feat: 接通 Database 凭据准备闭环
This commit is contained in:
+35
-7
@@ -43,8 +43,8 @@ registry 准备决策；这一依赖现已从代码移除，不能把旧运行
|
||||
- 领域层不依赖 Kubernetes types、数据库 driver 或凭据 provider。
|
||||
- CredentialReference 只携带管理 Secret 的名称与字段映射，不包含 Secret 内容或 OpenBao path。
|
||||
- Instance checkpoint 不是外部事实；实际能力必须由 application/adapter 观察后交给领域对象判断。
|
||||
- 当前代码只检查 Instance 供应前置条件，不授予 Tenant 所有权或外部写入权限，也不表示
|
||||
Database API 已经可用。
|
||||
- Instance 观察只检查供应前置条件，不单独授予 Tenant 所有权或外部写入权限；凭据准备
|
||||
另行校验双向绑定和保护，尚不表示完整 Database API 已经可用。
|
||||
|
||||
## 管理凭据与连接切片
|
||||
|
||||
@@ -168,14 +168,42 @@ Instance 删除首先释放本地连接并撤销 Ready。任何引用它的 Data
|
||||
真实后端覆盖创建/回读、并发唯一创建、重建适配器读取、软删除冲突、固定前缀 token
|
||||
拒绝管理路径，以及成功写入后丢失响应；HTTP 故障测试补充不重试和错误脱敏。
|
||||
|
||||
认证会话已按下面的显式参数接入 manager；凭据存储尚未接入供应用例。
|
||||
认证会话和凭据准备用例已接入 manager，但默认不启用外部写入。
|
||||
Database 已有 `status.credentialRef` 和 `status.credentialVersion` 的字段与 CEL 校验：
|
||||
固定位置、只在创建并回读成功后确认版本，二者写入后不可清空或修改。
|
||||
`ReadConfirmed` 按已确认版本检查最新 KV 值，删除或版本漂移报 Conflict，不读取旧版本掩盖变化。
|
||||
真实 API server 验证 status 清除拒绝、版本冲突和 Conditions 更新；真实 Bao 验证重建 adapter
|
||||
后读取、缺少确认记录拒绝、版本变化与软删除。字段持久化的供应 service/controller、
|
||||
PostgreSQL 创建以及 ESO 交付仍未完成，本切片不是已接入的凭据准备流程。
|
||||
测试 token 只用于临时 fixture，不是生产静态 token 配置接口。现有绑定不会触发外部写入。
|
||||
测试 token 只用于临时 fixture，不是生产静态 token 配置接口。
|
||||
|
||||
### 凭据准备闭环
|
||||
|
||||
配置认证后，显式设置 `--database-credential-mount` 启用准备；路径默认
|
||||
`applications/<Database UID>`，前缀由 `--database-credential-prefix` 配置。
|
||||
`CredentialPreparation` 用例检查 Provision 来源、双向绑定 UID、申请目标、finalizer、
|
||||
删除/Released 状态及当前 Instance Ready；导入资源不执行本流程。
|
||||
顺序为固定位置 → 确认后端尚无凭据 → 保存 CreationStarted → 创建并回读 → 保存确认版本。
|
||||
`CredentialReconciler` 只负责 Database/Tenant/Instance watch 和 30 秒依赖重查；
|
||||
Kubernetes repository 负责直接读取及有 resourceVersion 保护的状态更新。
|
||||
|
||||
外部操作前后回查目标：Database 必须仍是同一 UID/resourceVersion，Tenant/Instance 必须
|
||||
保持绑定、spec generation、删除状态、finalizer 保护与有效 Ready；无关 Conditions 刷新
|
||||
不构成目标变化。不存在跨 Kubernetes/OpenBao 原子事务：中途发生相关变化时停止确认，
|
||||
留下可观察状态，交给后续协调或人工核实，不盲目重试过期的确认写入。
|
||||
|
||||
`CredentialsReady=False/CreationStarted` 是正在进行而未确认的诊断，不是成功证明。
|
||||
任何新一轮协调遇到该状态且没有确认版本，都转为 Conflict；即使进程在发出请求前退出
|
||||
也采用这一保守边界。明确的认证/权限拒绝可等待恢复；响应丢失、回读失败、确认保存失败
|
||||
及未确认的已有值均不会自动认领或重新生成密码。Conflict 保留首次原因，普通依赖错误
|
||||
保留已确认版本；配置变化停止在原位置，不搬迁或覆盖。并行实例中途撞上已开始的创建
|
||||
同样可能保守地要求人工处理，不承诺无损接续；多副本部署应启用既有 leader election。
|
||||
|
||||
