wbsong111
a8530d3968
세션이 없는 상태로 접속하면 Airflow UI 한 페이지가 /static 자원을 수십 개 동시에 요청하고, 각 요청이 저마다 APISIX openid-connect 로그인 플로우를 시작한다. 세션은 state를 하나만 보관하므로 콜백이 동시에 돌아오면 마지막 하나를 뺀 전부가 state 검증에 실패해 500이 난다. templates/webserver/webserver-ingress-static.yaml 은 업스트림 Apache Airflow 차트에 없는 PaaSup 추가 템플릿이다. dip.unauthenticatedPaths 가 있을 때만 애노테이션 없는 Ingress를 하나 더 렌더해 해당 경로를 인증 없이 통과시킨다. 애노테이션을 전부 비우는 것은 의도된 것으로, plugin-config-name 을 빼는 게 목적이고 cert-manager.io/* 까지 빼는 이유는 웹 Ingress와 같은 TLS Secret 을 두고 Certificate 를 중복 생성하지 않게 하기 위해서다. 값을 ingress.web 아래가 아니라 dip 아래에 두는 이유는 values.schema.json 의 ingress.web 이 additionalProperties: false 라 그 아래 새 키를 넣으면 스키마 검증에서 배포가 실패하기 때문이다. qdrant·litellm 의 dip.mainPath 와 같은 자리를 쓴다. webserver-ingress.yaml 과 동일한 조건으로 렌더하므로 Airflow 3.0 (webserver → api-server) 전환 시 함께 재작업이 필요하다. 업스트림 파일은 수정하지 않았고 fork 델타는 신규 템플릿 1개뿐이다. 이슈 #24 는 dip-console 이 차트 밖에서 생성하는 방안(B안)을 권고했으나, 실제로 증상이 재현되는 서비스가 airflow 하나로 좁혀져 차트 템플릿(A안)으로 갔다. dip-console 로 옮길 때는 dip.unauthenticatedPaths 를 비우면 된다. redirect_uri 고정은 여전히 dip-console 몫으로 남는다. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
airflow ArgoCD ApplicationSet
airflow-db(cnpg-cluster, syncWave 0) → airflow(syncWave 1) 2단계로 배포한다.
전체 스키마는 manifests/applicationset/openmetadata/1.12.1/와
manifests/applicationset/victoria-metrics/1.0.0/를 따른다.
구성
applicationset.yaml— list generator로 Application 2개 생성.airflow-db-values.yaml— cnpg-cluster 환경 오버레이 템플릿(DB/owner, 시크릿 참조).airflow-values.yaml— airflow 환경 오버레이 템플릿(DB 비밀번호만).
두 파일 모두 템플릿이다 — dip-console이 렌더링해 값 repo(dip/tenant-catalog)의
airflow/*.yaml로 커밋하는 것을 가정한다.
값 적용 순서 (2단)
각 Application은 baseValues(카탈로그 차트의 custom-values.yaml) + valuesPath(값 repo의
환경 오버레이, 나중 파일 우선)를 병합한다.
사전 준비 (ArgoCD 밖)
cloudnative-pgoperator(manifests/helm/cloudnative-pg/0.29.0)가 클러스터에 먼저 설치되어 있어야 한다 — 없으면airflow-db(Cluster CR)가 webhook 부재로 생성 자체가 거부된다.airflow-db-values.yaml의bootstrap.initdb.secretName과 동일한 이름·값의 K8s Secret이 대상 네임스페이스에 미리 존재해야 한다(username/password키).- ArgoCD가
Cluster.postgresql.cnpg.io커스텀 리소스의 상태를 "Healthy"로 판정하려면argocd-cm에 해당 CRD용 커스텀 헬스 체크(Lua)가 등록되어 있어야 sync-wave 1이 정상 대기한다 — 미등록 시 wave 0이 Progressing으로만 남아 wave 1로 못 넘어갈 수 있다.
배포 테스트
절차와 주의사항은 .claude/deploy-test-procedure.md
"카탈로그 앱 → cnpg-cluster 전환 배포 테스트" 절을 따른다.
APP_POD_SELECTOR="component=webserver", fixture는
scripts/deploy-test/fixtures/airflow-deploy-test-overrides.yaml.