LT
RAILSHOT.
Atgal į salę

Railshot

AI deployment & operations platform

Vietoje sukurtą žiniatinklio programą įdiegti į paruoštas debesų ir vietines aplinkas, o paskui ją eksploatuoti.

DI diegimo ir eksploatacijos platforma, kuri vietoje sukurtą žiniatinklio programą perkelia į paruoštas debesų ar vietines aplinkas ir toliau ją eksploatuoja.

2026.09.28 – 2026.10.04 · baigta

Komandinis projektas · mano dalis: CI planavimas ir įgyvendinimas, CSP klasteriai ir Ansible sąsaja, eksploatacija, komandos kodo peržiūra ir integracija

SoftBank Hackathon 2026 powered by KOREC & ProgateAtrankos etapo dalyvis · atranka į finalą bus paskelbta 2026.10.26 (2026.10.07 duomenimis)

  • ŽiniatinklisĮgyvendinta · hakatonas
  • MCP serverisĮgyvendinta · nuotolinis · vietinis

Eksploatacijos ir klientų programų klasteriai atskirti, o viešas kelias laikomas atskirai nuo diegimo valdymo.

Eksploatacijos K3s informacinis skydelis, produkto API ir build controller išdėstyti platform vaidmens mazguose, o runner Job – build vaidmens mazge, tuo tarpu diegimą atlieka Argo CD. Klientų programos veikia nurodytoje vardų srityje atskirame vieno mazgo K3s + Cilium klasteryje kiekvienam užregistruotam taikiniui.

Klasterių žemėlapis · nubraižyta pagal deklaracijas ir kodą viešame komite 645e28a
Railshot eksploatacijos ir klientų klasterių žemėlapisEksploatacijos K3s klasteris ir užregistruotas klientų programų klasteris. Eksploatacijos klasteryje vardų sritis railshot-system platform vaidmens mazguose talpina informacinį skydelį, produkto API, nuotolinį MCP (tik jei pateiktas jo atvaizdas) ir build controller; runner Job vardų srityje railshot-build paima GitHub Actions užduotis build vaidmens mazge su taint. GitHub-hosted release job publikuoja patikrintą bundle į GHCR. Produkto API komituoja workload į config Git ir sinchronizuoja Application vardų srityje argocd, o Argo CD pritaiko Deployment, NodePort Service ir NetworkPolicy kliento klasteryje užregistruotai vardų sričiai. Programos užklausos įeina per tiekėjo L7 įėjimo tašką į mazgo NodePort ir Service, o tada į programos Pod. Diegimo verdiktas remiasi tik Argo būsena ir viešo URL patikra; Pod diagnostika, žurnalai ir metrikos skaitomi kaip atskiri signalai. Operatoriaus diegimo ir registracijos įvestys laikomos atskirai nuo nuomininko programos payload.Railshot naudotojasinformacinis skydelis · MCPOperatoriaus bootstrapdiegimas · registracija · SecretGHCRatvaizdai pagal maišąconfig Git saugyklaworkload.json · revisionTiekėjo L7 įėjimo taškasALB · GCP LB · AmphoraProgramos naudotojasviešas HTTPSStebėjimo VMuž kliento K3s ribų · Composerailshot-systemdashboard · nginxnuotolinis MCP · tik su atvaizdubuild controller · CronJobprodukto API · cd.js → bridge.pyargocdArgo CD · ApplicationAppProject · cluster Secretatnaujinimo CronJob · kas 2 hrailshot-buildrunner Job · hostNetwork · Docker socketrailshot-deploy.ymlloop job · self-hosted runnerrelease job · GitHub-hosted<app namespace>Deployment · Pod · atvaizdas pagal maišąNodePort Service · LocalNetworkPolicy · tik užregistruoti CIDRrailshot-argocd SA · žetonaskube-systemCilium · Helm · VXLANrailshot-observabilitynode-exporterkube-state-metricsEksploatacijos klasteris · K3sAWS · mazgai pagal vaidmenisplatform vaidmens mazgainodeSelectorbuild vaidmens mazgasNoSchedule taintGitHubActions · GHCRKlientų programų klasteris · pavyzdyspo vieną kiekvienam užregistruotam taikiniuiVienas K3s mazgas · serverCilium · kube-proxy išlaikytas1workflow_dispatch2papildyti runner Job3paimti job4patikrintas bundle5 publikuoti pagal maišą · release job · GitHub-hosted → GHCR51workload commit · push2revision3 Application sync · produkto API · cd.js → bridge.py → Argo CD · Application34taikyti vardų sričiai5pull pagal maišą1HTTPS 4432NodePort3 į Pod · NodePort Service · Local → Deployment · Pod · atvaizdas pagal maišą34 taikyti politiką · Cilium · Helm · VXLAN → NetworkPolicy · tik užregistruoti CIDR45 informacinis skydelis · API · Railshot naudotojas → dashboard · nginx51 revizija · health · atvaizdai · produkto API · cd.js → bridge.py → Argo CD · Application12vieša HTTPS patikra3Pod diagnostika · ne verdiktas4žurnalo pabaiga · 100 eilučių kiekvienam Pod5rinkimas · NodePort6Blackbox probe1platformos generavimas · Secret2registracijos bootstrap3įdiegti K3s · Cilium4TokenRequest · 6 h

