Desplegar con Safent

Hace falta Kubernetes 1.34 o posterior (x86 o ARM), kubectl con un usuario administrador y un almacenamiento por defecto (k3s, AKS y GKE ya lo traen). Si las apps se publican con URL propia, también un dominio, un ingress y certificados.

Pide a quien lleve la red que permita, desde los nodos del clúster, la salida por HTTPS (TCP 443) a forgejo.lab.safentmcp.com y equipo.lab.safentmcp.com, por nombre de dominio. No se abre nada de entrada. Compruébalo desde el terminal del paso 3: la primera tiene que dar 200 y la segunda 401 (el registro responde y pide la credencial que pone el comando).

curl -sS -o /dev/null -w '%{http_code}\n' https://equipo.lab.safentmcp.com/salud
curl -sS -o /dev/null -w '%{http_code}\n' https://forgejo.lab.safentmcp.com/v2/

1. En Safent: ficha del entorno › Editar › Proxy de salida: http://proxy.empresa.local:3128 › Guardar. Si pide usuario y contraseña, van en la dirección (http://usuario:clave@proxy.empresa.local:3128); Safent no vuelve a enseñar la clave.
2. En el proxy: deja salir a forgejo.lab.safentmcp.com y equipo.lab.safentmcp.com (443). Desde un nodo tiene que dar 401:

   curl -sS -x http://proxy.empresa.local:3128 -o /dev/null -w '%{http_code}\n' https://forgejo.lab.safentmcp.com/v2/

   Copiar
3. En los nodos: que descarguen las imágenes por el proxy (si ya descargan imágenes de Internet, no hay que tocar nada):
   k3s Kubernetes con containerd Azure (AKS) AWS (EKS) Google Cloud (GKE) HPE PCAI

   k3s

   Probado por Safent

   1. En el servidor, como root, añade el proxy al entorno de k3s (en los nodos agente, el fichero es /etc/systemd/system/k3s-agent.service.env):

      cat >> /etc/systemd/system/k3s.service.env <<'EOF'
      CONTAINERD_HTTP_PROXY=http://proxy.empresa.local:3128
      CONTAINERD_HTTPS_PROXY=http://proxy.empresa.local:3128
      CONTAINERD_NO_PROXY=127.0.0.0/8,10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
      EOF

      Copiar
   2. Reinicia k3s (en los agentes, systemctl restart k3s-agent). Las apps que ya corren no se paran:

      systemctl restart k3s

      Copiar
4. En el terminal, si tampoco sale directo a Internet (en k3s, el propio servidor), antes de pegar el comando:

   export HTTPS_PROXY=http://proxy.empresa.local:3128 NO_PROXY="localhost,127.0.0.1,$(kubectl config view --minify -o jsonpath='{.clusters[0].cluster.server}' | sed 's#^[a-z]*://##; s#[:/].*##')"

   Copiar

Se nota porque al pegar el comando sale curl: (60) SSL certificate problem. Pide a sistemas el certificado raíz de la empresa: un fichero .crt o .pem que empieza por -----BEGIN CERTIFICATE-----.

1. En Safent: ficha del entorno › Editar › Certificado de la empresa: pega el certificado › Guardar. Flux y el agente confiarán en él.
2. En cada nodo y en el equipo donde pegas el comando, como root, con el certificado guardado en empresa-ca.crt (en Red Hat o Rocky: cp empresa-ca.crt /etc/pki/ca-trust/source/anchors/ && update-ca-trust):

   cp empresa-ca.crt /usr/local/share/ca-certificates/empresa-ca.crt && update-ca-certificates

   Copiar
   Después reinicia k3s (en los agentes, k3s-agent) o, con otro Kubernetes, containerd. Las apps que ya corren no se paran:

   systemctl restart k3s

   Copiar
   En AKS, el certificado va en el fichero del proxy: "trustedCa": "<el certificado en base64>".
3. Comprueba desde un nodo que da 401 y no curl: (60) (con proxy, después del export del terminal):

   curl -sS -o /dev/null -w '%{http_code}\n' https://forgejo.lab.safentmcp.com/v2/

   Copiar

Y pega el comando de conexión (o repítelo, si ya lo habías pegado).

