Руководство по установке#

...
    defaultConfig:
      proxyMetadata:
        ISTIO_META_DNS_CAPTURE: 'true'
        ISTIO_META_DNS_AUTO_ALLOCATE: 'true'
...

kubectl apply -n $FEDERATION_NAMESPACE -f - <<EOF
kind: ServiceAccount
apiVersion: v1
metadata:
  name: synapse-federation-controller
  namespace: $FEDERATION_NAMESPACE
imagePullSecrets:
  - name: $IMAGE_PULL_SECRETS
---
kind: ServiceAccount
apiVersion: v1
metadata:
  name: synapse-federation-discovery
  namespace: $FEDERATION_NAMESPACE
imagePullSecrets:
  - name: $IMAGE_PULL_SECRETS

kubectl apply -n $FEDERATION_NAMESPACE -f - <<EOF
kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-controller-crb
rules:
  - verbs:
      - get
      - list
      - create
      - update
      - patch
      - watch
      - delete
    apiGroups:
      - networking.synapse.sber
    resources:
      - serviceexports/status
      - serviceimports/status
      - servicetrafficpolicies/status
      - federationmemberlists/status
      - federationmembers/status
  - verbs:
      - get
      - list
      - watch
    apiGroups:
      - ''
    resources:
      - services
      - namespaces
  - verbs:
      - get
      - watch
      - list
    apiGroups:
      - networking.synapse.sber
    resources:
      - serviceexports
      - serviceimports
      - servicetrafficpolicies
      - federationmemberlists
      - federationmembers
  - verbs:
      - get
      - list
    apiGroups:
      - rbac.authorization.k8s.io
    resources:
      - roles
      - rolebindings
      - clusterroles
      - clusterrolebindings
  - verbs:
      - get
      - list
      - watch
    apiGroups:
      - project.openshift.io
    resources:
      - projects
---
kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-controller
rules:
  - verbs:
      - get
      - update
      - create
      - delete
      - list
    apiGroups:
      - networking.istio.io
    resources:
      - virtualservices
      - serviceentries
      - gateways
      - destinationrules
      - envoyfilters
---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-dns-manager
  namespace: $FEDERATION_NAMESPACE
rules:
  - verbs:
      - get
      - list
      - create
      - update
      - patch
      - watch
      - delete
    apiGroups:
      - federation.synapse.sber
    resources:
      - hostentriesslice
---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-leases
  namespace: $FEDERATION_NAMESPACE
rules:
  - verbs:
      - get
      - list
      - watch
      - create
      - update
      - patch
      - delete
    apiGroups:
      - coordination.k8s.io
    resources:
      - leases
---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-discovery
  namespace: $FEDERATION_NAMESPACE
rules:
  - verbs:
      - get
      - list
      - create
      - update
      - patch
      - watch
      - delete
    apiGroups:
      - federation.synapse.sber
    resources:
      - endpointsslice
      - discoveryserviceimports
      - discoveryserviceexports
      - controllers
      - trafficpolicies
      - discoveryfederationmemberlists
      - trafficpolicies/status
EOF

kubectl apply -n $FEDERATION_NAMESPACE -f - <<EOF
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-controller-crb
subjects:
  - kind: ServiceAccount
    name: synapse-federation-controller
    namespace: $FEDERATION_NAMESPACE
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: synapse-federation-controller-crb
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-discovery-rb
  namespace: $FEDERATION_NAMESPACE
subjects:
  - kind: ServiceAccount
    name: synapse-federation-discovery
    namespace: $FEDERATION_NAMESPACE
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: synapse-federation-discovery
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-controller-leases-rb
  namespace: $FEDERATION_NAMESPACE
subjects:
  - kind: ServiceAccount
    name: synapse-federation-controller
    namespace: $FEDERATION_NAMESPACE
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: synapse-federation-leases
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-discovery-leases-rb
  namespace: $FEDERATION_NAMESPACE
subjects:
  - kind: ServiceAccount
    name: synapse-federation-discovery
    namespace: $FEDERATION_NAMESPACE
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: synapse-federation-leases
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-controller-rb
  namespace: $FEDERATION_NAMESPACE
subjects:
  - kind: ServiceAccount
    name: synapse-federation-controller
    namespace: $FEDERATION_NAMESPACE
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: synapse-federation-controller
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-controller-manager-rb
  namespace: $FEDERATION_NAMESPACE
subjects:
  - kind: ServiceAccount
    name: synapse-federation-controller
    namespace: $FEDERATION_NAMESPACE
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: synapse-federation-dns-manager
EOF

