fix: paas-portal v1.3 — provisioning time text #243

Image не подписан Cosign — v1.3 должен быть подписан и верифицирован Kyverno перед деплоем. Проверить:
- cosign verify --key /path/to/cosign.pub 10.10.10.1:3000/claude/paas-portal:v1.3
- Убедиться, что .sig tag существует в registry
- Kyverno enforce policy должна блокировать неподписанные образы
- RULE: Cosign v3.0.4 не создаёт .sig теги в Gitea 1.23.8 — использовать /tmp/cosign-v2
Дублирование конфига — values.yaml и environments/prod/paas-portal.yaml оба содержат image.tag. При использовании ArgoCD + Helm:
- Какой файл имеет приоритет? (обычно environments/prod/ переопределяет values.yaml)
- Если environments/prod/ — главный источник, зачем обновлять values.yaml?
- Документировать стратегию наложения конфигов (Helm values vs Kustomize overlay vs ArgoCD repoPlugin)
Отсутствует тестирование — нет информации о том, что v1.3 протестирована:
- Локальная ≠ prod. Требуется staging-deploy перед prod merge
- PR description пустой — непонятно, что именно чинится ("provisioning time text")
- Gitea branch protection должна требовать passing tests перед merge

Проверить перед merge

Image v1.3 существует и подписан:

podman inspect 10.10.10.1:3000/claude/paas-portal:v1.3
cosign verify --key ... 10.10.10.1:3000/claude/paas-portal:v1.3

Запустить на staging:
- Обновить environments/staging/paas-portal.yaml → deploy → smoke test
- Если staging успешен — merged в prod
Добавить PR description с указанием:
- Что чинится (provisioning time text?)
- Какие изменения в v1.3
- Результаты тестирования
Resolve конфликт конфигов:
- Выбрать single source of truth (values.yaml ИЛИ environments/prod/)
- Удалить дублирование

Замечания

Resource limits/requests, replicas, health probes — в порядке (соответствуют Phase 22 MEMORY)
SecurityContext, NetworkPolicy — не видны в diff (предполагаю, в Helm chart)
Проверить, что Kyverno policy для paas-portal namespace блокирует неподписанные образы

Automated review by Claude Haiku | advisory, does not block merge

## AI Code Review ## PR Review: paas-portal v1.3 **Вердикт:** ⚠️ **Требует изменений перед merge** ### Issues - **Image не подписан Cosign** — v1.3 должен быть подписан и верифицирован Kyverno перед деплоем. Проверить: - `cosign verify --key /path/to/cosign.pub 10.10.10.1:3000/claude/paas-portal:v1.3` - Убедиться, что `.sig` tag существует в registry - Kyverno enforce policy должна блокировать неподписанные образы - **RULE:** Cosign v3.0.4 не создаёт `.sig` теги в Gitea 1.23.8 — использовать `/tmp/cosign-v2` - **Дублирование конфига** — `values.yaml` и `environments/prod/paas-portal.yaml` оба содержат `image.tag`. При использовании ArgoCD + Helm: - Какой файл имеет приоритет? (обычно `environments/prod/` переопределяет `values.yaml`) - Если `environments/prod/` — главный источник, зачем обновлять `values.yaml`? - Документировать стратегию наложения конфигов (Helm values vs Kustomize overlay vs ArgoCD repoPlugin) - **Отсутствует тестирование** — нет информации о том, что v1.3 протестирована: - Локальная ≠ prod. Требуется staging-deploy перед prod merge - PR description пустой — непонятно, что именно чинится ("provisioning time text") - Gitea branch protection должна требовать passing tests перед merge ### Проверить перед merge 1. **Image v1.3 существует и подписан:** ```bash podman inspect 10.10.10.1:3000/claude/paas-portal:v1.3 cosign verify --key ... 10.10.10.1:3000/claude/paas-portal:v1.3 ``` 2. **Запустить на staging:** - Обновить `environments/staging/paas-portal.yaml` → deploy → smoke test - Если staging успешен — merged в prod 3. **Добавить PR description** с указанием: - Что чинится (provisioning time text?) - Какие изменения в v1.3 - Результаты тестирования 4. **Resolve конфликт конфигов:** - Выбрать single source of truth (values.yaml ИЛИ environments/prod/) - Удалить дублирование ### Замечания - Resource limits/requests, replicas, health probes — в порядке (соответствуют Phase 22 MEMORY) - SecurityContext, NetworkPolicy — не видны в diff (предполагаю, в Helm chart) - Проверить, что Kyverno policy для `paas-portal` namespace блокирует неподписанные образы --- _Automated review by Claude Haiku | advisory, does not block merge_

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: claude/k8s-apps#243