetes.io/instance: vault
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- vault.k8s.syd1.au.unkin.net
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: vault
|
|
||||||
sectionName: https
|
|
||||||
rules:
|
|
||||||
- backendRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Service
|
|
||||||
name: vault
|
|
||||||
port: 8200
|
|
||||||
weight: 1
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
---
|
|
||||||
apiVersion: gateway.networking.k8s.io/v1
|
|
||||||
kind: HTTPRoute
|
|
||||||
metadata:
|
|
||||||
name: vault-consul
|
|
||||||
namespace: vault
|
|
||||||
labels:
|
|
||||||
app.kubernetes.io/name: vault
|
|
||||||
app.kubernetes.io/instance: vault
|
|
||||||
spec:
|
|
||||||
hostnames:
|
|
||||||
- vault.service.consul
|
|
||||||
- vault.query.consul
|
|
||||||
parentRefs:
|
|
||||||
- group: gateway.networking.k8s.io
|
|
||||||
kind: Gateway
|
|
||||||
name: vault
|
|
||||||
sectionName: vault-direct
|
|
||||||
rules:
|
|
||||||
- backendRefs:
|
|
||||||
- group: ""
|
|
||||||
kind: Service
|
|
||||||
name: vault
|
|
||||||
port: 8200
|
|
||||||
weight: 1
|
|
||||||
matches:
|
|
||||||
- path:
|
|
||||||
type: PathPrefix
|
|
||||||
value: /
|
|
||||||
@@ -1,9 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: kustomize.config.k8s.io/v1beta1
|
|
||||||
kind: Kustomization
|
|
||||||
|
|
||||||
resources:
|
|
||||||
- namespace.yaml
|
|
||||||
- gateway.yaml
|
|
||||||
- httproute.yaml
|
|
||||||
- role_k8s-service-registration.yaml
|
|
||||||
@@ -1,5 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: v1
|
|
||||||
kind: Namespace
|
|
||||||
metadata:
|
|
||||||
name: vault
|
|
||||||
@@ -1,24 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: rbac.authorization.k8s.io/v1
|
|
||||||
kind: Role
|
|
||||||
metadata:
|
|
||||||
name: vault-k8s-service-registration
|
|
||||||
namespace: vault
|
|
||||||
rules:
|
|
||||||
- apiGroups: [""]
|
|
||||||
resources: ["pods"]
|
|
||||||
verbs: ["get", "update", "patch"]
|
|
||||||
---
|
|
||||||
apiVersion: rbac.authorization.k8s.io/v1
|
|
||||||
kind: RoleBinding
|
|
||||||
metadata:
|
|
||||||
name: vault-k8s-service-registration
|
|
||||||
namespace: vault
|
|
||||||
roleRef:
|
|
||||||
apiGroup: rbac.authorization.k8s.io
|
|
||||||
kind: Role
|
|
||||||
name: vault-k8s-service-registration
|
|
||||||
subjects:
|
|
||||||
- kind: ServiceAccount
|
|
||||||
name: vault
|
|
||||||
namespace: vault
|
|
||||||
@@ -6,6 +6,5 @@ resources:
|
|||||||
- namespace.yaml
|
- namespace.yaml
|
||||||
- cnpg_cluster.yaml
|
- cnpg_cluster.yaml
|
||||||
- cnpg_pooler.yaml
|
- cnpg_pooler.yaml
|
||||||
- serviceaccount_terraform_vault.yaml
|
|
||||||
- vaultauth.yaml
|
- vaultauth.yaml
|
||||||
- vaultstaticsecret.yaml
|
- vaultstaticsecret.yaml
|
||||||
|
|||||||
@@ -1,6 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: v1
|
|
||||||
kind: ServiceAccount
|
|
||||||
metadata:
|
|
||||||
name: terraform-vault
|
|
||||||
namespace: woodpecker
|
|
||||||
@@ -8,7 +8,7 @@ resources:
|
|||||||
helmCharts:
|
helmCharts:
|
||||||
- name: cert-manager
|
- name: cert-manager
|
||||||
repo: https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
repo: https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
||||||
