feat: 固定 Database 凭据位置与确认版本
This commit is contained in:
@@ -169,7 +169,12 @@ Instance 删除首先释放本地连接并撤销 Ready。任何引用它的 Data
|
||||
拒绝管理路径，以及成功写入后丢失响应；HTTP 故障测试补充不重试和错误脱敏。
|
||||
|
||||
认证会话已按下面的显式参数接入 manager；凭据存储尚未接入供应用例。
|
||||
Database 状态中的稳定位置和已确认步骤、供应 service/controller、PostgreSQL 创建以及 ESO 交付仍未完成。
|
||||
Database 已有 `status.credentialRef` 和 `status.credentialVersion` 的字段与 CEL 校验：
|
||||
固定位置、只在创建并回读成功后确认版本，二者写入后不可清空或修改。
|
||||
`ReadConfirmed` 按已确认版本检查最新 KV 值，删除或版本漂移报 Conflict，不读取旧版本掩盖变化。
|
||||
真实 API server 验证 status 清除拒绝、版本冲突和 Conditions 更新；真实 Bao 验证重建 adapter
|
||||
后读取、缺少确认记录拒绝、版本变化与软删除。字段持久化的供应 service/controller、
|
||||
PostgreSQL 创建以及 ESO 交付仍未完成，本切片不是已接入的凭据准备流程。
|
||||
测试 token 只用于临时 fixture，不是生产静态 token 配置接口。现有绑定不会触发外部写入。
|
||||
|
||||
## OpenBao Kubernetes 认证会话
|
||||
|
||||
@@ -4,7 +4,7 @@
|
||||
| --- | --- |
|
||||
| 状态 | API schema 与绑定 controller 已实现；供应、交付与删除清理未接入 |
|
||||
| API group/version | `database.ayatori.ddupan.top/v1alpha1` |
|
||||
| 最后更新 | 2026-09-25 |
|
||||
| 最后更新 | 2026-09-27 |
|
||||
|
||||
以 [系统规格](specification.md) 与
|
||||
[ADR-0009](../decisions/0009-database-resource-and-claim.md) 为准。类型与生成的 CRD 已纳入源码，
|
||||
@@ -24,6 +24,8 @@ Go 类型位于 `api/database/v1alpha1`，CRD 随 `config/crd` 发布；manager
|
||||
| Database | `spec.reclaimPolicy` | Retain 默认或 Delete |
|
||||
| Database | `spec.tenantRef.namespace/name/uid` | controller 写入的完整绑定身份，不是允许名单 |
|
||||
| Database | `status.instanceUID` | 观察时的 Instance 身份 |
|
||||
| Database | `status.credentialRef.mount/path` | 首次写入前固定的 KV v2 位置，不随部署配置迁移 |
|
||||
| Database | `status.credentialVersion` | 创建并回读成功后确认的正整数版本；省略表示未确认 |
|
||||
| Tenant | `spec.provision.instanceRef.name` | 动态申请来源，与 `spec.databaseRef` 互斥且必须二选一 |
|
||||
| Tenant | `spec.provision.database/loginRole` | 可省略，语义默认值由 controller 解析，不由 CRD 推导 |
|
||||
| Tenant | `spec.databaseRef.name` | 显式申请已有 Database，不额外指定 Instance |
|
||||
@@ -36,6 +38,12 @@ Instance phase 沿用已批准枚举；Database/Tenant phase 暂不冻结供应
|
||||
`credentialRef.path` 是 mount 内逻辑路径，不包含 KV v2 的 `data/` 前缀。
|
||||
其部署允许范围、实际凭据读取和 URL 安全构造仍由后续 adapter/controller 验证。
|
||||
|
||||
凭据位置与确认版本一旦写入便不可更改或移除；确认版本必须有对应位置。Conditions 描述
|
||||
当前可用性，不替代确认记录，也不能因读取暂时失败而清空记录。上述 schema 已有真实 API
|
||||
server 校验；负责持久化它们的供应用例尚未接入，现有绑定 controller 不会填写这些字段。
|
||||
未确认的已有值必须报 Conflict，不能用读取成功补记版本；已确认版本的恢复读取检查最新
|
||||
KV 版本，删除或版本漂移均需人工处理，不回退旧版本或生成替代密码。第一版不提供轮换入口。
|
||||
|
||||
示例：[Instance](../../config/samples/database_v1alpha1_postgresqlinstance.yaml)、
|
||||
[导入 Database](../../config/samples/database_v1alpha1_postgresqldatabase.yaml)、
|
||||
[动态/已有资源申请](../../config/samples/database_v1alpha1_postgresqltenant.yaml)。
|
||||
@@ -47,7 +55,7 @@ API 接受两个 Tenant 引用同一 Database 不表示允许双重绑定；排
|
||||
已有资源必须有当前版本 Ready 观察、匹配的 Instance UID，并处于未绑定的 Available 状态。
|
||||
同一 Tenant 的资源侧记录已写入时，允许回读后补齐申请侧，不重新争抢资源。
|
||||
|
||||
Tenant 进入 `status.phase=Binding` 后由 CEL 固定申请目标；Database 有实例身份观察或
|
||||
Tenant 进入 `status.phase=Binding` 后由 CEL 固定申请目标；Database 有实例身份观察、凭据位置或
|
||||
绑定后固定实际 database、loginRole、来源和凭据引用，回收策略仍可修改。
|
||||
读取绑定判断使用 APIReader，写入依靠 resourceVersion；watch/cache 负责触发协调。
|
||||
绑定顺序由 application service 协调，纯资格规则在领域层；Kubernetes adapter 负责快照
|
||||
|
||||
@@ -192,6 +192,12 @@ mount/base path 属部署配置，Tenant 不得自选任意路径；原按 Tenan
|
||||
位置，不要求搬迁已有凭据。Released 不自动改密，管理员处理旧访问后才重新开放资源。
|
||||
不得因换 Tenant、改部署参数或重新绑定就隐式搬迁凭据或改密。
|
||||
|
||||
2026-09-27 确认最小凭据记录：Database `status.credentialRef` 在首次外部写入前固定
|
||||
mount/path；`status.credentialVersion` 仅在成功创建并回读后保存 KV 版本。位置和确认版本
|
||||
不得自动更改或清空，Conditions 只描述当前可用性。已有值但无确认版本时报告 Conflict，
|
||||
不能靠读取成功认领；已确认凭据消失或最新版本不一致同样停止，等待人工核实。
|
||||
部署参数变化不得搬迁旧位置；确认记录写入的 resourceVersion 冲突不能通过盲目重试覆盖。
|
||||
|
||||
TLS、OpenBao Kubernetes auth、controller/ESO 身份隔离、Secret 读取范围和防泄漏要求
|
||||
见 [安全模型](security.md)。这些安全约束继续适用。
|
||||
|
||||
|
||||
Reference in New Issue
Block a user