infinity-learn/docs — German @ Infinity Labs Translation: > This is the same spirit as iState's *"the moon …

Translation

English

type: Plain text

German

Needs editing

Skip

	English	German	Actions
	The terrain: pad ↔ infinix	Das Gelände: pad ↔ infinix
	Two places, one private network:	Zwei Orte, ein privates Netzwerk:
	pad (your notebook) infinix (the cluster, k3s) ───────────────────── ───────────────────────────── • you build + test the app here • runs the live workloads • the project source lives here • holds /root/k8s-gitops/ (the truth) • iSecrets (pass) lives here, your store • Flux reads the LOCAL repo + reconciles • a dev/test keypair was minted here • Harbor registry on the VPN IP • production keys are GENERATED here │ ▲ └──────── Headscale VPN (100.64.x) ───────┘ private mesh; infinix reachable at 100.64.0.8	pad (dein Notebook) infinix (der Cluster, k3s) ───────────────────── ───────────────────────────── • du baust + testest die App hier • führt die Live-Workloads aus • der Projekt-Quellcode liegt hier • hält /root/k8s-gitops/ (die Wahrheit) • iSecrets (pass) liegt hier, dein Store • Flux liest das LOKALE Repo + reconciled • ein Dev/Test-Keypair wurde hier erzeugt • Harbor-Registry auf der VPN-IP • Produktionsschlüssel werden HIER erzeugt │ ▲ └──────── Headscale VPN (100.64.x) ───────┘ privates Mesh; infinix erreichbar unter 100.64.0.8
	Why some things only happen on infinix: the production private key is born on infinix and never leaves it; the image push targets the registry that lives on the infinix VPN. pad is where you author; infinix is where it lives. (More terrain detail in the German companion, Station 1.)	Warum manche Dinge nur auf infinix passieren: der private Produktionsschlüssel wird auf infinix geboren und verlässt es nie; der Image-Push zielt auf die Registry, die im infinix-VPN liegt. pad ist, wo du verfasst; infinix ist, wo es lebt. (Mehr Gelände-Detail im deutschen Begleiter, Station 1.)
	The five characters	Die fünf Figuren
	A deploy is a short play with five parts. Meet them — each is just "a thing with one job":	Ein Deploy ist ein kurzes Theaterstück mit fünf Rollen. Lern sie kennen — jede ist nur »ein Ding mit einer Aufgabe«:
	\| Character \| Plain role \| The real name here \| \|-----------\|------------\|--------------------\| \| gitops-write \| the only write-pen for the truth folder \| `sudo gitops-write` (a lock-based commit) \| \| Flux \| the gardener: reads the YAML, makes the cluster match \| FluxCD, reading `/root/k8s-gitops/` \| \| the registry \| the image warehouse the app runs from \| Harbor, `docker.registry.infinity.labs` \| \| iSecrets \| the audited key-ring for passwords + keys \| `pass.manager` (`pass` / `pass_get`) \| \| cert-manager \| fetches the HTTPS certificate automatically \| cert-manager + `letsencrypt-prod` \|	\| Figur \| Schlichte Rolle \| Der echte Name hier \| \|-----------\|------------\|--------------------\| \| gitops-write \| der einzige Schreibstift für den Wahrheitsordner \| `sudo gitops-write` (ein sperrenbasierter Commit) \| \| Flux \| der Gärtner: liest das YAML, bringt den Cluster zur Übereinstimmung \| FluxCD, liest `/root/k8s-gitops/` \| \| die Registry \| das Image-Lagerhaus, aus dem die App läuft \| Harbor, `docker.registry.infinity.labs` \| \| iSecrets \| der auditierte Schlüsselbund für Passwörter + Schlüssel \| `pass.manager` (`pass` / `pass_get`) \| \| cert-manager \| holt das HTTPS-Zertifikat automatisch \| cert-manager + `letsencrypt-prod` \|