kubectl apply -n $FEDERATION_NAMESPACE -f - <<EOF
kind: MutatingWebhookConfiguration
apiVersion: admissionregistration.k8s.io/v1
metadata:
  annotations:
    service.beta.openshift.io/inject-cabundle: 'true'                                                  # при использовании Openshift
    cert-manager.io/inject-ca-from: $FEDERATION_NAMESPACE/validationwebhook-federation-cert  # gри использовании «cert-manager» в кластере kubernetes
  name: synapse-federation-mutating-webhook
  labels:
    app: synapse-federation-mutating-webhook
    kind: mutator
webhooks:
  - name: webhook.federation.synapse.sber
    sideEffects: None
    clientConfig:
      service:
        namespace: $FEDERATION_NAMESPACE
        name: ingressgateway-$FEDERATION_NAMESPACE
        path: /api/webhook
        port: 10445
      caBundle: $CA_BUNDLE    # пример «LS0tLS1CRUdJTiBDRVJ*»
    reinvocationPolicy: Never
    rules:
      - operations:
          - CREATE
          - UPDATE
        apiGroups:
          - networking.synapse.sber
        apiVersions:
          - '*'
        resources:
          - serviceexports
          - serviceimports
          - servicetrafficpolicies
        scope: '*'
    matchPolicy: Equivalent
    namespaceSelector: {}
    admissionReviewVersions:
      - v1
      - v1alpha1
    failurePolicy: Fail
    objectSelector: {}
    timeoutSeconds: 10
---
kind: ValidatingWebhookConfiguration
apiVersion: admissionregistration.k8s.io/v1
metadata:
  name: synapse-federation-validation-webhook
  annotations:
    service.beta.openshift.io/inject-cabundle: 'true'                                                  # при использовании Openshift
    cert-manager.io/inject-ca-from: $FEDERATION_NAMESPACE/validationwebhook-federation-cert  # gри использовании «cert-manager» в кластере kubernetes
webhooks:
  - name: federation.synapse.validation.sber
    sideEffects: None
    clientConfig:
      service:
        namespace: $FEDERATION_NAMESPACE
        name: ingressgateway-$FEDERATION_NAMESPACE
        path: /api/ingress-gw-validation
        port: 10445
      caBundle: $CA_BUNDLE    # пример «LS0tLS1CRUdJTiBDRVJ*»
    rules:
      - operations:
          - CREATE
          - UPDATE
        apiGroups:
          - networking.istio.io
        apiVersions:
          - '*'
        resources:
          - gateways
        scope: Namespaced
    matchPolicy: Exact
    namespaceSelector:
      matchExpressions:
        - key: $FEDERATION_NAMESPACE-federation
          operator: In
          values:
            - 'true'
    admissionReviewVersions:
      - v1alpha1
      - v1
    failurePolicy: Ignore
    objectSelector: {}
    timeoutSeconds: 30
EOF

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: validationwebhook-federation-cert
  namespace: $FEDERATION_NAMESPACE
spec:
  commonName: ingressgateway-$FEDERATION_NAMESPACE.$FEDERATION_NAMESPACE.svc
  dnsNames:
  - ingressgateway-$FEDERATION_NAMESPACE
  - ingressgateway-$FEDERATION_NAMESPACE.svc
  - ingressgateway-$FEDERATION_NAMESPACE.$FEDERATION_NAMESPACE.svc
  duration: 43800h
  issuerRef:
    kind: ClusterIssuer
    name: kubernetes-selfsigning-issuer
  renewBefore: 4380h
  secretName: ingressgateway-$FEDERATION_NAMESPACE

### Необходимо реализовать файл values.yaml
### Расположение файла в рамках git ветки job «SynapseInstaller» (более подробно о настройке и запуске можно ознакомиться в документации компонента «SMDL», «Руководство оператора»)
### Для компонента FSSM - synapse-config-dev-gen/${имя проекта для установки}/package/conf/k8s/base/helm/fssm/values.yaml

release_version: "1.6.0" # указать версию релиза
config_version: "1.6.0"  # указать версию конфигурации
component_type: service