version: "v1.20.2"
|
version: "v1.19.2"
|
||||||
releaseName: cert-manager
|
releaseName: cert-manager
|
||||||
namespace: cert-manager
|
namespace: cert-manager
|
||||||
valuesFile: values.yaml
|
valuesFile: values.yaml
|
||||||
|
|||||||
@@ -1,11 +1,6 @@
|
|||||||
crds:
|
crds:
|
||||||
enabled: true
|
enabled: true
|
||||||
|
|
||||||
config:
|
|
||||||
apiVersion: controller.config.cert-manager.io/v1alpha1
|
|
||||||
kind: ControllerConfiguration
|
|
||||||
enableGatewayAPI: true
|
|
||||||
|
|
||||||
replicaCount: 2
|
replicaCount: 2
|
||||||
|
|
||||||
resources:
|
resources:
|
||||||
|
|||||||
@@ -1,16 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: kustomize.config.k8s.io/v1beta1
|
|
||||||
kind: Kustomization
|
|
||||||
|
|
||||||
resources:
|
|
||||||
- ../../../base/consul
|
|
||||||
|
|
||||||
helmCharts:
|
|
||||||
- name: consul
|
|
||||||
repo: https://helm.releases.hashicorp.com
|
|
||||||
version: "1.9.7"
|
|
||||||
releaseName: consul
|
|
||||||
namespace: consul
|
|
||||||
valuesFile: values.yaml
|
|
||||||
apiVersions:
|
|
||||||
- policy/v1/PodDisruptionBudget
|
|
||||||
@@ -1,58 +0,0 @@
|
|||||||
global:
|
|
||||||
name: consul
|
|
||||||
datacenter: au-syd1
|
|
||||||
domain: consul
|
|
||||||
|
|
||||||
server:
|
|
||||||
image: hashicorp/consul:1.22.7
|
|
||||||
replicas: 5
|
|
||||||
bootstrapExpect: 5
|
|
||||||
storage: 10Gi
|
|
||||||
storageClass: cephrbd-fast-delete
|
|
||||||
|
|
||||||
connect: true
|
|
||||||
|
|
||||||
disruptionBudget:
|
|
||||||
maxUnavailable: 1
|
|
||||||
|
|
||||||
extraConfig: |
|
|
||||||
{
|
|
||||||
"disable_remote_exec": true,
|
|
||||||
"disable_update_check": true,
|
|
||||||
"performance": {
|
|
||||||
"raft_multiplier": 10
|
|
||||||
},
|
|
||||||
"ports": {
|
|
||||||
"dns": 8600,
|
|
||||||
"grpc": 8502,
|
|
||||||
"http": 8500,
|
|
||||||
"https": -1
|
|
||||||
},
|
|
||||||
"primary_datacenter": "au-syd1"
|
|
||||||
}
|
|
||||||
|
|
||||||
resources:
|
|
||||||
requests:
|
|
||||||
memory: 256Mi
|
|
||||||
cpu: 100m
|
|
||||||
limits:
|
|
||||||
memory: 2Gi
|
|
||||||
cpu: "1"
|
|
||||||
|
|
||||||
client:
|
|
||||||
enabled: false
|
|
||||||
|
|
||||||
ui:
|
|
||||||
enabled: true
|
|
||||||
service:
|
|
||||||
type: ClusterIP
|
|
||||||
|
|
||||||
connectInject:
|
|
||||||
enabled: false
|
|
||||||
|
|
||||||
dns:
|
|
||||||
enabled: true
|
|
||||||
type: LoadBalancer
|
|
||||||
annotations: |
|
|
||||||
purelb.io/service-group: "common"
|
|
||||||
purelb.io/addresses: 198.18.200.5
|
|
||||||
@@ -7,7 +7,7 @@ resources:
|
|||||||
|
|
||||||
helmCharts:
|
helmCharts:
|
||||||
- name: ceph-csi-cephfs
|
- name: ceph-csi-cephfs
|
||||||
repo: https://ceph.github.io/csi-charts
|
repo: https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
||||||
version: "3.15.0"
|
version: "3.15.0"
|
||||||
releaseName: ceph-csi-cephfs
|
releaseName: ceph-csi-cephfs
|
||||||
namespace: csi-cephfs
|
namespace: csi-cephfs
|
||||||
|
|||||||
@@ -7,7 +7,7 @@ resources:
|
|||||||
|
|
||||||
helmCharts:
|
helmCharts:
|
||||||
- name: ceph-csi-rbd
|
- name: ceph-csi-rbd
|
||||||
repo: https://ceph.github.io/csi-charts
|
repo: https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
||||||
version: "3.15.1"
|
version: "3.15.1"
|
