From 4d18efed37b91ee3c86fd6f7741536f3de1bc51d Mon Sep 17 00:00:00 2001 From: panxiao81 Date: Fri, 25 Sep 2026 19:41:30 +0000 Subject: [PATCH] =?UTF-8?q?docs:=20=E5=90=8C=E6=AD=A5=E5=87=AD=E6=8D=AE?= =?UTF-8?q?=E5=88=87=E7=89=87=E5=90=88=E5=B9=B6=E4=B8=8E=20Kubernetes=20?= =?UTF-8?q?=E8=AE=A4=E8=AF=81=E9=AA=8C=E8=AF=81?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- services/postgresql-tenant-operator.md | 20 +++++++++++++++----- verification.md | 13 ++++++++----- 2 files changed, 23 insertions(+), 10 deletions(-) diff --git a/services/postgresql-tenant-operator.md b/services/postgresql-tenant-operator.md index b2a56d3..8f83efe 100644 --- a/services/postgresql-tenant-operator.md +++ b/services/postgresql-tenant-operator.md @@ -159,15 +159,25 @@ Instance 观测、Secret watch 与删除引用保护已在 CI 通过后，经维 [模块说明](https://git.ddupan.top/panxiao81/ayatori/src/commit/f4deb98a7fcf61fb97ce52bbf190beb816d0141a/docs/database/README.md) 与安全文档为准；合并不表示部署或完整供应链路已完成。 -后续应用凭据存储切片已签名提交为 -[f6bb9e4](https://git.ddupan.top/panxiao81/ayatori/commit/f6bb9e4599afca49a9cdc3d40789e11d118db9c5)， -由 [PR #12](https://git.ddupan.top/panxiao81/ayatori/pulls/12) 跟踪，尚未合并。 +应用凭据存储切片及测试准备修复已通过三项 CI，并经维护者批准合并 +[PR #12](https://git.ddupan.top/panxiao81/ayatori/pulls/12)，合并提交为 +[22ab72e](https://git.ddupan.top/panxiao81/ayatori/commit/22ab72ec60dd5a0bf852e4563e107597dd56e81f)。 复用 OpenBao 官方 Go SDK 的 KV v2 CAS=0、回读七键与版本，禁止覆盖 或自动认领；明确权限拒绝等待依赖恢复，写入结果不确定则停止并人工处理。本地真实 -OpenBao 测试已覆盖并发、软删除、固定前缀权限和响应丢失，尚未接入 manager、Kubernetes -auth、Database 供应或 ESO。源码模块文档与 wiki 已关联，见 +OpenBao 测试已覆盖并发、软删除、固定前缀权限和响应丢失，尚未接入 manager、 +Database 供应或 ESO。源码模块文档与 wiki 已关联，见 [同步记录](../verification.md)。 +Kubernetes 认证会话的后续实现位于 +[PR #13](https://git.ddupan.top/panxiao81/ayatori/pulls/13)，提交 +[dcf9ab5](https://git.ddupan.top/panxiao81/ayatori/commit/dcf9ab50dffab2740b1801a560d47b1a857374b1)，尚未合并。 +使用官方 SDK 登录与 LifetimeWatcher，不自行实现续期算法；重新登录重读指定 SA token， +缺失或空文件不回退其他身份，续期失败及停止时清空本地 token。真实 envtest/OpenBao 测试 +验证 TokenReview、续期、撤销恢复与 namespace/audience 拒绝，三轮 race、本地全量测试和 +两种 lint 通过。manager 配置、生命周期/健康检查装配与生产 auth 配置仍未接入，不代表已部署。 +具体使用边界见该提交的 +[认证会话说明](https://git.ddupan.top/panxiao81/ayatori/src/commit/dcf9ab50dffab2740b1801a560d47b1a857374b1/docs/database/README.md#openbao-kubernetes-认证会话)。 + - operator 管理实例内的租户资源，不运行 PostgreSQL/OpenBao，也不管理 VM、存储、备份或 OpenBao PKI。 - 应用密码写入 OpenBao，不进入 CR、Event 或日志；ESO 负责向 Kubernetes 消费者投射。 - Database 默认 Retain；删除 Tenant 保留资源对象与数据，Released 不自动重新分配。 diff --git a/verification.md b/verification.md index 587b5c3..7c2e17b 100644 --- a/verification.md +++ b/verification.md @@ -107,11 +107,14 @@ controller、目标固定、finalizer 保留与生成 RBAC，真实 API server [f4deb98](https://git.ddupan.top/panxiao81/ayatori/commit/f4deb98a7fcf61fb97ce52bbf190beb816d0141a)； 未部署或进行现场验收。 -后续凭据存储切片已签名提交并推送为 -[f6bb9e4](https://git.ddupan.top/panxiao81/ayatori/commit/f6bb9e4599afca49a9cdc3d40789e11d118db9c5)， -由 [PR #12](https://git.ddupan.top/panxiao81/ayatori/pulls/12) 跟踪 CI 与 review。 -全量测试、真实 PostgreSQL/API server/OpenBao 集成测试及两种 lint 本地通过；源码模块文档 -和 wiki 已同步实现边界与正式链接。尚未合并或接入供应流程，不把本地验证等同于远端 CI。 +凭据存储切片及冷缓存准备修复已通过 CI #815 的 test、lint、database-integration， +维护者批准后合并 [PR #12](https://git.ddupan.top/panxiao81/ayatori/pulls/12)，合并提交 +[22ab72e](https://git.ddupan.top/panxiao81/ayatori/commit/22ab72ec60dd5a0bf852e4563e107597dd56e81f)。 +后续 Kubernetes 认证与短期会话续期已提交为 +[dcf9ab5](https://git.ddupan.top/panxiao81/ayatori/commit/dcf9ab50dffab2740b1801a560d47b1a857374b1)， +由 [PR #13](https://git.ddupan.top/panxiao81/ayatori/pulls/13) 跟踪 CI 与 review。 +本地全量测试、三轮真实 OpenBao/TokenReview race 测试及两种 lint 通过；源码模块文档与 wiki +已同步边界和正式链接。认证尚未合并或装配到 manager，不把本地验证等同于远端 CI 或服务上线。 ## 2026-09-25 sandbox 存储故障复盘的来源边界