成功只设置 `CredentialsReady=True`，Database Ready 仍为 False/ProvisioningIncomplete，
|
||||
Tenant 仍未完成交付。本切片没有 PostgreSQL role/database 创建、扩展安装、ESO 投射、
|
||||
Retain 释放或 Delete 清理，也不会解除 finalizer。不要作为完整 DBaaS 部署。
|
||||
|
||||
单元测试穷举前置条件；真实 API server + 隔离 Bao 验证创建、状态确认、幂等、重启、并发、
|
||||
依赖恢复、固定位置、不确定结果、确认保存失败和删除边界；实际 manager 验证 watch 驱动
|
||||
及重启。该 fixture 只声明 Instance 前置 Ready，真实 PostgreSQL 管理能力由既有 Instance
|
||||
集成测试覆盖，不把凭据准备验收当成实际建库或应用登录验收。
|
||||
|
||||
## OpenBao Kubernetes 认证会话
|
||||
|
||||
|
||||
@@ -40,9 +40,12 @@ Instance phase 沿用已批准枚举；Database/Tenant phase 暂不冻结供应
|
||||
|
||||
凭据位置与确认版本一旦写入便不可更改或移除；确认版本必须有对应位置。Conditions 描述
|
||||
当前可用性，不替代确认记录，也不能因读取暂时失败而清空记录。上述 schema 已有真实 API
|
||||
server 校验；负责持久化它们的供应用例尚未接入，现有绑定 controller 不会填写这些字段。
|
||||
server 校验；独立的凭据准备用例在显式启用后填写这些字段，绑定 controller 不负责外部写入。
|
||||
未确认的已有值必须报 Conflict，不能用读取成功补记版本；已确认版本的恢复读取检查最新
|
||||
KV 版本，删除或版本漂移均需人工处理，不回退旧版本或生成替代密码。第一版不提供轮换入口。
|
||||
`CredentialsReady` 条件只描述凭据准备结果；它不授权实际数据库交付。
|
||||
`CreationStarted` 且无确认版本表示创建未完成确认，重入时停在 Conflict；不尝试推断
|
||||
进程中断前请求是否发出。完整执行和测试边界见[凭据准备闭环](README.md#凭据准备闭环)。
|
||||
|
||||
示例：[Instance](../../config/samples/database_v1alpha1_postgresqlinstance.yaml)、
|
||||
[导入 Database](../../config/samples/database_v1alpha1_postgresqldatabase.yaml)、
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
# 部署与配置
|
||||
|
||||
> 本页区分已实现的 Instance 观测配置与尚未接入的供应/交付目标合同。
|
||||
> 本页区分已实现的 Instance 观测、认证和凭据准备配置，与尚未接入的 PostgreSQL 供应/交付合同。
|
||||
> 完整 Database 服务仍不可部署使用；当前可执行入口见 [模块说明](README.md)。
|
||||
|
||||
| 项目 | 内容 |
|
||||
@@ -45,11 +45,11 @@ Instance 观测）与 `--database-root-cert`（公开 PostgreSQL CA PEM 路径
|
||||
| `--openbao-auth-mount` | 已实现，`kubernetes` | Kubernetes auth mount 名称 |
|
||||
| `--openbao-auth-role` | 已实现，启用时必填 | OpenBao 登录 role |
|
||||
| `--openbao-ca-cert` | 已实现，默认系统信任根 | OpenBao 公开 CA PEM 路径 |
|
||||
| `--openbao-kv-mount` | `kv` | KV v2 mount；开发可显式用 `secret` |
|
||||
| `--database-credential-mount` | 已实现，默认空 | 显式设置后启用应用凭据准备，要求已配置 OpenBao 认证 |
|
||||
| `--openbao-service-account-namespace` | 已实现，启用时必填 | TokenRequest 目标 SA 的固定 namespace |
|
||||
| `--openbao-service-account-name` | 已实现，启用时必填 | TokenRequest 目标 SA 名称 |
|
||||
| `--openbao-token-audience` | 已实现，`openbao` | SA JWT audience，必须匹配 OpenBao role |
|
||||
| `--openbao-tenant-base-path` | 默认 `postgresql-tenants` | controller 专属 mount-relative 前缀 |
|
||||
| `--database-credential-prefix` | 已实现，默认 `applications` | Database UID 路径的 mount-relative 前缀；不迁移已有位置 |