Build → atvaizdo publikavimas

Produkto API prašo GitHub Actions paleidimo, o runner build mazge paima ir patikrina job. Tik tą pačių patikrų praėjusį bundle į GHCR publikuoja GitHub-hosted release job.

  1. produkto API · cd.js → bridge.pyrailshot-systemworkflow_dispatchloop job · self-hosted runnerrailshot-deploy.yml

    Produkto API prašo GitHub Actions paleidimo su tenant, app, šaltinio komitu ir taikiniu. API niekada tiesiogiai nekviečia runner Job.

  2. build controller · CronJobrailshot-systempapildyti runner Jobrunner Job · hostNetwork · Docker socketrailshot-build

    Build controller CronJob (kas minutę, platform mazge) kuria runner Job vardų srityje railshot-build. Jo Role leidžia tik Job get, list ir create bei get, update ir patch vienam runner registracijos Secret; jis negali kurti vardų sričių ar kitų Secret.

  3. runner Job · hostNetwork · Docker socketrailshot-buildpaimti jobloop job · self-hosted runnerrailshot-deploy.yml

    Runner build vaidmens mazge (tikslus hostname, NoSchedule toleration) paima loop job pagal self-hosted žymes ir jį vykdo. Kliento šaltinis vykdomas esamuose apribotuose Docker build ir patikros konteineriuose.

  4. runner Job · hostNetwork · Docker socketrailshot-buildpatikrintas bundlerelease job · GitHub-hostedrailshot-deploy.yml

    Loop job palieka bundle, praėjusį tas pačias patikras, o release job paima tik tą bundle.

  5. release job · GitHub-hostedrailshot-deploy.ymlpublikuoti pagal maišąGHCR

    GitHub-hosted release job (ubuntu-24.04) patikrinto bundle atvaizdą publikuoja į GHCR jo neperkurdamas. Atvaizdai niekada nepublikuojami klientų programų klasterio viduje.

Config Git → Argo → kliento vardų sritis

Config Git neša norimus išteklius, o GHCR – atvaizdo baitus. Argo CD pakeitimus taiko tik užregistruotai kliento vardų sričiai.

  1. produkto API · cd.js → bridge.pyrailshot-systemworkload commit · pushconfig Git saugykla

    cd.js paleidžia bridge.py, kuris komituoja ir išstumia workload.json tik tada, kai publikacijos įrašas ir užregistruotas taikinys sutampa, o tada perskaito nuotolinę reviziją. Git neša norimus išteklius; GHCR neša atvaizdo baitus.

  2. config Git saugyklarevisionArgo CD · Applicationargocd

    Application skaito tik savo apribotą konfigūracijos saugyklą, kelią ir reviziją.

