ingress.enabled | Erstellt die Ingress-Ressourcen für ingress.type. Standard: true. Setzen Sie false, wenn Sie Ingress selbst verwalten, zum Beispiel mit einer Traefik-IngressRoute. |
ingress.type | Ingress-Ressourcen, die das Chart erstellt, wenn ingress.enabled auf true steht: istio (Standard; Istio-Gateway und VirtualService), kubernetes (Kubernetes-Ingress), gateway (Gateway-API-Gateway und HTTPRoute) oder native (gateway, wenn der Cluster die Gateway API bereitstellt, andernfalls kubernetes). native erkennt die Gateway API anhand der API-Versionen des Clusters. Daher benötigt helm template die Option --api-versions, und im selben Release installierte Gateway-API-CRDs werden bei der Erstinstallation nicht erkannt. Die Gateway-API-CRDs und der zugehörige Controller bzw. der Ingress-Controller müssen bereits installiert sein. Setzen Sie bei gateway zusätzlich vantage.reverseProxy: true. Bei kubernetes setzen Sie diesen Wert, wenn der Ingress-Controller TLS terminiert. |
ingress.tls.enabled | Terminiert TLS mit dem in ingress.tls.secretName angegebenen Secret. Standard: true. Setzen Sie false, wenn der Ingress-Controller das Zertifikat bereitstellt. |
ingress.istio.ingressGatewaySelector | Labels, über die das Istio-Ingress-Gateway ausgewählt wird. Standard: istio: aks-istio-ingressgateway-external. |
ingress.istio.gateway.labels / annotations | Zusätzliche Labels und Annotationen für das Istio-Gateway. Standard: {}. |
ingress.istio.internalDNSResolution.enabled / destination.host | Leitet Aufrufe an vantage.dnsRecord aus dem Mesh über das Istio-Ingress-Gateway zurück, wenn für vantage.dnsRecord kein öffentlicher DNS-Eintrag existiert. Erfordert Istio-DNS-Proxying. Verwenden Sie nach Möglichkeit einen vantage.dnsRecord mit öffentlichem DNS-Eintrag. Standardwerte: false / aks-istio-ingressgateway-external.aks-istio-ingress.svc.cluster.local. |
ingress.kubernetes.ingressClassName | IngressClass, die die Ingress-Ressourcen des Charts implementiert. Standard: "". Pfadumschreibungen basieren auf nginx-Annotationen und erfolgen daher nur mit der Klasse nginx oder mit ingress.kubernetes.nginx: true; bei nginx erhält jede umgeschriebene Route ein eigenes Ingress. Bei anderen Controllern erreichen umgeschriebene Routen das richtige Backend mit dem ursprünglichen Pfad, und Routen mit regulären Ausdrücken erhalten stattdessen das nächstliegende Präfix. |
ingress.kubernetes.nginx | Behandelt die Ingress-Klasse als nginx-kompatibel, auch wenn sie nicht nginx heißt, zum Beispiel beim AKS-Anwendungsrouting. Standard: false. |
ingress.kubernetes.labels / annotations | Zusätzliche Labels und Annotationen für die Ingress-Ressourcen des Charts, zum Beispiel zur Steuerung von TLS über den Ingress-Controller. Standard: {}. |
ingress.gateway.create | Erstellt das Gateway-API-Gateway. Standard: true. Setzen Sie false, um die HTTPRoute über ingress.gateway.parentRefs an ein vorhandenes Gateway anzubinden. |
ingress.gateway.parentRefs | parentRefs für die HTTPRoute, wenn create auf false steht, zum Beispiel name, namespace und sectionName eines Listeners auf einem gemeinsam genutzten Gateway. Die allowedRoutes des Gateways müssen Routen aus dem Namensraum des Releases zulassen. Standard: []. |
ingress.gateway.name / gatewayClassName | Name und GatewayClass des Gateways, das das Chart erstellt. Standardwerte: vantage-gateway / "". gatewayClassName ist erforderlich, wenn create auf true steht. |
