From 7090f2a1b392024d4c647456ae622e636f1cac9f Mon Sep 17 00:00:00 2001
From: deploy <deploy@athleticmap>
Date: Thu, 24 Sep 2026 23:08:19 +0000
Subject: [PATCH] feat(plataforma): auth.athleticmap.com, o host de
 autenticacao DOS TENANTS
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

O molde do tenant ja apontava para ca — a SPA em ATM_KC_URL e os tres runtimes
em ATM_ISSUER — e o host nao existia. O navegador batia em
ERR_CERT_AUTHORITY_INVALID e, passando por cima, em 404 do Traefik.

Nao e auth-plataforma para o cliente: o endereco aparece na barra dele durante
o login, e o nome do nosso tenant interno nao tem o que fazer ali.
---
 tenants/plataforma/30-ingress.yaml | 21 +++++++++++++++++++++
 1 file changed, 21 insertions(+)

diff --git a/tenants/plataforma/30-ingress.yaml b/tenants/plataforma/30-ingress.yaml
index 7f47312..b16cca6 100644
--- a/tenants/plataforma/30-ingress.yaml
+++ b/tenants/plataforma/30-ingress.yaml
@@ -64,6 +64,8 @@ spec:
         - plataforma.athleticmap.com
         - auth-plataforma.athleticmap.influxdigital.com.br
         - auth-plataforma.athleticmap.com
+        # O host de autenticacao DOS TENANTS. Ver a regra la embaixo.
+        - auth.athleticmap.com
       secretName: plataforma-tls
   rules:
     - host: plataforma.athleticmap.influxdigital.com.br
@@ -183,3 +185,22 @@ spec:
       http:
         paths:
           - { path: /, pathType: Prefix, backend: { service: { name: keycloak, port: { number: 8080 } } } }
+    # O HOST DE AUTENTICACAO DOS TENANTS.
+    #
+    # O mesmo Keycloak, outro nome. O molde do tenant ja apontava para ca — a
+    # SPA em `ATM_KC_URL` e os tres runtimes em `ATM_ISSUER` — e o host nao
+    # existia: o navegador batia em ERR_CERT_AUTHORITY_INVALID e, passando por
+    # cima, em `404 page not found` do Traefik. Medido em 2026-09-24, no
+    # primeiro login de um tenant provisionado.
+    #
+    # Nao e `auth-plataforma` para o cliente: o endereco aparece na barra do
+    # navegador dele durante o login, e o nome do NOSSO tenant interno nao tem
+    # o que fazer ali.
+    #
+    # O realm de cada tenant recebe `frontendUrl` com este endereco, senao o
+    # Keycloak geraria os links com o `KC_HOSTNAME` global — que continua sendo
+    # o `auth-plataforma`, porque a plataforma depende dele.
+    - host: auth.athleticmap.com
+      http:
+        paths:
+          - { path: /, pathType: Prefix, backend: { service: { name: keycloak, port: { number: 8080 } } } }