||||||
releaseName: ceph-csi-rbd
|
releaseName: ceph-csi-rbd
|
||||||
namespace: csi-cephrbd
|
namespace: csi-cephrbd
|
||||||
|
|||||||
@@ -8,7 +8,7 @@ resources:
|
|||||||
helmCharts:
|
helmCharts:
|
||||||
- name: external-dns
|
- name: external-dns
|
||||||
repo: https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
repo: https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
||||||
version: "1.21.1"
|
version: "1.19.0"
|
||||||
releaseName: externaldns
|
releaseName: externaldns
|
||||||
namespace: externaldns
|
namespace: externaldns
|
||||||
valuesFile: values.yaml
|
valuesFile: values.yaml
|
||||||
|
|||||||
@@ -24,8 +24,6 @@ policy: "sync"
|
|||||||
sources:
|
sources:
|
||||||
- service
|
- service
|
||||||
- ingress
|
- ingress
|
||||||
- gateway-httproute
|
|
||||||
- gateway-grpcroute
|
|
||||||
|
|
||||||
# Environment variables for TSIG secret and algorithm from Vault
|
# Environment variables for TSIG secret and algorithm from Vault
|
||||||
env:
|
env:
|
||||||
@@ -51,5 +49,3 @@ extraArgs:
|
|||||||
- --rfc2136-tsig-axfr
|
- --rfc2136-tsig-axfr
|
||||||
- --rfc2136-tsig-secret=$(EXTERNAL_DNS_RFC2136_TSIG_SECRET)
|
- --rfc2136-tsig-secret=$(EXTERNAL_DNS_RFC2136_TSIG_SECRET)
|
||||||
- --ingress-class=nginx
|
- --ingress-class=nginx
|
||||||
|
|
||||||
logLevel: debug
|
|
||||||
|
|||||||
@@ -1,6 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: kustomize.config.k8s.io/v1beta1
|
|
||||||
kind: Kustomization
|
|
||||||
|
|
||||||
resources:
|
|
||||||
- ../../../base/kanidm
|
|
||||||
@@ -1,6 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: kustomize.config.k8s.io/v1beta1
|
|
||||||
kind: Kustomization
|
|
||||||
|
|
||||||
resources:
|
|
||||||
- ../../../base/paperclip
|
|
||||||
@@ -1,6 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: kustomize.config.k8s.io/v1beta1
|
|
||||||
kind: Kustomization
|
|
||||||
|
|
||||||
resources:
|
|
||||||
- ../../../base/priority-classes
|
|
||||||
@@ -1,24 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: kustomize.config.k8s.io/v1beta1
|
|
||||||
kind: Kustomization
|
|
||||||
|
|
||||||
resources:
|
|
||||||
- ../../../base/traefik-system
|
|
||||||
|
|
||||||
helmCharts:
|
|
||||||
- name: traefik
|
|
||||||
repo: https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
|
||||||
version: "40.0.0"
|
|
||||||
releaseName: traefik-internal
|
|
||||||
namespace: traefik-system
|
|
||||||
valuesFile: values-internal.yaml
|
|
||||||
apiVersions:
|
|
||||||
- policy/v1/PodDisruptionBudget
|
|
||||||
- name: traefik
|
|
||||||
repo: https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
|
||||||
version: "40.0.0"
|
|
||||||
releaseName: traefik-external
|
|
||||||
namespace: traefik-system
|
|
||||||
valuesFile: values-external.yaml
|
|
||||||
apiVersions:
|
|
||||||
- policy/v1/PodDisruptionBudget
|
|
||||||
@@ -1,98 +0,0 @@
|
|||||||
image:
|
|
||||||
tag: v3.7.0
|
|
||||||
|
|
||||||
|
|
||||||
podDisruptionBudget:
|
|
||||||
enabled: true
|
|
||||||
maxUnavailable: 1
|
|
||||||
|
|
||||||
gateway:
|
|
||||||
enabled: false
|
|
||||||
|
|
||||||
gatewayClass:
|
|
||||||
enabled: false
|
|
||||||
|
|
||||||
updateStrategy:
|
|
||||||
type: RollingUpdate
|
|
||||||
rollingUpdate:
|
|
||||||