ingress.gateway.meshIntegrated | Setzen Sie true, wenn die GatewayClass-Implementierung Teil des Istio-Mesh ist, zum Beispiel die Gateway-API-Implementierung von Istio selbst. Mit mesh.istio.enabled: true verwendet das Chart dann STRICT-mTLS (siehe mesh.istio.enabled). Setzen Sie diesen Wert nicht für Implementierungen, deren Gateway-Pods im Vantage-Namensraum einen Istio-Sidecar erhalten, zum Beispiel kgateway mit Sidecar-Injektion. Standard: false. |
ingress.gateway.regexCatchAll | Rendert die Catch-All-Route / als RegularExpression-Abgleich (/.*) statt als PathPrefix-Abgleich. Setzen Sie true für Implementierungen, die jeden PathPrefix-Abgleich vor RegularExpression-Abgleichen priorisieren, zum Beispiel Istio, wo das Präfix / sonst die Routen mit regulären Ausdrücken verdecken würde. Standard: false. |
ingress.gateway.labels / annotations | Zusätzliche Labels und Annotationen für das Gateway, zum Beispiel cert-manager.io/cluster-issuer, damit cert-manager das Zertifikat in ingress.tls.secretName ausstellt. Standard: {}. |
ingress.gateway.infrastructure | Gateway-spec.infrastructure: Labels, Annotationen und parametersRef, die die Implementierung an die von ihr erstellten Ressourcen weitergibt, etwa an den Load-Balancer-Service. Standard: {}. |
ingress.gateway.listeners.httpsPort / httpPort | Ports der HTTPS- und HTTP-Listener des Gateways. Standardwerte: 443 / 80. Das Gateway erhält einen HTTPS-Listener, wenn ingress.tls.enabled oder listeners.controllerSuppliedTls auf true steht, andernfalls einen HTTP-Listener. |
ingress.gateway.listeners.httpRedirect | Fügt einen HTTP-Listener hinzu, dessen Anfragen auf HTTPS umgeleitet werden, sofern das Gateway einen HTTPS-Listener hat. Gilt nur, wenn create auf true steht. Standard: false. |
ingress.gateway.listeners.controllerSuppliedTls / tlsOptions | Erstellt bei ingress.tls.enabled: false statt eines HTTP-Listeners einen HTTPS-Listener ohne certificateRefs – für Implementierungen, die das Zertifikat selbst bereitstellen. tlsOptions legt die implementierungsspezifischen tls.options des HTTPS-Listeners fest und ist bei controllerSuppliedTls: true erforderlich. Standardwerte: false / {}. |
ingress.gateway.certificateRef.namespace / createReferenceGrant | Namensraum des Secrets ingress.tls.secretName, falls es sich nicht im Namensraum des Releases befindet. Das Gateway kann ein Secret in einem anderen Namensraum nur über einen dort angelegten ReferenceGrant verwenden. Mit createReferenceGrant: true erstellt das Chart diesen; andernfalls müssen Sie ihn selbst erstellen. Gilt nur, wenn create und ingress.tls.enabled auf true stehen. Standardwerte: "" / false. |
ingress.gateway.route.labels / annotations | Zusätzliche Labels und Annotationen für die HTTPRoute-Ressourcen des Charts. Standard: {}. |
ingress.gateway.route.timeouts | timeouts für jede HTTPRoute-Regel. Standard: request: 0s (kein Zeitlimit für Anfragen). Setzt voraus, dass die Implementierung HTTPRouteRequestTimeout unterstützt. Setzen Sie {}, um den Standardwert der Implementierung beizubehalten. |
