Zen

Translation

type: Plain text
The first two are the heart. **You write a file with the one pen (`gitops-write`); Flux reads it and tends the cluster to match.** That single loop — *write → Flux reconciles* — is all of GitOps. Everything else (the registry, the key-ring, the cert) is a supporting actor that loop pulls from.
362/2940 · 294

Sign in to save the translation.

English German Actions
If you've never deployed before: "deploy" just means *take the thing you made and put it where it runs for real.* The whole art is doing that **reversibly**, so a mistake costs a `git revert`, not an outage.
Falls du noch nie deployt hast: »deploy« heißt einfach *nimm das Ding, das du gemacht hast, und stell es dahin, wo es echt läuft.* Die ganze Kunst besteht darin, das **umkehrbar** zu tun, sodass ein Fehler einen `git revert` kostet und keinen Ausfall.
Why declarative-in-git — and why this matters
Warum deklarativ-in-git — und warum das wichtig ist
The whole reason this doc exists is the same instinct behind keeping notes in plain `.org` files instead of a proprietary app: **the simplest thing that decides reality should be a thing you can read.** Here that thing is a directory of YAML.
Der ganze Grund, warum es dieses Dokument gibt, ist derselbe Instinkt, der dahinter steckt, Notizen in einfachen `.org`-Dateien statt in einer proprietären App zu halten: **das einfachste Ding, das über die Wirklichkeit entscheidet, sollte ein Ding sein, das du lesen kannst.** Hier ist dieses Ding ein Verzeichnis voll YAML.
**One source of truth.** "What is supposed to be running?" has exactly one answer: whatever is committed in `/root/k8s-gitops/`. Not what someone typed into the cluster last Tuesday and forgot. If it isn't in git, it isn't real; if it's in git, Flux makes it real.
**Eine einzige Quelle der Wahrheit.** »Was soll laufen?« hat genau eine Antwort: was auch immer in `/root/k8s-gitops/` committet ist. Nicht das, was jemand letzten Dienstag in den Cluster getippt und vergessen hat. Wenn es nicht in git ist, ist es nicht real; wenn es in git ist, macht Flux es real.
**Reversible by construction.** Every change is a commit. A bad deploy is undone by `git revert` + a reconcile — not by frantic live surgery. The cost of a mistake is a diff, not a 2 a.m. incident.
**Umkehrbar von Bauart.** Jede Änderung ist ein Commit. Ein schlechtes Deploy wird durch `git revert` + ein Reconcile rückgängig gemacht — nicht durch hektische Live-Chirurgie. Die Kosten eines Fehlers sind ein Diff, kein Zwischenfall um 2 Uhr nachts.
**It survives when fancy layers break.** Helm charts, web dashboards, CI pipelines — lots of ways to fail. A folder of YAML that a small controller reads from a local git repo has almost none of them. When the dashboard is down, **the YAML still says what should run.**
**Es überlebt, wenn schicke Schichten kaputtgehen.** Helm-Charts, Web-Dashboards, CI-Pipelines — viele Wege zu scheitern. Ein Ordner voll YAML, den ein kleiner Controller aus einem lokalen git-Repo liest, hat fast keinen davon. Wenn das Dashboard ausfällt, **sagt das YAML trotzdem, was laufen soll.**
**No lock-in, fully inspectable.** Want to know why a pod exists? `cat` its manifest. Want to change an image? Edit one line and commit. There is no hidden state you have to trust — the desired state is text on disk.
**Kein Lock-in, vollständig inspizierbar.** Willst du wissen, warum ein Pod existiert? `cat` sein Manifest. Willst du ein Image ändern? Eine Zeile bearbeiten und committen. Es gibt keinen versteckten Zustand, dem du vertrauen müsstest — der gewünschte Zustand ist Text auf der Platte.
This is the *plaintext-first / lightweight-fallback* principle (see the [glossary](../GLOSSARY.md)) applied to infrastructure: prefer the thing a curious person can open in `less` and understand.
Das ist das Prinzip *Klartext-zuerst / leichtgewichtige Rückfallebene* (»plaintext-first / lightweight-fallback«; siehe das [Glossar](../GLOSSARY.md)), angewandt auf Infrastruktur: bevorzuge das Ding, das eine neugierige Person in `less` öffnen und verstehen kann.
The terrain: pad ↔ infinix
Das Gelände: pad ↔ infinix