	The first two are the heart. You write a file with the one pen (`gitops-write`); Flux reads it and tends the cluster to match. That single loop — write → Flux reconciles — is all of GitOps. Everything else (the registry, the key-ring, the cert) is a supporting actor that loop pulls from.	Die ersten beiden sind das Herz. Du schreibst eine Datei mit dem einen Stift (`gitops-write`); Flux liest sie und pflegt den Cluster zur Übereinstimmung. Diese einzige Schleife — schreiben → Flux reconciled — ist die ganze Idee von GitOps. Alles andere (die Registry, der Schlüsselbund, das Zertifikat) ist eine Nebenrolle, aus der diese Schleife schöpft.
	The two honesty rules of a safe deploy	Die zwei Ehrlichkeitsregeln eines sicheren Deploys
	A deploy is the one place where a mistake is irreversible (you can't un-serve a leaked key, un-break a live site for users mid-request). So iDeploy front-loads all the cheap, reversible work and gates the irreversible part behind it. Two rules do most of that safety.	Ein Deploy ist der eine Ort, an dem ein Fehler unumkehrbar ist (du kannst einen geleakten Schlüssel nicht ent-ausliefern, eine Live-Seite nicht für Nutzer mitten in der Anfrage ent-kaputtmachen). Also zieht iDeploy alle billige, umkehrbare Arbeit nach vorn und sperrt den unumkehrbaren Teil dahinter weg. Zwei Regeln erledigen den Großteil dieser Sicherheit.
	Rule 1 — structure-live-first (`replicas: 0`)	Regel 1 — structure-live-first (`replicas: 0`)
	Bring up the whole structure first, with zero running copies of the app. Namespace, resource quota, service, ingress, and the TLS certificate — all created while the deployment is scaled to `replicas: 0`. No image is pulled, no pod runs, nothing can crash. You prove that DNS resolves, the ingress routes, and Let's Encrypt issues a real certificate — while the app is still dark.	Bring zuerst die ganze Struktur hoch, mit null laufenden Kopien der App. Namespace, Resource-Quota, Service, Ingress, und das TLS-Zertifikat — alles erzeugt, während das Deployment auf `replicas: 0` skaliert ist. Kein Image wird gezogen, kein Pod läuft, nichts kann abstürzen. Du beweist, dass DNS auflöst, der Ingress routet und Let's Encrypt ein echtes Zertifikat ausstellt — während die App noch dunkel ist.
	> In the real lernreise-garden deploy, the Let's Encrypt cert > (`lernreise-grow-tls`) issued successfully at 0/0 replicas — proving DNS, > ingress, and ACME all work end-to-end before any image existed. If something > was going to break, it broke here, where breaking is free.	> Im echten lernreise-garden-Deploy wurde das Let's-Encrypt-Zertifikat > (`lernreise-grow-tls`) erfolgreich bei 0/0 replicas ausgestellt — Beweis, dass > DNS, Ingress und ACME alle Ende-zu-Ende funktionieren, bevor irgendein Image > existierte. Wenn etwas kaputtgehen sollte, ging es hier kaputt, wo Kaputtgehen > kostenlos ist.
	Rule 2 — verify in the cluster, not in your head	Regel 2 — verifiziere im Cluster, nicht in deinem Kopf
	"`kubectl apply` succeeded" is not "it works." Done means the cluster demonstrably serves the thing: `curl -sI https://<domain>` returns 200, the served certificate is the issued one, and the app's own gate passes (a request with a valid token succeeds; one without is rejected). You read reality back from the cluster, not from your intentions.	»`kubectl apply` war erfolgreich« ist nicht »es funktioniert.« Fertig heißt, der Cluster liefert das Ding nachweislich aus: `curl -sI https://<domain>` gibt 200 zurück, das ausgelieferte Zertifikat ist das ausgestellte, und das eigene Tor der App besteht (eine Anfrage mit gültigem Token gelingt; eine ohne wird abgewiesen). Du liest die Wirklichkeit aus dem Cluster zurück, nicht aus deinen Absichten.