mesh.istio.enabled | Stellt die empfohlene Istio-Mesh-Konfiguration bereit. Standard: true. Der PeerAuthentication-Modus des Charts ist STRICT bei Istio-Ingress oder einem Mesh-integrierten Gateway (ingress.gateway.meshIntegrated), andernfalls PERMISSIVE. Bei ingress.type: kubernetes wird diese PERMISSIVE-Konfiguration ohne eine entsprechende Istio-AuthorizationPolicy nicht für den Produktivbetrieb empfohlen. Wenn Sie Istio als Service Mesh einsetzen, verwenden Sie Istio-Ingress oder ein Mesh-integriertes Gateway. |
vantage.vantageVersion | Zu installierende Version von Vantage. Wird Vantage.spec.vantageVersion zugeordnet. Standard: "". |
vantage.databaseProvider | Datenbank-Engine für Vantage-Services. Zulässige Werte: SqlServer (Standard) oder PostgreSQL; Groß-/Kleinschreibung wird beachtet. |
vantage.secrets.azure.clientId | Client-ID der benutzerzugewiesenen verwalteten Identität mit Lesezugriff auf den Key Vault. Bei identityMode: workloadIdentity (Standard) verwendet jeder Workload die Annotation azure.workload.identity/client-id an seinem ServiceAccount und greift ersatzweise auf clientId zurück. Wird Vantage.spec.secrets.azure.clientId zugeordnet. |
vantage.secrets.azure.identityMode | Einer der Werte workloadIdentity (Standard), podIdentity oder vmManagedIdentity. Siehe Secrets und Key Vault. |
vantage.secrets.azure.userAssignedIdentityID | Client-ID der UAMI, die verwendet wird, wenn identityMode auf vmManagedIdentity steht. |
vantage.secrets.azure.objects | Zuordnung von Secret-Alias → {objectName, objectType, objectVersion} für Key-Vault-Objekte, deren Namen nicht mit dem Alias übereinstimmen. |
vantage.secrets.kubernetes | Verwendet bereits vorhandene Kubernetes-Secret-Ressourcen anstelle von Azure Key Vault. Eine optionale objects-Zuordnung überschreibt die Standardnamen der Secrets. |
vantage.smtp.host / port / useSSL / login / password | Ausgehendes SMTP. Wird nur verwendet, wenn gesetzt; standardmäßig wird SendGrid verwendet. Entspricht Vantage.spec.smtp. port ist standardmäßig 587; useSSL (TLS) ist standardmäßig false. |
vantage.serviceAccountName | Standard-ServiceAccount für Vantage-Workloads. Entspricht Vantage.spec.serviceAccountName. Standardwert default. Um Images mit einem Pull-Secret abzurufen, fügen Sie das Secret den imagePullSecrets dieses ServiceAccounts sowie jedes in vantage.workloads.serviceAccounts genannten ServiceAccounts hinzu (oder setzen Sie serviceAccounts.imagePullSecrets, wenn das Chart sie erstellt). Siehe Azure-Image-Pull-Zugriff oder Registry-Zugriff bei self-managed. |
serviceAccounts.vantage.create / name / labels / annotations / imagePullSecrets | Lässt das Chart den ServiceAccount für Vantage-Workloads erstellen. Standardwert create: false. Der Name entspricht standardmäßig dem Release-Namen und wird als vantage.serviceAccountName gesetzt. |
serviceAccounts.ociMigration.create / name / labels / annotations / imagePullSecrets | Lässt das Chart den ServiceAccount für den OCI-Migrations-Job erstellen. Standardwert create: false. Der Name lautet standardmäßig <release name>-oci-migration und wird als vantage.ociMigration.serviceAccountName gesetzt. |
serviceAccounts.labels / annotations / imagePullSecrets | Werden jedem ServiceAccount hinzugefügt, den das Chart erstellt. Labels und Annotationen, die für einen einzelnen ServiceAccount gesetzt sind, haben Vorrang. Pull-Secrets werden zusätzlich zu den für den jeweiligen ServiceAccount gesetzten hinzugefügt. Standardmäßig leer. |
