$ ssh [email protected] 'hostnamectl; free -m | head -2; nproc'
 Static hostname: srv-tramontana-pruebas
  Operating System: Ubuntu 24.04.1 LTS
            Kernel: Linux 6.8.0-41-generic
               total        used        free
Mem:            3891         412        3102
2

$ virt-install --name k8s-nodo2 --memory 2048 --vcpus 2 --disk size=20 \
    --cloud-init user-data=cloud-init-nodo2.yaml \
    --os-variant ubuntu24.04 --import --noautoconsole
$ virsh domifaddr k8s-nodo2
 vnet2  52:54:00:a1:b2:c4  ipv4  192.168.122.105/24

# ===== NODO SERVIDOR: srv-tramontana-pruebas (192.168.122.104) =====
$ ssh [email protected]

# Descargar y REVISAR el script antes de ejecutarlo. Canalizar una URL
# directamente a sh es exactamente lo que 05-03 desaconseja.
$ curl -sfL https://get.k3s.io -o /tmp/k3s-install.sh
$ sha256sum /tmp/k3s-install.sh
$ less /tmp/k3s-install.sh

$ INSTALL_K3S_VERSION="v1.30.4+k3s1" \
  INSTALL_K3S_EXEC="server \
      --write-kubeconfig-mode 0644 \
      --disable traefik=false \
      --node-label rol=servidor \
      --tls-san 192.168.122.104" \
  sh /tmp/k3s-install.sh
[INFO]  Using v1.30.4+k3s1 as release
[INFO]  systemd: Starting k3s

$ sudo systemctl status k3s --no-pager | head -4
● k3s.service - Lightweight Kubernetes
     Active: active (running) since Tue 2026-08-18 15:02:11 CEST

# El token que autentica a los nodos que se unan. Es un secreto real:
# con el, cualquiera puede unir un nodo al clúster.
$ sudo cat /var/lib/rancher/k3s/server/node-token
K10a3f19c8d::server:8f2b1c4d5e6a7b8c9d0e1f2a3b4c5d6e

# ===== NODO AGENTE: k8s-nodo2 (192.168.122.105) =====
$ ssh [email protected]
$ curl -sfL https://get.k3s.io -o /tmp/k3s-install.sh
$ INSTALL_K3S_VERSION="v1.30.4+k3s1" \
  K3S_URL="https://192.168.122.104:6443" \
  K3S_TOKEN="K10a3f19c8d::server:8f2b1c4d5e6a7b8c9d0e1f2a3b4c5d6e" \
  INSTALL_K3S_EXEC="agent --node-label rol=trabajo" \
  sh /tmp/k3s-install.sh

# ===== Verificacion, desde el servidor =====
$ sudo k3s kubectl get nodes -o wide
NAME                     STATUS   ROLES                  AGE   VERSION        INTERNAL-IP
srv-tramontana-pruebas   Ready    control-plane,master   4m    v1.30.4+k3s1   192.168.122.104
k8s-nodo2                Ready    <none>                 1m    v1.30.4+k3s1   192.168.122.105

$ sudo k3s kubectl get pods -A
NAMESPACE     NAME                                     READY   STATUS      RESTARTS
kube-system   coredns-6799fbcd5-x8k2p                  1/1     Running     0
kube-system   local-path-provisioner-6c86858495-mn4qt  1/1     Running     0
kube-system   metrics-server-54fd9b65b-7jc9d           1/1     Running     0
kube-system   svclb-traefik-4a1b2c3d-p9k4m             2/2     Running     0
kube-system   traefik-7d764994d8-lm2xw                 1/1     Running     0

$ sudo k3s kubectl top nodes
NAME                     CPU(cores)   CPU%   MEMORY(bytes)   MEMORY%
srv-tramontana-pruebas   142m         7%     812Mi           21%
k8s-nodo2                38m          1%     284Mi           14%

# Desde tu portatil, sin depender de sudo en el servidor
$ sudo apt install kubernetes-client   # o descargar el binario oficial
$ mkdir -p ~/.kube
$ scp [email protected]:/etc/rancher/k3s/k3s.yaml ~/.kube/config-pruebas
$ sed -i 's/127.0.0.1/192.168.122.104/' ~/.kube/config-pruebas
$ chmod 0600 ~/.kube/config-pruebas
$ export KUBECONFIG=~/.kube/config-pruebas