|
||||
| `--external-secret-store-name` | 必填 | controller 创建的 ExternalSecret 固定引用 |
|
||||
| `--database-root-cert` | 已实现 | 只读 PEM trust bundle，不含私钥；沿用 Instance 连接配置 |
|
||||
| `--reconcile-timeout` | `30s` | 单轮 reconcile 中外部操作的总期限，必须大于零 |
|
||||
@@ -122,8 +122,20 @@ base path 必须是合法 mount-relative path，不以 `/` 开头且不包含空
|
||||
|
||||
## OpenBao 与 ESO
|
||||
|
||||
controller policy 仅允许在固定 tenant base path 下 create/read/update/delete KV v2
|
||||
data 和 metadata，Delete 必须能永久删除全部版本及 metadata；不读取管理凭据路径。
|
||||
当前凭据准备只需固定前缀下 KV v2 data 的 create/read/update 权限，不需要 metadata 或
|
||||
delete 权限，也不读取管理凭据路径。示例（`secret` 为测试 mount，需替换为实际配置）：
|
||||
|
||||
```hcl
|
||||
path "secret/data/applications/*" {
|
||||
capabilities = ["create", "read", "update"]
|
||||
}
|
||||
```
|
||||
|
||||
在上面的认证启动参数基础上增加 `--database-credential-mount=secret` 即启用凭据准备；
|
||||
需要不同前缀时同时配置 `--database-credential-prefix` 和对应 policy。仅设置
|
||||
`--openbao-address` 不会启用凭据创建。缺少认证配置或非法 mount/prefix 在启动时失败。
|
||||
新字段 CRD 必须先升级再启用 controller，否则 API pruning 会使确认记录无法保存。
|
||||
未来 Delete 清理才需要永久删除全部版本及 metadata 的权限，本切片不提前授予。
|
||||
|
||||
管理凭据由管理员维护的 ExternalSecret 同步到 controller namespace；其 ESO 身份
|
||||
只读对应管理路径，不能供 Tenant 使用。租户 ESO 身份只读 tenant base path，不得
|
||||
|
||||
@@ -5,13 +5,22 @@
|
||||
|
||||
## 当前绑定切片的限制
|
||||
|
||||
源码已接入绑定 controller，未接入 PostgreSQL 供应、OpenBao/ESO 交付或删除清理。
|
||||
源码已接入绑定、Instance 观测与可选的 Bao 凭据准备，未接入 PostgreSQL 供应、ESO 交付或删除清理。
|
||||
Bound/BindingComplete 只表示 Kubernetes 双向记录一致，Ready 仍为 False。
|
||||
Tenant 删除会保留 `database.ayatori.ddupan.top/tenant-protection` 并报告 DeletionPending；
|
||||
Database 的 `database.ayatori.ddupan.top/database-protection` 也尚无清理后移除路径。
|
||||
这是未完成能力的明确边界，不是已经实现的 Retain/Delete 恢复逻辑。不要将此切片部署为
|
||||
业务 DBaaS，也不要为了消除等待状态直接移除 finalizer；后续必须补齐清理与验收。
|
||||
|
||||
凭据准备现在可单独启用，见[部署参数](deployment.md)。观察 Database 的
|
||||
`CredentialsReady`、固定 `status.credentialRef` 和 `status.credentialVersion`，不要导出
|
||||
凭据内容。Prepared 只代表 Bao 凭据可用，不代表已建库或 Tenant Ready。
|
||||
`CreationStarted` 在创建结果确认前持久化；重启或失败留下该状态时报告 Conflict。
|
||||
这包括“状态已写但请求还没发出”的保守停止；不要因为当前位置暂时为空就重试生成密码。
|
||||
无确认版本的 Conflict 不会自行消失，后端恢复也不自动重入；应暂停该 controller、等待
|
||||
在途请求结束后核实版本历史、残留与绑定，再决定清理或显式导入。不要清空整个 status
|
||||
或更改固定引用来绕过保护。导入和完整人工恢复入口仍待对应切片实现。
|
||||
|
||||
## 日常检查
|
||||
|
||||
Instance 观察已实现：先确认 manager 配置了 `--database-secret-namespace` 或 `POD_NAMESPACE`，
|
||||
|
||||
Reference in New Issue
Block a user