serviceAccounts.workloads.<chart>.<kind> | Weist einem Workload einen eigenen ServiceAccount anstelle des vantage-ServiceAccounts zu. Schlüssel sind der Chart-Name und darunter die Workload-Art (migrator, deployment oder statefulSet). Jeder Eintrag unterstützt create (Standard true), name (Standard <chart name without -helm>-<kind>, zum Beispiel mail-migrator; erforderlich, wenn create auf false gesetzt ist), labels, annotations, imagePullSecrets und roles. Jeder ServiceAccount wird an roles gebunden; standardmäßig sind dies migration-writer und serviceversion-reader für Migratoren, für alle anderen migration-reader und serviceversion-reader. Workloads können einen ServiceAccount gemeinsam nutzen, indem sie denselben Namen verwenden; Einträge, die einen gemeinsam genutzten ServiceAccount erstellen, müssen ihn identisch konfigurieren. Setzt Vantage.spec.workloads.serviceAccounts. Standardwert {}. |
vantage.workloads.configMap / metadataTemplateKey / secretsKey / workloadsKey / additionalMetadataKey | Schlüssel der workload-ConfigMap, die mit dem Chart ausgeliefert wird. Wenn workloadsConfigMap.create auf true gesetzt ist (Standard), benennt das Chart die ConfigMap nach der Chart-Version und verwendet configMap (Standard vantage-workloads) nur als Namenspräfix. additionalMetadataKey (Standard additional-metadata.yml) gibt den Schlüssel an, der Ihre workloadsConfigMap.additionalMetadata-Überschreibungen enthält. Entspricht Vantage.spec.workloads. |
vantage.workloads.pods.labels / vantage.workloads.pods.charts.<chart>.<kind>.labels | Labels, die den Pods aller oder bestimmter Workloads hinzugefügt werden, zum Beispiel azure.workload.identity/use: "true". Chartspezifische Labels haben Vorrang. Entspricht Vantage.spec.workloads.pods. <chart> ist der vollständige Chart-Name aus der workload-ConfigMap, zum Beispiel mail-helm. <kind> ist migrator, deployment oder statefulSet. |
vantage.storage.custom.storageClass / size | Verwendet anstelle von Azure Blob ein Backend auf Basis einer Kubernetes-StorageClass. Entspricht Vantage.spec.storage.custom. size ist standardmäßig 300Gi. |
vantage.idReadingEnabled | Aktiviert Funktionen zum Lesen von Ausweisdokumenten. Entspricht Vantage.spec.idReadingEnabled. Standardwert false. Der Operator stellt die worker-id-reading-Charts nie bereit; siehe Bereitstellung von TechCore-Workern. |
vantage.minimalInstall | Stellt Vantage-Workloads mit minimalen Ressourcenkonfigurationen bereit. Entspricht Vantage.spec.minimalInstall. Standardwert false. Steuert nur die Dimensionierung der Workloads. Kombinieren Sie die Option mit defaultSkills.mode: minimal oder custom. |
vantage.debug | Stellt Vantage-Workloads im Debug-Modus bereit. Entspricht Vantage.spec.debug. Standardwert false. |
defaultSkills.mode | all (Standard; jede Version jedes Standard-Skills), minimal (neueste Version jedes Skills plus die im Chart festgelegten Versionen) oder custom (nur defaultSkills.skills). all ist die einzige sichere Voreinstellung: Skills, die von einem Standard-Skill abgeleitet sind, funktionieren nicht mehr, wenn dieser Standard-Skill nicht installiert ist. Eine reduzierte Auswahl muss daher immer bewusst getroffen werden. Installierte Standard-Skills können nicht entfernt werden; legen Sie die Auswahl also vor der ersten Installation fest. Überschreibungen für skill-installer-def-installation in workloadsConfigMap.additionalMetadata haben Vorrang. |