maxUnavailable: 1
|
|
||||||
|
|
||||||
providers:
|
|
||||||
kubernetesCRD:
|
|
||||||
enabled: false
|
|
||||||
kubernetesIngress:
|
|
||||||
enabled: false
|
|
||||||
kubernetesGateway:
|
|
||||||
enabled: true
|
|
||||||
experimentalChannel: false
|
|
||||||
namespaces: []
|
|
||||||
nativeLBByDefault: false
|
|
||||||
labelSelector: "traefik.io/instance=external"
|
|
||||||
|
|
||||||
logs:
|
|
||||||
access:
|
|
||||||
enabled: true
|
|
||||||
|
|
||||||
global:
|
|
||||||
checkNewVersion: true
|
|
||||||
sendAnonymousUsage: false
|
|
||||||
notAppendXForwardedFor: false
|
|
||||||
|
|
||||||
service:
|
|
||||||
enabled: true
|
|
||||||
single: true
|
|
||||||
annotations:
|
|
||||||
purelb.io/service-group: "dmz"
|
|
||||||
purelb.io/addresses: 198.18.199.0
|
|
||||||
annotationsTCP: {}
|
|
||||||
annotationsUDP: {}
|
|
||||||
labels: {}
|
|
||||||
spec:
|
|
||||||
type: LoadBalancer
|
|
||||||
loadBalancerIP: "198.18.199.0"
|
|
||||||
additionalServices: {}
|
|
||||||
|
|
||||||
autoscaling:
|
|
||||||
enabled: true
|
|
||||||
minReplicas: 2
|
|
||||||
maxReplicas: 5
|
|
||||||
metrics: []
|
|
||||||
behavior: {}
|
|
||||||
scaleTargetRef:
|
|
||||||
apiVersion: apps/v1
|
|
||||||
kind: Deployment
|
|
||||||
name: "{{ template \"traefik.fullname\" . }}"
|
|
||||||
|
|
||||||
persistence:
|
|
||||||
enabled: false
|
|
||||||
|
|
||||||
affinity:
|
|
||||||
podAntiAffinity:
|
|
||||||
requiredDuringSchedulingIgnoredDuringExecution:
|
|
||||||
- labelSelector:
|
|
||||||
matchLabels:
|
|
||||||
app.kubernetes.io/name: '{{ template "traefik.name" . }}'
|
|
||||||
app.kubernetes.io/instance: '{{ .Release.Name }}-{{ include "traefik.namespace" . }}'
|
|
||||||
topologyKey: kubernetes.io/hostname
|
|
||||||
|
|
||||||
podSecurityContext:
|
|
||||||
runAsGroup: 65532
|
|
||||||
runAsNonRoot: true
|
|
||||||
runAsUser: 65532
|
|
||||||
seccompProfile:
|
|
||||||
type: RuntimeDefault
|
|
||||||
|
|
||||||
securityContext:
|
|
||||||
allowPrivilegeEscalation: false
|
|
||||||
capabilities:
|
|
||||||
drop: [ALL]
|
|
||||||
add: [NET_BIND_SERVICE]
|
|
||||||
readOnlyRootFilesystem: true
|
|
||||||
|
|
||||||
ports:
|
|
||||||
web:
|
|
||||||
port: 80
|
|
||||||
websecure:
|
|
||||||
port: 443
|
|
||||||
|
|
||||||
enabled: true
|
|
||||||
@@ -1,100 +0,0 @@
|
|||||||
image:
|
|
||||||
tag: v3.7.0
|
|
||||||
|
|
||||||
|
|
||||||
podDisruptionBudget:
|
|
||||||
enabled: true
|
|
||||||
maxUnavailable: 1
|
|
||||||
|
|
||||||
gateway:
|
|
||||||
enabled: false
|
|
||||||
|
|
||||||
gatewayClass:
|
|
||||||
enabled: false
|
|
||||||
|
|
||||||
updateStrategy:
|
|
||||||
type: RollingUpdate
|
|
||||||
rollingUpdate:
|
|
||||||
maxUnavailable: 1
|
|
||||||
|
|
||||||
providers:
|
|
||||||
kubernetesCRD:
|
|
||||||
enabled: false
|
|
||||||
kubernetesIngress:
|
|
||||||
enabled: false
|
|
||||||
kubernetesGateway:
|
|
||||||
enabled: true
|
|
||||||
experimentalChannel: false
|
|
||||||
namespaces: []
|
|
||||||
nativeLBByDefault: false
|
|
||||||
labelSelector: "traefik.io/instance=internal"
|
|
||||||
|
|
||||||
logs:
|
|
||||||
access:
|
|
||||||
enabled: true
|
|
||||||
|
|
||||||
global:
|
|
||||||
checkNewVersion: true
|
|
||||||
sendAnonymousUsage: false
|
|
||||||
notAppendXForwardedFor: false