registryHost: sw.sbc.space                         # Docker registry где расположен образы FSSM
registry_path: /dev                                # Docker path где расположен образы FSSM
indexFederation: ''                                # уникальный идентификатор установки FSSM, указывается принеобходимости установить несколько федераций, важно учитывать измененение адреса (grpc-federation-discovery{{ .Values.indexFederation }}.{{ .Values.discoveryCluster }})
cluster: apps.stands.solution.sbt                  # наименование кластера, формата «apps.stands-vdc01.solution.sbt»
region: 'moscow'                                   # наименование региона где производиться установка компонента
useControl: ose                                    # используемая версия Istio, при использовании версии 1.6 необходимо указать значение «ose», при использовании контрольной панели POLM реализовать значение «ose-se» и при использовании POLM в рамках Kubernetes необходимо указать значение «k8s»
serviceIstiod: istiod-basic                        # наименование сервиса контрольной панели, компонента «istiod»
istioControlPlane: sbt-controlplane                # наименование namespace контрольной панели, к которой подключен namespace компонента FSSM
discoveryCluster: apps.stands.solution.sbt         # наименование кластера, где установлен лидер FederationDiscovery (описание про лидера реализованно в документе «Детальная архитектура» в разделе «Диаграммы развертывания»)
discovery_external_port: 443                       # внешний порт по которому идет обращение к discovery (подставляется в ServiceEntry)
#discovery_external_ip: *.*.*.*                    # внешний IP-адрес discovery, указывается опционально, при указанаии параметра «discovery_resolution: STATIC» 
discovery_resolution: DNS                          # resolution адреса discovery (подставляется в ServiceEntry)
discovery_persistent_type: kubeapi                 # указание места хранения федеративной маршрутизации (kubeapi - внутри кластера, Postgresql - использование postgreSQL)  
discoveryLeaderInNamespace: 'true'                 # при установке компонента FederationController в рамках namespace лидера компонента FederationDiscovery необходимо указать значение «'true'», если лидер FederationDiscovery располагается в другом кластере необходимо указать значение «'false'»
kubeAPIIP: '*.*.*.*'                               # IP-адрес сервиса KubeAPI (kubernetes.default.svc.cluster.local)
kubePort: 443                                      # Port сервиса KubeAPI (kubernetes.default.svc.cluster.local), параметр указывается при установке в Kubernetes кластер (useControl: k8s)
kubeAPIResolution: DNS                             # resolution в рамках реализации конфигурации «kind: ServiceEntry» по host Kube API server
kubeEgressRouting: TLS                             # реализация конфигураций Istio (TLS перехват трафика в рамках tls, TCP перехват трафика по tcp)
projectedKubeAPI: 'false'                          # признак монтирования токена для работы с KubeAPI, если стоит значение false, то токен будет примонитирован автоматически, если true то токен будет примонтирован в рамках Deployment
seccompProfile: 'false'                            # флаг установки параметра seccompProfile в секции securityContext у «kind: Deployment» (указанный параметр поддерживается в Kubernetes версии 1.25+)
generate_ephemeral_storage: 'true'                 # флаг установки ephemeral-storage в рамках контейнеров, конкретизация ресурсов указывается для каждого контейнера отдельно, при установке флага как «false» монтирование ephemeral-storage производиться не будет
affinity: 'true'                                   # флаг установки podAntiAffinity с конкретизацией метки (label) при установке на Node
poddistruptionbudget: 'true'                       # флаг установки конфигурации «kind: PodDistruptionBudget»
enabledPriorityClassName: 'true'                   # флаг установки параметра PriorityClassName в рамках «kind: Deployment»
priorityClassName: system-cluster-critical         # значение параметра PriorityClassName в рамках «kind: Deployment»
validating_protocol_sex: "false"                   # режим валидации протоколов при регистрации «kind: ServiceExport» и проверки в корректной интеграции «kind: ServiceImport» (например сервер опубликовал GRPC порт, а потребитлеь пытается настроить HTTP интеграцию - в данном случае FSSM выдаст ошибку и опишет ошибку в рамках конфигурации)
affinityMatchKey: beta.kubernetes.io/arch          # реализация affinityMatchKey в рамках IGEG
affinityMatchValues:                               # реализация affinityMatchValues в рамках IGEG
   - amd64
   - ppc64le
   - s390x
ottUserConfig: ose                                 # версия контрольной панели для реализации конфигурации «kind: EnvoyFilter» для реализации в рамках пользовательских интеграций. ose реализация конфигурации в рамках версии API envoy v2, k8s реализация конфигурации в рамках версии API envoy v3
workloadSelectorDRS_Federation: 'true'             # добавление в федеративные конфигурации DestinationRule секции workloadSelector на egressgateway
ottInstall: 'true'                                 # необходимость установки ОТТ в рамках проекта FSSM
add_kind_sidecar_cp: 'true'                        # включение в рамках «kind: sidecar» проект контрольной панели

add_serviceaccount: 'false'                        # флаг установки «kind: ServiceAccount»
image_pull_secret: pull                            # наименование imagePullSecrets для успешного обращения в docker registry

peer_authentication: 
  install: 'true'                                  # флаг установки конфигурации «kind: PeerAuthentication»
  mtls_mode: STRICT                                # указание используемого мода

bootstrap:
  mode: 'false'                                    # флаг использования федеративного трафика для приложения FederationController (добавляется в федерацию сервис FederationDiscovery), поддерживает работоспособность при использовании PostgreSQL для синхронизации
  use_default_address: 'true'                      # использование адреса «grpc-federation-discovery{{ .Values.indexFederation }}.{{ .Values.cluster }}» для федеративной маршрутизации, при значении «false» будет создан дополнительный Ingresses/Route предназначенный для федеративного трафика «grpc-bootstrap-discovery{{ .Values.indexFederation }}.{{ .Values.cluster }}»
  ott: 'true'                                      # использование ОТТ при организации федеративного трафика для приложения FederationController
  gateway:                                         # опционально, при значении параметра «use_default_address: 'false'» необходимо будет реализовать сертификаты для федеративного адреса «grpc-bootstrap-discovery{{ .Values.indexFederation }}.{{ .Values.cluster }}» на ingressgateway конфигурция «kind: Gateway»
    caCertificates:
      path: /etc/service/federation-secret
      name: ca.crt
    privateKey:
      path: /etc/service/federation-secret
      name: cert.key
    serverCertificate:
      path: /etc/service/federation-secret
      name: cert.crt
  destinationRule:                                 # опционально, при значении параметра «use_default_address: 'false'» необходимо будет реализовать сертификаты для федеративного адреса «grpc-bootstrap-discovery{{ .Values.indexFederation }}.{{ .Values.cluster }}» на egressgateway конфигурция «kind: DestinationRule»
    caCertificates:
      path: /etc/service/federation-secret
      name: ca.crt
    privateKey:
      path: /etc/service/federation-secret
      name: cert.key
    clientCertificate:
      path: /etc/service/federation-secret
      name: cert.crt

