dipup
227 lines
6.9 KiB
YAML
227 lines
6.9 KiB
YAML
instances: 1
|
|
|
|
postgresql:
|
|
imageName: "docker.io/paasup/cnpg-postgresql:18.4-bci15.7-hardened-20260803"
|
|
|
|
parameters:
|
|
max_connections: "200"
|
|
shared_buffers: 256MB
|
|
work_mem: 8MB
|
|
maintenance_work_mem: 128MB
|
|
effective_cache_size: 1GB
|
|
log_timezone: Asia/Seoul
|
|
timezone: Asia/Seoul
|
|
|
|
sharedPreloadLibraries:
|
|
- pgaudit
|
|
- pg_stat_statements
|
|
|
|
primaryUpdateStrategy: unsupervised
|
|
primaryUpdateMethod: switchover
|
|
|
|
storage:
|
|
size: 20Gi
|
|
storageClass: longhorn
|
|
|
|
walStorage:
|
|
enabled: true
|
|
size: 10Gi
|
|
storageClass: longhorn
|
|
|
|
resources:
|
|
requests:
|
|
cpu: 500m
|
|
memory: 1Gi
|
|
limits:
|
|
cpu: 1000m
|
|
memory: 2Gi
|
|
|
|
bootstrap:
|
|
initdb:
|
|
database: airflow
|
|
owner: airflow
|
|
secretName: "$INFISICAL_SECRET"
|
|
encoding: UTF8
|
|
postInitApplicationSQL: []
|
|
|
|
databases:
|
|
- name: airflow
|
|
owner: airflow
|
|
ensure: present
|
|
reclaimPolicy: retain
|
|
extensions:
|
|
- name: pg_stat_statements
|
|
- name: pgaudit
|
|
|
|
enableSuperuserAccess: false
|
|
|
|
affinity:
|
|
enablePodAntiAffinity: true
|
|
podAntiAffinityType: preferred
|
|
topologyKey: kubernetes.io/hostname
|
|
nodeSelector: {}
|
|
tolerations: []
|
|
|
|
monitoring:
|
|
enablePodMonitor: false
|
|
|
|
backup:
|
|
enabled: false
|
|
retentionPolicy: 30d
|
|
barmanObjectStore:
|
|
destinationPath: ""
|
|
endpointURL: ""
|
|
s3Credentials:
|
|
accessKeyId:
|
|
name: ""
|
|
key: ACCESS_KEY_ID
|
|
secretAccessKey:
|
|
name: ""
|
|
key: ACCESS_SECRET_KEY
|
|
|
|
scheduledBackup:
|
|
enabled: false
|
|
schedule: "0 0 2 * * *"
|
|
|
|
pooler:
|
|
enabled: false
|
|
instances: 2
|
|
type: rw
|
|
poolMode: transaction
|
|
---
|
|
ingress:
|
|
web:
|
|
enabled: true
|
|
annotations:
|
|
cert-manager.io/cluster-issuer: "root-ca-issuer"
|
|
cert-manager.io/duration: 8760h
|
|
cert-manager.io/renew-before: 720h
|
|
k8s.apisix.apache.org/plugin-config-name: oidc-keycloak-authz
|
|
ingressClassName: "apisix"
|
|
pathType: "Prefix"
|
|
hosts:
|
|
- name: "{{ .Name }}.{{ .Domain }}"
|
|
tls:
|
|
enabled: true
|
|
secretName: "{{ .Name }}-tls-secret"
|
|
|
|
# OIDC 인증에서 제외할 경로. 위 plugin-config-name(oidc-keycloak-authz)이 걸린 웹 Ingress와
|
|
# 별개로, 애노테이션 없는 Ingress를 하나 더 만들어 이 경로들을 인증 없이 통과시킨다
|
|
# (templates/webserver/webserver-ingress-static.yaml — PaaSup 추가 템플릿).
|
|
#
|
|
# 세션이 없을 때 /static 자원 수십 개가 동시에 OIDC 로그인 플로우를 시작하면서 state가
|
|
# 서로 덮어써져 500이 나는 문제를 막는다 (paasup/dip-catalog#24).
|
|
# Airflow의 /static은 공개 CSS/JS라 인증 제외에 보안상 문제가 없다.
|
|
#
|
|
# 비우면(또는 키를 지우면) 이 Ingress는 렌더되지 않는다 — 향후 dip-console이 같은
|
|
# 리소스를 차트 밖에서 생성하게 되면 여기를 비워서 중복을 없앤다.
|
|
dip:
|
|
unauthenticatedPaths:
|
|
- /static
|
|
|
|
executor: "KubernetesExecutor"
|
|
|
|
config:
|
|
core:
|
|
executor: KubernetesExecutor
|
|
default_timezone: kst
|
|
logging:
|
|
colored_console_log: "False"
|
|
logging_level: "INFO"
|
|
webserver:
|
|
enable_proxy_fix: "True"
|
|
rbac: "True"
|
|
default_ui_timezone: kst
|
|
|
|
scheduler:
|
|
replicas: 1
|
|
|
|
dags:
|
|
persistence:
|
|
enabled: true
|
|
size: 5Gi
|
|
storageClassName: "standard-rwo"
|
|
accessMode: ReadWriteMany
|
|
gitSync:
|
|
enabled: true
|
|
repo: "$dags.gitSync.repo"
|
|
branch: master
|
|
rev: HEAD
|
|
depth: 1
|
|
subPath: ""
|
|
credentialsSecret: "$INFISICAL_SECRET"
|
|
env:
|
|
- name: GIT_SSL_NO_VERIFY
|
|
value: "true"
