feat(tenants): saida do BFF para a federacao de competicoes no molde, demo e piloto

2026-10-02 21:07:12 +00:00
parent 2fd108fc52
commit 1b5423188c
3 changed files with 72 additions and 0 deletions
@@ -0,0 +1,24 @@
+# Competicao entre escolas (2026-10-02): o BFF desta escola entrega o elenco ao convite publico de OUTRA escola,
+# pela internet (https://<escola>.athleticmap.com). So os pods com o BFF; so o IP da VPS (entrada 443) e o Traefik
+# que recebe DEPOIS do redirecionamento (8443) -- o IP privado dele cai no `except` do deny-cross-tenant, por isso o
+# `ipBlock` sozinho nao basta (provado em 02/10: sem a regra do Traefik, curl sai com codigo 7).
+# O host de destino e limitado a *.athleticmap.com no codigo (FederacaoBffController).
+apiVersion: networking.k8s.io/v1
+kind: NetworkPolicy
+metadata:
+  name: egress-federacao
+  namespace: {{TENANT}}-prod
+spec:
+  podSelector:
+    matchLabels: { athleticmap.io/bff-aqui: "true" }
+  policyTypes: [Egress]
+  egress:
+    - to:
+        - ipBlock: { cidr: 187.77.37.184/32 }
+        - namespaceSelector:
+            matchLabels: { kubernetes.io/metadata.name: kube-system }
+          podSelector:
+            matchLabels: { app.kubernetes.io/name: traefik }
+      ports:
+        - { protocol: TCP, port: 443 }
+        - { protocol: TCP, port: 8443 }
@@ -0,0 +1,24 @@
+# Competicao entre escolas (2026-10-02): o BFF desta escola entrega o elenco ao convite publico de OUTRA escola,
+# pela internet (https://<escola>.athleticmap.com). So os pods com o BFF; so o IP da VPS (entrada 443) e o Traefik
+# que recebe DEPOIS do redirecionamento (8443) -- o IP privado dele cai no `except` do deny-cross-tenant, por isso o
+# `ipBlock` sozinho nao basta (provado em 02/10: sem a regra do Traefik, curl sai com codigo 7).
+# O host de destino e limitado a *.athleticmap.com no codigo (FederacaoBffController).
+apiVersion: networking.k8s.io/v1
+kind: NetworkPolicy
+metadata:
+  name: egress-federacao
+  namespace: demo-prod
+spec:
+  podSelector:
+    matchLabels: { athleticmap.io/bff-aqui: "true" }
+  policyTypes: [Egress]
+  egress:
+    - to:
+        - ipBlock: { cidr: 187.77.37.184/32 }
+        - namespaceSelector:
+            matchLabels: { kubernetes.io/metadata.name: kube-system }
+          podSelector:
+            matchLabels: { app.kubernetes.io/name: traefik }
+      ports:
+        - { protocol: TCP, port: 443 }
+        - { protocol: TCP, port: 8443 }
@@ -0,0 +1,24 @@
+# Competicao entre escolas (2026-10-02): o BFF desta escola entrega o elenco ao convite publico de OUTRA escola,
+# pela internet (https://<escola>.athleticmap.com). So os pods com o BFF; so o IP da VPS (entrada 443) e o Traefik
+# que recebe DEPOIS do redirecionamento (8443) -- o IP privado dele cai no `except` do deny-cross-tenant, por isso o
+# `ipBlock` sozinho nao basta (provado em 02/10: sem a regra do Traefik, curl sai com codigo 7).
+# O host de destino e limitado a *.athleticmap.com no codigo (FederacaoBffController).
+apiVersion: networking.k8s.io/v1
+kind: NetworkPolicy
+metadata:
+  name: egress-federacao
+  namespace: piloto-prod
+spec:
+  podSelector:
+    matchLabels: { athleticmap.io/bff-aqui: "true" }
+  policyTypes: [Egress]
+  egress:
+    - to:
+        - ipBlock: { cidr: 187.77.37.184/32 }
+        - namespaceSelector:
+            matchLabels: { kubernetes.io/metadata.name: kube-system }
+          podSelector:
+            matchLabels: { app.kubernetes.io/name: traefik }
+      ports:
+        - { protocol: TCP, port: 443 }
+        - { protocol: TCP, port: 8443 }