ivan
1c1b866331
uralkal: upload-oblako-las — curl без проверки сертификата (TLS-инспекция в сети Уралкалия)
2026-11-05 17:18:42 +05:00
ivan
142b28be80
uralkal: django — Job upload-oblako-las скачивает Облако.las и кладёт в MinIO бакет django
2026-11-05 17:11:13 +05:00
ivan
297f4b0adf
uralkal: zitadel-action — при 403 на admin API берёт организацию токена через /management/v1/orgs/me
2026-11-05 16:26:29 +05:00
ivan
59a02bc7dc
uralkal: django — Job создаёт в Zitadel action createUser на External Authentication / Pre Creation
2026-11-05 16:15:10 +05:00
ivan
1fc4742931
uralkal: kc-sync-users — синхронизация из realm sarex
2026-11-05 15:48:45 +05:00
ivan
4dac264303
uralkal: camunda keycloak — debug-логи org.keycloak.storage.ldap
2026-11-05 15:12:24 +05:00
ivan
b9c73a2d28
uralkal: kc-sync-users — привязка пользователей к компании id 1 (--sync-users-def-company-id 1)
2026-11-05 15:01:37 +05:00
ivan
e5a0419545
uralkal: django — CronJob kc-sync-users, синхронизация пользователей из Keycloak camunda каждые 10 минут
2026-11-05 14:37:08 +05:00
ivan
0398df0901
uralkal: camunda keycloak — Secret keycloak-keytab из sarex.keytab через secretGenerator
2026-11-05 12:50:53 +05:00
ivan
6855db88b8
uralkal: camunda keycloak — доверие корневому CA BER-CA1 для LDAPS к AD
...
ConfigMap uralkali-ca с PEM BER-CA1 монтируется в /opt/uralkali-ca,
KC_TRUSTSTORE_PATHS=/opt/uralkali-ca/ber-ca1.crt добавляет его в Truststore SPI
Keycloak 25 поверх системных корней, без пересборки образа.
2026-11-05 11:39:25 +05:00
ivan
b456e8a5da
uralkal: zitadel — доверие корневому CA BER-CA1 для LDAPS к AD
...
ConfigMap uralkali-ca с PEM BER-CA1 (DC=local,DC=uralkali,DC=com) монтируется
в /etc/ssl/uralkali, SSL_CERT_DIR=/etc/ssl/uralkali:/etc/ssl/certs. Образ на
scratch без пересборки: Go берёт доп. корни из SSL_CERT_DIR. Чинит
"x509: certificate signed by unknown authority" при входе через AD.
2026-11-05 11:18:07 +05:00
emelinda
49040e0da8
Enable plain client manifest for istio-mtls-check
2026-11-05 09:01:41 +03:00
emelinda
919253808b
add istio-mtls-check deployments
2026-11-05 08:50:25 +03:00
emelinda
ad28069436
Add Istio mTLS check manifests to uralkal cluster
2026-11-05 03:23:43 +03:00
emelinda
67985010ce
Fix uralkal Istio EnvoyFilter patch target for HTTP routes
2026-11-05 02:26:55 +03:00
emelinda
fa989aafdc
Add istio-config-contour chart and enforce HTTPS/TLS/HSTS for uralkal ingress
2026-11-04 23:38:14 +03:00
ivan
e6392cbbfe
uralkal: camunda keycloak — keytab из Secret keycloak-keytab и krb5.conf для LOCAL.URALKALI.COM
2026-11-03 17:09:50 +05:00
ivan
81bf9d17d1
uralkal: s3.sarex.local.uralkali.com напрямую в MinIO 10.133.0.245:9000 через ServiceEntry
2026-11-03 14:36:05 +05:00
ivan
7b6a285741
uralkal: pm — один блок deployment в патчах backend и celery
...
Второй ключ deployment в патче отбрасывался, и args из оверлея не применялись:
/vault/secrets/pm-kafka инжектился, но не source-ился, pm ходил в Kafka с
дефолтными user/password. makemigrations из оверлея не включён.
2026-11-02 15:31:18 +05:00
ivan
7cacd5a03f
uralkal: kafka-scram-users — automountServiceAccountToken для Vault injector
2026-11-02 15:19:13 +05:00
ivan
654803c2af
uralkal: Job заводит SCRAM-пользователей Kafka из Vault kafka/apps/{pm,issues,flows}
...
Логин и пароль берутся из тех же путей Vault, что читают pm/message-hub и
issues/flows; пароль администратора — inter_broker_user из kafka/bootstrap
(роль Vault kafka, SA kafka-kafka-contour). После создания проверяется вход
каждого пользователя по SASL_SSL на 9092, пароли в лог не пишутся.
2026-11-02 15:11:03 +05:00
ivan
b9022560f3
++
2026-11-02 14:32:11 +05:00
ivan
10c04ba32b
uralkal: pg-tls — пробы pg_isready с -U notes (п.31, INFRA-3062)
...
Без -U libpq ищет имя для UID 1001, которого нет в passwd вне nss-wrapper,
pg_isready падает и liveness убивает под через 90 с.