defaultSkills.skills | Im custom-Modus zu installierende Skills als {id, versions}-Einträge. Wird in anderen Modi ignoriert. Lassen Sie versions für die neueste Version weg, setzen Sie all für alle Versionen oder geben Sie Versionsnummern an. Bei einer unbekannten ID oder Version schlägt das Rendern fehl. Standardwert []. |
workloadsConfigMap.create | Erstellt die ConfigMap mit Daten zu den für die Installation von Vantage erforderlichen Charts und Images sowie die zugehörige RBAC. Standardwert true. Der Name der ConfigMap enthält die Chart-Version, sodass jedes Chart-Upgrade Vantage.spec.workloads.configMap ändert und der Operator Vantage direkt aktualisiert – sowohl bei helm upgrade als auch bei GitOps-Tools, die mit helm template rendern. |
workloadsConfigMap.additionalMetadata | Erweiterte chartspezifische Überschreibungen, die mit den gerenderten Workload-Metadaten zusammengeführt werden. Standardwert {}. Ein Eintrag für charts.skill-installer-def-installation.values.defaultSkills hat Vorrang vor defaultSkills.mode. Siehe Zusätzliche Workload-Metadaten. |
vantage.reportingEnabled | Schaltet die SQL-Server-Reporting-Funktionen ein oder aus. Standardwert false. Muss bei PostgreSQL auf false bleiben. |
vantage.reverseProxy | Konfiguriert Vantage-Anwendungsdienste für den Betrieb hinter einem Reverse Proxy, der TLS terminiert. Standardwert false. Setzen Sie den Wert auf true bei ingress.type: gateway sowie immer dann, wenn der Ingress-Controller oder ein kundenverwalteter Proxy TLS terminiert, was bei ingress.type: kubernetes üblich ist. Entspricht Vantage.spec.reverseProxy. Siehe Weitergeleitetes HTTPS-Schema. |
vantage.argocd.project | Argo-CD-Projekt für die vom Operator generierten Applications. Standardwert default. Das Projekt muss den Zielcluster und den Ziel-Namespace zulassen. Entspricht Vantage.spec.argocd.project. |
vantage.updatePolicy.manual / auto | Upgrade-Richtlinie. Entspricht Vantage.spec.updatePolicy. Standardwert manual: {}: Vantage wird nur aktualisiert, wenn Sie neue Chart-Versionen installieren. Es ist genau eine Richtlinie erforderlich, und die CRD lehnt auto ab, da automatische Updates noch nicht unterstützt werden. Siehe updatePolicy. |
vantage.ociMigration.enabled | Führt den OCI-Migrations-Job aus. Standardwert true. |
vantage.ociMigration.serviceAccountName | ServiceAccount, unter dem der OCI-Migrations-Job ausgeführt wird. Entspricht Vantage.spec.ociMigration.serviceAccountName. Um das Job-Image mit einem Pull-Secret abzurufen, fügen Sie das Secret den imagePullSecrets dieses ServiceAccounts hinzu. |
vantage.ociMigration.imagePullSecrets | Pull-Secrets für das Operator-Image, das den OCI-Migrations-Job ausführt. |
vantage.ociMigration.sources[] | Quell-Registries, aus denen Vantage-Artefakte kopiert werden. Setzen Sie sources[0].host und sources[0].repository auf die ABBYY-Quell-Registry. Setzen Sie sources[].credentialsRef.name auf ein Secret mit den Schlüsseln username und password oder auf ein kubernetes.io/dockerconfigjson-Secret. |
vantage.ociMigration.sources[].username / password | Anmeldedaten im Klartext für eine Quell-Registry. Standardwert "". Verwenden Sie in Produktionsumgebungen sources[].credentialsRef.name; diese Einstellung hat Vorrang. |
vantage.ociMigration.destination.host / repository | Ziel-Registry, in die Artefakte kopiert werden. Erforderlich, solange enabled auf true gesetzt ist. Standard-Host abbyy.com. host ist der Hostname der Registry mit optionalem Port, ohne Schema oder Pfad. Geben Sie den Pfad in repository an, zum Beispiel vantage/images. |