# ~/.kube/config-pruebas (fragmento)
clusters:
- cluster:
    certificate-authority-data: LS0tLS1CRUdJTiBD...   # la CA del clúster
    server: https://192.168.122.104:6443
  name: default
users:
- name: default
  user:
    client-certificate-data: LS0tLS1CRUdJTiBD...      # tu certificado
    client-key-data: LS0tLS1CRUdJTiBS...              # TU CLAVE PRIVADA
contexts:
- context: {cluster: default, user: default, namespace: tramontana}
  name: pruebas
current-context: pruebas

$ kubectl get nodes
NAME                     STATUS   ROLES                  AGE   VERSION
srv-tramontana-pruebas   Ready    control-plane,master   12m   v1.30.4+k3s1
k8s-nodo2                Ready    <none>                 9m    v1.30.4+k3s1

# Autocompletado y un alias: se usa docenas de veces al dia
$ echo 'source <(kubectl completion bash)' >> ~/.bashrc
$ echo 'alias k=kubectl; complete -o default -F __start_kubectl k' >> ~/.bashrc

$ kubectl run prueba --image=nginx:1.27-alpine --restart=Never
$ kubectl get pod prueba -o wide
NAME     READY   STATUS    RESTARTS   AGE   IP           NODE
prueba   1/1     Running   0          8s    10.42.1.14   k8s-nodo2

$ kubectl delete pod prueba
$ kubectl get pods
No resources found.

Deployment  →  gestiona ReplicaSets (uno por versión)  →  crean Pods

strategy:
  type: RollingUpdate
  rollingUpdate:
    maxSurge: 1          # cuántos Pods DE MÁS puede haber temporalmente
    maxUnavailable: 0    # cuántos de MENOS. 0 = capacidad íntegra siempre

<servicio>.<namespace>.svc.cluster.local

$ kubectl run dns-test --rm -it --image=busybox:1.36 --restart=Never -- \
      nslookup tramontana.tramontana.svc.cluster.local
Server:    10.43.0.10
Address:   10.43.0.10:53
Name:      tramontana.tramontana.svc.cluster.local
Address:   10.43.112.88

$ kubectl create secret generic prueba --from-literal=password='SuperSecreta123'
$ kubectl get secret prueba -o jsonpath='{.data.password}' | base64 -d; echo
SuperSecreta123

$ kubectl get storageclass
NAME                   PROVISIONER             RECLAIMPOLICY   VOLUMEBINDINGMODE
local-path (default)   rancher.io/local-path   Delete          WaitForFirstConsumer

# ~/tramontana-k8s/00-namespace.yaml
apiVersion: v1
kind: Namespace
metadata:
  name: tramontana
  labels:
    # Pod Security Standards (apartado 10): rechaza Pods privilegiados
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: latest
---
# Cuota: impide que un error de configuracion consuma el clúster entero
apiVersion: v1
kind: ResourceQuota
metadata:
  name: cuota-tramontana
  namespace: tramontana
spec:
  hard:
    requests.cpu: "2"
    requests.memory: 2Gi
    limits.cpu: "4"
    limits.memory: 4Gi
    persistentvolumeclaims: "4"

# ~/tramontana-k8s/10-config.yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: tramontana-config
  namespace: tramontana
data:
  # Es el /etc/tramontana/app.conf de siempre, como objeto del clúster
  db_host: "10.0.2.15"
  db_port: "6432"              # PgBouncer (08-02)
  db_name: "tramontana"
  max_conexiones: "80"
  timeout_consulta: "30"
  log_nivel: "info"
  escucha: "0.0.0.0"           # dentro del Pod, no del host
  puerto: "8080"
---
apiVersion: v1
kind: Secret
metadata:
  name: tramontana-secretos
  namespace: tramontana
type: Opaque
stringData:
  # stringData permite escribir en claro y Kubernetes codifica solo.
  # ESTE FICHERO NO VA A GIT. En produccion, Sealed Secrets o Vault.
  db_password: "PLACEHOLDER_SE_INYECTA_DESDE_PASS"

# En la practica, el Secret se crea sin fichero intermedio:
$ kubectl -n tramontana create secret generic tramontana-secretos \
      --from-literal=db_password="$(pass tramontana/db)" \
      --dry-run=client -o yaml | kubectl apply -f -

