claude
1bd0fec23a
gateway(nginx) + manager(python 標準ライブラリ) + セッションごとの使い捨て Pod + reaper CronJob の構成。ブラウザ(PC/スマホ)からアクセスし、セッション単位で 独立した Alpine コンテナに Git リポジトリ(GitHub/Gitea など)をチェックアウトして 編集・検証・プッシュする。無操作が続いたセッションは Pod ごと自動破棄。 - セキュリティ: セッション NS 分離 / restricted PodSecurity / RBAC はセッション NS の pods,services のみの Role / セッション Pod は SA トークン非マウント・非 root・ readOnlyRootFilesystem・drop ALL caps・seccomp / NetworkPolicy で egress を DNS+HTTPS+SSH に限定 / Git ホスト allow-list / ResourceQuota+LimitRange - ライフサイクル: idleTimeout(Pod 内ウォッチドッグ + manager 回収) / maxLifetime (activeDeadlineSeconds) / maxSessions / 予備の孤児掃除 CronJob - 認証: token(既定) / basic / forward(外部SSO) / none。WebSocket は Cookie トークン - Claude 認証: ANTHROPIC_API_KEY または CLAUDE_CODE_OAUTH_TOKEN - CI: helm-release.yaml(未リリース版のみ tag+release+publish) / image-update-and-release.yaml(週次 npm 追従) / session-image.yaml(multi-arch build) - files/ 実体を .Files.Get で ConfigMap 化。helm lint / template 検証済み
52 lines
1.5 KiB
YAML
52 lines
1.5 KiB
YAML
{{- if .Values.networkPolicy.enabled }}
|
||
apiVersion: networking.k8s.io/v1
|
||
kind: NetworkPolicy
|
||
metadata:
|
||
name: {{ include "claude-code.fullname" . }}-manager
|
||
namespace: {{ .Release.Namespace }}
|
||
labels:
|
||
{{- include "claude-code.labels" . | nindent 4 }}
|
||
spec:
|
||
podSelector:
|
||
matchLabels:
|
||
{{- include "claude-code.selectorLabels" . | nindent 6 }}
|
||
app.kubernetes.io/component: control-plane
|
||
policyTypes:
|
||
- Ingress
|
||
- Egress
|
||
ingress:
|
||
# ブラウザ / Ingress コントローラーからの受付ポート
|
||
- ports:
|
||
- protocol: TCP
|
||
port: {{ .Values.gateway.port }}
|
||
egress:
|
||
# DNS
|
||
- to:
|
||
- namespaceSelector:
|
||
matchLabels:
|
||
{{- toYaml .Values.networkPolicy.dnsNamespaceSelector | nindent 14 }}
|
||
ports:
|
||
- protocol: UDP
|
||
port: 53
|
||
- protocol: TCP
|
||
port: 53
|
||
# kube-apiserver（セッション Pod/Service の CRUD）
|
||
- ports:
|
||
- protocol: TCP
|
||
port: 443
|
||
- protocol: TCP
|
||
port: 6443
|
||
# セッション Pod の ttyd へのリバースプロキシ
|
||
- to:
|
||
- namespaceSelector:
|
||
matchLabels:
|
||
kubernetes.io/metadata.name: {{ include "claude-code.sessionsNamespace" . }}
|
||
podSelector:
|
||
matchLabels:
|
||
app.kubernetes.io/name: claude-code
|
||
app.kubernetes.io/component: session
|
||
ports:
|
||
- protocol: TCP
|
||
port: {{ .Values.session.ttydPort }}
|
||
{{- end }}
|