vantage.ociMigration.destination.username / password / credentialsRef.name | Anmeldedaten für die Ziel-Registry. username und password werden im Klartext angegeben und sind standardmäßig "". Setzen Sie in Produktionsumgebungen credentialsRef.name auf ein Secret mit den Schlüsseln username und password oder auf ein kubernetes.io/dockerconfigjson-Secret. credentialsRef hat Vorrang vor username und password. Entspricht Vantage.spec.ociMigration.destination. |
vantage.ociMigration.concurrency | Anzahl der Artefakte, die der OCI-Migrations-Job parallel kopiert. Standardwert 5. |
vantage.ociMigration.resources | Requests und Limits für den Container des OCI-Migrations-Jobs. Standardwerte: Requests 100m CPU / 128Mi Arbeitsspeicher, Limit 512Mi Arbeitsspeicher, kein CPU-Limit. Ein angegebener Wert ersetzt die Standardwerte vollständig. |
vantage.keda.enabled | Legt fest, ob KEDA für die automatische Skalierung von Vantage-Workloads verwendet wird. Standardwert false. Die aktuellen Vantage-Workload-Charts erfordern KEDA 2.17.x. Siehe Automatische Skalierung mit KEDA. |
observability.prometheus.namespace | Namensraum, in dem Ihre Prometheus-Instanz installiert ist. Standard: observability. Die Vantage-KEDA-Autoscaler fragen Prometheus unter prometheus-operated.observability.svc.cluster.local:9090 ab. Belassen Sie Prometheus daher im Namensraum observability. |
observability.prometheus.serviceMonitor.create | Erstellt Prometheus-ServiceMonitor-Ressourcen, über die Vantage-Anwendungsmetriken abgerufen werden. Standard: false. |
observability.prometheus.serviceMonitor.selectorMatchLabels | Labels, die Ihre Prometheus-Instanz benötigt, um einen ServiceMonitor zu registrieren. Muss mit spec.serviceMonitorSelector.matchLabels Ihrer Prometheus-Ressource übereinstimmen. Standard: {}. |
observability.prometheus.serviceMonitor.interval | Gibt an, wie oft Prometheus Vantage-Metriken abruft. Da KEDA diese Metriken ausliest, bestimmt das Intervall auch, wie schnell TechCore-Worker auf Aufgaben in der Warteschlange reagieren können. Standard: 15s bzw. 60s, wenn vantage.minimalInstall auf true gesetzt ist. Siehe Automatische Skalierung mit KEDA. |
observability.prometheus.serviceMonitor.scheme | Schema für die Scrape-Endpunkte des ServiceMonitor. Standardmäßig nicht gesetzt (HTTP). Setzen Sie https zusammen mit tlsConfig bei Istio-STRICT-mTLS oder bei Linkerd, wenn eine Autorisierungsrichtlinie unverschlüsselte Metrikabrufe blockiert. Bei Istio-PERMISSIVE-mTLS nicht setzen. Siehe Überwachung mit Prometheus. |
observability.prometheus.serviceMonitor.tlsConfig | Prometheus-tlsConfig für die Scrape-Endpunkte des ServiceMonitor (caFile, certFile, keyFile, insecureSkipVerify). Standardmäßig nicht gesetzt. Zusammen mit scheme: https verwenden. |
vantage.techcore.versions | Bereitzustellende TechCore-Versionen. Zulässige Werte: 2, 3, 4. Standard: [3, 4]. Die höchste Version gilt als aktuelle Version. Siehe Bereitstellung der TechCore-Worker. |
vantage.techcore.nnTrainingWorkers.enabled / gpu | Stellt die Trainings-Worker für neuronale Netze für die aktuelle (höchste) TechCore-Version bereit. Mit gpu: true werden statt der CPU-Varianten die GPU-Varianten bereitgestellt. Standardwerte: false / false. |
