iac/apps/documentations/outbox-relay.CONFIGURATION.md

Конфигурация outbox-relay

outbox-relay (репозиторий outbox-relay, образ outbox-relay) — воркер transactional outbox для cde-api: опрашивает таблицу outbox в БД cde-api и публикует события в Kafka. HelmRelease outbox-relay в ns documentations, Service нет, 1 реплика. Манифест — base/outbox-relay.yaml и одноимённые файлы в ugok/, brusnika-*/, wb/.

Миграции не запускает: таблицу outbox создаёт cde-api (migrations/001_create_outbox.sql из репозитория relay нужно включить в миграции cde-api). БД — общая с documentations (как и у cde-api), поэтому таблица outbox появляется в БД documentations.

Переменные окружения

Префикс OUTBOX_RELAY_, секции через __.

Переменная	Значение	Комментарий
APP_NAME, APP_VERSION	cde-api-outbox-relay, 0.1.0
SOURCE_SERVICE, SOURCE_VERSION	cde-api, 0.1.0	значения поля source в envelope событий
LOG_LEVEL	info
PG__SSLMODE	disable	как у cde-api в iac (общий Postgres без TLS)
PG__POOL_MIN / PG__POOL_MAX	1 / 3
PG__TABLE	outbox
PG__HOST/PORT/NAME/USER/PASSWORD	Vault secrets/data/apps/documentations/postgres (vault-контуры) или литералы + секрет БД контура	та же БД, что у cde-api
POLL_INTERVAL / BATCH_SIZE	500ms / 100
MAX_ATTEMPTS / INITIAL_BACKOFF / MAX_BACKOFF	8 / 1s / 5m
SHUTDOWN_TIMEOUT	30s
KAFKA__BROKERS	см. таблицу ниже
KAFKA__SECURITY_PROTOCOL	SASL_SSL (vault-контуры) / SSL (остальные)	включает TLS; SASL включается, если задан SASL_USERNAME
KAFKA__INSECURE_SKIP_VERIFY	true	сертификат брокера не проверяется, CA не нужен; клиентский сертификат (mTLS) relay не поддерживает
KAFKA__SASL_MECHANISM/USERNAME/PASSWORD	Vault secrets/data/kafka/apps/documentations	только vault-контуры

В .helm/values.yaml репозитория relay используются KAFKA__HOST/PORT и секрет cde-api-kafka-secret; в iac вместо них — KAFKA__BROKERS и адреса Kafka своего контура.

Kafka по контурам

Контур	Brokers	Протокол	Проверка сертификата	Аутентификация
base (sarex-contour, yc-k8s-test, d8-ugmk-prod, uralkal, vad)	kafka-kafka-contour.kafka.svc.cluster.local:9092	SASL_SSL	не проверяется	Vault secrets/data/kafka/apps/documentations
wb	wb-prod-kafka-bootstrap.kafka.svc.cluster.local:9093	SSL	не проверяется	нет (как у pm)
ugok	ugok-prod-kafka-bootstrap.kafka.svc.cluster.local:9093	SSL	не проверяется	нет
brusnika-prod, brusnika-stage	brusnika-stage-kafka-bootstrap.kafka.svc.cluster.local:9093	SSL	не проверяется	нет

Допущения и что нужно проверить

• Vault: путь secrets/data/kafka/apps/documentations (SCRAM-пользователь с правом писать в топики cde-api) нужно создать, роль documentations — разрешить его чтение.
• brusnika-prod: адрес Kafka взят из brusnika-stage (так указано в bi/brusnika-prod, у pm в brusnika-prod Kafka не настроена).
• sarex-contour, yc-k8s-test: адрес kafka-kafka-contour взят у остальных vault-контуров; сверить с infrastructure/kafka/<кластер>.
• Топики событий (39 штук, список — docs/cde-api-rollout.md, раздел 5) создаёт команда инфраструктуры до запуска relay.