  3. produkto API · cd.js → bridge.pyrailshot-systemApplication syncArgo CD · Applicationargocd

    Įvardytas Application nustatomas per server-side apply, ir prašoma vienos tikslios revizijos sinchronizavimo be prune. Produkto API ServiceAccount railshot-product turi ir operatoriaus įdiegtą registracijos bootstrap (create Secret, AppProject ir Application argocd srityje; get, update ir escalate įvardytoms Role), ir kiekvienam patikrintam taikiniui tiksliu pavadinimu pridedamus get ir patch leidimus. Kubernetes create negalima apriboti pavadinimu, todėl pavadinimus apimties ribose taip pat palaiko produkto įvesčių validacija.

  4. Argo CD · Applicationargocdtaikyti vardų sričiai<app namespace>

    Argo CD pakeitimus taiko nurodytai kliento klasterio vardų sričiai su užregistruoto cluster Secret prisijungimo duomenimis. AppProject leidžia tik vardų srities ribose esančius kind ir jokių viso klasterio išteklių.

  5. Deployment · Pod · atvaizdas pagal maišą<app namespace>pull pagal maišąGHCR

    Publikuotas atvaizdas pagal maišą atsisiunčiamas su pull Secret, į kurį nurodoma pavadinimu toje pačioje vardų srityje. Secret reikšmės niekada nepatenka į artefaktą ar config Git.

Viešas užklausos kelias

Programos užklausos eina keliu: tiekėjo L7 įėjimo taškas → mazgo NodePort → Service → programos Pod. Cilium politikos taikymas yra atskira kontrolė, o ne grandis, nešanti užklausą. Įėjimas į eksploatacijos skydelį – atskiras kelias.

  1. Programos naudotojasHTTPS 443Tiekėjo L7 įėjimo taškas

    Programos naudotojai pasiekia tiekėjo L7 įėjimo tašką per užregistruotą hostname. Kiekvienas tiekėjas įgyvendina savo įėjimo tašką.

  2. Tiekėjo L7 įėjimo taškasNodePortNodePort Service · Local<app namespace>

    Įėjimo taškas persiunčia į mazgo privatų adresą ir NodePort. NodePort yra tas, kuris paskirtas registruojant taikinį.

  3. NodePort Service · Local<app namespace>į PodDeployment · Pod · atvaizdas pagal maišą<app namespace>

    Service siunčia užklausą programos Pod (Deployment) tame pačiame mazge. Su externalTrafficPolicy Local šaltinio adresas nepakitęs pasiekia NetworkPolicy užregistruotų CIDR patikrą.

  4. Cilium · Helm · VXLANkube-systemtaikyti politikąNetworkPolicy · tik užregistruoti CIDR<app namespace>

    Cilium taiko NetworkPolicy: įeinantis srautas tik iš užregistruotų CIDR į programos prievadą; pagal numatymą jokio išeinančio srauto, išskyrus patvirtintą duomenų bazės adresą. Debesų užkardos ir pagrindinio kompiuterio taisyklės vis tiek svarbios.

  5. Railshot naudotojasinformacinis skydelis · APIdashboard · nginxrailshot-system

    Naudotojai per eksploatacijos įėjimo tašką patenka į nginx informacinį skydelį, o nginx stovi prieš produkto API. Skydelio Service yra NodePort tik nurodžius patvirtintą mazgo prievadą; API lieka ClusterIP.

Patikra · stebėjimas

Diegimo verdiktas remiasi tik Argo būsena ir viešo URL patikra. Pod diagnostika, dabartiniai žurnalai ir eksploatacijos metrikos yra atskiri signalai, kurie jo niekada nekeičia.

  1. produkto API · cd.js → bridge.pyrailshot-systemrevizija · health · atvaizdaiArgo CD · Applicationargocd

    Būsenai deployed reikia Application sinchronizavimo revizijos, Synced ir Healthy, operation Succeeded ir kad Argo Application būsenoje įrašytos atvaizdų nuorodos sutaptų su peržiūrėto Deployment atvaizdais pagal maišą. Tai nėra tiesioginis Pod imageID slenkstis, ir vien žalia Argo būsena sutapimo nenustato.

  2. produkto API · cd.js → bridge.pyrailshot-systemvieša HTTPS patikraTiekėjo L7 įėjimo taškas

    Užregistruotas viešas URL tikrinamas be peradresavimų. Succeeded įrašoma tik esant ir Argo verdiktui, ir šiai patikrai.

