ops/registry-deploy #1

Merged

hru merged 2 commits from ops/registry-deploy into main

2026-07-28 19:21:43 +00:00

hru commented

2026-07-28 19:21:32 +00:00

Owner

No description provided.

hru added 2 commits

2026-07-28 19:21:32 +00:00

Deploy aus der Registry statt Build auf dem Server 1b5c4cf470

Der Server brauchte bisher ein Repo-Checkout, weil docker-compose.yml an drei
Stellen auf Repo-Dateien zeigte: build-Kontext, ../.env und die nginx-Mounts.
Das App-Image kommt jetzt aus git.stuve.uni-ulm.de/hru/vms; auf dem Server
liegen nur noch docker-compose.yml, .env und nginx-docker.conf nebeneinander.

Zwei Dinge, die der Umbau mit erledigt:

- secrets.enc lag im Container-Dateisystem. Beim Registry-Deploy wird der
  Container bei jedem Update neu *erstellt* — die Datei wäre danach weg und
  würde aus der Umgebung neu aufgebaut, in der KANBOARD_TOKEN, IMAP_PASSWORD
  und MAIL_PASSWORD gar nicht stehen. KMS_SECRETS_PATH zeigt jetzt ins
  kms_data-Volume, passend zu DEFAULT_SECRETS_PATH in vms/infra/kms.py.

- Nginx lieferte /static/ aus einem Bind-Mount des Checkouts. Stattdessen
  befüllt der Entrypoint bei jedem Start das Volume app_static aus dem Image.
  Das rm -rf davor ist Absicht: die URLs tragen einen Inhalts-Hash aus
  /app/static und nginx cacht sie als immutable — ein abgedriftetes Volume
  wäre ein schwer auffindbarer Fehler.

Die Volumes app_secrets, app_signatures und app_static_signatures entfallen;
Signaturen landen laut vms/app.py in einem Temp-Verzeichnis, dorthin hat nie
etwas geschrieben.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

Projektnamen in die Compose-Datei schreiben fefbc1b388

Der Name bestimmt die Volume-Präfixe (ops_pgdata, ops_kms_data) und kam bisher
aus dem Verzeichnisnamen. Auf dem Server liegt die Datei nicht mehr in ops/ —
ein anderer Name legt leere Volumes an, die Datenbank wirkt dann leer. Als
`name: ops` in der Datei kann das beim Aufsetzen nicht mehr vergessen werden;
COMPOSE_PROJECT_NAME sticht es weiterhin.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>