|
|
|
|
# webserver 세션 서명 키도 값이 아니라 Secret 이름만 넘긴다 — dip-console-api 가 배포 시점에
|
|
# <릴리스명>-webserver-secret-key Secret 을 보장하고 이 자리를 그 이름으로 치환한다.
|
|
# 값으로 넘기면(paasup/dip-catalog#29) 신규 배포는 고정되지만 재배포 경로에서 되살아난다 —
|
|
# 콘솔의 재배포 분기가 이미 치환된 values 가 아니라 placeholder 가 남아 있는
|
|
# default_values_yaml 을 다시 parse 해서 매번 새 난수를 만든다 (paasup/dip-catalog#46 실측:
|
|
# 재배포 3회에 webserver ReplicaSet 3개, 다른 체크섬은 전부 같고 이것만 달랐다).
|
|
# 이름을 넘기면 Secret 템플릿이 `if not .Values.webserverSecretKeySecretName` 가드로 비어
|
|
# 체크섬이 키 값과 무관한 상수가 된다 — 앞으로 키가 바뀌어도 롤링이 발생하지 않는다.
|
|
# 이름만 넘기므로 키가 tenant 레포(git)에 평문으로 남지 않는다.
|
|
webserverSecretKeySecretName: "$WEBSERVER_SECRET_KEY_SECRET"
|
|
|
|
# fernet key 는 값이 아니라 Secret 이름만 넘긴다 — dip-console-api 가 배포 시점에
|
|
# <릴리스명>-fernet-key Secret 을 만들고 이 자리를 그 이름으로 치환한다.
|
|
# 비워두면 차트가 Secret 을 pre-install 훅으로 만드는데, ArgoCD 는 훅을 "삭제 후 재생성"
|
|
# 하므로 변경이 없는 sync 에서는 삭제 직후 operation 이 끝나 재생성되지 않는다. 그러면
|
|
# 파드 재시작 시 기동에 실패한다 (paasup/dip-catalog#38).
|
|
# 이름만 넘기므로 키가 tenant 레포(git)에 평문으로 남지 않는다.
|
|
fernetKeySecretName: "$FERNET_KEY_SECRET"
|
|
|
|
webserver:
|
|
defaultUser:
|
|
enabled: true
|
|
password: "$webserver.defaultUser.password"
|
|
livenessProbe:
|
|
initialDelaySeconds: 120
|
|
readinessProbe:
|
|
initialDelaySeconds: 120
|
|
startupProbe:
|
|
initialDelaySeconds: 30
|
|
webserverConfig: |
|
|
AUTH_ROLE_PUBLIC = 'User'
|
|
|
|
logs:
|
|
persistence:
|
|
enabled: true
|
|
size: 5Gi
|
|
storageClassName: "standard-rwo"
|
|
|
|
statsd:
|
|
enabled: false
|
|
|
|
# 내장 bitnami postgresql 서브차트 대신 syncWave 0 의 cnpg-cluster(airflow-db)를 쓴다.
|
|
postgresql:
|
|
enabled: false
|
|
|
|
migrateDatabaseJob:
|
|
# helm hook 을 끄면 Job 이 ArgoCD 가 추적하는 일반 리소스가 된다. 이 상태에서 차트 기본값인
|
|
# ttlSecondsAfterFinished: 300 이 남아 있으면, 완료 300초 뒤 TTL 컨트롤러가 Job 을 지우고
|
|
# ArgoCD 는 그것을 OutOfSync 로 보고 selfHeal 로 다시 만든다 — 5분 주기 재실행 루프.
|
|
# 리소스 수명은 ArgoCD 가 관리하므로 TTL 을 끈다(null 이면 필드 자체가 렌더되지 않는다).
|
|
# 대신 완료된 Job 객체가 네임스페이스에 남는다.
|
|
useHelmHooks: false
|
|
ttlSecondsAfterFinished: ~
|
|
|
|
data:
|
|
# 시크릿의 connection 키(전체 DSN)를 그대로 쓴다 — 이 값이 설정되면 차트는
|
|
# <release>-metadata 시크릿을 만들지 않는다.
|
|
metadataSecretName: "$INFISICAL_SECRET"
|
|
# metadataSecretName 이 있으면 접속에는 쓰이지 않지만, pgbouncer/keda 경로와
|
|
# NOTES 출력이 참조하므로 cnpg 서비스에 맞춰 둔다.
|
|
# 호스트 접두사는 flowise/6.0.0/dip-values.yaml 의 externalPostgresql.host 와 같은 규칙이다
|
|
# — dip 배포에서 cnpg 릴리스명이 테넌트 접두사를 달고 나가므로 {{ .Name }} 가 필요하다.
|
|
metadataConnection:
|
|
user: airflow
|
|
protocol: postgresql
|
|
host: "{{ .Name }}-airflow-db-rw"
|
|
port: 5432
|
|
db: airflow
|
|
sslmode: disable
|
|
|