Despliegue con Safent

Quién

Quien administra la infraestructura.

Dónde

Fuera de Safent. En un terminal, con la herramienta de la nube, o en el propio servidor si es k3s.

Ha ido bien si

kubectl version muestra «Server Version» v1.34 o posterior.

Si el clúster ya existe y cumple esto, salta al paso 1. Lo que tiene que tener:

• Kubernetes 1.34 o posterior, en nodos x86 (amd64) o ARM (arm64). Es lo que soporta Flux, que es quien instala las versiones.
• kubectl con un usuario administrador del clúster. Solo hace falta para conectar.
• Almacenamiento persistente: una StorageClass marcada por defecto (k3s, AKS y GKE ya la traen; en EKS Auto Mode se crea con el comando de su pestaña).
• Solo si las apps se publican con su propia URL: un dominio (del estilo apps.cliente.com), un ingress y certificados (cert-manager o el balanceador del clúster).

Si no existe, elige el caso y ejecuta sus comandos en orden, en un terminal:

Quién

Tu administrador o jefe de proyecto (o Safent, si se lo pides).

Dónde

En Safent, en https://equipo.lab.safentmcp.com, con tu usuario.

Ha ido bien si

Safent enseña el panel «Conecta … con Safent» con el comando del paso 3.

1. Entra en https://equipo.lab.safentmcp.com con tu usuario y ve a Cartera.
2. Abre el sitio donde va el entorno:
   • Infraestructura del partner, si es tuya y sirve para todos tus clientes: el botón Infraestructura del partner, arriba en la cartera.
   • Infraestructura de un cliente tuyo, para un proyecto suyo: abre el cliente, el proyecto y su pestaña Entornos › Entornos del proyecto.
3. Pulsa Añadir un entorno y rellena el formulario (los opcionales, solo si aplican):

4. Pulsa Dar de alta. Aparece el panel «Conecta «nombre» con Safent» con el comando del paso 3. Cópialo ahora: lleva dentro el token del entorno y solo se enseña una vez.
5. Si lo pierdes, o si lo va a ejecutar otra persona, en la ficha del entorno pulsa Cómo conectarlo (o Volver a conectar): genera un comando nuevo y el anterior deja de valer.

Quién

Quien administra el clúster y, si hay que abrir algo, quien lleva su red.

Dónde

Fuera de Safent. En la red del clúster: su cortafuegos, su proxy de salida o las reglas de salida de su nube.

Ha ido bien si

Las dos comprobaciones responden 200 y 401, y en el paso 3 sale «✓ llega a Safent y a su registro».

Lo normal es no tener que hacer nada. Un clúster creado como en el paso 0 (en Azure, AWS, Google Cloud o un servidor con Internet) ya sale a Internet por HTTPS. Solo hay que tocar algo si la red filtra lo que sale.

1. Compruébalo desde donde vayas a ejecutar el paso 3 (en k3s, en el propio servidor). La primera tiene que responder 200:

   curl -sS -o /dev/null -w '%{http_code}\n' https://equipo.lab.safentmcp.com/salud

   Copiar
   y la segunda, 401. El 401 es lo correcto: el registro responde y pide una credencial, que pone el paso 3.

   curl -sS -o /dev/null -w '%{http_code}\n' https://forgejo.lab.safentmcp.com/v2/

   Copiar
2. Si alguna no responde, o la red del clúster filtra la salida, pide a quien la lleve esta regla. En Azure Firewall es una regla de aplicación; en AWS Network Firewall, una lista de dominios permitidos; en un proxy, su lista de sitios permitidos.

   Regla	Valor
   Origen	Los nodos del clúster (y sus pods).
   Destino	forgejo.lab.safentmcp.com y equipo.lab.safentmcp.com, por nombre de dominio.
   Puerto	TCP 443 (HTTPS).
   Sentido	Solo de salida. No se abre nada de entrada.

3. Si el clúster sale a Internet por un proxy, sigue Si el clúster sale a Internet por un proxy, aquí debajo.

Si el clúster sale a Internet por un proxy

Antes del paso 3, estas cuatro cosas. Lo demás lo hace el comando de conexión: pone a Flux y al agente a salir por el proxy.