|
|
||||||
|
|
||||||
service:
|
|
||||||
enabled: true
|
|
||||||
single: true
|
|
||||||
annotations:
|
|
||||||
purelb.io/service-group: "common"
|
|
||||||
purelb.io/addresses: 198.18.200.4
|
|
||||||
annotationsTCP: {}
|
|
||||||
annotationsUDP: {}
|
|
||||||
labels: {}
|
|
||||||
spec:
|
|
||||||
type: LoadBalancer
|
|
||||||
loadBalancerIP: "198.18.200.4"
|
|
||||||
additionalServices: {}
|
|
||||||
|
|
||||||
autoscaling:
|
|
||||||
enabled: true
|
|
||||||
minReplicas: 2
|
|
||||||
maxReplicas: 5
|
|
||||||
metrics: []
|
|
||||||
behavior: {}
|
|
||||||
scaleTargetRef:
|
|
||||||
apiVersion: apps/v1
|
|
||||||
kind: Deployment
|
|
||||||
name: "{{ template \"traefik.fullname\" . }}"
|
|
||||||
|
|
||||||
persistence:
|
|
||||||
enabled: false
|
|
||||||
|
|
||||||
affinity:
|
|
||||||
podAntiAffinity:
|
|
||||||
requiredDuringSchedulingIgnoredDuringExecution:
|
|
||||||
- labelSelector:
|
|
||||||
matchLabels:
|
|
||||||
app.kubernetes.io/name: '{{ template "traefik.name" . }}'
|
|
||||||
app.kubernetes.io/instance: '{{ .Release.Name }}-{{ include "traefik.namespace" . }}'
|
|
||||||
topologyKey: kubernetes.io/hostname
|
|
||||||
|
|
||||||
podSecurityContext:
|
|
||||||
runAsGroup: 65532
|
|
||||||
runAsNonRoot: true
|
|
||||||
runAsUser: 65532
|
|
||||||
seccompProfile:
|
|
||||||
type: RuntimeDefault
|
|
||||||
|
|
||||||
securityContext:
|
|
||||||
allowPrivilegeEscalation: false
|
|
||||||
capabilities:
|
|
||||||
drop: [ALL]
|
|
||||||
add: [NET_BIND_SERVICE]
|
|
||||||
readOnlyRootFilesystem: true
|
|
||||||
|
|
||||||
ports:
|
|
||||||
web:
|
|
||||||
port: 80
|
|
||||||
websecure:
|
|
||||||
port: 443
|
|
||||||
vault-direct:
|
|
||||||
port: 8200
|
|
||||||
|
|
||||||
enabled: true
|
|
||||||
@@ -1,14 +0,0 @@
|
|||||||
---
|
|
||||||
apiVersion: kustomize.config.k8s.io/v1beta1
|
|
||||||
kind: Kustomization
|
|
||||||
|
|
||||||
resources:
|
|
||||||
- ../../../base/vault
|
|
||||||
|
|
||||||
helmCharts:
|
|
||||||
- name: vault
|
|
||||||
repo: https://helm.releases.hashicorp.com
|
|
||||||
version: "0.32.0"
|
|
||||||
releaseName: vault
|
|
||||||
namespace: vault
|
|
||||||
valuesFile: values.yaml
|
|
||||||
@@ -1,79 +0,0 @@
|
|||||||
server:
|
|
||||||
image:
|
|
||||||
repository: hashicorp/vault
|
|
||||||
tag: "2.0.1"
|
|
||||||
|
|
||||||
ha:
|
|
||||||
enabled: true
|
|
||||||
replicas: 5
|
|
||||||
|
|
||||||
raft:
|
|
||||||
enabled: true
|
|
||||||
setNodeId: true
|
|
||||||
config: |
|
|
||||||
ui = true
|
|
||||||
disable_mlock = true
|
|
||||||
|
|
||||||
listener "tcp" {
|
|
||||||
address = "[::]:8200"
|
|
||||||
cluster_address = "[::]:8201"
|
|
||||||
tls_disable = "true"
|
|
||||||
}
|
|
||||||
|
|
||||||
storage "raft" {
|
|
||||||
path = "/vault/data"
|
|
||||||
|
|
||||||
retry_join {
|
|
||||||
leader_api_addr = "http://vault-0.vault-internal.vault.svc.cluster.local:8200"
|
|
||||||
}
|
|
||||||
retry_join {
|
|
||||||
leader_api_addr = "http://vault-1.vault-internal.vault.svc.cluster.local:8200"
|
|
||||||
}
|
|
||||||
retry_join {
|
|
||||||
leader_api_addr = "http://vault-2.vault-internal.vault.svc.cluster.local:8200"
|
|
||||||
}
|
|
||||||
retry_join {
|
|
||||||
leader_api_addr = "http://vault-3.vault-internal.vault.svc.cluster.local:8200"