traffic_policy:                                    # настройки default-traffic-policy.yml, уаазаны значения по умолчанию
  loadBalancer:
    localityType: SYNAPSE
    localityLbSetting:
      enabled: true
    simple: ROUND_ROBIN
  outlierDetection:
    baseEjectionTime: 1m
    consecutive5xxErrors: 4
    interval: 1m
    maxEjectionPercent: 100
  retryPolicy:
    attempts: 3
    retryOn: 5xx
    retryRemoteLocalities: true
  connectionPool:
    tcp:
      connectTimeout: 1s

crd:                   
  install: false                                   # установка CRD (kind: CustomResourceDefinitions)
  useCRDProxy: false                               # установка CRD (kind: CustomResourceDefinitions) посредством компонента CRDproxy (уникальное решение одного из клиента)
  install_only_crd: false                          # произвести установку CRD без приложений FSSM

registration_federation_member_list:               # настройка функционала по регистрации пользоватлеьских namespace посредством CRD
   use: "false"                                    # активировать регистрацию посредством «kind: FederationMemberList»
   federation_id:                                  # уникальный идентификатор федерации, выбирается пользователем  
   close_federation: "false"                       # разрешить регистрацию в федерацию только администратору, через конфигурацию «kind: FederationMemberList», если значение «false», то будет разрешена регистрация посредством «kind: FederationMember» 
   use_default_label_selector: "true"              # использовать значение labelSelector по логике прошлых версий - {{ .Values.namespace }}-federation: true (поддержка обратной совместимости)
  add_namespaces:                                  # добавление списка namesapce в федерацию 
    - namespace: user-1
  exclude_namespaces:                              # реализовать список исключения из федерации при установке namespace
    - namespace: user-3
  use_custom_label_selector:                       # реализация собственного labelSelector, при необходимости (при использовании необходимо выставить флаг use_default_label_selector: "false")
    matchExpressions:
      - key: synapse-federation
        operator: In
        values:
          - true

sync:                                               
  enabled: 'true'                                  # включение синхронизации данных в KubeAPI server при работе с PostgreSQL server, позволяет организовать копии федеративных конфигураций в рамках кластеров, для возможности производить плавный переход на работу с KubeAPI server              
  syncKubeAPIPeriod: '10000'                       # период синхронизации федеративных данных в KubeAPI server
  updatesPeriod: '3000'                            # период синхронизации феерративных данных в PostgreSQL server для анализа добавления/изменения/удаления федеративных сервисов
  retryDelay: '5000'                               # периодичность опроса логина и пароля в рамках подключения к Pangolin (discovery)
  retryAttempts: '5'                               # количество повторных попыток опроса логина и пароля в рамках подключения к Pangolin (discovery)

workerControllerCount:
  ingress: '2'                                     # количество потоков при обработке обрабокти «kind: ServiceExport», чем больше потоков, тем быстрее происходит обработка, но используется больше ресурсов в рамках работы
  egress: '2'                                      # количество потоков при обработке обрабокти «kind: ServiceImport», чем больше потоков, тем быстрее происходит обработка, но используется больше ресурсов в рамках работы
  trafficPolicy: '2'                               # количество потоков при обработке обрабокти «kind: ServiceTrafficPolicy», чем больше потоков, тем быстрее происходит обработка, но используется больше ресурсов в рамках работы

postgre_connect_parameters: stringtype=unspecified&prepareThreshold=0         # параметры подключееия к postgreSQL
postgre_address: vm-psql-dev:5432                                             # адрес postgreSQL server (пример vm-syndicute-psql.sy.dev:5432)
postgre_schema: fssm_federation                                               # имя схемы
postgre_database: fssm_data                                                   # имя базы данных
postgre_egress_protocol: TCP                                                  # используемый протокол в рамках namesapce FSSM, конфигурации «kind: Gateway» на egressgateway
postgresql:
  - datasource_url: vm-psql-dev                                               # хост сервера postgre                  
    name: master                                                              # наименование (для идентификации сервера, может принмать любое значение)
    server_ip: '*.*.*.*'                                                        # IP–адрес postgreSQL server
    localPort: 7443                                                           # уникальный неиспользуемый порт для корректной маршрутизации внутри namespace
    port: 5432                                                                # порт postgreSQL server
    resolution: DNS

