devopsandClaude Sonnet 5
d0ecb5ef16
Reemplaza frontend.yaml + patches/frontend-resources.yaml por un overlay de Kustomize sobre el base remoto de platform-templates (workloads/ecommerce/frontend/). Agrega readinessProbe/livenessProbe (no tenia ninguna, apuntando a /api/health que ya expone el propio Dockerfile) y securityContext (capabilities NET_BIND_SERVICE agregada de vuelta por el puerto 80 privilegiado -- frontend ya corre no-root de antes, sin el problema de chown que tuvo docs-portal). El Ingress generico del base se excluye via $patch:delete -- frontend comparte ecommerce-ingress con catalog-api-svc, no le corresponde un Ingress propio. Validado con kubectl kustomize contra el arbol completo de workloads/ecommerce antes de aplicar. Co-Authored-By: Claude Sonnet 5 <[email protected]> Claude-Session: https://claude.ai/code/session_011FqYP3Wf1W63Qmh7qgXAAT
71 lines
2.2 KiB
YAML
71 lines
2.2 KiB
YAML
apiVersion: apps/v1
|
|
kind: Deployment
|
|
metadata:
|
|
name: app-deployment
|
|
labels:
|
|
app: frontend
|
|
spec:
|
|
replicas: 2
|
|
strategy:
|
|
type: RollingUpdate
|
|
rollingUpdate:
|
|
maxUnavailable: 0
|
|
maxSurge: 1
|
|
selector:
|
|
matchLabels:
|
|
app: frontend
|
|
template:
|
|
metadata:
|
|
labels:
|
|
app: frontend
|
|
spec:
|
|
containers:
|
|
- name: app
|
|
image: gitea.cruzcloud.net/devops/ecommerce-frontend:v1.0.104
|
|
env:
|
|
- name: HEADLESS_PROVIDER
|
|
value: medusa
|
|
- name: MEDUSA_BACKEND_URL
|
|
value: http://medusa-svc:9000
|
|
- name: MEDUSA_REGION_ID
|
|
value: reg_01KZT86WPAH7A7ZZRDSX3350V2
|
|
envFrom:
|
|
- secretRef:
|
|
name: commerce-storefront
|
|
# El base usa "/" por default. El Dockerfile de frontend ya
|
|
# define su propio HEALTHCHECK contra /api/health -- usamos
|
|
# el mismo endpoint acá en vez del genérico del base, ya
|
|
# sabemos que existe y responde.
|
|
readinessProbe:
|
|
httpGet:
|
|
path: /api/health
|
|
port: http
|
|
livenessProbe:
|
|
httpGet:
|
|
path: /api/health
|
|
port: http
|
|
# El Dockerfile de frontend ya corre como usuario "nextjs" no-root
|
|
# (a diferencia de docs-portal) -- runAsNonRoot: true del base
|
|
# se queda tal cual, sin override.
|
|
#
|
|
# Sí hace falta NET_BIND_SERVICE: el puerto real es 80
|
|
# (privilegiado, <1024). El Dockerfile ya hace setcap sobre el
|
|
# binario de node para esto, pero eso solo funciona si el
|
|
# bounding set del contenedor lo permite -- drop: ALL del base
|
|
# lo bloquea igual, root o no root. Mismo motivo que docs-portal.
|
|
securityContext:
|
|
allowPrivilegeEscalation: false
|
|
readOnlyRootFilesystem: false
|
|
capabilities:
|
|
drop:
|
|
- ALL
|
|
add:
|
|
- NET_BIND_SERVICE
|
|
resources:
|
|
requests:
|
|
cpu: 100m
|
|
memory: 256Mi
|
|
limits:
|
|
cpu: "1"
|
|
memory: 768Mi
|