Kubernetes

Le parcours de Docker sous le chart : le stockage local sur un volume, les comptes dans un Secret, les roles dans config.toml.

kubectl create secret generic sftp-host-keys --from-file=host_ed25519
kubectl create secret generic sftp-users --from-file=users.toml
kubectl apply -f - <<'EOF'
apiVersion: v1
kind: PersistentVolumeClaim
metadata: { name: sftp-data }
spec: { accessModes: [ReadWriteOnce], resources: { requests: { storage: 10Gi } } }
EOF
helm install sftp deploy/helm/craft-file-gate -f sftp-values.yaml \
  --set-file config.inline=config.toml

# sftp-values.yaml
hostKeys:
  existingSecret: sftp-host-keys                         # /keys/host_ed25519
extraVolumes:
  - name: data
    persistentVolumeClaim: { claimName: sftp-data }
  - name: users
    secret: { secretName: sftp-users, defaultMode: 0440 }
extraVolumeMounts:
  - { name: data, mountPath: /data }                     # root = "/data" du backend
  - { name: users, mountPath: /secrets/users, readOnly: true }

config.toml est celui de Docker suivi du contenu de son roles.toml (le chart ne monte que config.toml), avec host_keys = ["/keys/host_ed25519"] sous [sftp] et users_file = "/secrets/users/users.toml" sous [auth]. Les ecoutes restent sur 0.0.0.0 (les sondes joignent le pod par son IP) et [[admin.roles]] ouvre la console, puisque le chart ecarte le jeton statique. Le volume est au groupe du pod (fsGroup 65532) : create_home y cree alice/. Au-dela d’un pod, le volume est ReadWriteMany.

Le chart

• Un Service par exposition : publier SFTP par un LoadBalancer (service.sftp.type) ne publie ni la console, ni /metrics, ni les sondes.
• Les sondes du kubelet viennent du noeud du pod, que la plupart des CNI laissent passer malgre la NetworkPolicy ; sinon, ajoutez le CIDR des noeuds en ipBlock a networkPolicy.controlFrom. Pour restreindre Prometheus et l’ingress, listez leurs namespaces dans networkPolicy.controlFrom.

Les sondes

/livez et /readyz (Sondes et sante) sont sondes sur le port des sondes quand il est donne, sinon sur le port de controle, sinon sur le port admin.

Un port pour les sondes

service.probes.port: 9090 pose [server] probes_listen : les sondes et /metrics ont un port a eux, en HTTP simple, meme sous [admin.tls] (Une porte ou deux). Le kubelet et Prometheus (par pod : PodMonitor ou annotations) n’ont plus besoin du certificat ni du port de la console ; le port n’est sur le Service <release>-control qu’avec service.probes.expose: true. Un pod SFTP sans [admin] a ainsi ses sondes, /readyz pret des que la porte SFTP ecoute.

Durcissement du pod

Le chart applique le profil restricted des Pod Security Standards. Chaque champ se surcharge dans podSecurityContext et securityContext ; null retire un champ ou un bloc.

La racine d’un backend local est un volume de extraVolumes. Cles d’hote et paire TLS viennent d’un Secret (cert-manager pour le TLS), jamais d’un emptyDir : auto_generate de [admin.tls] ne sert pas sous ce chart.

Plusieurs pods

Chaque Role porte sur un seul nom, sans create : get, update sur le Secret ; get, update, patch sur chaque ConfigMap, watch sur leur collection pour les bans (helm template ... --show-only templates/rbac.yaml).

Le partage par ConfigMap

Feature k8s (dans les images publiees). Le pod lit la ConfigMap avant de servir ; chaque publication est conditionnee a la resourceVersion lue, et un data.bans efface par kubectl edit est republie a la suivante. Sans watch, la propagation tombe a une relecture toutes les 30 s ; un deploiement qui ne cree pas la ConfigMap ajoute create sur la collection.

[sftp.ban]           # de meme sous [api.ban] et [admin.ban] ; le chart en donne le nom
backend = "configmap"

inotify sur un noeud partage

fs.inotify.max_user_instances (128 par defaut) se compte par UID, sur tout le noeud. Le serveur n’en prend qu’une. Quand d’autres pods l’ont epuise et que vous ne pouvez pas regler le noeud :

[reload]
watch = "poll"   # aucune instance inotify ; une mise a jour de Secret est vue en 5 s

Voir Rechargement.