# ~/tramontana-k8s/20-deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: tramontana
  namespace: tramontana
  labels:
    app: tramontana
spec:
  replicas: 2
  revisionHistoryLimit: 5        # cuántos ReplicaSets viejos conservar
  selector:
    matchLabels:
      app: tramontana

  strategy:
    type: RollingUpdate
    rollingUpdate:
      maxSurge: 1                # uno de más durante el despliegue
      maxUnavailable: 0          # NUNCA menos capacidad de la declarada

  template:
    metadata:
      labels:
        app: tramontana
        version: "3.2.1"
    spec:
      # Repartir las réplicas entre nodos distintos: si un nodo cae,
      # no se van las dos a la vez.
      topologySpreadConstraints:
        - maxSkew: 1
          topologyKey: kubernetes.io/hostname
          whenUnsatisfiable: ScheduleAnyway
          labelSelector:
            matchLabels:
              app: tramontana

      # --- Seguridad a nivel de Pod (apartado 10) ---
      securityContext:
        runAsNonRoot: true
        runAsUser: 997             # svc-tramontana, el uid de siempre
        runAsGroup: 1002           # grupo tramontana
        fsGroup: 1002
        seccompProfile:
          type: RuntimeDefault

      containers:
        - name: tramontana
          image: registro.tramontana.example/tramontana:3.2.1
          # NUNCA ':latest'. Una etiqueta móvil hace que dos Pods de la
          # misma "versión" ejecuten código distinto, y que una vuelta
          # atrás no vuelva a ninguna parte.
          imagePullPolicy: IfNotPresent

          ports:
            - name: http
              containerPort: 8080

          # --- Configuracion desde el ConfigMap ---
          envFrom:
            - configMapRef:
                name: tramontana-config
          env:
            - name: TRAMONTANA_DB_PASSWORD
              valueFrom:
                secretKeyRef:
                  name: tramontana-secretos
                  key: db_password

          # --- Recursos: la relacion con los cgroups de 07-05 ---
          # requests: lo que el PLANIFICADOR reserva para elegir nodo.
          # limits:   el tope real, impuesto por cgroups v2.
          #   - Superar el limite de MEMORIA -> el kernel MATA el
          #     contenedor (OOMKilled): es un limite duro.
          #   - Superar el de CPU -> se ESTRANGULA (throttling), no se
          #     mata: el proceso simplemente va más lento.
          resources:
            requests:
              cpu: 100m            # 0,1 núcleo
              memory: 256Mi
            limits:
              cpu: 500m
              memory: 512Mi

          # --- Las tres sondas, y cada una responde a algo distinto ---

          # startupProbe: "¿ha terminado de arrancar?" Mientras falla,
          # las otras dos NO se ejecutan. Es lo que permite arranques
          # lentos sin relajar el liveness. 30 x 5 s = 150 s de margen.
          startupProbe:
            httpGet: {path: /salud, port: http}
            periodSeconds: 5
            failureThreshold: 30

          # readinessProbe: "¿puede atender peticiones AHORA?"
          # Si falla, el Pod SALE del Service (deja de recibir tráfico)
          # pero NO se reinicia. Es la puerta del balanceador.
          readinessProbe:
            httpGet: {path: /salud, port: http}
            periodSeconds: 5
            timeoutSeconds: 2
            successThreshold: 1
            failureThreshold: 3

          # livenessProbe: "¿está vivo o colgado?" Si falla, el kubelet
          # MATA Y REINICIA el contenedor. Por eso es la más peligrosa:
          # mal calibrada, provoca reinicios en cascada bajo carga.
          # Umbrales MÁS LAXOS que readiness, siempre.
          livenessProbe:
            httpGet: {path: /salud, port: http}
            periodSeconds: 15
            timeoutSeconds: 3
            failureThreshold: 5

          # --- Seguridad a nivel de contenedor ---
          securityContext:
            allowPrivilegeEscalation: false
            readOnlyRootFilesystem: true
            capabilities:
              drop: ["ALL"]

          # Con readOnlyRootFilesystem hay que dar sitio escribible
          # explícito para lo que de verdad lo necesite.
          volumeMounts:
            - name: tmp
              mountPath: /tmp
            - name: cache
              mountPath: /var/cache/tramontana

          # Cierre ordenado: da tiempo a terminar las peticiones en
          # curso antes de que llegue el SIGTERM.
          lifecycle:
            preStop:
              exec:
                command: ["/bin/sh", "-c", "sleep 5"]

      terminationGracePeriodSeconds: 30
      volumes:
        - name: tmp
          emptyDir: {sizeLimit: 64Mi}
        - name: cache
          emptyDir: {sizeLimit: 256Mi}

