devopsandClaude Sonnet 5
4da96a8314
Detectado en vivo: el pod nuevo fallaba con CreateContainerConfigError -- 'container has runAsNonRoot and image has non-numeric user (nextjs), cannot verify user is non-root'. El Dockerfile define el usuario por nombre (useradd ... nextjs), Kubernetes no puede confirmar el UID real sin arrancar el contenedor. Se agrega runAsUser: 1001 explicito (coincide con el --uid 1001 del useradd real del Dockerfile). Los 2 pods viejos siguieron sirviendo trafico sin interrupcion mientras tanto. Co-Authored-By: Claude Sonnet 5 <[email protected]> Claude-Session: https://claude.ai/code/session_011FqYP3Wf1W63Qmh7qgXAAT
82 lines
2.8 KiB
YAML
82 lines
2.8 KiB
YAML
apiVersion: apps/v1
|
|
kind: Deployment
|
|
metadata:
|
|
name: app-deployment
|
|
labels:
|
|
app: frontend
|
|
spec:
|
|
replicas: 2
|
|
strategy:
|
|
type: RollingUpdate
|
|
rollingUpdate:
|
|
maxUnavailable: 0
|
|
maxSurge: 1
|
|
selector:
|
|
matchLabels:
|
|
app: frontend
|
|
template:
|
|
metadata:
|
|
labels:
|
|
app: frontend
|
|
spec:
|
|
# runAsUser explícito -- ver comentario largo más abajo, junto al
|
|
# container, sobre por qué runAsNonRoot solo no alcanza acá.
|
|
securityContext:
|
|
runAsUser: 1001
|
|
containers:
|
|
- name: app
|
|
image: gitea.cruzcloud.net/devops/ecommerce-frontend:v1.0.104
|
|
env:
|
|
- name: HEADLESS_PROVIDER
|
|
value: medusa
|
|
- name: MEDUSA_BACKEND_URL
|
|
value: http://medusa-svc:9000
|
|
- name: MEDUSA_REGION_ID
|
|
value: reg_01KZT86WPAH7A7ZZRDSX3350V2
|
|
envFrom:
|
|
- secretRef:
|
|
name: commerce-storefront
|
|
# El base usa "/" por default. El Dockerfile de frontend ya
|
|
# define su propio HEALTHCHECK contra /api/health -- usamos
|
|
# el mismo endpoint acá en vez del genérico del base, ya
|
|
# sabemos que existe y responde.
|
|
readinessProbe:
|
|
httpGet:
|
|
path: /api/health
|
|
port: http
|
|
livenessProbe:
|
|
httpGet:
|
|
path: /api/health
|
|
port: http
|
|
# El Dockerfile de frontend ya corre como usuario "nextjs" no-root
|
|
# (a diferencia de docs-portal) -- pero runAsNonRoot: true del
|
|
# base SOLO no alcanza: probado en vivo, falló con "container
|
|
# has runAsNonRoot and image has non-numeric user (nextjs),
|
|
# cannot verify user is non-root". El Dockerfile define el
|
|
# usuario por NOMBRE (useradd ... nextjs), y sin un runAsUser
|
|
# numérico Kubernetes no puede confirmar que no sea root sin
|
|
# arrancar el contenedor -- y por eso rechaza arrancarlo. El
|
|
# UID real es 1001 (useradd --uid 1001 ... nextjs en el
|
|
# Dockerfile).
|
|
#
|
|
# Sí hace falta NET_BIND_SERVICE: el puerto real es 80
|
|
# (privilegiado, <1024). El Dockerfile ya hace setcap sobre el
|
|
# binario de node para esto, pero eso solo funciona si el
|
|
# bounding set del contenedor lo permite -- drop: ALL del base
|
|
# lo bloquea igual, root o no root. Mismo motivo que docs-portal.
|
|
securityContext:
|
|
allowPrivilegeEscalation: false
|
|
readOnlyRootFilesystem: false
|
|
capabilities:
|
|
drop:
|
|
- ALL
|
|
add:
|
|
- NET_BIND_SERVICE
|
|
resources:
|
|
requests:
|
|
cpu: 100m
|
|
memory: 256Mi
|
|
limits:
|
|
cpu: "1"
|
|
memory: 768Mi
|