Two places, one private network:
Zwei Orte, ein privates Netzwerk:
pad (your notebook) infinix (the cluster, k3s)
───────────────────── ─────────────────────────────
• you build + test the app here • runs the live workloads
• the project source lives here • holds /root/k8s-gitops/ (the truth)
• iSecrets (pass) lives here, your store • Flux reads the LOCAL repo + reconciles
• a dev/test keypair was minted here • Harbor registry on the VPN IP
• production keys are GENERATED here
│ ▲
└──────── Headscale VPN (100.64.x) ───────┘
private mesh; infinix reachable at 100.64.0.8
pad (dein Notebook) infinix (der Cluster, k3s)
───────────────────── ─────────────────────────────
• du baust + testest die App hier • führt die Live-Workloads aus
• der Projekt-Quellcode liegt hier • hält /root/k8s-gitops/ (die Wahrheit)
• iSecrets (pass) liegt hier, dein Store • Flux liest das LOKALE Repo + reconciled
• ein Dev/Test-Keypair wurde hier erzeugt • Harbor-Registry auf der VPN-IP
• Produktionsschlüssel werden HIER erzeugt
│ ▲
└──────── Headscale VPN (100.64.x) ───────┘
privates Mesh; infinix erreichbar unter 100.64.0.8
Why some things only happen on infinix: the **production private key** is born on infinix and never leaves it; the **image push** targets the registry that lives on the infinix VPN. pad is where you *author*; infinix is where it *lives*. (More terrain detail in the German companion, Station 1.)
Warum manche Dinge nur auf infinix passieren: der **private Produktionsschlüssel** wird auf infinix geboren und verlässt es nie; der **Image-Push** zielt auf die Registry, die im infinix-VPN liegt. pad ist, wo du *verfasst*; infinix ist, wo es *lebt*. (Mehr Gelände-Detail im deutschen Begleiter, Station 1.)
The five characters
Die fünf Figuren
A deploy is a short play with five parts. Meet them — each is just "a thing with one job":
Ein Deploy ist ein kurzes Theaterstück mit fünf Rollen. Lern sie kennen — jede ist nur »ein Ding mit einer Aufgabe«:
| Character | Plain role | The real name here |
|-----------|------------|--------------------|
| **gitops-write** | the only write-pen for the truth folder | `sudo gitops-write` (a lock-based commit) |
| **Flux** | the gardener: reads the YAML, makes the cluster match | FluxCD, reading `/root/k8s-gitops/` |
| **the registry** | the image warehouse the app runs from | Harbor, `docker.registry.infinity.labs` |
| **iSecrets** | the audited key-ring for passwords + keys | `pass.manager` (`pass` / `pass_get`) |
| **cert-manager** | fetches the HTTPS certificate automatically | cert-manager + `letsencrypt-prod` |
| Figur | Schlichte Rolle | Der echte Name hier |
|-----------|------------|--------------------|
| **gitops-write** | der einzige Schreibstift für den Wahrheitsordner | `sudo gitops-write` (ein sperrenbasierter Commit) |
| **Flux** | der Gärtner: liest das YAML, bringt den Cluster zur Übereinstimmung | FluxCD, liest `/root/k8s-gitops/` |
| **die Registry** | das Image-Lagerhaus, aus dem die App läuft | Harbor, `docker.registry.infinity.labs` |
| **iSecrets** | der auditierte Schlüsselbund für Passwörter + Schlüssel | `pass.manager` (`pass` / `pass_get`) |
| **cert-manager** | holt das HTTPS-Zertifikat automatisch | cert-manager + `letsencrypt-prod` |
The first two are the heart. **You write a file with the one pen (`gitops-write`); Flux reads it and tends the cluster to match.** That single loop — *write → Flux reconciles* — is all of GitOps. Everything else (the registry, the key-ring, the cert) is a supporting actor that loop pulls from.
Die ersten beiden sind das Herz. **Du schreibst eine Datei mit dem einen Stift (`gitops-write`); Flux liest sie und pflegt den Cluster zur Übereinstimmung.** Diese einzige Schleife — *schreiben → Flux reconciled* — ist die ganze Idee von GitOps. Alles andere (die Registry, der Schlüsselbund, das Zertifikat) ist eine Nebenrolle, aus der diese Schleife schöpft.
The two honesty rules of a safe deploy
Die zwei Ehrlichkeitsregeln eines sicheren Deploys
A deploy is the one place where a mistake is *irreversible* (you can't un-serve a leaked key, un-break a live site for users mid-request). So iDeploy front-loads all the cheap, reversible work and gates the irreversible part behind it. Two rules do most of that safety.