# ~/tramontana-k8s/30-service.yaml
apiVersion: v1
kind: Service
metadata:
  name: tramontana
  namespace: tramontana
spec:
  type: ClusterIP
  selector:
    app: tramontana            # las etiquetas del Pod, no del Deployment
  ports:
    - name: http
      port: 80                 # puerto del Service
      targetPort: http         # puerto con nombre del contenedor
---
# La base de datos vive FUERA del clúster (srv-tramontana). Este objeto
# le da un nombre interno, de modo que la aplicación use siempre
# "postgresql" y no una IP codificada.
apiVersion: v1
kind: Service
metadata:
  name: postgresql
  namespace: tramontana
spec:
  type: ExternalName
  externalName: srv-tramontana.interno

# ~/tramontana-k8s/40-ingress.yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: tramontana
  namespace: tramontana
  annotations:
    traefik.ingress.kubernetes.io/router.entrypoints: websecure
    traefik.ingress.kubernetes.io/router.tls: "true"
    # Las cabeceras de seguridad de 08-01, como anotaciones
    traefik.ingress.kubernetes.io/router.middlewares: tramontana-seguridad@kubernetescrd
spec:
  ingressClassName: traefik
  tls:
    - hosts: [reservas.tramontana.example]
      secretName: tramontana-tls      # Secret de tipo kubernetes.io/tls
  rules:
    - host: reservas.tramontana.example
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: tramontana
                port: {name: http}
---
# Middleware de Traefik: el equivalente a los add_header de 08-01
apiVersion: traefik.io/v1alpha1
kind: Middleware
metadata:
  name: seguridad
  namespace: tramontana
spec:
  headers:
    stsSeconds: 63072000
    stsIncludeSubdomains: true
    contentTypeNosniff: true
    frameDeny: true
    referrerPolicy: "strict-origin-when-cross-origin"

# El certificado de 06-05, como Secret
$ sudo kubectl -n tramontana create secret tls tramontana-tls \
      --cert=/etc/letsencrypt/live/reservas.tramontana.example/fullchain.pem \
      --key=/etc/letsencrypt/live/reservas.tramontana.example/privkey.pem

# Desplegar todo, en orden
$ kubectl apply -f ~/tramontana-k8s/
namespace/tramontana created
resourcequota/cuota-tramontana created
configmap/tramontana-config created
deployment.apps/tramontana created
service/tramontana created
ingress.networking.k8s.io/tramontana created

$ kubectl -n tramontana get pods -o wide
NAME                          READY   STATUS    RESTARTS   AGE   NODE
tramontana-7d8f9c4b5-k2m4p    1/1     Running   0          48s   srv-tramontana-pruebas
tramontana-7d8f9c4b5-x9n7q    1/1     Running   0          48s   k8s-nodo2

$ kubectl -n tramontana get endpoints tramontana
NAME         ENDPOINTS                           AGE
tramontana   10.42.0.18:8080,10.42.1.22:8080     51s

# 1. Desplegar la version 3.3.0. --record esta obsoleto; se usa una
#    anotacion para que quede constancia del motivo.
$ kubectl -n tramontana set image deployment/tramontana \
      tramontana=registro.tramontana.example/tramontana:3.3.0
$ kubectl -n tramontana annotate deployment/tramontana \
      kubernetes.io/change-cause="Version 3.3.0: informes optimizados"

# 2. Seguirlo en directo
$ kubectl -n tramontana rollout status deployment/tramontana
Waiting for deployment "tramontana" rollout to finish: 1 out of 2 new replicas have been updated...
Waiting for deployment "tramontana" rollout to finish: 1 old replicas are pending termination...
deployment "tramontana" successfully rolled out

# 3. Durante el proceso conviven ambos ReplicaSets
$ kubectl -n tramontana get rs
NAME                    DESIRED   CURRENT   READY   AGE
tramontana-7d8f9c4b5    0         0         0       18m    # 3.2.1
tramontana-9f2a1c8e7    2         2         2       42s    # 3.3.0

# 4. La version nueva falla en produccion: vuelta atras
$ kubectl -n tramontana rollout history deployment/tramontana
REVISION  CHANGE-CAUSE
1         Version 3.2.1 inicial
2         Version 3.3.0: informes optimizados

$ kubectl -n tramontana rollout undo deployment/tramontana
deployment.apps/tramontana rolled back

$ kubectl -n tramontana rollout status deployment/tramontana
deployment "tramontana" successfully rolled out

# 5. Escalar, que es trivial y por eso llama la atencion
$ kubectl -n tramontana scale deployment/tramontana --replicas=4
$ kubectl -n tramontana get pods --no-headers | wc -l
4