|
|
||||||
}
|
|
||||||
retry_join {
|
|
||||||
leader_api_addr = "http://vault-4.vault-internal.vault.svc.cluster.local:8200"
|
|
||||||
}
|
|
||||||
}
|
|
||||||
|
|
||||||
service_registration "kubernetes" {}
|
|
||||||
|
|
||||||
dataStorage:
|
|
||||||
enabled: true
|
|
||||||
size: 10Gi
|
|
||||||
storageClass: cephrbd-fast-delete
|
|
||||||
accessMode: ReadWriteOnce
|
|
||||||
|
|
||||||
extraEnv:
|
|
||||||
- name: VAULT_K8S_NAMESPACE
|
|
||||||
value: vault
|
|
||||||
- name: VAULT_K8S_POD_NAME
|
|
||||||
valueFrom:
|
|
||||||
fieldRef:
|
|
||||||
fieldPath: metadata.name
|
|
||||||
|
|
||||||
statefulSet:
|
|
||||||
securityContext:
|
|
||||||
container:
|
|
||||||
capabilities:
|
|
||||||
add:
|
|
||||||
- IPC_LOCK
|
|
||||||
|
|
||||||
resources:
|
|
||||||
requests:
|
|
||||||
memory: 256Mi
|
|
||||||
cpu: 100m
|
|
||||||
limits:
|
|
||||||
memory: 2Gi
|
|
||||||
cpu: 1000m
|
|
||||||
|
|
||||||
injector:
|
|
||||||
enabled: false
|
|
||||||
|
|
||||||
ui:
|
|
||||||
enabled: true
|
|
||||||
serviceType: ClusterIP
|
|
||||||
@@ -9,7 +9,7 @@ resources:
|
|||||||
|
|
||||||
helmCharts:
|
helmCharts:
|
||||||
- name: victoria-metrics-operator
|
- name: victoria-metrics-operator
|
||||||
repo: https://victoriametrics.github.io/helm-charts/
|
repo: https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
||||||
version: "0.57.1"
|
version: "0.57.1"
|
||||||
releaseName: victoria-metrics-operator
|
releaseName: victoria-metrics-operator
|
||||||
namespace: vm-system
|
namespace: vm-system
|
||||||
|
|||||||
@@ -10,7 +10,7 @@ resources:
|
|||||||
helmCharts:
|
helmCharts:
|
||||||
- name: vault-secrets-operator
|
- name: vault-secrets-operator
|
||||||
repo: https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
repo: https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
||||||
version: "1.3.0"
|
version: "1.2.0"
|
||||||
releaseName: vault-secrets-operator
|
releaseName: vault-secrets-operator
|
||||||
namespace: vso-system
|
namespace: vso-system
|
||||||
valuesFile: values.yaml
|
valuesFile: values.yaml
|
||||||
|
|||||||
@@ -8,7 +8,7 @@ resources:
|
|||||||
helmCharts:
|
helmCharts:
|
||||||
- name: woodpecker
|
- name: woodpecker
|
||||||
repo: oci://ghcr.io/woodpecker-ci/helm
|
repo: oci://ghcr.io/woodpecker-ci/helm
|
||||||
version: "3.6.3"
|
version: "3.5.1"
|
||||||
releaseName: woodpecker
|
releaseName: woodpecker
|
||||||
namespace: woodpecker
|
namespace: woodpecker
|
||||||
valuesFile: values.yaml
|
valuesFile: values.yaml
|
||||||
|
|||||||
@@ -2,7 +2,6 @@ agent:
|
|||||||
replicaCount: 3
|
replicaCount: 3
|
||||||
env:
|
env:
|
||||||
WOODPECKER_MAX_WORKFLOWS: "8"
|
WOODPECKER_MAX_WORKFLOWS: "8"
|
||||||
WOODPECKER_BACKEND_K8S_PRIORITY_CLASS: power
|
|
||||||
WOODPECKER_BACKEND_K8S_STORAGE_CLASS: cephrbd-fast-delete
|
WOODPECKER_BACKEND_K8S_STORAGE_CLASS: cephrbd-fast-delete
|
||||||
WOODPECKER_BACKEND_K8S_VOLUME_SIZE: 10G
|
WOODPECKER_BACKEND_K8S_VOLUME_SIZE: 10G
|
||||||
WOODPECKER_BACKEND_K8S_STORAGE_RWX: false
|
WOODPECKER_BACKEND_K8S_STORAGE_RWX: false
|
||||||
|
|||||||
@@ -11,7 +11,6 @@ spec:
|
|||||||
revision: HEAD
|
revision: HEAD
|
||||||
directories:
|
directories:
|
||||||
- path: apps/overlays/*/litellm
|