igeg:
  imageose:                                        # ссылка на образ приложения IGEG (1.2.2) который поддерживает работоспсобность с Istio версии 1.6.14 (указывается если не использовался job «ClientUnpacker», либо не производилась операция replace образа)
  imagese:                                         # ссылка на образ приложения IGEG (1.20) который поддерживает работоспсобность с Istio версии 1.20 (указывается если не использовался job «ClientUnpacker», либо не производилась операция replace образа)
  imagese117:                                      # ссылка на образ приложения IGEG (1.17) который поддерживает работоспсобность с Istio версии 1.17 (указывается если не использовался job «ClientUnpacker», либо не производилась операция replace образа)
  imagese119:                                      # ссылка на образ приложения IGEG (1.19) который поддерживает работоспсобность с Istio версии 1.19 (указывается если не использовался job «ClientUnpacker», либо не производилась операция replace образа)

istio:
  ingress:
    dsr:
      spec:
        trafficPolicy:
          outlierDetection:
            baseEjectionTime: 1m                   # значение параметра baseEjectionTime в рамках «kind: DestinationRule» при синхронизации данных
            consecutive5xxErrors: 10               # значение параметра consecutive5xxErrors в рамках «kind: DestinationRule» при синхронизации данных
            interval: 1m                           # значение параметра interval в рамках «kind: DestinationRule» при синхронизации данных
            maxEjectionPercent: 20                 # значение параметра maxEjectionPercent в рамках «kind: DestinationRule» при синхронизации данных

discovery:
  replicas: 1                                      # количество Pod у компонента FederationDiscovery
  livenessProbe:                                # параметры livenessProbe контейнера FederationDiscovery
    failureThreshold: 30
    initialDelaySeconds: 30
    periodSeconds: 10
    successThreshold: 1
    timeoutSeconds: 5
  readinessProbe:                               # параметры readinessProbe контейнера FederationDiscovery
    failureThreshold: 30
    initialDelaySeconds: 30
    periodSeconds: 10
    successThreshold: 1
    timeoutSeconds: 5
  strategy_type: RollingUpdate                     # strategy type в рамках «kind: Deployment» контейнера FederationDiscovery (поддержка Recreate и RollingUpdate)
  strategy:
    rollingParams:
      maxSurge: 100%                               # установка параметра maxSurge в рамках «kind: Deployment»
      maxUnavailable: 25%                          # установка параметра maxUnavailable в рамках «kind: Deployment»
  podDisruptionBudget:
    apiVersion: policy/v1                          # apiVersion конфигурации podDisruptionBudget для приложения FederationDiscovery
    spec:
      minAvailable: 1                              # значение параметра minAvailable конфигурации podDisruptionBudget для приложения FederationDiscovery
  resources:                                    # ресурсы приложения FederationDiscovery
    limits:
      cpu: 1
      ephemeral_storage: 500Mi
      memory: 1000Mi
    requests:
      cpu: 1
      ephemeral_storage: 500Mi
      memory: 1000Mi
  svpx:                                         # ресурсы приложения SVPX (сервисный прокси)
    resources:
      limits:
        cpu: 100m
        memory: 200Mi
      requests:
        cpu: 100m
        memory: 200Mi
  fluent:
    kafkaBrokersList: kafka-tdev.sion:9093         # список брокеров Kafka   
    kafkaTopic: fssm                               # топик Kafka
    capabilities: "false"                          # флаг установки securityContext/capabilities/drop/ALL приложению fluent-bit
    resources:                                  # ресурсы приложения fluent-bit
      limits:
        cpu: 100m
        ephemeral_storage: 500Mi
        memory: 200Mi
      requests:
        cpu: 100m
        ephemeral_storage: 500Mi
        memory: 200Mi
  leases_type_on: 'false'                     # параметр включающий использование leases (Api Group: coordination.k8s.io), ВНИМАНИЕ! при значении true необходимо развернуть ролевую модель использования leases (get, list, watch, create, update, patch, delete)
 