# Verificar que se aplica de verdad
$ kubectl -n tramontana exec deploy/tramontana -- id
uid=997 gid=1002 groups=1002
$ kubectl -n tramontana exec deploy/tramontana -- touch /prueba
touch: /prueba: Read-only file system
command terminated with exit code 1

# ~/tramontana-k8s/50-networkpolicy.yaml
# 1. Denegar TODO por defecto en el namespace (lista blanca, 06-03)
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: denegar-todo
  namespace: tramontana
spec:
  podSelector: {}                # todos los Pods del namespace
  policyTypes: [Ingress, Egress]
---
# 2. Permitir solo lo necesario
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: permitir-tramontana
  namespace: tramontana
spec:
  podSelector:
    matchLabels: {app: tramontana}
  policyTypes: [Ingress, Egress]
  ingress:
    # Solo desde el Ingress (Traefik vive en kube-system)
    - from:
        - namespaceSelector:
            matchLabels: {kubernetes.io/metadata.name: kube-system}
      ports: [{protocol: TCP, port: 8080}]
  egress:
    # DNS: sin esto, NADA funciona y el fallo desconcierta
    - to:
        - namespaceSelector:
            matchLabels: {kubernetes.io/metadata.name: kube-system}
      ports:
        - {protocol: UDP, port: 53}
        - {protocol: TCP, port: 53}
    # PostgreSQL, fuera del clúster
    - to:
        - ipBlock: {cidr: 10.0.2.15/32}
      ports: [{protocol: TCP, port: 6432}]

# Luis: solo lectura y logs en su namespace. No puede ver Secrets.
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: tramontana
  name: lector
rules:
  - apiGroups: ["", "apps"]
    resources: ["pods", "pods/log", "deployments", "services", "configmaps"]
    verbs: ["get", "list", "watch"]
  # 'secrets' NO aparece: leerlos es leer las contraseñas (base64)

# Comprobar permisos, propios o de otro
$ kubectl auth can-i get secrets -n tramontana --as=luis
no
$ kubectl auth can-i get pods -n tramontana --as=luis
yes

$ kubectl -n tramontana run malo --image=nginx --privileged
Error from server (Forbidden): pods "malo" is forbidden: violates PodSecurity
"restricted:latest": privileged (container "malo" must not set
securityContext.privileged=true), allowPrivilegeEscalation != false,
unrestricted capabilities, runAsNonRoot != true, seccompProfile

$ kubectl -n tramontana describe pod tramontana-7d8f9c4b5-k2m4p | tail -12
Events:
  Type     Reason     Age                From     Message
  ----     ------     ----               ----     -------
  Normal   Scheduled  2m                 default-scheduler  Successfully assigned...
  Normal   Pulling    2m                 kubelet  Pulling image "...:3.2.1"
  Normal   Pulled     1m                 kubelet  Successfully pulled image
  Normal   Created    1m                 kubelet  Created container tramontana
  Normal   Started    1m                 kubelet  Started container tramontana
  Warning  Unhealthy  30s (x3 over 40s)  kubelet  Readiness probe failed:
             Get "http://10.42.0.18:8080/salud": dial tcp: connect: connection refused

$ kubectl -n tramontana get pods
NAME                         READY   STATUS             RESTARTS      AGE
tramontana-9f2a1c8e7-p4k9m   0/1     CrashLoopBackOff   5 (48s ago)   4m

# La clave: --previous. Sin ella ves los logs del intento ACTUAL,
# que acaba de arrancar y está vacío.
$ kubectl -n tramontana logs tramontana-9f2a1c8e7-p4k9m --previous
FATAL: no se pudo conectar a la base de datos: password authentication
failed for user "svc_tramontana"

# Confirmar la causa
$ kubectl -n tramontana get secret tramontana-secretos -o jsonpath='{.data.db_password}' \
      | base64 -d | head -c8; echo '...'
PLACEHO...

$ kubectl -n tramontana describe pod tramontana-x | grep -A3 Events
  Warning  Failed  30s  kubelet  Failed to pull image
    "registro.tramontana.example/tramontana:3.3.1": failed to resolve reference:
    unexpected status: 401 Unauthorized

$ kubectl -n tramontana describe pod tramontana-y | tail -4
  Warning  FailedScheduling  20s  default-scheduler
    0/2 nodes are available: 1 Insufficient cpu, 1 Insufficient memory.
    preemption: 0/2 nodes are available: 2 No preemption victims found.