Ein Deploy ist der eine Ort, an dem ein Fehler *unumkehrbar* ist (du kannst einen geleakten Schlüssel nicht ent-ausliefern, eine Live-Seite nicht für Nutzer mitten in der Anfrage ent-kaputtmachen). Also zieht iDeploy alle billige, umkehrbare Arbeit nach vorn und sperrt den unumkehrbaren Teil dahinter weg. Zwei Regeln erledigen den Großteil dieser Sicherheit.
Rule 1 — structure-live-first (`replicas: 0`)
Regel 1 — structure-live-first (`replicas: 0`)
Bring up the **whole structure first, with zero running copies of the app.** Namespace, resource quota, service, ingress, **and the TLS certificate** — all created while the deployment is scaled to `replicas: 0`. No image is pulled, no pod runs, nothing can crash. You prove that DNS resolves, the ingress routes, and Let's Encrypt issues a real certificate — *while the app is still dark.*
Bring zuerst die **ganze Struktur hoch, mit null laufenden Kopien der App.** Namespace, Resource-Quota, Service, Ingress, **und das TLS-Zertifikat** — alles erzeugt, während das Deployment auf `replicas: 0` skaliert ist. Kein Image wird gezogen, kein Pod läuft, nichts kann abstürzen. Du beweist, dass DNS auflöst, der Ingress routet und Let's Encrypt ein echtes Zertifikat ausstellt — *während die App noch dunkel ist.*
> In the real lernreise-garden deploy, the Let's Encrypt cert
> (`lernreise-grow-tls`) issued successfully at **0/0 replicas** — proving DNS,
> ingress, and ACME all work end-to-end *before any image existed.* If something
> was going to break, it broke here, where breaking is free.
> Im echten lernreise-garden-Deploy wurde das Let's-Encrypt-Zertifikat
> (`lernreise-grow-tls`) erfolgreich bei **0/0 replicas** ausgestellt — Beweis, dass
> DNS, Ingress und ACME alle Ende-zu-Ende funktionieren, *bevor irgendein Image
> existierte.* Wenn etwas kaputtgehen sollte, ging es hier kaputt, wo Kaputtgehen
> kostenlos ist.
Rule 2 — verify in the cluster, not in your head
Regel 2 — verifiziere im Cluster, nicht in deinem Kopf
"`kubectl apply` succeeded" is **not** "it works." Done means the cluster
*demonstrably serves the thing*: `curl -sI https://<domain>` returns 200, the
served certificate is the issued one, and the app's **own gate** passes (a
request with a valid token succeeds; one without is rejected). You read reality
back from the cluster, not from your intentions.
»`kubectl apply` war erfolgreich« ist **nicht** »es funktioniert.« Fertig heißt, der
Cluster *liefert das Ding nachweislich aus*: `curl -sI https://<domain>` gibt 200
zurück, das ausgelieferte Zertifikat ist das ausgestellte, und das **eigene Tor** der
App besteht (eine Anfrage mit gültigem Token gelingt; eine ohne wird abgewiesen). Du
liest die Wirklichkeit aus dem Cluster zurück, nicht aus deinen Absichten.
> This is the same spirit as iState's *"the moon is not an alarm"* (see
> [iState](../istate/OVERVIEW.md)): never let a hopeful belief stand in for a
> confirmed fact. A green `apply` is a hope; a 200 from the live URL is a fact.
> Das ist derselbe Geist wie iStates *»der Mond ist kein Alarm«* (siehe
> [iState](../../istate/OVERVIEW.md)): lass nie einen hoffnungsvollen Glauben für eine
> bestätigte Tatsache einstehen. Ein grünes `apply` ist eine Hoffnung; ein 200 von
> der Live-URL ist eine Tatsache.
Together: **make the reversible structure real and prove it (Rule 1), then — only then — flip the one irreversible switch and confirm reality (Rule 2).**
Zusammen: **mach die umkehrbare Struktur real und beweise sie (Regel 1), dann — und erst dann — leg den einen unumkehrbaren Schalter um und bestätige die Wirklichkeit (Regel 2).**
The big picture (one diagram)
Das große Bild (ein Diagramm)
The whole shape, left to right. The **bold** path is what decides reality; the side-boxes are what that path pulls from.
Die ganze Form, von links nach rechts. Der **fette** Pfad ist das, was über die Wirklichkeit entscheidet; die Seitenkästen sind das, woraus dieser Pfad schöpft.
AUTHOR (pad) THE TRUTH (infinix) THE CLUSTER
─────────── ──────────────────── ───────────