1. En Safent, en la ficha del entorno: Prueba de despliegue › Hacer la prueba. En medio minuto se para en «Falta la configuración».
2. En el terminal, ponle su configuración:

   echo "MENSAJE=Hola desde el clúster" > safent-ejemplos-prueba-despliegue.env
   echo "_huella=$(date +%s)" | kubectl -n flux-system create secret generic safent-ejemplos-prueba-despliegue-config --from-env-file=safent-ejemplos-prueba-despliegue.env --from-env-file=/dev/stdin --dry-run=client -o yaml | kubectl label --local -f - reconcile.fluxcd.io/watch=Enabled -o yaml | kubectl apply -f -

   Copiar
3. En unos 30 segundos sale Instalada. Para verla, en el terminal (Ctrl+C para cerrar) y después http://localhost:8080 en el navegador: dice «Despliegue correcto» con tu mensaje.

   kubectl -n safent-ejemplos-prueba-despliegue port-forward svc/app 8080:8080

   Copiar
4. Para quitarla: Quitar la prueba en Safent y, en el terminal, kubectl -n flux-system delete secret safent-ejemplos-prueba-despliegue-config.

• Volver a una anterior: en el Despliegue del repositorio, Versiones · volver a una anterior › «Instalar en producción» (o en preproducción) junto a la que quieras. Un minuto, sin tocar el clúster.
• Si una versión no arranca, Flux vuelve sola a la anterior y Safent la marca como fallida, con el motivo.
• Una incidencia se reporta en Safent (menú Reportar incidencia). Su arreglo sale como versión de parche (1.1.0 → 1.1.1) y llega sola, como cualquier otra.

• Nadie entra: ni accesos, ni SSH, ni VPN. Todas las conexiones las abre el clúster, hacia dos direcciones de Safent.
• Todo firmado: cada imagen y cada chart se firman al publicarse; el clúster comprueba la firma y, si no cuadra, no instala.
• La configuración se queda en el clúster, en un Secret. Safent solo sabe cómo se llaman las variables.
• Safent ve el estado de cada despliegue, el inventario técnico (versión, nodos, GPU, almacenamiento; nunca datos) y la salud de las apps (peticiones, errores y tiempos, en la pestaña Salud de cada proyecto). La telemetría se guarda en la infraestructura de Safent, no en terceros.
• En el clúster quedan Flux y la credencial de solo lectura en flux-system, el agente de entorno en safent-entorno y un namespace por app.

1. Da de alta el entorno con Conectividad: Aislado. Safent da un fichero de conexión: en el servidor, sudo sh conectar-aislado.sh (Docker) o kubectl apply -f conectar-aislado.yaml (Kubernetes).
2. Cada versión se descarga en Versiones › Paquete offline. En el servidor:

   tar xzf paquete-*.tar.gz && cd paquete-*/ && cp app.env.example app.env

   Copiar
   Pon los valores en app.env (si la app pide configuración) y ejecuta ./instalar-offline.sh: comprueba las firmas e instala.
3. El estado lo deja el agente en un fichero firmado; súbelo en Safent con Subir estado.

Pausar (lo instalado sigue funcionando; para reanudar, lo mismo con false). El nombre es safent-<cliente>-<entorno>:

kubectl -n flux-system patch kustomization safent-<cliente>-<entorno> --type merge -p '{"spec":{"suspend":true}}'

Dar de baja: en Safent, ficha del entorno › Dar de baja. Safent deja de entregarle versiones, anula su token y enseña los comandos de limpieza, ya con el nombre del entorno. Ejecutados en el terminal, quitan todo lo de Safent, apps incluidas. Quedan Flux y la configuración de cada app.