1. En Safent: ficha del entorno › Editar › Proxy de salida: la dirección del proxy, por ejemplo http://proxy.empresa.local:3128 › Guardar. Al dar de alta, es el mismo campo del formulario. Si el proxy pide usuario y contraseña, van en la dirección (http://usuario:clave@proxy.empresa.local:3128); Safent no vuelve a enseñar la clave.
2. En el proxy: permite la salida a forgejo.lab.safentmcp.com y equipo.lab.safentmcp.com, puerto 443. Compruébalo desde un nodo; tiene que responder 401:

   curl -sS -x http://proxy.empresa.local:3128 -o /dev/null -w '%{http_code}\n' https://forgejo.lab.safentmcp.com/v2/

   Copiar
3. En los nodos: que descarguen las imágenes por el proxy. Si el clúster ya descarga imágenes de Internet, ya lo hace y no hay que tocar nada. Si no:
   k3s Kubernetes con containerd Azure (AKS) AWS (EKS) Google Cloud (GKE) HPE PCAI

   k3s

   Probado por Safent

   1. En el servidor, como root, añade el proxy al entorno de k3s (en los nodos agente, el fichero es /etc/systemd/system/k3s-agent.service.env):

      cat >> /etc/systemd/system/k3s.service.env <<'EOF'
      CONTAINERD_HTTP_PROXY=http://proxy.empresa.local:3128
      CONTAINERD_HTTPS_PROXY=http://proxy.empresa.local:3128
      CONTAINERD_NO_PROXY=127.0.0.0/8,10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
      EOF

      Copiar
   2. Reinicia k3s (en los agentes, systemctl restart k3s-agent). Las apps que ya corren no se paran:

      systemctl restart k3s

      Copiar
4. En el terminal del paso 3, si ese ordenador tampoco sale directo a Internet (en k3s, el propio servidor), pon el proxy antes de pegar el comando. NO_PROXY deja fuera la API del clúster, para que kubectl siga llegando a ella:

   export HTTPS_PROXY=http://proxy.empresa.local:3128 NO_PROXY="localhost,127.0.0.1,$(kubectl config view --minify -o jsonpath='{.clusters[0].cluster.server}' | sed 's#^[a-z]*://##; s#[:/].*##')"

   Copiar

Quién

Quien administra el clúster.

Dónde

Fuera de Safent. En un terminal del ordenador donde kubectl llega al clúster (el del paso 0). En k3s, en el servidor, como root. Safent solo da el comando.

Ha ido bien si

Termina con «Listo» y, en Safent, el entorno sale Conectado y Apto para instalar.

1. Abre el terminal y comprueba que kubectl apunta al clúster bueno: tiene que salir su nombre (en k3s no hace falta).

   kubectl config current-context

   Copiar
2. Pega el comando que copiaste en el paso 1 y pulsa Intro. Tiene esta forma:

   curl -fsSL 'https://equipo.lab.safentmcp.com/entornos/<dueño>/<entorno>/conectar.sh?t=<token>' | sh

   Copiar
3. Tarda entre medio minuto y un par de minutos. Verás esto:

   1/5 Clúster
      ✓ Kubernetes 1.34, 1 nodo(s)
   2/5 Salida a Safent (HTTPS)
      ✓ llega a Safent y a su registro
   3/5 Flux
      ✓ Flux instalado
   4/5 Conexión con Safent
      ✓ repo de entregas, firma, avisos y agente de entorno
      ✓ Flux descarga de forgejo.lab.safentmcp.com
   5/5 Primer aviso a Safent
      ✓ Safent ha recibido el aviso de <dueño>/<entorno>: 0 GPU, 1 nodo(s)
   
   Listo: «<dueño>/<entorno>» aparece como Conectado en Safent, con su lista de requisitos.

