devopsandClaude Sonnet 5
dcc5bb2d57
Reemplaza los manifiestos sueltos (deployment/service/ingress) por un overlay de Kustomize sobre el base remoto de platform-templates. Agrega readinessProbe/livenessProbe (no tenia ninguna) y securityContext (ajustado: runAsNonRoot=false + NET_BIND_SERVICE, porque la imagen actual de docs-portal corre como root en el puerto 80 -- se resuelve del todo cuando docs-portal adopte dockerfiles/static-nginx.Dockerfile de platform-templates, cambio de imagen aparte). Validado con kubectl kustomize contra el manifiesto real desplegado antes de aplicar. Co-Authored-By: Claude Sonnet 5 <[email protected]> Claude-Session: https://claude.ai/code/session_011FqYP3Wf1W63Qmh7qgXAAT
50 lines
1.7 KiB
YAML
50 lines
1.7 KiB
YAML
apiVersion: apps/v1
|
|
kind: Deployment
|
|
metadata:
|
|
name: app-deployment
|
|
labels:
|
|
app: docs-portal
|
|
spec:
|
|
replicas: 1
|
|
selector:
|
|
matchLabels:
|
|
app: docs-portal
|
|
template:
|
|
metadata:
|
|
labels:
|
|
app: docs-portal
|
|
spec:
|
|
# El base fuerza runAsNonRoot: true a nivel pod. La imagen ACTUAL
|
|
# de docs-portal (nginx:1.27-alpine, sin USER) corre como root --
|
|
# aplicar el default del base tal cual rompe el pod
|
|
# (CreateContainerConfigError). Override explícito acá hasta que
|
|
# docs-portal adopte dockerfiles/static-nginx.Dockerfile
|
|
# (nginx-unprivileged, no-root) como cambio de imagen aparte --
|
|
# no es parte de esta migración de manifiestos.
|
|
securityContext:
|
|
runAsNonRoot: false
|
|
containers:
|
|
- name: app
|
|
image: gitea.cruzcloud.net/devops/docs-portal:v1.0.116
|
|
# El base saca TODAS las capabilities. Corriendo como root en
|
|
# el puerto 80 (privilegiado), eso rompe el bind() -- incluso
|
|
# root necesita CAP_NET_BIND_SERVICE si se le sacan las demás.
|
|
# Mismo motivo que el runAsNonRoot de arriba: se resuelve del
|
|
# todo cuando docs-portal pase a nginx-unprivileged (puerto
|
|
# 8080, no privilegiado, no necesita esta capability).
|
|
securityContext:
|
|
allowPrivilegeEscalation: false
|
|
readOnlyRootFilesystem: false
|
|
capabilities:
|
|
drop:
|
|
- ALL
|
|
add:
|
|
- NET_BIND_SERVICE
|
|
resources:
|
|
requests:
|
|
cpu: 50m
|
|
memory: 64Mi
|
|
limits:
|
|
cpu: 200m
|
|
memory: 128Mi
|