++

apps/pm/d8-ugmk-prod/celery.yaml

@@ -21,6 +21,20 @@ spec:
           name:
             _default: cr.yandex/crp3ccidau046kdj8g9q/pm-backend:production_fa0f1551
 
+        # base не переопределяет args, а нам нужно добавить sourcing pm-kafka —
+        # дублируем скрипт целиком (то же самое, что и в backend.yaml).
+        deployment:
+          args:
+            _default:
+              - |
+                set -a
+                [ -f /vault/secrets/pm-db ] && . /vault/secrets/pm-db
+                [ -f /vault/secrets/pm-rabbitmq ] && . /vault/secrets/pm-rabbitmq
+                [ -f /vault/secrets/pm-s3 ] && . /vault/secrets/pm-s3
+                [ -f /vault/secrets/pm-kafka ] && . /vault/secrets/pm-kafka
+                set +a
+                exec celery -A config worker -B -l info -E -Q pm -n default_worker.%h --concurrency=2
+
         envs:
           # base: http://backend-service.sarex.svc.cluster.local:8000 — ns sarex не существует
           - name: USERS_INTERNAL_HOST
@@ -108,7 +122,25 @@ spec:
 
           - name: KAFKA_ENABLE
             value:
-              _default: "False"
+              _default: "True"
+
+          # См. подробные комментарии в apps/pm/d8-ugmk-prod/backend.yaml —
+          # то же самое, воркер должен уметь публиковать в Kafka так же, как API.
+          - name: KAFKA_BOOTSTRAP_SERVERS
+            value:
+              _default: '["kafka-kafka-contour.kafka.svc.cluster.local:9092"]'
+
+          - name: KAFKA_SECURITY_PROTOCOL
+            value:
+              _default: "SASL_SSL"
+
+          - name: KAFKA_SSL_CAFILE
+            value:
+              _default: "/usr/local/share/ca-certificates/kafka.crt"
+
+          - name: KAFKA_TOPICS
+            value:
+              _default: '{"planning": "message-hub-prod"}'
 
           # base: https://lk.sarex.io/api/token/public/
           - name: AUTH_PUBLIC_TOKEN_URL
@@ -145,6 +177,23 @@ spec:
             value:
               _default: "INFO"
 
+        volumes:
+          _default:
+            - name: kafka-ca-cert
+              mountPath:
+                _default: /usr/local/share/ca-certificates/kafka.crt
+              subPath:
+                _default: kafka.crt
+              readOnly:
+                _default: true
+              configMap:
+                name:
+                  _default: kafka-ca-cert
+                items:
+                  - key: kafka.crt
+                    path:
+                      _default: kafka.crt
+
         podAnnotations:
           _default:
             # base склеивал S3_BUCKET с S3_VERIFY: {{- end -}} съедал перевод строки.
@@ -158,3 +207,10 @@ spec:
               {{- $buckets := index .Data.data "buckets" }}
               S3_BUCKET={{ if gt (len $buckets) 0 }}{{ index (index $buckets 0) "name" }}{{ else }}sarex-media-storage{{ end }}
               {{- end -}}
+            vault.hashicorp.com/agent-inject-secret-pm-kafka: secrets/data/kafka/apps/pm
+            vault.hashicorp.com/agent-inject-template-pm-kafka: |-
+              {{- with secret "secrets/data/kafka/apps/pm" -}}
+              KAFKA_SASL_MECHANISM={{ index .Data.data.auth "sasl_mechanism" }}
+              KAFKA_SASL_PLAIN_USERNAME={{ index .Data.data "username" }}
+              KAFKA_SASL_PLAIN_PASSWORD={{ index .Data.data "password" }}
+              {{- end -}}