Kubernetes

Настройка развёртывания на Kubernetes — куда помещаются настройки, секреты и файлы, и по одной странице на каждую функцию.

Развёртывание на Kubernetes считывает те же переменные окружения, что и Toolkit. Там, где на странице Toolkit сказано «добавьте это в config/variables.env», поместите значение в ConfigMap overleaf-env или в Secret overleaf-secrets, если это пароль, ключ или токен. Затем выполните перезапуск:

kubectl -n overleaf apply -f 30-config.yaml        # after editing the ConfigMap
kubectl -n overleaf patch secret overleaf-secrets --type merge \
  -p '{"stringData":{"GITHUB_TOKEN_CIPHER_PASSWORD":"'"$(openssl rand -hex 32)"'"}}'
kubectl -n overleaf rollout restart deployment/overleaf

Значения в config/overleaf.rc — это настройки Toolkit, а не переменные окружения; чем они заменяются, описано в разделе «Вопросы и ответы» в конце этой страницы.

​

Функции

Для каждой функции из конфигурации Toolkit здесь есть страница с её сервисами, настройками, сетевыми путями, фоновыми заданиями, тем, что меняется при нескольких репликах, и описанием того, как она была протестирована:

Функция	Сервисы в поде	Помимо ConfigMap и Secret
Аутентификация: OIDC, SAML, LDAP, Публичный доступ, reCAPTCHA, Ограничения паролей	web	секреты клиентов, сертификат IdP, CA для LDAP
Изолированная компиляция	clsi	Docker Engine и образы TeX Live на каждом узле
Импорт и экспорт через Pandoc	clsi, web	образ Pandoc в Docker на каждом узле
Интеграция с Git	git-bridge (собственный под), web, history-v1	StatefulSet git-bridge и два Service
Синхронизация с GitHub, GitLab, Gitea	web	интеграция с Git
Синхронизация с Dropbox	web, third-party-datastore, document-updater	интеграция с Git, вебхук, доступный из интернета, индексы базы данных
Интеграция с Zotero, Mendeley	web	пароль шифрования в Secret
MCP-сервер	web	интеграция с Git
Интеграция с ИИ	web, linked-url-proxy	–
Overleaf Import API	web, linked-url-proxy	–
Шаблоны	web, filestore	S3 для нескольких реплик
Внешний URL	linked-url-proxy	публичные адреса узлов в OVERLEAF_LINKED_URL_BLOCKED_NETWORKS
Логирование	все сервисы	том в /var/log/overleaf для хранения журналов
TLS-прокси	ваш ingress или балансировщик нагрузки	TLS завершается перед подами
Брендинг	web	–
Локализация	web	одно имя хоста на каждый язык
Доставка электронной почты	web	–
Redis	все сервисы с оперативным состоянием	–
S3	history-v1, filestore	сервис S3, обязателен для нескольких реплик
Добавление справки по LaTeX для пользователей	web	поды должны иметь доступ к wiki
Горизонтальное масштабирование	все	S3, балансировщик нагрузки с привязкой сессий (sticky sessions)

​

Сертификаты и другие файлы

Некоторые функции принимают путь к файлу вместо значения: сертификаты SAML (OVERLEAF_SAML_IDP_CERT, …), CA для LDAP (OVERLEAF_LDAP_TLS_OPTS_CA_PATH) или частный CA для самостоятельно размещённого GitHub Enterprise, GitLab или Gitea (NODE_EXTRA_CA_CERTS). Поместите файлы в Secret и смонтируйте его туда, где их ожидают страницы Toolkit, — в /var/lib/overleaf/certs:

kubectl -n overleaf create secret generic overleaf-certs --from-file=idp_cert.pem --from-file=ca.pem

40-overleaf.yaml (additions)

          volumeMounts:
            # ...
            - name: certs
              mountPath: /var/lib/overleaf/certs
              readOnly: true
      volumes:
        # ...
        - name: certs
          secret:
            secretName: overleaf-certs

Затем укажите пути к ним в ConfigMap, например NODE_EXTRA_CA_CERTS: /var/lib/overleaf/certs/ca.pem, и выполните перезапуск.

Пароли шифрования. Задайте в Secret все *_CIPHER_PASSWORD для используемых функций. В противном случае некоторые функции при первом использовании создают файл ключа на томе данных: с одной репликой это работает до потери тома, а при нескольких репликах каждая реплика шифровала бы данные своим ключом.

​

Вопросы и ответы

Какие настройки Toolkit из config/overleaf.rc мне нужны?

Ответ: Ayakaleaf Pro не считывает ни одну из них. Их аналоги в Kubernetes:

config/overleaf.rc	Kubernetes
OVERLEAF_LISTEN_IP, OVERLEAF_PORT	Service (NodePort) или ваш ingress
SIBLING_CONTAINERS_ENABLED	SANDBOXED_COMPILES* в ConfigMap, сокет Docker в поде
GIT_BRIDGE_ENABLED	Интеграция с Git
MONGO_ENABLED, REDIS_ENABLED, MONGO_URL, REDIS_HOST	StatefulSet-ы или ваши управляемые сервисы, OVERLEAF_MONGO_URL и OVERLEAF_REDIS_HOST
REDIS_AOF_PERSISTENCE	--appendonly yes в 20-redis.yaml
NGINX_ENABLED, TLS_*	ваш ingress или балансировщик нагрузки