الضبط

يعتمد كل مخطط على مخطط مكتبة واحد، هو quench-common، فتبدو المقابض التشغيلية متشابهة أيًّا كانت قاعدة البيانات التي تُشغّلها. تعيش الإعدادات الخاصة بالتطبيق ضمن كتلة config: (وحيثما يلزم auth:) موثّقة في صفحة كل مخطط؛ وكل ما يلي مشترك.

الصورة (مثبّتة بالبصمة الرقمية)

يُشار إلى الصورة ببصمة sha256، لا بوسم. يرفض quench-common المرجع المعتمد على وسم وحده عن قصد، فلا يمكن لمخطط أبدًا أن ينشر شيئًا غير مثبّت. يعيد التكامل المستمر (CI) كتابة هذا إلى أحدث بصمة موقّعة عند كل بناء للصورة، لذا تتركه عادةً كما هو.

1
image:
2
  repository: ghcr.io/quenchworks/images/postgresql
3
  digest: "sha256:..."   # set by CI; override to pin a specific build
4
  pullPolicy: IfNotPresent

الاستمرارية

تُوفّر المخططات الحالة (Stateful) مطالبة PVC. عطّلها للاستخدام العابر، أو حدّد حجمها، أو اختر صنفًا، أو اربط مطالبة قائمة.

1
persistence:
2
  enabled: true
3
  size: 8Gi
4
  storageClass: ""          # default class if empty
5
  accessModes: ["ReadWriteOnce"]
6
  existingClaim: ""         # bind an existing PVC instead

الموارد

1
resources:
2
  requests: { cpu: 250m, memory: 256Mi }
3
  limits:   { cpu: "1",  memory: 1Gi }

تحدّد بعض المحرّكات حجم كومتها (heap) أو ذاكرتها من هذه القيم (أو من قيمة مخصّصة)؛ وتشير صفحات مخططاتها إلى ذلك.

الجدولة والتوزيع

تمرّ ضوابط Kubernetes المعتادة مباشرةً: nodeSelector وaffinity وtolerations وtopologySpreadConstraints وpriorityClassName وschedulerName وterminationGracePeriodSeconds وupdateStrategy.

بيئة ووحدات تخزين إضافية

احقن الإعدادات دون تفريع المخطط:

1
extraEnvVars:
2
  - name: MY_FLAG
3
    value: "1"
4
extraEnvVarsCM: ""          # name of a ConfigMap to envFrom
5
extraEnvVarsSecret: ""      # name of a Secret to envFrom
6
extraVolumes: []
7
extraVolumeMounts: []
8
initContainers: []
9
sidecars: []

سياق الأمان

تأتي الإعدادات الافتراضية المُحصّنة من quench-common: runAsNonRoot (uid/gid/fsGroup 1001)، وseccomp RuntimeDefault، ونظام ملفات جذر للقراءة فقط، ومنع تصعيد الصلاحيات، وإسقاط جميع الصلاحيات. أي شيء تضبطه يندمج فوق الإعدادات الافتراضية، فلا تتجاوز إلا ما تحتاج إليه.

1
podSecurityContext: {}        # your keys win over the hardened defaults
2
containerSecurityContext: {}

الفحوص

يأتي كل مخطط مع فحوص حيوية وجاهزية معقولة. اضبط التوقيت، أو استبدل فحصًا كليًّا.

1
livenessProbe:  { initialDelaySeconds: 30 }   # merge timing overrides
2
readinessProbe: { periodSeconds: 10 }
3
customLivenessProbe:  {}   # set to replace the probe entirely
4
customReadinessProbe: {}
5
customStartupProbe:   {}

الشبكات والإتاحة

تكون NetworkPolicy مفعّلة افتراضيًا وهي حدّ الثقة للمخططات التي تأتي دون مصادقة على مستوى التطبيق. ويحرس PodDisruptionBudget الاضطرابات الطوعية.

1
networkPolicy:
2
  enabled: true
3
  allowExternal: false      # restrict ingress to same-namespace pods
4
podDisruptionBudget:
5
  enabled: true
6
  minAvailable: 1
7
serviceAccount: { create: true, name: "", annotations: {} }
8
rbac: { create: false }

اطّلع على المخطط (schema)

يأتي كل مخطط مع ملف values.schema.json، فيتحقّق Helm ممّا تمرّره ويستطيع محرّرك إكماله تلقائيًا. اقرأ قيم مخطط كاملة في السطر:

helm show values oci://ghcr.io/quenchworks/charts/postgresql
helm show readme  oci://ghcr.io/quenchworks/charts/postgresql