	> This is the same spirit as iState's "the moon is not an alarm" (see > [iState](../istate/OVERVIEW.md)): never let a hopeful belief stand in for a > confirmed fact. A green `apply` is a hope; a 200 from the live URL is a fact.	> Das ist derselbe Geist wie iStates »der Mond ist kein Alarm« (siehe > [iState](../../istate/OVERVIEW.md)): lass nie einen hoffnungsvollen Glauben für eine > bestätigte Tatsache einstehen. Ein grünes `apply` ist eine Hoffnung; ein 200 von > der Live-URL ist eine Tatsache.
	Together: make the reversible structure real and prove it (Rule 1), then — only then — flip the one irreversible switch and confirm reality (Rule 2).	Zusammen: mach die umkehrbare Struktur real und beweise sie (Regel 1), dann — und erst dann — leg den einen unumkehrbaren Schalter um und bestätige die Wirklichkeit (Regel 2).
	The big picture (one diagram)	Das große Bild (ein Diagramm)
	The whole shape, left to right. The bold path is what decides reality; the side-boxes are what that path pulls from.	Die ganze Form, von links nach rechts. Der fette Pfad ist das, was über die Wirklichkeit entscheidet; die Seitenkästen sind das, woraus dieser Pfad schöpft.
	AUTHOR (pad) THE TRUTH (infinix) THE CLUSTER ─────────── ──────────────────── ─────────── project source ──┐ manifests (YAML) │ ┌──────────────────────────┐ ┌────────────────┐ ├───▶ │ /root/k8s-gitops/ │ │ Flux │ ◀ the gardener sudo gitops-write│ pen │ applications/<app>/ │ ───▶ │ reconciles │ (lock-based commit) │ clusters/production/<CR> │ read │ YAML → cluster│ └────────────┬─────────────┘ └───────┬────────┘ │ │ ┌────────────────────┼────────────────────┐ ▼ ▼ ▼ ▼ namespace · quota ┌──────────────┐ ┌──────────────────┐ ┌───────────────┐ · service │ registry │ │ iSecrets │ │ cert-manager │ · ingress │ (Harbor): │ │ (pass.manager): │ │ + letsencrypt │ · TLS cert ✓ │ the image │ │ robot cred (R2) │ │ → HTTPS cert │ · deployment │ warehouse │ │ + the keypair │ └───────────────┘ (replicas: 0→1) └──────────────┘ └──────────────────┘	VERFASSER (pad) DIE WAHRHEIT (infinix) DER CLUSTER ─────────── ──────────────────── ─────────── Projekt-Quelle ──┐ Manifeste (YAML) │ ┌──────────────────────────┐ ┌────────────────┐ ├───▶ │ /root/k8s-gitops/ │ │ Flux │ ◀ der Gärtner sudo gitops-write│Stift│ applications/<app>/ │ ───▶ │ reconciled │ (sperrenbasierter Commit)│ clusters/production/<CR>│ liest│ YAML → Cluster│ └────────────┬─────────────┘ └───────┬────────┘ │ │ ┌────────────────────┼────────────────────┐ ▼ ▼ ▼ ▼ namespace · quota ┌──────────────┐ ┌──────────────────┐ ┌───────────────┐ · service │ Registry │ │ iSecrets │ │ cert-manager │ · ingress │ (Harbor): │ │ (pass.manager): │ │ + letsencrypt │ · TLS-Zert ✓ │ das Image- │ │ Robot-Cred (R2) │ │ → HTTPS-Zert │ · deployment │ Lagerhaus │ │ + das Keypair │ └───────────────┘ (replicas: 0→1) └──────────────┘ └──────────────────┘
	Read it left to right: you author on pad; the one write-pen commits the YAML into the truth folder on infinix; Flux reads that folder and makes the cluster match — pulling the image from the registry, the secrets from iSecrets, and the cert from cert-manager as it goes.	Lies es von links nach rechts: du verfasst auf pad; der eine Schreibstift committet das YAML in den Wahrheitsordner auf infinix; Flux liest diesen Ordner und bringt den Cluster zur Übereinstimmung — zieht dabei das Image aus der Registry, die Secrets aus iSecrets und das Zertifikat aus cert-manager.
