KubeLab IDP · Flujos Operativos y Arquitectura de Petición
Visualización del ciclo de vida de peticiones en defensa en profundidad: desde el edge Anycast y WAF de Cloudflare, pasando por el ingress Traefik y autenticación forward con Authelia, hasta las cargas de trabajo en contenedores y la telemetría en Loki.
[ 01 / Ruta de Petición y Defensa en Profundidad ]
Enrutamiento perimetral en doble capa, autenticación forward zero-trust y registro estructurado.
Cada petición HTTP entrante termina TLS en el borde perimetral de Cloudflare antes de alcanzar el host de producción en Hetzner mediante un túnel de origen cifrado. Traefik valida las cabeceras de host, consulta al motor de seguridad CrowdSec para verificar inteligencia de amenazas conocidas y delega la autenticación de rutas privadas a Authelia mediante el middleware ForwardAuth. Los registros de contenedores viajan a través de Vector directamente hacia Loki sin exponer las interioridades del clúster ni los endpoints de métricas al internet público.
Generado en el build desde src/diagrams/request-path.architecture.json
[ 02 / Entrega Continua y Malla GitOps ]
Reconciliación automatizada hub-and-spoke sobre túneles privados WireGuard.
El código fuente y los manifiestos declarativos residen en GitHub como única fuente de verdad. La integración continua compila imágenes multi-arquitectura y publica digests inmutables en Docker Hub y GHCR. Argo CD opera como un hub de plano de control aislado en GCP, renderizando overlays de Kustomize específicos por entorno y reconciliando los clústeres spoke en cloud VPS y homelab bare-metal mediante túneles privados WireGuard en Tailscale sin exponer el puerto 6443 de la API de Kubernetes al internet público.
Generado en el build desde src/diagrams/gitops.architecture.json
[ 03 / Ciclo de Vida de Secretos Zero-Trust y Criptografía ]
Cifrado de sobre con Age, derivación en memoria y proyecciones efímeras en Kubernetes.
Ninguna credencial en texto claro toca jamás el control de versiones ni los discos locales. Las configuraciones sensibles se cifran en reposo mediante claves asimétricas de Age a través de Mozilla SOPS. En el despliegue, toolkit secrets procesa y descifra los sobres íntegramente en memoria volátil, aplica derivación criptográfica unidireccional (Argon2id para bases de datos de Authelia y bcrypt para el acceso de administración de Argo CD) y genera objetos K8s Secret con ámbito estricto de namespace. Los contenedores montan las credenciales exclusivamente mediante proyecciones tmpfs en memoria para garantizar cero persistencia en disco y evitar fugas involuntarias.
Generado en el build desde src/diagrams/secret-flow.architecture.json