project source ──┐
manifests (YAML) │ ┌──────────────────────────┐ ┌────────────────┐
├───▶ │ /root/k8s-gitops/ │ │ Flux │ ◀ the gardener
sudo gitops-write│ pen │ applications/<app>/ │ ───▶ │ reconciles │
(lock-based commit) │ clusters/production/<CR> │ read │ YAML → cluster│
└────────────┬─────────────┘ └───────┬────────┘
│ │
┌────────────────────┼────────────────────┐ ▼
▼ ▼ ▼ namespace · quota
┌──────────────┐ ┌──────────────────┐ ┌───────────────┐ · service
│ registry │ │ iSecrets │ │ cert-manager │ · ingress
│ (Harbor): │ │ (pass.manager): │ │ + letsencrypt │ · TLS cert ✓
│ the image │ │ robot cred (R2) │ │ → HTTPS cert │ · deployment
│ warehouse │ │ + the keypair │ └───────────────┘ (replicas: 0→1)
└──────────────┘ └──────────────────┘
VERFASSER (pad) DIE WAHRHEIT (infinix) DER CLUSTER
─────────── ──────────────────── ───────────

Projekt-Quelle ──┐
Manifeste (YAML) │ ┌──────────────────────────┐ ┌────────────────┐
├───▶ │ /root/k8s-gitops/ │ │ Flux │ ◀ der Gärtner
sudo gitops-write│Stift│ applications/<app>/ │ ───▶ │ reconciled │
(sperrenbasierter Commit)│ clusters/production/<CR>│ liest│ YAML → Cluster│
└────────────┬─────────────┘ └───────┬────────┘
│ │
┌────────────────────┼────────────────────┐ ▼
▼ ▼ ▼ namespace · quota
┌──────────────┐ ┌──────────────────┐ ┌───────────────┐ · service
│ Registry │ │ iSecrets │ │ cert-manager │ · ingress
│ (Harbor): │ │ (pass.manager): │ │ + letsencrypt │ · TLS-Zert ✓
│ das Image- │ │ Robot-Cred (R2) │ │ → HTTPS-Zert │ · deployment
│ Lagerhaus │ │ + das Keypair │ └───────────────┘ (replicas: 0→1)
└──────────────┘ └──────────────────┘
Read it left to right: you **author** on pad; the one write-pen commits the YAML into the **truth folder** on infinix; **Flux** reads that folder and makes the **cluster** match — pulling the image from the **registry**, the secrets from **iSecrets**, and the cert from **cert-manager** as it goes.
Lies es von links nach rechts: du **verfasst** auf pad; der eine Schreibstift committet das YAML in den **Wahrheitsordner** auf infinix; **Flux** liest diesen Ordner und bringt den **Cluster** zur Übereinstimmung — zieht dabei das Image aus der **Registry**, die Secrets aus **iSecrets** und das Zertifikat aus **cert-manager**.
The full mechanism — producer by producer, with the real commit `14ce433`, the per-app CR, and a tiny build-it-yourself GitOps loop — is in the [deep dive](DEEPDIVE.md).
Der volle Mechanismus — Producer für Producer, mit dem echten Commit `14ce433`, dem Per-App-CR und einer winzigen Bau-es-selbst-GitOps-Schleife — steht im [Tiefen Einstieg](DEEPDIVE.md).
What was real in this deploy (the honest ledger)
Was in diesem Deploy real war (das ehrliche Hauptbuch)

Loading…

User avatar None

String updated in the repository

  1. infinity-learn
  2. docs
  3. German
The first two are the heart. **You write a file with the one pen (`gitops-write`); Flux reads it and tends the cluster to match.** That single loop — *write → Flux reconciles* — is all of GitOps. Everything else (the registry, the key-ring, the cert) is a supporting actor that loop pulls from.
Die ersten beiden sind das Herz. **Du schreibst eine Datei mit dem einen Stift (`gitops-write`); Flux liest sie und pflegt den Cluster zur Übereinstimmung.** Diese einzige Schleife — *schreiben → Flux reconciled* — ist die ganze Idee von GitOps. Alles andere (die Registry, der Schlüsselbund, das Zertifikat) ist eine Nebenrolle, aus der diese Schleife schöpft.
a month ago
User avatar None

String added in the repository

  1. infinity-learn
  2. docs
  3. German
The first two are the heart. **You write a file with the one pen (`gitops-write`); Flux reads it and tends the cluster to match.** That single loop — *write → Flux reconciles* — is all of GitOps. Everything else (the registry, the key-ring, the cert) is a supporting actor that loop pulls from.
 
a month ago
Browse all string changes

Things to check

Double space

Translation contains double space

Fix string

Reset

Glossary

English German
Flux Flux glossary

never translate — code/infra proper name (verbatim)
GitOps GitOps glossary

never translate — code/infra proper name (verbatim)

String information

Source string description
type: Plain text
Source string location
ideploy/OVERVIEW.md:113
String age
a month ago
Last updated
a month ago
Source string age
a month ago
Translation file
po/de.po, string 422