# Cuánto hay realmente comprometido en cada nodo
$ kubectl describe node k8s-nodo2 | grep -A6 'Allocated resources'
Allocated resources:
  Resource   Requests      Limits
  cpu        1750m (87%)   3200m (160%)
  memory     1894Mi (94%)  2560Mi (128%)

$ kubectl -n tramontana describe pod tramontana-z | grep -A4 'Last State'
    Last State:     Terminated
      Reason:       OOMKilled
      Exit Code:    137            # 128 + 9 (SIGKILL)

# Eventos del namespace, en orden cronologico
$ kubectl -n tramontana get events --sort-by=.lastTimestamp | tail -10

# Consumo real (necesita metrics-server, que k3s trae)
$ kubectl -n tramontana top pods
NAME                         CPU(cores)   MEMORY(bytes)
tramontana-7d8f9c4b5-k2m4p   12m          184Mi

# Depurar la red desde dentro del clúster, sin tocar los Pods reales
$ kubectl -n tramontana run depurar --rm -it --image=nicolaka/netshoot \
      --restart=Never -- bash
depurar:~# nslookup tramontana
depurar:~# curl -sv http://tramontana/salud
depurar:~# nc -zv 10.0.2.15 6432

# Reenviar un puerto al portatil, sin exponer nada
$ kubectl -n tramontana port-forward svc/tramontana 8080:80
$ curl -s localhost:8080/salud

# ~/tramontana-infra/roles/k3s/defaults/main.yml
---
k3s_version: "v1.30.4+k3s1"
k3s_url: "https://192.168.122.104:6443"
k3s_datastore: sqlite
k3s_deshabilitar: []
k3s_extra_args_servidor: "--write-kubeconfig-mode 0644 --tls-san {{ ansible_default_ipv4.address }}"

# ~/tramontana-infra/roles/k3s/tasks/main.yml
---
- name: Guardia de seguridad — NUNCA en produccion
  ansible.builtin.assert:
    that: inventory_hostname != 'srv-tramontana'
    fail_msg: >-
      Este rol NO debe ejecutarse en srv-tramontana. k3s reescribe las
      reglas de nftables y arranca su propio runtime de contenedores;
      en el servidor de produccion interferiria con ufw, AppArmor y el
      servicio tramontana.

- name: Requisitos del sistema
  ansible.builtin.apt:
    name: [curl, iptables, apparmor-utils]
    state: present

- name: Descargar el instalador de k3s
  ansible.builtin.get_url:
    url: https://get.k3s.io
    dest: /usr/local/src/k3s-install.sh
    mode: '0755'

- name: Instalar k3s en el nodo SERVIDOR
  ansible.builtin.command:
    cmd: /usr/local/src/k3s-install.sh
    creates: /usr/local/bin/k3s        # idempotencia (07-06)
  environment:
    INSTALL_K3S_VERSION: "{{ k3s_version }}"
    INSTALL_K3S_EXEC: "server {{ k3s_extra_args_servidor }}"
  when: "'k3s_servidor' in group_names"

- name: Leer el token del nodo servidor
  ansible.builtin.slurp:
    src: /var/lib/rancher/k3s/server/node-token
  register: k3s_token_raw
  when: "'k3s_servidor' in group_names"

- name: Compartir el token con los agentes
  ansible.builtin.set_fact:
    k3s_token: "{{ hostvars[groups['k3s_servidor'][0]]['k3s_token_raw']['content'] | b64decode | trim }}"
  no_log: true

- name: Instalar k3s en los nodos AGENTE
  ansible.builtin.command:
    cmd: /usr/local/src/k3s-install.sh
    creates: /usr/local/bin/k3s
  environment:
    INSTALL_K3S_VERSION: "{{ k3s_version }}"
    K3S_URL: "{{ k3s_url }}"
    K3S_TOKEN: "{{ k3s_token }}"
    INSTALL_K3S_EXEC: "agent"
  no_log: true
  when: "'k3s_agente' in group_names"

- name: Esperar a que el nodo este Ready
  ansible.builtin.command: "k3s kubectl get node {{ ansible_hostname }} -o json"
  register: nodo
  until: >-
    (nodo.stdout | from_json).status.conditions
    | selectattr('type','eq','Ready') | map(attribute='status') | first == 'True'
  retries: 30
  delay: 10
  changed_when: false
  delegate_to: "{{ groups['k3s_servidor'][0] }}"

# --- Copia de seguridad del clúster, que es lo que de verdad importa ---
- name: Instalar el script de copia de etcd/SQLite
  ansible.builtin.copy:
    src: respaldo_k3s.sh
    dest: /usr/local/bin/respaldo_k3s.sh
    mode: '0750'
  when: "'k3s_servidor' in group_names"