2026-11-02 14:05:14 +05:00
ivan
32e4bc657a
uralkal: pg-tls — TLS и pg_hba аргументами postgres, writable root (п.31, INFRA-3062)
...
Образ contour/postgresql — официальный postgres с обёрткой contour, bitnami-переменные
TLS и extended-конфиг он игнорирует: ssl, сертификат, ssl_min_protocol_version и
hba_file передаются через -c; readOnlyRootFilesystem: false и пробы pg_isready как у
infrastructure/postgresql/uralkal.
2026-11-02 13:34:09 +05:00
ivan
5e5148e951
uralkal: тестовый PostgreSQL с TLS и notes-backend с verify-full (п.31, INFRA-3062)
...
ns postgres-tls-test: postgresql-contour pg-tls с tls.autoGenerated,
ssl_min_protocol_version TLSv1.2, pg_hba только hostssl (local для
администрирования); notes-tls на образе notes-backend с
PG_SSL_MODE/PGSSLMODE=verify-full и CA из pg-tls-crt.
regcred в ns создаётся вручную.
2026-11-02 13:14:59 +05:00
ivan
eb112cd4dd
uralkal: образы eav и iam по digest (п.38, INFRA-3058)
2026-11-02 12:50:18 +05:00
ivan
56a75bf6a6
uralkal: образы remarks, reviews, prescriptions, projects, cross-section по digest (п.38, INFRA-3058)
...
Пилот на пяти статических фронтендах: image.name в оверлее uralkal
в виде <тег>@sha256:<digest>, digest манифестов из cr.yandex.
2026-11-02 12:46:35 +05:00
ivan
b7e7fc1c72
uralkal: drift detection для всех HelmRelease (п.39, INFRA-3058)
...
driftDetection.mode: enabled патчем в clusters/uralkal/kustomization.yaml,
base и другие контуры не затронуты. Исключены webhooks в
Mutating/ValidatingWebhookConfiguration (caBundle пишут vault-injector и
istiod) и /spec/replicas Deployment у istiod (HPA istio-system/istiod).
Kustomization flux-system уже prune: true, interval: 10m.
2026-11-02 12:32:59 +05:00
emelinda
30f1d32fc5
Add Vault audit logging integration for uralkal namespace with sidecars for file rotation, OTLP export, and Kafka integration
2026-11-02 09:22:20 +03:00
emelinda
2aaa45bf3c
Add Vault audit logging integration for uralkal namespace with sidecars for file rotation, OTLP export, and Kafka integration
2026-11-02 02:24:00 +03:00
emelinda
2f5e37f598
**Add Zitadel events ingestion pipeline with AuthorizationPolicy and initial Job configuration for security-audit namespace**
2026-11-02 00:57:05 +03:00
emelinda
ae1a683ada
**Add HelmRelease access-collector for processing ingress-gateway access logs in security-audit namespace with Kafka and Vault integration**
2026-11-02 00:33:20 +03:00
emelinda
ad7050ca7d
Add audit collector HelmRelease for security-audit namespace to process and export kube-apiserver audit logs, including Kafka and Vault integration
2026-11-01 22:02:54 +03:00
emelinda
5525cc33ff
Update CLAUDE.md to reflect revised cluster configurations, updated overlay conventions, and slice generation details. Clarify application, infrastructure, and routing specifics, including new clusters and template variables.
2026-11-01 21:35:44 +03:00
e4e5e06aec
++ camunda legacy wait
2026-10-31 17:45:29 +03:00
9f2c6932d7
++ camunda timeout 30m
2026-10-31 15:21:43 +03:00
ivan
cd94931c76
++ merge feat/zitadel-setup: sarex-installer machine user
...
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-10-30 13:53:12 +05:00
ivan
104bde49c4
++
2026-10-29 18:23:28 +05:00
ivan
b61571a858
++
2026-10-29 17:36:35 +05:00
13b9ca8a9f
++ stand chart repo from vars
2026-10-29 15:05:47 +03:00
ivan
31bdc74c80
++
2026-10-29 16:11:54 +05:00
ivan
9f4801af68
++ contour zitadel: sarex-installer machine user for zitadel-setup
...
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-10-29 15:32:27 +05:00
ivan
63b33aaafb
++
2026-10-29 13:06:42 +05:00
ivan
fb52d422ca
++
2026-10-29 12:37:46 +05:00
ivan
deb0d5f0eb
++
2026-10-28 20:06:09 +05:00
1613172dd6
++ contour kafka client sasl plaintext
2026-10-28 15:47:31 +03:00
b7c36a5348
++ stand routing layer
2026-10-28 15:31:36 +03:00
0037411aae
++ stand camunda via vault
2026-10-28 15:18:25 +03:00
c23b51e2a5
infra: route GoAlert through VK Istio
2026-10-28 14:39:19 +03:00
448a994fd4
Merge branch 'master' of https://gitlab.sarex.io/infra/iac
2026-10-28 14:38:14 +03:00
