Den Datenbankbenutzer synchron halten

Datenbankbenutzer legt den Benutzer tenax einmalig an. Für die meisten Setups reicht das. Diese Seite ist für GitOps-Setups gedacht, in denen der Benutzer zu seinem Secret passen muss, ohne dass jemand etwas ausführt:

• das Passwort im Secret wird rotiert;
• die Datenbank wird neu aufgebaut oder aus einem älteren Dump wiederhergestellt, und der Benutzer fehlt;
• jemand ändert den Benutzer von Hand (entzieht eine Berechtigung, ändert das Passwort);
• die Datenbank wird nach den Manifesten angelegt, die ihren Benutzer beschreiben (ein frischer Cluster).

Ein einmaliger Job deckt keinen dieser Fälle ab: Er läuft einmal, und Kubernetes startet einen abgeschlossenen Job nicht neu, wenn sich das Secret ändert. Ein CronJob, der dasselbe idempotente SQL erneut anwendet, schon: Innerhalb einer Periode passt der Benutzer wieder zum Secret.

Funktionsweise

Ein CronJob pro Datenbank, im Namespace der Datenbank. Jeder Lauf:

1. wartet, bis die Datenbank antwortet (begrenzt durch die Deadline des Jobs);
2. meldet sich als Administrator an, mit dem Secret, das die Datenbank selbst verwendet;
3. legt den Benutzer tenax an, falls er fehlt, und setzt Passwort und Berechtigungen aus dem Tenax-Secret.

Jede Anweisung ist idempotent, ein Lauf, der alles in Ordnung vorfindet, ändert also nichts. Die Passwörter gelangen als Umgebungsvariablen aus Secrets in den Container; sie stehen nie in einer Befehlszeile oder in einem Log.

PostgreSQL

Ersetzen Sie die vier mit # ← markierten Werte: den Namespace, den Service der Datenbank, die Datenbank sowie Secret und Schlüssel mit dem Administratorpasswort.

apiVersion: batch/v1
kind: CronJob
metadata:
  name: tenax-user-postgres
  namespace: team-a                                   # ←
spec:
  schedule: "*/30 * * * *"
  concurrencyPolicy: Forbid
  successfulJobsHistoryLimit: 1
  failedJobsHistoryLimit: 3
  jobTemplate:
    spec:
      backoffLimit: 2
      activeDeadlineSeconds: 300
      template:
        spec:
          restartPolicy: OnFailure
          automountServiceAccountToken: false
          securityContext: { runAsNonRoot: true, runAsUser: 999, runAsGroup: 999 }
          containers:
            - name: psql
              image: docker.io/library/postgres:16
              resources: { requests: { cpu: 10m, memory: 32Mi }, limits: { memory: 128Mi } }
              securityContext: { allowPrivilegeEscalation: false, capabilities: { drop: [ALL] } }
              env:
                - { name: PGHOST, value: postgres }                     # ← the database's Service
                - { name: PGDATABASE, value: app }                      # ← any database on the server
                - { name: PGUSER, value: postgres }
                - { name: PGCONNECT_TIMEOUT, value: "10" }
                - name: PGPASSWORD
                  valueFrom: { secretKeyRef: { name: postgres-admin, key: password } }   # ←
                - name: TENAX_PASSWORD
                  valueFrom: { secretKeyRef: { name: tenax-postgres, key: password } }
              command: [sh, -ec]
              args:
                - |
                  until pg_isready -q; do echo "waiting for $PGHOST"; sleep 5; done
                  psql -v ON_ERROR_STOP=1 -X <<'SQL'
                  \getenv tenax_password TENAX_PASSWORD
                  SELECT 'CREATE ROLE tenax LOGIN REPLICATION' WHERE NOT EXISTS (SELECT 1 FROM pg_roles WHERE rolname = 'tenax') \gexec
                  ALTER ROLE tenax WITH LOGIN REPLICATION NOSUPERUSER NOCREATEDB NOCREATEROLE PASSWORD :'tenax_password';
                  GRANT pg_read_all_data, pg_monitor TO tenax;
                  ALTER ROLE tenax SET idle_in_transaction_session_timeout = '10min';
                  SQL
                  echo "tenax user in sync on $PGHOST"

\getenv braucht psql 15 oder neuer im Image; der Server kann jede unterstützte Version sein. Setzen Sie max_slot_wal_keep_size in der Serverkonfiguration (zum Beispiel -c max_slot_wal_keep_size=2GB), nicht hier: Es ist eine Servereinstellung, kein Teil des Benutzers.

MySQL

apiVersion: batch/v1
kind: CronJob
metadata:
  name: tenax-user-mysql
  namespace: team-a                                   # ←
spec:
  schedule: "*/30 * * * *"
  concurrencyPolicy: Forbid
  successfulJobsHistoryLimit: 1
  failedJobsHistoryLimit: 3
  jobTemplate:
    spec:
      backoffLimit: 2
      activeDeadlineSeconds: 300
      template:
        spec:
          restartPolicy: OnFailure
          automountServiceAccountToken: false
          securityContext: { runAsNonRoot: true, runAsUser: 999, runAsGroup: 999 }
          containers:
            - name: mysql
              image: docker.io/library/mysql:8.4
              resources: { requests: { cpu: 10m, memory: 64Mi }, limits: { memory: 256Mi } }
              securityContext: { allowPrivilegeEscalation: false, capabilities: { drop: [ALL] } }
              env:
                - { name: MYSQL_HOST, value: mysql }                    # ← the database's Service
                - name: ROOT_PASSWORD
                  valueFrom: { secretKeyRef: { name: mysql-admin, key: root-password } }  # ←
                - name: TENAX_PASSWORD
                  valueFrom: { secretKeyRef: { name: tenax-mysql, key: password } }
              command: [bash, -ec]
              args:
                - |
                  umask 077
                  printf '[client]\nuser=root\npassword=%s\nhost=%s\nconnect-timeout=10\n' "$ROOT_PASSWORD" "$MYSQL_HOST" > /tmp/root.cnf
                  until mysqladmin --defaults-extra-file=/tmp/root.cnf ping --silent; do echo "waiting for $MYSQL_HOST"; sleep 5; done
                  mysql --defaults-extra-file=/tmp/root.cnf <<SQL
                  CREATE USER IF NOT EXISTS 'tenax'@'%' IDENTIFIED BY '${TENAX_PASSWORD}';
                  ALTER USER 'tenax'@'%' IDENTIFIED BY '${TENAX_PASSWORD}';
                  GRANT SELECT, SHOW VIEW, TRIGGER, EVENT, LOCK TABLES, PROCESS, RELOAD, SHOW_ROUTINE,
                        REPLICATION CLIENT, REPLICATION SLAVE ON *.* TO 'tenax'@'%';
                  SQL
                  rm -f /tmp/root.cnf
                  echo "tenax user in sync on $MYSQL_HOST"

Das Passwort steht außerhalb des String-Literals ohne Quoting im SQL, erzeugen Sie es daher als Hex (openssl rand -hex 24).

Sofort ausführen

kubectl -n team-a create job --from=cronjob/tenax-user-postgres tenax-user-now
kubectl -n team-a logs -f job/tenax-user-now

Alle 30 Minuten genügen: Tenax selbst wiederholt eine abgelehnte Anmeldung und meldet sie am Ziel, eine Rotation wird also spätestens eine Periode später übernommen. Die Regel in pg_hba.conf und die Binlog-Einstellungen bleiben Serverkonfiguration (Datenbankbenutzer, Schritt 3); dieser CronJob fasst sie nicht an.