fix: harden GitOps deploy and rollback

.gitea/workflows/deploy-api.yaml

@@ -24,16 +24,18 @@ jobs:
           docker push "$IMAGE_NAME:$SHA_TAG"
           docker push "$IMAGE_NAME:latest"
 
-      - name: Update Kubernetes Manifest
+      - name: Update Manifest and Push to Git
         run: |
           SHA_TAG=$(echo ${{ gitea.sha }} | cut -c1-7)
           IMAGE_NAME="git.simplifiquehc.com.br/simplifique/vendaweb-api"
 
-          sed -i "s|image: $IMAGE_NAME:.*|image: $IMAGE_NAME:$SHA_TAG|g" k8s/base/deployment.yaml
+          MANIFEST_FILE="k8s/overlays/prod/deployment-image-digest-patch.yaml"
 
-          git config --global user.name "Gitea Action"
-          git config --global user.email "actions@simplifiquehc.com.br"
+          sed -i "s|image: $IMAGE_NAME:.*|image: $IMAGE_NAME:$SHA_TAG|g" "$MANIFEST_FILE"
 
-          git add k8s/base/deployment.yaml
+          git config user.name "Gitea Action"
+          git config user.email "actions@simplifiquehc.com.br"
+
+          git add "$MANIFEST_FILE"
           git commit -m "chore: update image tag to $SHA_TAG [skip ci]"
           git push origin main

KUBERNETES.md

@@ -31,9 +31,9 @@ O diretório `base` contém as definições padrão dos recursos que são comuns
 ### Deployment (`deployment.yaml`)
 
 - **Nome**: `vendaweb-api`
-- **Replicas**: 15 (Configuração base)
-- **Imagem**: `172.35.0.216/library/vendaweb-api:latest`
-- **Porta do Container**: 8065
+- **Replicas**: 3 (Base) / 15 (Produção via overlay)
+- **Imagem**: `git.simplifiquehc.com.br/simplifique/vendaweb-api:<sha>`
+- **Porta do Container**: 8067
 - **Resources**:
   - Requests: CPU 100m, Memory 256Mi
   - Limits: CPU 500m, Memory 512Mi
@@ -52,7 +52,7 @@ O diretório `base` contém as definições padrão dos recursos que são comuns
 A sobreposição de produção personaliza a configuração base para o ambiente produtivo.
 
 - **Namespace**: `vendaweb-prod`
-- **Patches**: Aplica modificações específicas (ex: digest da imagem, configurações específicas de serviço) via `kustomization.yaml`.
+- **Patches**: Aplica modificações específicas (ex: tag da imagem, NodePort do service, replicas) via `kustomization.yaml`.
 
 ## Deploy com ArgoCD (`k8s/argocd`)
 
@@ -68,7 +68,7 @@ O deploy é gerenciado pelo ArgoCD, que sincroniza o estado do cluster com o rep
   - Path: `k8s/overlays/prod` (Aponta para o overlay de produção)
 - **Destino (Destination)**:
   - Cluster: `https://kubernetes.default.svc`
-  - Namespace: `vendaweb-api` (Nota: O patch define `vendaweb-prod`, verifique a consistência)
+  - Namespace: `vendaweb-prod`
 - **Sync Policy**: Automatizado com `selfHeal` ativado e criação automática de namespace.
 
 ---

WORKFLOWS.md

@@ -14,7 +14,7 @@ Os workflows estão definidos no diretório `.gitea/workflows/`. O principal wor
 
 Este workflow é acionado automaticamente no evento:
 
-- `push`: Em qualquer branch (configuração atual `on: [push]`).
+- `push`: Na branch `main`.
 
 ### Jobs
 
@@ -39,10 +39,13 @@ Este job é responsável por construir a imagem Docker e enviá-la para o regist
 3. **Build e Push**
    - Constrói a imagem Docker da aplicação.
    - Tags geradas:
-     - `172.35.0.216/library/vendaweb-api:$TAG` (onde `$TAG` é o SHA do commit do Gitea `gitea.sha`)
-     - `172.35.0.216/library/vendaweb-api:latest`
+     - `git.simplifiquehc.com.br/simplifique/vendaweb-api:$TAG` (onde `$TAG` é o SHA curto do commit)
+     - `git.simplifiquehc.com.br/simplifique/vendaweb-api:latest`
    - Envia ambas as tags para o registry.
 
+4. **Atualizar Manifest e Push no Git**
+   - Atualiza `k8s/overlays/prod/deployment-image-digest-patch.yaml` para apontar para a tag `$TAG`.
+
 ## Variáveis e Segredos (Secrets)
 
 Para que o workflow funcione corretamente, as seguintes secrets devem estar configuradas nas configurações do repositório no Gitea:

k8s/argocd/application-prod.yaml

@@ -11,9 +11,17 @@ spec:
     path: k8s/overlays/prod
   destination:
     server: https://kubernetes.default.svc
-    namespace: vendaweb-api
+    namespace: vendaweb-prod
   syncPolicy:
     automated:
       selfHeal: true
+      prune: true
+    retry:
+      limit: 2
+      backoff:
+        duration: 5s
+        factor: 2
+        maxDuration: 3m
     syncOptions:
       - CreateNamespace=true
+      - PruneLast=true

k8s/base/deployment.yaml

@@ -5,7 +5,15 @@ metadata:
   labels:
     app: vendaweb-api
 spec:
-  replicas: 15
+  replicas: 3
+  revisionHistoryLimit: 5
+  minReadySeconds: 10
+  progressDeadlineSeconds: 600
+  strategy:
+    type: RollingUpdate
+    rollingUpdate:
+      maxSurge: 1
+      maxUnavailable: 0
   selector:
     matchLabels:
       app: vendaweb-api
@@ -16,6 +24,7 @@ spec:
     spec:
       imagePullSecrets:
         - name: gitea-auth
+      terminationGracePeriodSeconds: 30
       containers:
         - name: api
           image: git.simplifiquehc.com.br/simplifique/vendaweb-api:589fa29

k8s/overlays/prod/deployment-prod-patch.yaml

@@ -0,0 +1,6 @@
+apiVersion: apps/v1
+kind: Deployment
+metadata:
+  name: vendaweb-api
+spec:
+  replicas: 15

k8s/overlays/prod/kustomization.yaml

@@ -8,3 +8,5 @@ resources:
 
 patches:
   - path: service-patch.yaml
+  - path: deployment-prod-patch.yaml
+  - path: deployment-image-digest-patch.yaml