  3. produkto API · cd.js → bridge.pyrailshot-systemPod diagnostika · ne verdiktasDeployment · Pod · atvaizdas pagal maišą<app namespace>

    Po Argo verdikto ir viešos patikros Deployment, ReplicaSet ir Pod atskirai perskaitomi su užregistruotais prisijungimo duomenimis, o imageID ir parengtis pridedami kaip ready, progressing ar unavailable diagnostika. Nepavykusi ar besiskirianti diagnostika niekada nekeičia deployed ar succeeded verdikto.

  4. produkto API · cd.js → bridge.pyrailshot-systemžurnalo pabaiga · 100 eilučių kiekvienam PodDeployment · Pod · atvaizdas pagal maišą<app namespace>

    Tik dabartinei įdiegtai operacijai, su patikima konfigūracija ir užregistruotais prisijungimo duomenimis. Kiekvienam dabartiniam Pod (ne daugiau kaip trims) veikiančio atvaizdo maiša turi sutapti su laukiama; tada baitų limito ribose perskaitoma iki 100 išvalytų eilučių kiekvienam Pod. Senesnis bandymas atsako superseded; be konfigūracijos – not_configured. Tai nėra žurnalų agregavimas.

  5. Stebėjimo VMrinkimas · NodePortrailshot-observability

    Prometheus stebėjimo VM renka node-exporter ir kube-state-metrics per du užkarda apribotus NodePort. Trūkstamos ar pasenusios reikšmės yra nežinomos, o ne nulis.

  6. Stebėjimo VMBlackbox probeTiekėjo L7 įėjimo taškas

    probe_success=1 reiškia 2xx toje zondo vietoje. Tai neįrodo nei kiekvieno naudotojo prieigos, nei įdiegtos versijos ir niekada nepakelia published iki deployed.

Operatoriaus diegimas · registracija

Klasterio diegimas, registracijos bootstrap ir taikinio įvestys, Secret ir prisijungimo duomenų atnaujinimo sąranka yra operatoriaus įvestys, niekada ne nuomininko programos payload dalis.

  1. Operatoriaus bootstrapplatformos generavimas · Secretrailshot-system

    Operatorius su render-platform.py sugeneruoja platformos deklaraciją ir pateikia privačią eksploatacijos konfigūraciją bei Secret. Nuotolinis MCP įtraukiamas tik pateikus jo atvaizdą, o asmeninis gateway (WireGuard) – tik su --personal.

  2. Operatoriaus bootstrapregistracijos bootstrapAppProject · cluster Secretargocd

    Operatorius argocd srityje įdiegia registracijos bootstrap Role ir tuščią registracijų Role bei paruošia taikinio įvestis. Tada produkto API paleidžiami registracijos pagalbininkai (environment.py, applications.py) įrašo railshot-<target> Secret su apriboto apimties prisijungimo duomenimis (clusterResources false, išvardytos leidžiamos vardų sritys) ir prideda patikrintus tikslius pavadinimus prie registracijų Role. Registracija kiekvienai programai susieja app-<id> vardų sritį su tokio paties pavadinimo AppProject.

  3. Operatoriaus bootstrapįdiegti K3s · CiliumCilium · Helm · VXLANkube-system

    install-k3s.sh įdiegia vieno mazgo K3s serverį (flannel, network policy, traefik ir servicelb išjungti; kube-proxy išlaikytas), o Cilium įdiegiamas kaip Helm leidimas (kubeProxyReplacement false, VXLAN, Hubble išjungtas).

  4. atnaujinimo CronJob · kas 2 hargocdTokenRequest · 6 hrailshot-argocd SA · žetonas<app namespace>

    railshot-credentials CronJob kas dvi valandas prašo naujo šešių valandų žetono kliento SA. Kliento pusės Role leidžia tik žetono create savam SA. Šešios valandos yra vieno žetono TTL, o ne laikas, kai baigiasi operatoriaus prieiga.

Visi ryšiai vienodo storio. Pasirinkite srautą, kad būtų paryškintas tik jo kelias su sunumeruotais žingsniais.

