Lab : Signalements sur Kubernetes

#!/usr/bin/env bash
# Vérifie les propriétés attendues du lab « Signalements sur Kubernetes ».
# Usage : KUBECONFIG=<kubeconfig du laboratoire> bash verifier-lab.sh   (exige kubectl et jq)
# Chaque contrôle affiche OK ou ÉCHEC ; le code de sortie est le nombre d'échecs.
set -uo pipefail
NS=signalements
echecs=0

controle() {   # controle "libellé" commande...
  local libelle=$1; shift
  if "$@" > /dev/null 2>&1; then
    echo "OK     $libelle"
  else
    echo "ÉCHEC  $libelle"
    echecs=$((echecs + 1))
  fi
}

k() { kubectl -n "$NS" "$@"; }

controle "le namespace signalements existe" kubectl get namespace "$NS"

dep=$(k get deployment signalements -o json 2>/dev/null)
controle "le Deployment signalements existe" test -n "$dep"
controle "deux répliques disponibles" \
  bash -c 'jq -e ".status.availableReplicas >= 2" <<< "$1"' _ "$dep"
controle "DATABASE_URL vient d'un Secret, jamais d'une valeur en clair" \
  bash -c 'jq -e "[.spec.template.spec.containers[] | (.env // [])[] | select(.name == \"DATABASE_URL\") | select(.value != null)] | length == 0" <<< "$1" &&
           jq -e "[.spec.template.spec.containers[] | ((.env // [])[] | select(.name == \"DATABASE_URL\" and .valueFrom.secretKeyRef != null)), ((.envFrom // [])[] | select(.secretRef != null))] | length > 0" <<< "$1"' _ "$dep"
controle "chaque conteneur a des sondes readiness et liveness" \
  bash -c 'jq -e "[.spec.template.spec.containers[] | .readinessProbe != null and .livenessProbe != null] | all" <<< "$1"' _ "$dep"
controle "chaque conteneur a des demandes CPU et mémoire et une limite mémoire" \
  bash -c 'jq -e "[.spec.template.spec.containers[] | .resources.requests.cpu != null and .resources.requests.memory != null and .resources.limits.memory != null] | all" <<< "$1"' _ "$dep"
controle "l'application tourne sans privilèges" \
  bash -c 'jq -e ".spec.template.spec as \$p | [\$p.containers[] | (.securityContext // {}) as \$c |
             ((\$c.runAsNonRoot // \$p.securityContext.runAsNonRoot // false) == true)
             and \$c.readOnlyRootFilesystem == true
             and \$c.allowPrivilegeEscalation == false
             and ((\$c.capabilities.drop // []) | index(\"ALL\") != null)
             and ((\$c.seccompProfile.type // \$p.securityContext.seccompProfile.type // \"\") == \"RuntimeDefault\")] | all" <<< "$1"' _ "$dep"

controle "les répliques sont sur deux nœuds différents" \
  bash -c 'sel=$(jq -r ".spec.selector.matchLabels | to_entries | map(\"\(.key)=\(.value)\") | join(\",\")" <<< "$1");
           [ "$(kubectl -n signalements get pods -l "$sel" --field-selector=status.phase=Running -o json | jq "[.items[].spec.nodeName] | unique | length")" -ge 2 ]' _ "$dep"

controle "la base de formation est un StatefulSet avec un volume persistant" \
  bash -c 'kubectl -n signalements get statefulsets -o json | jq -e "[.items[] | select((.spec.volumeClaimTemplates // []) | length > 0)] | length >= 1"'
controle "un Job de migration a réussi" \
  bash -c 'kubectl -n signalements get jobs -o json | jq -e "[.items[] | select(.status.succeeded >= 1)] | length >= 1"'

controle "le Service signalements a deux adresses prêtes" \
  bash -c '[ "$(kubectl -n signalements get endpointslices -l kubernetes.io/service-name=signalements -o json | jq "[.items[].endpoints[]? | select(.conditions.ready == true)] | length")" -ge 2 ]'
controle "un PodDisruptionBudget garde au moins une réplique" \
  bash -c 'kubectl -n signalements get pdb -o json | jq -e "[.items[] | select((.spec.minAvailable // 0) != 0 or .spec.maxUnavailable != null)] | length >= 1"'
controle "l'application est exposée par une HTTPRoute ou un Ingress" \
  bash -c 'kubectl -n signalements get httproutes -o name 2>/dev/null | grep -q . || kubectl -n signalements get ingress -o name | grep -q .'
controle "la purge est un CronJob à l'heure de Paris, sans exécutions concurrentes" \
  bash -c 'kubectl -n signalements get cronjobs -o json | jq -e "[.items[] | select(.spec.timeZone == \"Europe/Paris\" and .spec.concurrencyPolicy == \"Forbid\")] | length >= 1"'

controle "GET /sante répond 200 par le Service depuis le cluster" \
  kubectl -n "$NS" run verif-sante --rm -i --restart=Never --quiet \
    --image=curlimages/curl:8.16.0 --command -- \
    curl -fsS --max-time 5 -o /dev/null http://signalements/sante

echo
echo "$echecs échec(s)"
exit "$echecs"