athletic-map-deploy/tenants/teste5/71-runtime-operacao.yaml

# =============================================================================
# P4.9 — runtime-operacao — planejamento, campeonato, administrativo, financeiro
#
# `teste5` e substituido pelo nome do tenant ao provisionar. O molde inteiro usa
# o mesmo marcador, para `sed`/script nao precisarem conhecer cada arquivo.
# =============================================================================
apiVersion: apps/v1
kind: Deployment
metadata:
  name: runtime-operacao
  namespace: teste5-prod
spec:
  replicas: 1
  selector:
    matchLabels: { app: runtime-operacao }
  template:
    metadata:
      labels:
        app: runtime-operacao
        athleticmap.io/contexto: runtime-operacao
    spec:
      # Espera o LOGIN no banco do tenant funcionar antes de subir o runtime.
      # O Argo aplica este Deployment ANTES de a etapa BANCO_CRIADO criar o papel
      # e a linha no PgBouncer. Sem esta espera o runtime cai na subida, e o
      # Kubernetes o religa com espera crescente (10 s, 20 s, 40 s, 80 s...):
      # era isso que levava a etapa MIGRACOES_CONCLUIDAS a 4-5 min (P4.9).
      # Aqui o laco e de 2 s e nao ha queda — o runtime sobe logo que o banco existe.
      initContainers:
        - name: espera-banco
          image: docker.io/library/postgres:16
          imagePullPolicy: Never
          command: ["sh", "-c"]
          args:
            - |
              n=0
              until psql "host=pgbouncer.plataforma-prod.svc port=6432 dbname=athleticmap_teste5 user=r_teste5 connect_timeout=3" -Atc 'select 1' >/dev/null 2>&1; do
                n=$((n+1)); [ $((n % 15)) -eq 0 ] && echo "ainda sem o banco do tenant ($((n*2)) s)"
                sleep 2
              done
              echo "banco pronto"
          env:
            - name: PGPASSWORD
              valueFrom:
                secretKeyRef: { name: db-credentials, key: password }
          resources:
            requests: { cpu: 10m, memory: 16Mi }
            limits:   { cpu: 100m, memory: 64Mi }
      containers:
        - name: runtime-operacao
          image: docker.io/library/runtime-operacao:1.5-filas-do-asaas
          # `Never`: a imagem tem de estar no containerd do no ANTES do deploy.
          # "Presente no no" tambem nao e "atual" — conferir a TAG, e nao o nome.
          imagePullPolicy: Never
          ports: [{ containerPort: 8083 }]
          env:
            # O banco e o PgBouncer do `plataforma-prod` (P4.7), e nao um
            # Postgres deste namespace: ele nao existe mais aqui.
            - { name: SPRING_DATASOURCE_URL, value: "jdbc:postgresql://pgbouncer.plataforma-prod.svc:6432/athleticmap_teste5" }
            - { name: SPRING_DATASOURCE_USERNAME, value: "r_teste5" }
            - name: SPRING_DATASOURCE_PASSWORD
              valueFrom:
                secretKeyRef: { name: db-credentials, key: password }
            # O Keycloak tambem e da plataforma (P4.8). O REALM passa a ser o
            # nome do tenant: uma instancia so nao comporta quatro realms
            # chamados `athleticmap`.
            - { name: ATM_JWK_SET_URI, value: "http://keycloak.plataforma-prod.svc:8080/realms/athleticmap-9/protocol/openid-connect/certs" }
            - { name: ATM_ISSUER, value: "https://auth.athleticmap.com/realms/athleticmap-9" }
            - { name: ATM_TENANT, value: "teste5" }
            - { name: ATM_PLANO, value: "bronze" }
            # O provedor de pagamento vive neste runtime.
            #
            # `optional: true` NAO e descuido, e virou obrigatorio com a decisao de
            # 2026-09-19: a chave do Asaas e DO CLIENTE, e ele a fornece depois de o
            # tenant existir — precisa entrar no painel dele, gerar a chave e colar.
            #
            # Sem `optional`, um Secret ausente IMPEDE O POD DE INICIAR. O tenant
            # novo nao subiria ate o cliente mandar a chave, e o sintoma chegaria
            # como "o sistema nao abriu" em vez de "falta configurar cobranca".
            #
            # O runtime ja sabe conviver com isso: `AsaasPropriedades` trata chave
            # vazia como INTEGRACAO DESLIGADA, e o resto do sistema funciona.
            - name: ASAAS_API_KEY
              valueFrom:
                secretKeyRef: { name: asaas-credentials, key: api-key, optional: true }
            - name: ASAAS_WEBHOOK_TOKEN
              valueFrom:
                secretKeyRef: { name: asaas-credentials, key: webhook-token, optional: true }
            # O AMBIENTE CHEGA JUNTO DA CHAVE, no mesmo Secret: uma chave de sandbox
            # so vale no sandbox, e os dois sao um fato so. Ausente (o tenant ainda
            # nao tem subconta aprovada), o runtime fica em sandbox e com a
            # cobranca desligada. A URL decorre dele — ver AsaasPropriedades.
            - name: ASAAS_AMBIENTE
              valueFrom:
                secretKeyRef: { name: asaas-credentials, key: ambiente, optional: true }
          resources:
            requests: { cpu: 50m, memory: 400Mi }
            limits:   { cpu: "1",  memory: 768Mi }
          readinessProbe:
            httpGet: { path: /actuator/health/readiness, port: 8083 }
            initialDelaySeconds: 20
            periodSeconds: 10
          livenessProbe:
            httpGet: { path: /actuator/health/liveness, port: 8083 }
            initialDelaySeconds: 60
            periodSeconds: 30
---
apiVersion: v1
kind: Service
metadata:
  name: runtime-operacao
  namespace: teste5-prod
  labels:
    app: runtime-operacao
    athleticmap.io/metricas: tenant
spec:
  selector: { app: runtime-operacao }
  ports: [{ name: http, port: 80, targetPort: 8083 }]