controller:
  replicas: 1                                      # количество Pod у компонента FederationController
  discovery_host_alias: 'false'                    # добавление host alias в рамках FederationController для орагнизации федеративного трафика
  configurationHashCodeEnable: 'false'             # включение режима подсчет контрольных сумм, в рамках которых после обработки федеративных конфигураций будет вестись подсчет, позволяет снизить нагрузку при рестарте FederationController
  livenessProbe:                                   # параметры livenessProbe контейнера FederationController
    failureThreshold: 30
    initialDelaySeconds: 60
    periodSeconds: 10
    successThreshold: 1
    timeoutSeconds: 5
  readinessProbe:                               # параметры livenessProbe контейнера FederationController
    failureThreshold: 30
    initialDelaySeconds: 60
    periodSeconds: 10
    successThreshold: 1
    timeoutSeconds: 5
  strategy_type: RollingUpdate                    # strategy type в рамках «kind: Deployment» контейнера FederationController (поддержка Recreate и RollingUpdate)
  strategy:
    rollingParams:
      maxSurge: 100%                              # установка параметра maxSurge в рамках «kind: Deployment»
      maxUnavailable: 25%                         # установка параметра maxUnavailable в рамках «kind: Deployment»
  headLessValidationEnable: "true"                # включение(true)/выключение(false) функциональности по валидации headless сервиса, более подробно можно ознакомиться в документе Руководство прикладного разработчика, раздел «Валидация пользовательского «kind: Service»
  podDisruptionBudget:
    apiVersion: policy/v1                         # apiVersion конфигурации podDisruptionBudget для приложения FederationController
    spec:
      minAvailable: 1                             # значение параметра minAvailable конфигурации podDisruptionBudget для приложения FederationController
  rate_limiter_config:                            # ограничение запросов в рамках работы с Kube API server
    service:                                      # ограничение запросов в рамках работы с Kube API server по конфигурациям «kind: Service»
      enabled: 'false'                            # активация ограничения
      capacity: 400                               # 
      duration: 60
      tokensGeneratedInPeriod: 500
    service_export:                               # ограничение запросов в рамках работы с Kube API server по конфигурациям «kind: ServiceExport»
      enabled: 'false'                            # активация ограничения
      capacity: 400                               # максимальное количество запросов, более подробно можно ознакомиться в документации по механики работы Rate Limited
      duration: 60                                # длительность периода (секунды)
      tokensGeneratedInPeriod: 500                # количество запросов (ограничивающих) которое пополняется за период (duration)
    service_import:                               # ограничение запросов в рамках работы с Kube API server по конфигурациям «kind: ServiceImport»
      enabled: 'false'                            # активация ограничения
      capacity: 400                               # максимальное количество запросов, более подробно можно ознакомиться в документации по механики работы Rate Limited
      duration: 60                                # длительность периода (секунды)
      tokensGeneratedInPeriod: 500                # количество запросов (ограничивающих) которое пополняется за период (duration)
    traffic_policy:                               # ограничение запросов в рамках работы с Kube API server по конфигурациям «kind: ServiceTrafficPolicy»
      enabled: 'false'                            # активация ограничения 
      capacity: 400                               # максимальное количество запросов, более подробно можно ознакомиться в документации по механики работы Rate Limited
      duration: 60                                # длительность периода (секунды)
      tokensGeneratedInPeriod: 500                # количество запросов (ограничивающих) которое пополняется за период (duration)
  resources:                                  # ресурсы приложения FederationController 
    limits:
      cpu: 1
      ephemeral_storage: 500Mi
      memory: 1000Mi
    requests:
      cpu: 1
      ephemeral_storage: 500Mi
      memory: 1000Mi
  svpx:                                       # ресурсы приложения SVPX (сервисный прокси)
    resources:
      limits:
        cpu: 100m
        memory: 200Mi
      requests:
        cpu: 100m
        memory: 200Mi
  fluent:
    capabilities: "false"                     # флаг установки securityContext/capabilities/drop/ALL приложению fluent-bit
    resources:                                # ресурсы приложения fluent-bit
      limits:
        cpu: 100m
        ephemeral_storage: 500Mi
        memory: 200Mi
      requests:
        cpu: 100m
        ephemeral_storage: 500Mi
        memory: 200Mi
  leases_type_on: 'false'                     # параметр включающий использование leases (Api Group: coordination.k8s.io), ВНИМАНИЕ! при значении true необходимо развернуть ролевую модель использования leases (get, list, watch, create, update, patch, delete)

fluent:
  image:                                            # ссылка на образ приложения fluent-bit (указывается если не использовался job «ClientUnpacker», либо не производилась операция replace образа)
  add_parser_timestamp: 'true'                      # добавление в секцию [PARSER] информацию о timestamp 
  buffer_chunk_size: 400k                           # конфигурирование fluent-bit, секция [INPUT]
  buffer_max_size: 6MB                              # конфигурирование fluent-bit, секция [INPUT]
  mem_buf_limit: 6MB                                # конфигурирование fluent-bit, секция [INPUT]