  • Ištisinė · kryptis, kuria keliauja užklausos, bundle, atvaizdai ir deklaracijos
  • Brūkšninė · paleidimo užklausos, taikymas, diegimas, prisijungimo duomenys
  • Ilga brūkšninė-taškinė · būsenos, žurnalų, zondų, metrikų skaitymas; atskirai nuo verdikto
  • Stora juoda linija · pasirinktas srautas; skaičiai rodo tvarką
  • Rėmelis · vardų sritis, jos pavadinimas antraštėje (ne mazgas)
  • Vidinė plokštelė · komponentas toje vardų srityje
  • Brūkšninis rėmelis · už klasterių ribų
  • railshot-system · produktas
  • argocd · diegimo įgaliojimai
  • railshot-build · pagrindinio kompiuterio Docker įgaliojimai
  • GitHub · kliento klasteris

October 2 išdėstymo sprendimas docs/architecture (du vaidmenų mazgai) ir viešo README schema yra istorija; šis žemėlapis atitinka deklaracijas ir kodą ties 645e28a. Rodyklės rodo priežastį ir kryptį, o ne įrodymą, kad kiekvienas tiekėjo kelias dabar veikia.

Vardų sritys ir mazgai
Vardų sritis yra pavadinimų apimtis: ne aparatinė įranga ir savaime ne saugumo riba. Platform ir build vaidmenys yra planavimo išdėstymas per nodeSelector ir taint; šis žemėlapis nenustato eksploatacijos klasterio mazgų skaičiaus. Argo CD išdėstymas mazguose taip pat yra atskira patikra.
Build mazgo įgaliojimai
Runner Job veikia su hostNetwork, pagrindinio kompiuterio Docker lizdu, NET_ADMIN ir root. Vardų sritis, taint ar RBAC nepanaikina pagrindinio kompiuterio Docker įgaliojimų, todėl tai nėra nei izoliacija nuo VM administratoriaus, nei smėlio dėžė savavališkam kodui.
Kliento vardų sritis
Kiekvienas užregistruotas taikinys naudoja nenumatytąją vardų sritį ir AppProject (pavyzdžiui, tenant-demo arba app-<id> kiekvienai programai). Kuriami tik vienos paslaugos Deployment (ServiceAccount žetono automatinis prijungimas išjungtas), NodePort Service ir NetworkPolicy bei pasirenkamas PVC ar migracijos Job; į Secret tik nurodoma pavadinimu (pull Secret ir patvirtintas DATABASE_URL), jie niekada nekuriami.
AWS įėjimas
Route 53 Alias → bendras ALB HTTPS 443 → kliento mazgo privatus adresas ir NodePort. Daug programų pakartotinai naudoja vieną mazgą, kiekviena su savo vardų sritimi, Application ir NodePort.
GCP įėjimas
Globalus EXTERNAL_MANAGED HTTPS LB → zoninis GCE_VM_IP_PORT NEG → esamos VM privatus NodePort. Sertifikatus išduoda Certificate Manager su DNS autorizacija. Modulis nevaldo nei VM, nei VPC, o viena VM lieka vieninteliu gedimo tašku.
OpenStack įėjimas
Amphora TLS klausytojas 443 su Host ir kelio L7 politikomis → HTTP NodePort. Numatytasis adresas yra privatus VIP; Octavia, K3s, duomenų bazė ir DNS yra už modulio ribų. Viešam pasiekiamumui ir Amphora parengčiai vietoje reikia atskiro priėmimo, o su šiuo moduliu dar nepatikrintas nė vienas taikymas vietoje.
Tarp tiekėjų
Trys įėjimo taškai yra atskiri įgyvendinimai, be automatinio failover ar replikacijos tarp tiekėjų. Klientų programų klasteris yra užregistruoto taikinio pavyzdys, o ne teiginys, kad tas pats diegimas veikia visuose debesyse vienu metu.
Operatoriaus parinktys
Asmeninis gateway (WireGuard) prie platformos prisijungia tik operatoriui įjungus --personal; tai nėra privalomas kelias klientų debesims. Palaikomame tiesioginiame režime stebėjimo VM gali dalytis eksploatacijos valdymo VM.