- path: apps/overlays/*/litellm
|
||||||
- path: apps/overlays/*/paperclip
|
|
||||||
template:
|
template:
|
||||||
metadata:
|
metadata:
|
||||||
name: 'aitooling-{{path[3]}}'
|
name: 'aitooling-{{path[3]}}'
|
||||||
|
|||||||
@@ -15,22 +15,17 @@ spec:
|
|||||||
- path: apps/overlays/*/cert-manager
|
- path: apps/overlays/*/cert-manager
|
||||||
- path: apps/overlays/*/certificates
|
- path: apps/overlays/*/certificates
|
||||||
- path: apps/overlays/*/cnpg-system
|
- path: apps/overlays/*/cnpg-system
|
||||||
- path: apps/overlays/*/consul
|
|
||||||
- path: apps/overlays/*/elastic-system
|
- path: apps/overlays/*/elastic-system
|
||||||
- path: apps/overlays/*/externaldns
|
- path: apps/overlays/*/externaldns
|
||||||
- path: apps/overlays/*/inteldeviceplugins-system
|
- path: apps/overlays/*/inteldeviceplugins-system
|
||||||
- path: apps/overlays/*/jfrog
|
- path: apps/overlays/*/jfrog
|
||||||
- path: apps/overlays/*/kanidm
|
|
||||||
- path: apps/overlays/*/node-feature-discovery
|
- path: apps/overlays/*/node-feature-discovery
|
||||||
- path: apps/overlays/*/priority-classes
|
|
||||||
- path: apps/overlays/*/puppet
|
- path: apps/overlays/*/puppet
|
||||||
- path: apps/overlays/*/purelb
|
- path: apps/overlays/*/purelb
|
||||||
- path: apps/overlays/*/reflector-system
|
- path: apps/overlays/*/reflector-system
|
||||||
- path: apps/overlays/*/reloader-system
|
- path: apps/overlays/*/reloader-system
|
||||||
- path: apps/overlays/*/reposync
|
- path: apps/overlays/*/reposync
|
||||||
- path: apps/overlays/*/traefik-system
|
|
||||||
- path: apps/overlays/*/vm-system
|
- path: apps/overlays/*/vm-system
|
||||||
- path: apps/overlays/*/vault
|
|
||||||
- path: apps/overlays/*/vso-system
|
- path: apps/overlays/*/vso-system
|
||||||
- path: apps/overlays/*/woodpecker
|
- path: apps/overlays/*/woodpecker
|
||||||
template:
|
template:
|
||||||
@@ -45,12 +40,6 @@ spec:
|
|||||||
destination:
|
destination:
|
||||||
server: https://kubernetes.default.svc
|
server: https://kubernetes.default.svc
|
||||||
namespace: '{{path[3]}}' # Use directory name as namespace
|
namespace: '{{path[3]}}' # Use directory name as namespace
|
||||||
ignoreDifferences:
|
|
||||||
- group: ""
|
|
||||||
kind: ConfigMap
|
|
||||||
name: kanidm-repl-certs
|
|
||||||
jsonPointers:
|
|
||||||
- /data
|
|
||||||
syncPolicy:
|
syncPolicy:
|
||||||
automated:
|
automated:
|
||||||
prune: true
|
prune: true
|
||||||
|
|||||||
@@ -11,8 +11,6 @@ spec:
|
|||||||
destinations:
|
destinations:
|
||||||
- namespace: 'litellm'
|
- namespace: 'litellm'
|
||||||
server: https://kubernetes.default.svc
|
server: https://kubernetes.default.svc
|
||||||
- namespace: 'paperclip'
|
|
||||||
server: https://kubernetes.default.svc
|
|
||||||
clusterResourceWhitelist:
|
clusterResourceWhitelist:
|
||||||
- group: ''
|
- group: ''
|
||||||
kind: Namespace
|
kind: Namespace
|
||||||
|
|||||||
@@ -8,6 +8,7 @@ spec:
|
|||||||
description: Observability stack (metrics, monitoring)
|
description: Observability stack (metrics, monitoring)
|
||||||
sourceRepos:
|
sourceRepos:
|
||||||
- https://git.unkin.net/unkin/argocd-apps
|
- https://git.unkin.net/unkin/argocd-apps
|
||||||
|
- https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
||||||