vault:
  kv: DEV/A/DEV/FSSM/KV                             # путь к секретам vault во внешнем хранилище
  host_vault: secman.solution                       # host сервера vault
  ip_host: '*.*.*.*'                                # IP-адрес сервера vault
  port: 8443                                        # порт сервера vault
  resolution: DNS                                   # resolution в рамках «kind: ServiceEntry» для адреса vault
  pre_populate_only: "true"                         # режим мутации контейнера vault, в рамках IGEG (true - без мутации, false - с мутацией контейнера)
  resources:
    limits:
      cpu: 500m                                     # ресурсы limits/cpu приложения vault
      memory: 128Mi                                 # ресурсы limits/memory приложения vault
    requests:
      cpu: 250m                                     # ресурсы requests/cpu приложения vault
      memory: 64Mi                                  # ресурсы requests/memory приложения vault
  secmanNamespace: DEV                              # namespace vault во внешнем хранилище
  secmanRole: role-ga-secman-fssm                   # роль vault во внешнем хранилище с доступом на чтение секретов
  add_secret_webhook: 'false'                       # флаг добавления сертификата на admission webhook запрос в vault
  add_label_secret_webhook: ''                      # идентификатор кластера для использования одного хранилища ключей, при подключении к нему нескольких федераций с разных кластеров. ВНИМАНИЕ! Наименование секрета будет изменено на "webhook<значение этого параметра>" 
  auth_path_enabled: 'false'                        # флаг использования аннотации «vault.hashicorp.com/auth-path» в рамках доступа к хранилищу vault
  auth_path: synapse/path                           # значение аннотации «vault.hashicorp.com/auth-path» в рамках доступа к хранилищу vault 
  
kafkaPort: 9093                                    # внешний порт брокера
kafka_add_external_port_vs: 'true'                 # флаг конкретизации внешнего порта в конфигурации «kind: VirtualService»
kafka_se_install: 'true'                           # флаг публикации конфигурации «kind: ServiceEntry» на каждый брокер
kafka_resolution: DNS                              # значение resolution конфигурцаии «kind: ServiceEntry» на каждый брокер
kafka:                                             # list брокеров, заполняются в зависимости от количества брокеров
  - host: broker1.ru                               # хост брокера №1
    name: brk1                                     # краткое наименование брокера №1
    ip: '*.*.*.*'                                  # ip брокера №1
    egressPort: 19021                              # любой свободный и уникальный порт для брокера №1
  - host: broker2.ru                               # хост брокера №2
    name: brk2                                     # краткое наименование брокера №2
    ip: '*.*.*.*'                                  # ip брокера №2
    egressPort: 19022                              # любой свободный и уникальный порт для брокера №2

ott:
  image:                                           # ссылка на образ приложения OTT (4.2.15) (указывается если не использовался job «ClientUnpacker», либо не производилась операция replace образа) 
  serviceHosts: host1.ru:8080                      # адреса серверов ОТТ (параметр configMap OTT - OTT_SERVICE_HOSTS, более подробно описано в документации компонента ОТТ)
  readinessProbe:                                  # readinessProbe параметры ОТТ приложения
    failureThreshold: 30
    initialDelaySeconds: 1
    periodSeconds: 2
    successThreshold: 1
    timeoutSeconds: 1
  ottHTTPport: 8080                                # порт (параметр configMap OTT - OTT_HTTP_PORT, более подробно описано в документации компонента ОТТ)
  ott_client_mmt_action_attrid: ott_action         # параметр configMap OTT - OTT_CLIENT_MMT_ACTION_ATTRID, более подробно описано в документации компонента ОТТ
  ott_client_mmt_resource_attrid: ott_resources    # параметр configMap OTT - OTT_CLIENT_MMT_RESOURCE_ATTRID, более подробно описано в документации компонента ОТТ
  ott_application_attribute_id: ott_application    # параметр configMap OTT - OTT_APPLICATION_ATTRIBUTE_ID, более подробно описано в документации компонента ОТТ
  ott_service_url: https://stub-host:stub-port     # параметр configMap OTT - OTT_SERVICE_URL, более подробно описано в документации компонента ОТТ
  resources:
    limits:
      cpu: 300m                                    # ресурсы limits/cpu приложения OTT
      ephemeral_storage: 500Mi                     # ресурсы limits/ephemeral_storage приложения OTT
      memory: 500Mi                                # ресурсы limits/memory приложения OTT
    requests:
      cpu: 300m                                    # ресурсы requests/cpu приложения OTT
      ephemeral_storage: 500Mi                     # ресурсы requests/ephemeral_storage приложения OTT
      memory: 500Mi                                # ресурсы requests/memory приложения OTT

ingress:
  replicas: 1                                      # количество реплик IGEG (igressgateway)
#  ingw_service_name:                              # наименование сервиса ingressgateway для организации webhook взаимодействия с webhook server (по умолчанию ingressgateway-${имя проекта FSSM})
  readinessProbe:                                  # readinessProbe параметры IGEG (igressgateway)
    failureThreshold: 30
    initialDelaySeconds: 1
    periodSeconds: 2
    successThreshold: 1
    timeoutSeconds: 1
  resources:
    limits:
      cpu: 300m                                    # ресурсы limits/cpu приложения IGEG (igressgateway)
      ephemeral_storage: 500Mi                     # ресурсы limits/ephemeral_storage приложения IGEG (igressgateway)
      memory: 500Mi                                # ресурсы limits/memory приложения IGEG (igressgateway)
    requests:
      cpu: 300m                                    # ресурсы requests/cpu приложения IGEG (igressgateway)
      ephemeral_storage: 500Mi                     # ресурсы requests/ephemeral_storage приложения IGEG (igressgateway)
      memory: 500Mi                                # ресурсы requests/memory приложения IGEG (igressgateway)