4. En Safent, en la ficha del entorno: Conectado y Apto para instalar. Si sale «No apto», pulsa esa etiqueta: dice qué falta.
5. Si se para con un mensaje, arregla lo que dice y vuelve a ejecutarlo: repetirlo no rompe nada (ver Si algo falla).

Quién

Quien administra el clúster.

Dónde

El botón, en Safent. La configuración y la comprobación, en el mismo terminal del paso 3.

Ha ido bien si

La prueba llega a Instalada y su página dice «Despliegue correcto» con tu mensaje.

Safent instala una app de ejemplo suya, firmada, por el mismo camino que cada versión real. Pide una variable de configuración, MENSAJE, para que veas también cómo se pone la configuración.

1. En Safent, en la ficha del entorno, pulsa Prueba de despliegue y después Hacer la prueba.
2. Sigue la línea de tiempo. En medio minuto se para en Falta la configuración:
   1. ✓Versión publicada para el entornoSafent la deja en el repo de despliegue del entorno.+0 s
   2. ✓El entorno ha recogido el cambioFlux, desde el clúster, ve que hay una versión nueva.+25 s
   3. ✓Chart descargado y firma verificadaSi la firma no cuadra, no se instala.+26 s
   4. …Falta la configuraciónSolo si la app pide variables y aún no existen. Safent enseña la plantilla y el comando; en cuanto los pones, sigue sola.espera
   5. ✓InstaladaLa app arranca con su configuración.≈30 s
   6. ↺Si una versión no arrancaFlux vuelve sola a la anterior y Safent la marca como fallida, con el motivo.
3. En el terminal, crea el fichero de su configuración con el texto que quieras:

   echo "MENSAJE=Hola desde el clúster" > safent-ejemplos-prueba-despliegue.env

   Copiar
4. En el mismo terminal, cárgalo en el clúster. Es el comando que enseña Safent en «Configuración de la app», el mismo para cualquier app:

   echo "_huella=$(date +%s)" | kubectl -n flux-system create secret generic safent-ejemplos-prueba-despliegue-config --from-env-file=safent-ejemplos-prueba-despliegue.env --from-env-file=/dev/stdin --dry-run=client -o yaml | kubectl label --local -f - reconcile.fluxcd.io/watch=Enabled -o yaml | kubectl apply -f -

   Copiar
5. En Safent, la prueba pasa a Instalada en unos 30 segundos.
6. Ábrela. En el terminal (se queda abierto; lo cierras con Ctrl+C):

   kubectl -n safent-ejemplos-prueba-despliegue port-forward svc/app 8080:8080

   Copiar
   y en el navegador del mismo ordenador entra en http://localhost:8080: dice «Despliegue correcto» y enseña el MENSAJE tal cual. Si estás en el servidor por SSH, abre otra sesión en él y mira la página con curl -s http://localhost:8080.
7. Para quitarla, en Safent pulsa Quitar la prueba: se desinstala con su namespace. Su configuración se borra en el terminal:

   kubectl -n flux-system delete secret safent-ejemplos-prueba-despliegue-config

   Copiar

Quién

Tú (o Safent) eliges el destino de cada repositorio. Quien administra el clúster solo pone la configuración de cada app nueva.

Dónde

En Safent, en el Despliegue de cada repositorio.

Ha ido bien si

Cada destino llega a Instalada en su línea de tiempo.

1. Abre el repositorio: Cartera › el cliente › el proyecto › pestaña Repositorios › el repositorio › pestaña Despliegue.
2. Pulsa Elegir dónde se despliega (o «Añadir o cambiar destino»), elige de quién es el entorno (de Safent, tuyo o de tu cliente), su tipo y el entorno, y pulsa Fijar destino (o «Desplegar … aquí», si ya hay versión).
3. Desde ahí, cada versión llega sola:
   • a preproducción, cada versión publicada, es decir, firmada tras pasar el QA;
   • a producción, cuando se acepta la UAT del proyecto y desde entonces cada versión;
   • un sistema que ya estaba en producción y se trae para mantenerlo, sin UAT, va directo.
4. Si la app pide configuración, la línea de tiempo se para en Falta la configuración: sigue La configuración de cada app.