destinations:
|
destinations:
|
||||||
- namespace: 'observability'
|
- namespace: 'observability'
|
||||||
server: https://kubernetes.default.svc
|
server: https://kubernetes.default.svc
|
||||||
|
|||||||
@@ -9,8 +9,8 @@ spec:
|
|||||||
sourceRepos:
|
sourceRepos:
|
||||||
- https://git.unkin.net/unkin/argocd-apps
|
- https://git.unkin.net/unkin/argocd-apps
|
||||||
- https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
- https://artifactapi.k8s.syd1.au.unkin.net/api/v1/virtual/helm
|
||||||
- https://purelb.github.io/purelb/charts
|
|
||||||
- oci://gcr.io/k8s-staging-nfd/charts
|
- oci://gcr.io/k8s-staging-nfd/charts
|
||||||
|
- oci://ghcr.io/emberstack/helm-charts
|
||||||
- oci://ghcr.io/woodpecker-ci/helm/woodpecker
|
- oci://ghcr.io/woodpecker-ci/helm/woodpecker
|
||||||
destinations:
|
destinations:
|
||||||
- namespace: '*-system'
|
- namespace: '*-system'
|
||||||
@@ -21,26 +21,18 @@ spec:
|
|||||||
server: https://kubernetes.default.svc
|
server: https://kubernetes.default.svc
|
||||||
- namespace: 'certificates'
|
- namespace: 'certificates'
|
||||||
server: https://kubernetes.default.svc
|
server: https://kubernetes.default.svc
|
||||||
- namespace: 'consul'
|
|
||||||
server: https://kubernetes.default.svc
|
|
||||||
- namespace: 'externaldns'
|
- namespace: 'externaldns'
|
||||||
server: https://kubernetes.default.svc
|
server: https://kubernetes.default.svc
|
||||||
- namespace: 'jfrog'
|
- namespace: 'jfrog'
|
||||||
server: https://kubernetes.default.svc
|
server: https://kubernetes.default.svc
|
||||||
- namespace: 'kanidm'
|
|
||||||
server: https://kubernetes.default.svc
|
|
||||||
- namespace: 'node-feature-discovery'
|
- namespace: 'node-feature-discovery'
|
||||||
server: https://kubernetes.default.svc
|
server: https://kubernetes.default.svc
|
||||||
- namespace: 'priority-classes'
|
|
||||||
server: https://kubernetes.default.svc
|
|
||||||
- namespace: 'purelb'
|
- namespace: 'purelb'
|
||||||
server: https://kubernetes.default.svc
|
server: https://kubernetes.default.svc
|
||||||
- namespace: 'puppet'
|
- namespace: 'puppet'
|
||||||
server: https://kubernetes.default.svc
|
server: https://kubernetes.default.svc
|
||||||
- namespace: 'reposync'
|
- namespace: 'reposync'
|
||||||
server: https://kubernetes.default.svc
|
server: https://kubernetes.default.svc
|
||||||
- namespace: 'vault'
|
|
||||||
server: https://kubernetes.default.svc
|
|
||||||
- namespace: 'woodpecker'
|
- namespace: 'woodpecker'
|
||||||
server: https://kubernetes.default.svc
|
server: https://kubernetes.default.svc
|
||||||
clusterResourceWhitelist:
|
clusterResourceWhitelist:
|
||||||
@@ -68,10 +60,6 @@ spec:
|
|||||||
kind: Certificate
|
kind: Certificate
|
||||||
- group: 'cert-manager.io'
|
- group: 'cert-manager.io'
|
||||||
kind: Issuer
|
kind: Issuer
|
||||||
- group: 'gateway.networking.k8s.io'
|
|
||||||
kind: GatewayClass
|
|
||||||
- group: 'networking.k8s.io'
|
|
||||||
kind: IngressClass
|
|
||||||
namespaceResourceWhitelist:
|
namespaceResourceWhitelist:
|
||||||
- group: '*'
|
- group: '*'
|
||||||
kind: '*'
|
kind: '*'
|
||||||
|
|||||||
Some files were not shown because too many files have changed in this diff Show More
Reference in New Issue
Block a user