- name: Timer diario de copia del estado del clúster
  ansible.builtin.copy:
    src: "{{ item }}"
    dest: "/etc/systemd/system/{{ item }}"
    mode: '0644'
  loop: [respaldo-k3s.service, respaldo-k3s.timer]
  notify: Recargar systemd
  when: "'k3s_servidor' in group_names"

# roles/k3s/files/respaldo_k3s.sh (nucleo)
$ k3s etcd-snapshot save --name diario           # con etcd
# o, con SQLite:
$ sqlite3 /var/lib/rancher/k3s/server/db/state.db ".backup '/srv/backups/k3s.db'"
$ restic backup /srv/backups/k3s.db --tag k3s

$ sudo kubeadm certs check-expiration | head -5
CERTIFICATE                EXPIRES                  RESIDUAL TIME
apiserver                  Aug 18, 2027 13:02 UTC   364d
etcd-server                Aug 18, 2027 13:02 UTC   364d

$ kubectl -n tramontana get pods
NAME                          READY   STATUS             RESTARTS      AGE
tramontana-7d8f9c4b5-k2m4p    1/1     Running            0             3h    # 3.2.1
tramontana-9f2a1c8e7-p4k9m    0/1     CrashLoopBackOff   4 (52s ago)   3m    # 3.3.0

$ kubectl -n tramontana rollout status deployment/tramontana --timeout=10s
error: timed out waiting for the condition

$ kubectl -n tramontana get endpoints tramontana
NAME         ENDPOINTS          AGE
tramontana   10.42.0.18:8080    3h

$ kubectl -n tramontana logs tramontana-9f2a1c8e7-p4k9m --previous
[2026-08-18T16:02:11Z] INFO  Tramontana Reservas 3.3.0 iniciando
[2026-08-18T16:02:11Z] INFO  leyendo configuracion del entorno
[2026-08-18T16:02:11Z] ERROR variable TRAMONTANA_CACHE_URL no definida
[2026-08-18T16:02:11Z] FATAL configuracion incompleta; abortando

$ kubectl -n tramontana describe pod tramontana-9f2a1c8e7-p4k9m | \
      grep -A6 'Last State'
    Last State:     Terminated
      Reason:       Error
      Exit Code:    1              # NO es 137: no es OOMKilled
      Started:      Tue, 18 Aug 2026 16:02:11 +0200
      Finished:     Tue, 18 Aug 2026 16:02:11 +0200

$ kubectl -n tramontana get configmap tramontana-config -o jsonpath='{.data}' | \
      jq 'keys'
["db_host","db_name","db_port","escucha","log_nivel","max_conexiones",
 "puerto","timeout_consulta"]

$ kubectl -n tramontana rollout undo deployment/tramontana
deployment.apps/tramontana rolled back
$ kubectl -n tramontana rollout status deployment/tramontana
deployment "tramontana" successfully rolled out

$ kubectl -n tramontana patch configmap tramontana-config \
      --type merge -p '{"data":{"cache_url":"redis://cache.tramontana.svc:6379"}}'

# 20-deployment.yaml — el mapeo explicito de la variable
          env:
            - name: TRAMONTANA_CACHE_URL
              valueFrom:
                configMapKeyRef:
                  name: tramontana-config
                  key: cache_url

# Verificar en un Pod desechable ANTES de tocar el Deployment
$ kubectl -n tramontana run verificar --rm -it --restart=Never \
      --image=registro.tramontana.example/tramontana:3.3.0 \
      --overrides='{"spec":{"containers":[{"name":"verificar",
        "image":"registro.tramontana.example/tramontana:3.3.0",
        "envFrom":[{"configMapRef":{"name":"tramontana-config"}}],
        "env":[{"name":"TRAMONTANA_CACHE_URL","valueFrom":
          {"configMapKeyRef":{"name":"tramontana-config","key":"cache_url"}}}]}]}}' \
      -- /usr/bin/tramontana --check-config
configuracion valida

# Ahora si
$ kubectl apply -f ~/tramontana-k8s/20-deployment.yaml
$ kubectl -n tramontana rollout status deployment/tramontana
deployment "tramontana" successfully rolled out
$ kubectl -n tramontana get pods
NAME                          READY   STATUS    RESTARTS   AGE
tramontana-3c7e9a2b1-h4j8k    1/1     Running   0          42s
tramontana-3c7e9a2b1-w2n5r    1/1     Running   0          28s

