Lab : cloisonner et exposer Signalements

#!/usr/bin/env bash
# Vérifie les propriétés attendues du lab « cloisonner et exposer Signalements ».
# Usage : KUBECONFIG=<kubeconfig du laboratoire> bash verifier-lab.sh   (exige kubectl et jq)
# Chaque contrôle affiche OK ou ÉCHEC ; le code de sortie est le nombre d'échecs.
set -uo pipefail
NS=signalements
echecs=0

controle() {   # controle "libellé" commande...
  local libelle=$1; shift
  if "$@" > /dev/null 2>&1; then
    echo "OK     $libelle"
  else
    echo "ÉCHEC  $libelle"
    echecs=$((echecs + 1))
  fi
}

condition() {   # condition objet type : vrai si .status.conditions contient type=True
  kubectl -n "$NS" get "$1" -o json | jq -e --arg t "$2" '[.status.conditions[]? | select(.type == $t and .status == "True")] | length > 0'
}

gw=$(kubectl -n "$NS" get gateway signalements -o json 2>/dev/null)
controle "la Gateway signalements existe" test -n "$gw"
controle "la Gateway est Programmed" condition gateway/signalements Programmed
controle "la Gateway a un écouteur HTTPS avec un certificat" \
  bash -c 'jq -e "[.spec.listeners[] | select(.protocol == \"HTTPS\" and ((.tls.certificateRefs // []) | length > 0))] | length > 0" <<< "$1"' _ "$gw"
controle "un Certificate cert-manager est Ready" \
  bash -c 'kubectl -n signalements get certificates -o json | jq -e "[.items[] | select(any(.status.conditions[]?; .type == \"Ready\" and .status == \"True\"))] | length > 0"'

route=$(kubectl -n "$NS" get httproutes -o json | jq -c '[.items[] | select((.spec.hostnames // []) | index("signalements.example.com"))][0] // empty')
controle "une HTTPRoute sert signalements.example.com" test -n "$route"
controle "la HTTPRoute est Accepted et ses références résolues" \
  bash -c 'jq -e "[.status.parents[]?.conditions[]? | select(.status == \"True\") | .type] as \$c | (\$c | index(\"Accepted\")) != null and (\$c | index(\"ResolvedRefs\")) != null" <<< "$1"' _ "$route"
controle "l'écouteur HTTP redirige vers HTTPS" \
  bash -c 'kubectl -n signalements get httproutes -o json | jq -e "[.items[].spec.rules[]?.filters[]? | select(.type == \"RequestRedirect\" and .requestRedirect.scheme == \"https\")] | length > 0"'

politiques=$(kubectl -n "$NS" get networkpolicies -o json)
controle "une politique de refus par défaut couvre tous les pods, en entrée et en sortie" \
  bash -c 'jq -e "[.items[] | select((.spec.podSelector | length) == 0 or (.spec.podSelector.matchLabels // {} | length) == 0 and (.spec.podSelector.matchExpressions // [] | length) == 0) | select((.spec.policyTypes | index(\"Ingress\")) != null and (.spec.policyTypes | index(\"Egress\")) != null) | select((.spec.ingress // []) == [] and (.spec.egress // []) == [])] | length > 0" <<< "$1"' _ "$politiques"
controle "une politique autorise le DNS en sortie (port 53)" \
  bash -c 'jq -e "[.items[].spec.egress[]?.ports[]? | select(.port == 53 or .port == \"dns\" or .port == \"dns-tcp\")] | length > 0" <<< "$1"' _ "$politiques"

controle "un pod sans rôle du namespace ne joint pas l'application" \
  bash -c '! kubectl -n signalements run essai-$RANDOM --rm -i --restart=Never --quiet --image=curlimages/curl:8.16.0 --command -- curl -s -o /dev/null --max-time 4 http://signalements/sante'
controle "un pod d'un autre namespace ne joint pas l'application" \
  bash -c '! kubectl -n default run essai-$RANDOM --rm -i --restart=Never --quiet --image=curlimages/curl:8.16.0 --command -- curl -s -o /dev/null --max-time 4 http://signalements.signalements.svc.cluster.local/sante'
controle "l'application elle-même résout et joint la base (GET /sante, qui teste la base)" \
  bash -c 'kubectl -n signalements exec deploy/signalements -- python3 -c "import urllib.request,sys; sys.exit(0 if urllib.request.urlopen(\"http://127.0.0.1:8000/sante\", timeout=4).status == 200 else 1)"'

echo
echo "$echecs échec(s)"
exit "$echecs"