57 Commits

Include renames

Author	SHA1	Message	Date
devops	2670727cfa	fix(ci,ecommerce): escanear el manifiesto renderizado y endurecer readOnlyRootFilesystem del frontend ... - Trivy IaC escaneaba solo el patch aislado de Kustomize (workloads/ecommerce/frontend/patches/deployment.yaml), no lo que realmente corre en el clúster. Eso generaba falsos positivos en todo lo heredado del base remoto de platform-templates (runAsNonRoot, seccompProfile) porque el patch nunca los repite. Se instala kubectl, se renderiza el kustomization completo y se escanea ese output. - readOnlyRootFilesystem pasa de false a true en el contenedor del frontend: revisando next.config.ts (optimización de imágenes) y app/api/revalidate/route.ts (revalidateTag sin cache handler custom), la imagen sí escribe a ./.next/cache en runtime. Se agregan volúmenes emptyDir para .next/cache y /tmp.	2026-08-24 20:35:08 -05:00
devops	3147cafaff	chore: release v1.0.133 [skip ci]	2026-08-25 01:23:38 +00:00
devops	1bcb6911db	chore: release v1.0.129 [skip ci]	2026-08-24 05:43:38 +00:00
devops	1bcceecd5f	chore: release v1.0.122 [skip ci]	2026-08-17 07:14:13 +00:00
devopsandClaude Sonnet 5	29021bff70	fix(ci): condicion de carrera en el chequeo de promocion GitOps ... Con el runner corriendo 1 job a la vez (capacity: 1), cuando 2+ pipelines comparten el mismo commit disparador, el primero en terminar deja su propio commit de GitOps en main -- los siguientes veian 'main ya no es igual a mi commit' y se saltaban su propia promocion, aunque era seguro promocionar. Visto en vivo: Frontend construyo, escaneo y firmo v1.0.119 pero el manifiesto seguia en v1.0.104 (Promocion GitOps: false). Fix en los 3 workflows: git merge-base --is-ancestor en vez de comparacion exacta de SHA. Bump manual de frontend a v1.0.119 (la version que ya estaba lista, sin desplegar). Documentado el limite conocido de este fix en el playbook de la migracion. Co-Authored-By: Claude Sonnet 5 <[email protected]> Claude-Session: https://claude.ai/code/session_011FqYP3Wf1W63Qmh7qgXAAT	2026-08-17 01:47:04 -05:00
devopsandClaude Sonnet 5	4da96a8314	fix(frontend): agregar runAsUser explicito, runAsNonRoot solo no alcanza ... Detectado en vivo: el pod nuevo fallaba con CreateContainerConfigError -- 'container has runAsNonRoot and image has non-numeric user (nextjs), cannot verify user is non-root'. El Dockerfile define el usuario por nombre (useradd ... nextjs), Kubernetes no puede confirmar el UID real sin arrancar el contenedor. Se agrega runAsUser: 1001 explicito (coincide con el --uid 1001 del useradd real del Dockerfile). Los 2 pods viejos siguieron sirviendo trafico sin interrupcion mientras tanto. Co-Authored-By: Claude Sonnet 5 <[email protected]> Claude-Session: https://claude.ai/code/session_011FqYP3Wf1W63Qmh7qgXAAT	2026-08-17 00:45:51 -05:00
devopsandClaude Sonnet 5	d0ecb5ef16	refactor(frontend): migrar a base+overlay de platform-templates ... Reemplaza frontend.yaml + patches/frontend-resources.yaml por un overlay de Kustomize sobre el base remoto de platform-templates (workloads/ecommerce/frontend/). Agrega readinessProbe/livenessProbe (no tenia ninguna, apuntando a /api/health que ya expone el propio Dockerfile) y securityContext (capabilities NET_BIND_SERVICE agregada de vuelta por el puerto 80 privilegiado -- frontend ya corre no-root de antes, sin el problema de chown que tuvo docs-portal). El Ingress generico del base se excluye via $patch:delete -- frontend comparte ecommerce-ingress con catalog-api-svc, no le corresponde un Ingress propio. Validado con kubectl kustomize contra el arbol completo de workloads/ecommerce antes de aplicar. Co-Authored-By: Claude Sonnet 5 <[email protected]> Claude-Session: https://claude.ai/code/session_011FqYP3Wf1W63Qmh7qgXAAT	2026-08-17 00:43:10 -05:00