Comprendre le portfolio
Understanding the portfolio
Trois questions, trois schémas : comment le portfolio arrive jusqu'à votre navigateur, ce qu'il lit dans le cluster, et pourquoi son bac à sable vit dans un namespace à part. Tout ce qui est montré ici est la configuration réelle.
Three questions, three diagrams: how the portfolio reaches your browser, what it reads in the cluster, and why its sandbox lives in a namespace of its own. Everything shown here is the real configuration.
Cliquez sur une étape pour voir ce qui s'allume dans le schéma, puis interrogez vraiment le portfolio.
Click a step to see what lights up in the diagram, then really query the portfolio.
Le test appelle l'API publique du portfolio depuis votre navigateur (lecture seule, autorisée pour ce site uniquement). Le nom du pod vient de la réponse.
The test calls the portfolio's public API from your browser (read-only, allowed for this site only). The pod name comes from the response.
Le site est vivant : chaque chiffre vient du cluster, jamais d'un fichier figé. Mais il ne lit que ce qu'on lui a explicitement accordé.
The site is alive: every number comes from the cluster, never from a frozen file. But it only reads what it was explicitly granted.
Nœuds, pods, événements, Deployments, Ingress : le pod appelle l'API avec le jeton de son ServiceAccount. Ce compte ne peut que lister. Il n'a jamais accès aux Secrets, ni à exec.
Nodes, pods, events, Deployments, Ingresses: the pod calls the API with its ServiceAccount token. That account can only list. It never has access to Secrets, nor to exec.
Les courbes de CPU et de mémoire viennent de Prometheus, interrogé en HTTP à l'intérieur du cluster. Aucune donnée n'est stockée par le portfolio.
The CPU and memory curves come from Prometheus, queried over HTTP inside the cluster. The portfolio stores no data.
Les réponses sont gardées quelques secondes. Cent visiteurs ne font donc pas cent appels à l'API Kubernetes : le cluster est protégé par le site.
Responses are kept for a few seconds. A hundred visitors do not make a hundred calls to the Kubernetes API: the site protects the cluster.
| Ressource | Resource | Droit accordé | Permission granted | Portée | Scope |
|---|---|---|---|---|---|
| nodes, pods, events, PVC | list | tout le cluster (ClusterRole) | whole cluster (ClusterRole) | ||
| deployments, daemonsets, statefulsets, ingresses | list | tout le cluster (ClusterRole) | whole cluster (ClusterRole) | ||
| services, PDB, roles | list | namespace portfolio seulement | namespace portfolio only | ||
| Secrets, ConfigMaps, pods/exec | aucun | none | nulle part | nowhere |
Les visiteurs peuvent y tuer des pods, les faire planter, les saturer en mémoire. Cette liberté n'est possible que parce que tout est enfermé dans un namespace. Quatre raisons : cliquez-en une pour voir ce qu'elle protège.
Visitors can kill pods there, crash them, exhaust their memory. That freedom is only possible because everything is fenced inside a namespace. Four reasons: click one to see what it protects.
Résultats réels de kubectl auth can-i … --as=system:serviceaccount:portfolio:portfolio-web, mesurés le 17 octobre 2026.
Real results of kubectl auth can-i … --as=system:serviceaccount:portfolio:portfolio-web, measured on 17 October 2026.
Ce qui se passe, dans l'ordre, quand un visiteur clique sur « kill » dans le bac à sable. Deux couches de protection se complètent : le code du site, puis les droits Kubernetes.
What happens, in order, when a visitor clicks “kill” in the sandbox. Two layers of protection complement each other: the site's code, then Kubernetes permissions.