Zum Inhalt springen
MCP-Server eingebautWie das funktioniert
lavalake

Installation auf Kubernetes

Für den Betrieb liegt ein Umbrella-Helm-Chart bei. Es installiert die Plattform samt SeaweedFS, Nessie, Trino, Keycloak, PostgreSQL, cert-manager und einem nginx-Ingress in einen eigenen Namensraum.

Auf dieser Seite

Zum Ausprobieren ist der Docker-Compose-Stapel der schnellere Weg. Diese Seite beschreibt die Cluster-Installation.

Eigener Ausbaupfad

Der Referenzbetrieb nutzt Docker Compose; das Ansible-Playbook installiert diesen Stapel auf Debian/Ubuntu. Helm ist ein eigener Weg mit offenen Betriebspunkten. Tägliche Sicherung und Leistungsklassen aus dem Compose-Stapel werden hier nicht automatisch eingerichtet.

Richtlinien-Anbindung einschalten

Das Overlay infra/helm/flaky-platform/values-datenrechte.yaml verbindet die erzeugten Richtlinien mit Trino. Ein Beiwagen überträgt Regel- und Gruppendateien in eine ConfigMap; Trino und Warehouse-Koordinatoren lesen sie ein. Ohne das Overlay ist die Durchsetzung nicht aktiv. Prüfen Sie den Status und testen Sie ein eingeschränktes Konto.

Installieren

  1. Cluster anlegen und Chart ausrollen

    Erzeugt beim ersten Lauf die .env mit den Geheimnissen und installiert in den Namensraum flaky-platform.

    ./scripts/bootstrap.sh

  2. Keycloak einrichten

    Realm, Trino-Client samt Audience-Mapper und ein Testnutzer.

    ./scripts/configure-keycloak.sh

  3. Nachweisen, dass es trägt

    Ein Ende-zu-Ende-Beweis: authentifiziertes SQL, eine Iceberg-Zeitreise und die erwarteten Abweisungen mit 401 und 403.

    ./scripts/verify.sh

  4. Ingress erreichbar machen

    Eine Portweiterleitung genügt, danach steht die Konsole unter http://localhost:8080/.

    kubectl -n flaky-platform port-forward svc/flaky-platform-ingress-nginx-controller 8080:8080

Ein Aussteller, im Gleichschritt

Wie im Compose-Stapel gilt: Keycloak wird unter /auth ausgeliefert und legt damit den öffentlichen Aussteller fest. Jedes Token – aus der Browser-Anmeldung wie aus dem Tausch für Trino – trägt genau diesen iss, während Backchannel-Aufrufe im Cluster bleiben. Trino läuft deshalb mit abgeschalteter OIDC-Discovery und fest auf den clusterinternen Keycloak-Dienst gesetzten OAuth2-Endpunkten.

Der Zweck dieser Konstruktion: die öffentliche Adresse muss innerhalb des Clusters nie auflösbar sein – und trotzdem stimmt der Aussteller in jedem Token überein.

Abbauen

kind delete cluster --name flaky-platform

Damit sind alle Daten weg; die .env bleibt liegen.

Betriebsprofile und Abnahme

Die Helm-Karte enthält zusätzliche Profile für Datenrechte, interne TLS-Verbindungen, KI-SQL, Warehouses und Hochverfügbarkeit. Das HA-Profil ist gerendert und teilweise gegen PostgreSQL geprüft; Installation im laufenden Cluster und Knotenausfalltest stehen noch aus. Es ist keine bereits nachgewiesene Verfügbarkeitsgarantie.

  • HA-Profil values-ha.yaml: Cluster- und Ausfallabnahme offen
  • Systemzustand, Alarme und Protokolle in der Konsole; /metrics für eigenes Prometheus
  • Secrets über Kubernetes-Secrets, Vault oder External Secrets nach Betriebsanleitung
  • Interne TLS-Ebene über values-tls-intern.yaml für die dokumentierten Verbindungen
  • Images und Chart-Abhängigkeiten anhand des aktuellen Releases prüfen
  • Offline-Bundle für Compose; Kubernetes benötigt eigene Image-Registry und Bereitstellung

Stand: Diese Seite beschreibt lavalake 0.201.0. Produkt und Dokumentation liegen in getrennten Repositories – im Zweifel gilt, was die Konsole zeigt.

Etwas fehlt?

Wenn diese Seiten Ihre Frage nicht beantworten, zeigen wir die Plattform in einer halben Stunde an Ihrem Fall.

Demo vereinbaren