	The full mechanism — producer by producer, with the real commit `14ce433`, the per-app CR, and a tiny build-it-yourself GitOps loop — is in the [deep dive](DEEPDIVE.md).	Der volle Mechanismus — Producer für Producer, mit dem echten Commit `14ce433`, dem Per-App-CR und einer winzigen Bau-es-selbst-GitOps-Schleife — steht im [Tiefen Einstieg](DEEPDIVE.md).
	What was real in this deploy (the honest ledger)	Was in diesem Deploy real war (das ehrliche Hauptbuch)
	This module is grounded in one real deploy: the lernreise coop garden, staged onto infinix on 2026-06-12 → 13. To stay honest, here is exactly what is live versus pending as of writing.	Dieses Modul gründet auf einem echten Deploy: dem lernreise-Gemeinschaftsgarten, am 2026-06-12 → 13 auf infinix bereitgestellt. Um ehrlich zu bleiben, hier genau, was zum Zeitpunkt des Schreibens live versus ausstehend ist.
	Live (done, verifiable):	Live (erledigt, verifizierbar):
	Committed `14ce433` to `/root/k8s-gitops/` via `gitops-write`; the per-app Flux `Kustomization` CR applied; Flux reconciled to that commit.	`14ce433` via `gitops-write` nach `/root/k8s-gitops/` committet; der Per-App-Flux- `Kustomization`-CR angewandt; Flux auf diesen Commit reconciled.
	In namespace `lernreise-garden`: ResourceQuota, Service, Ingress (`lernreise.grow.b0x.store`), and deployment at `replicas: 0` (no pods, no image needed yet).	Im Namespace `lernreise-garden`: ResourceQuota, Service, Ingress (`lernreise.grow.b0x.store`) und Deployment bei `replicas: 0` (keine Pods, noch kein Image nötig).
	TLS certificate ISSUED — `lernreise-grow-tls = True` (Let's Encrypt prod).	TLS-Zertifikat AUSGESTELLT — `lernreise-grow-tls = True` (Let's Encrypt prod).
	The parent `flux-system` was resumed cleanly (staged, with a diff-gate before every mutating step; zero deletions, zero pruned real objects). All 19 Kustomizations `Ready`. Legacy `lernreise` and `grow-main` untouched.	Das übergeordnete `flux-system` wurde sauber wiederaufgenommen (gestaffelt, mit einem Diff-Gate vor jedem mutierenden Schritt; null Löschungen, null geprunte echte Objekte). Alle 19 Kustomizations `Ready`. Das alte `lernreise` und `grow-main` unangetastet.
	Pending (the two residuals — honestly not yet done):	Ausstehend (die zwei Restposten — ehrlicherweise noch nicht erledigt):
	R1 — the missing GitLab deploy-key. The 13 GitOps commits are written and live on infinix (Flux reads the local repo), but pushing them to the durable mirror `git.labs.ooo` failed on SSH auth — root on infinix holds no key the GitLab server accepts. We correctly stopped and did not force. This is a durability/mirroring gap, not a cluster-state issue. (You wrote the letter; you lack the key to the postbox.)	R1 — der fehlende GitLab-Deploy-Key. Die 13 GitOps-Commits sind geschrieben und live auf infinix (Flux liest das lokale Repo), aber das Pushen zum dauerhaften Spiegel `git.labs.ooo` scheiterte an der SSH-Auth — root auf infinix hält keinen Schlüssel, den der GitLab-Server akzeptiert. Wir haben korrekt gestoppt und nicht erzwungen. Das ist eine Haltbarkeits-/Spiegelungs-Lücke, kein Problem des Cluster-Zustands. (Du hast den Brief geschrieben; dir fehlt der Schlüssel zum Briefkasten.)