$ kubectl -n tramontana rollout restart deployment/tramontana

# ~/tramontana-k8s/60-cronjob-respaldo.yaml
apiVersion: batch/v1
kind: CronJob
metadata:
  name: respaldo-basedatos
  namespace: tramontana
spec:
  # 02:30, igual que tramontana-respaldo.timer (05-05).
  # OJO: el horario se interpreta en la ZONA HORARIA DEL CLÚSTER, que
  # por defecto es UTC. timeZone (estable desde 1.27) lo resuelve; sin
  # ella, la copia se ejecutaria a las 04:30 en verano.
  schedule: "30 2 * * *"
  timeZone: "Europe/Madrid"

  # El equivalente al flock de 04-07: si la copia de ayer sigue
  # corriendo, NO se lanza otra encima.
  concurrencyPolicy: Forbid

  # Si el clúster estuvo caído a las 02:30, ¿se ejecuta al volver?
  # 3600 = solo si han pasado menos de 1 h. Es el equivalente a
  # Persistent=true del timer, pero ACOTADO: sin este campo, un Job
  # muy atrasado se lanzaria en un momento inoportuno.
  startingDeadlineSeconds: 3600

  successfulJobsHistoryLimit: 7    # conservar 7 ejecuciones correctas
  failedJobsHistoryLimit: 14       # y 14 fallidas: son las que se miran

  jobTemplate:
    spec:
      # Reintentos ante fallo, con espera exponencial
      backoffLimit: 2
      # Tope absoluto: una copia colgada no bloquea la siguiente
      activeDeadlineSeconds: 3600
      # Limpieza automatica del Job 3 dias despues
      ttlSecondsAfterFinished: 259200

      template:
        spec:
          restartPolicy: OnFailure

          securityContext:
            runAsNonRoot: true
            runAsUser: 997
            runAsGroup: 1002
            fsGroup: 1002
            seccompProfile: {type: RuntimeDefault}

          containers:
            - name: respaldo
              image: registro.tramontana.example/respaldo:1.4.0
              command: ["/usr/local/bin/respaldo_tramontana.sh"]

              env:
                - name: PGHOST
                  valueFrom:
                    configMapKeyRef: {name: tramontana-config, key: db_host}
                - name: PGDATABASE
                  valueFrom:
                    configMapKeyRef: {name: tramontana-config, key: db_name}
                - name: PGPASSWORD
                  valueFrom:
                    secretKeyRef: {name: tramontana-secretos, key: db_password}
                - name: RESTIC_REPOSITORY
                  valueFrom:
                    secretKeyRef: {name: restic-secretos, key: repositorio}
                - name: RESTIC_PASSWORD
                  valueFrom:
                    secretKeyRef: {name: restic-secretos, key: password}

              resources:
                requests: {cpu: 100m, memory: 256Mi}
                # La copia comprime: necesita mas holgura que la app
                limits:   {cpu: "1",  memory: 1Gi}

              securityContext:
                allowPrivilegeEscalation: false
                readOnlyRootFilesystem: true
                capabilities: {drop: ["ALL"]}

              volumeMounts:
                - {name: trabajo, mountPath: /tmp}
                - {name: cache-restic, mountPath: /var/cache/restic}

          volumes:
            - name: trabajo
              emptyDir: {sizeLimit: 4Gi}
            # El cache de restic acelera mucho las copias sucesivas:
            # persistirlo entre ejecuciones es una optimizacion real.
            - name: cache-restic
              persistentVolumeClaim: {claimName: cache-restic}
---
apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: cache-restic
  namespace: tramontana
spec:
  accessModes: [ReadWriteOnce]
  resources: {requests: {storage: 2Gi}}

# Probar SIN esperar a las 02:30 (equivalente a systemctl start)
$ kubectl -n tramontana create job --from=cronjob/respaldo-basedatos prueba-manual
$ kubectl -n tramontana logs job/prueba-manual -f
[2026-08-18 17:12:03] iniciando copia de PostgreSQL
[2026-08-18 17:12:41] copia base verificada: 1,7 GiB
[2026-08-18 17:14:12] restic: snapshot a3f19c8d guardado
[2026-08-18 17:14:20] respaldo completado

$ kubectl -n tramontana get cronjob
NAME                 SCHEDULE     TIMEZONE        SUSPEND   ACTIVE   LAST SCHEDULE
respaldo-basedatos   30 2 * * *   Europe/Madrid   False     0        8h