egress:
  replicas: 1                                      # количество реплик IGEG (egressgateway)
  readinessProbe:                               # readinessProbe параметры (egressgateway)
    failureThreshold: 30
    initialDelaySeconds: 1
    periodSeconds: 2
    successThreshold: 1
    timeoutSeconds: 1
  resources:
    limits:
      cpu: 300m                                    # ресурсы limits/cpu приложения IGEG (egressgateway)
      ephemeral_storage: 500Mi                     # ресурсы limits/ephemeral_storage приложения IGEG (egressgateway)
      memory: 500Mi                                # ресурсы limits/memory приложения IGEG (egressgateway)
    requests:
      cpu: 300m                                    # ресурсы requests/cpu приложения IGEG (egressgateway)
      ephemeral_storage: 500Mi                     # ресурсы requests/ephemeral_storage приложения IGEG (egressgateway)
      memory: 500Mi                                # ресурсы requests/memory приложения IGEG (egressgateway)

tracing:                                           # настройка передачи трейсов приложения IGEG
   custom_tags: ''                                 # обогащение заголовками
   zipkin:                                         # адрес сервиса для сбора трейсов
      svc: synapse-tracer-svc                      # имя сервиса для сбора трейсов (в рамках кластера)
      port: 8788                                   # порт сервиса для сбора трейсов (в рамках кластера)
   sampling: 100                                   # процент передаваемх трейсов (0-100)
   maxPathTagLength: 256                           # ограничение в рамках размера трейса
   tlsSettings:                                    # настройки TLS при передаче трейсов
      caCertificates: "/var/run/secrets/istio/root-cert.pem"
      mode: SIMPLE

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: allow-from-default-namespaces
spec:
  podSelector: {}
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              name: default
  policyTypes:
    - Ingress

kind: MutatingWebhookConfiguration
apiVersion: admissionregistration.k8s.io/v1
metadata:
  name: synapse-federation-mutating-webhook
...
    clientConfig:
      service:
        namespace: ${NAMESPACE}
        name: ${NAME_SERVICE}
        path: /mutate
        port: ${PORT_SERVICE}
...

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: sbt-authorization
spec:
  configPatches:
    - applyTo: HTTP_FILTER
      match:
        context: GATEWAY
        listener:
          filterChain:
            filter:
              name: envoy.http_connection_manager
          portNumber: 6443
      patch:
        operation: INSERT_BEFORE
        value:
          config:
            authorize_only_request: false # Флаг того, что авторизуются как HTTP Request, так и HTTP Response
            failure_mode_allow: false # Запрещает трафик при недоступности сервера авторизации
            grpc_service:
              google_grpc:
                stat_prefix: sbt_authz
                target_uri: 'unix:/mnt/ott-uds-socket/ott.socket'
              timeout: 10s
            sidecar_role: EGRESS
          name: envoy.sbt_authz
  workloadSelector:
    labels:
      app: ${EGRESS_SELECTOR}

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: sbt-authorization-ingress
spec:
  configPatches:
    - applyTo: HTTP_FILTER
      match:
        context: GATEWAY
        listener:
          filterChain:
            filter:
              name: envoy.http_connection_manager
          portNumber: 5443
      patch:
        operation: INSERT_BEFORE
        value:
          config:
            authorize_only_request: false # Флаг того, что авторизуются как HTTP Request, так и HTTP Response
            failure_mode_allow: false # Запрещает трафик при недоступности сервера авторизации
            grpc_service:
              google_grpc:
                stat_prefix: sbt_authz
                target_uri: 'unix:/mnt/ott-uds-socket/ott.socket'
              timeout: 10s
            sidecar_role: INGRESS
          name: envoy.sbt_authz
  workloadSelector:
    labels:
      app: ${INGRESS_SELECTOR}

kind: ConfigMap
apiVersion: v1
metadata:
  name: fluent-bit
data:
  fluent-bit.conf: |-
    [SERVICE]
      Flush        1
      Daemon       Off
      Log_Level    Debug
      Parsers_File /fluent-bit/etc/parsers.conf

    [INPUT]
      Name   tail
      Tag file.tail
      Path   /opt/synapse/logs/*.log
      Parser        custom
      Buffer_Chunk_Size 400k
      Buffer_Max_Size 6MB
      Mem_Buf_Limit 6MB

    [OUTPUT]
      Name stdout

    [OUTPUT]
      Name kafka
      Match file.tail
      Brokers ${BROKERS}
      Topics ${TOPIC}
  parsers.conf: |-
    [PARSER]
     Name        custom
     Format      json

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-rb-federation-controller
  namespace: ${PROJECT_NAME}
subjects:
  - kind: ServiceAccount
    name: synapse-federation-controller
    namespace: ${PROJECT_FEDERATION}
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: synapse-federation-controller