Loading…

None

String updated in the repository

English

German 276 characters edited Current translation Translated

a month ago

None

String added in the repository

English

German 0 characters edited Empty

a month ago

Browse all string changes

Things to check

Mismatching line breaks

Number of new lines in translation does not match source

Reset

Consecutive duplicated words

Text contains the same word twice in a row: ..

Reset

Glossary

English	German
"the moon is not an alarm"	»der Mond ist kein Alarm«	glossary
🌙 = a memory, not a siren → »eine Erinnerung, keine Sirene«

String information

Source string description

type: Plain text

Flags

no-wrap

Source string location

ideploy/OVERVIEW.md:147

String age

a month ago

Last updated

a month ago

Source string age

a month ago

Translation file

po/de.po, string 430

	English	German	Actions
	The terrain: pad ↔ infinix	Das Gelände: pad ↔ infinix
	Two places, one private network:	Zwei Orte, ein privates Netzwerk:
	pad (your notebook) infinix (the cluster, k3s) ───────────────────── ───────────────────────────── • you build + test the app here • runs the live workloads • the project source lives here • holds /root/k8s-gitops/ (the truth) • iSecrets (pass) lives here, your store • Flux reads the LOCAL repo + reconciles • a dev/test keypair was minted here • Harbor registry on the VPN IP • production keys are GENERATED here │ ▲ └──────── Headscale VPN (100.64.x) ───────┘ private mesh; infinix reachable at 100.64.0.8	pad (dein Notebook) infinix (der Cluster, k3s) ───────────────────── ───────────────────────────── • du baust + testest die App hier • führt die Live-Workloads aus • der Projekt-Quellcode liegt hier • hält /root/k8s-gitops/ (die Wahrheit) • iSecrets (pass) liegt hier, dein Store • Flux liest das LOKALE Repo + reconciled • ein Dev/Test-Keypair wurde hier erzeugt • Harbor-Registry auf der VPN-IP • Produktionsschlüssel werden HIER erzeugt │ ▲ └──────── Headscale VPN (100.64.x) ───────┘ privates Mesh; infinix erreichbar unter 100.64.0.8
	Why some things only happen on infinix: the production private key is born on infinix and never leaves it; the image push targets the registry that lives on the infinix VPN. pad is where you author; infinix is where it lives. (More terrain detail in the German companion, Station 1.)	Warum manche Dinge nur auf infinix passieren: der private Produktionsschlüssel wird auf infinix geboren und verlässt es nie; der Image-Push zielt auf die Registry, die im infinix-VPN liegt. pad ist, wo du verfasst; infinix ist, wo es lebt. (Mehr Gelände-Detail im deutschen Begleiter, Station 1.)
	The five characters	Die fünf Figuren
	A deploy is a short play with five parts. Meet them — each is just "a thing with one job":	Ein Deploy ist ein kurzes Theaterstück mit fünf Rollen. Lern sie kennen — jede ist nur »ein Ding mit einer Aufgabe«:
	\| Character \| Plain role \| The real name here \| \|-----------\|------------\|--------------------\| \| gitops-write \| the only write-pen for the truth folder \| `sudo gitops-write` (a lock-based commit) \| \| Flux \| the gardener: reads the YAML, makes the cluster match \| FluxCD, reading `/root/k8s-gitops/` \| \| the registry \| the image warehouse the app runs from \| Harbor, `docker.registry.infinity.labs` \| \| iSecrets \| the audited key-ring for passwords + keys \| `pass.manager` (`pass` / `pass_get`) \| \| cert-manager \| fetches the HTTPS certificate automatically \| cert-manager + `letsencrypt-prod` \|	\| Figur \| Schlichte Rolle \| Der echte Name hier \| \|-----------\|------------\|--------------------\| \| gitops-write \| der einzige Schreibstift für den Wahrheitsordner \| `sudo gitops-write` (ein sperrenbasierter Commit) \| \| Flux \| der Gärtner: liest das YAML, bringt den Cluster zur Übereinstimmung \| FluxCD, liest `/root/k8s-gitops/` \| \| die Registry \| das Image-Lagerhaus, aus dem die App läuft \| Harbor, `docker.registry.infinity.labs` \| \| iSecrets \| der auditierte Schlüsselbund für Passwörter + Schlüssel \| `pass.manager` (`pass` / `pass_get`) \| \| cert-manager \| holt das HTTPS-Zertifikat automatisch \| cert-manager + `letsencrypt-prod` \|
	The first two are the heart. You write a file with the one pen (`gitops-write`); Flux reads it and tends the cluster to match. That single loop — write → Flux reconciles — is all of GitOps. Everything else (the registry, the key-ring, the cert) is a supporting actor that loop pulls from.	Die ersten beiden sind das Herz. Du schreibst eine Datei mit dem einen Stift (`gitops-write`); Flux liest sie und pflegt den Cluster zur Übereinstimmung. Diese einzige Schleife — schreiben → Flux reconciled — ist die ganze Idee von GitOps. Alles andere (die Registry, der Schlüsselbund, das Zertifikat) ist eine Nebenrolle, aus der diese Schleife schöpft.
	The two honesty rules of a safe deploy	Die zwei Ehrlichkeitsregeln eines sicheren Deploys
	A deploy is the one place where a mistake is irreversible (you can't un-serve a leaked key, un-break a live site for users mid-request). So iDeploy front-loads all the cheap, reversible work and gates the irreversible part behind it. Two rules do most of that safety.	Ein Deploy ist der eine Ort, an dem ein Fehler unumkehrbar ist (du kannst einen geleakten Schlüssel nicht ent-ausliefern, eine Live-Seite nicht für Nutzer mitten in der Anfrage ent-kaputtmachen). Also zieht iDeploy alle billige, umkehrbare Arbeit nach vorn und sperrt den unumkehrbaren Teil dahinter weg. Zwei Regeln erledigen den Großteil dieser Sicherheit.
	Rule 1 — structure-live-first (`replicas: 0`)	Regel 1 — structure-live-first (`replicas: 0`)
	Bring up the whole structure first, with zero running copies of the app. Namespace, resource quota, service, ingress, and the TLS certificate — all created while the deployment is scaled to `replicas: 0`. No image is pulled, no pod runs, nothing can crash. You prove that DNS resolves, the ingress routes, and Let's Encrypt issues a real certificate — while the app is still dark.	Bring zuerst die ganze Struktur hoch, mit null laufenden Kopien der App. Namespace, Resource-Quota, Service, Ingress, und das TLS-Zertifikat — alles erzeugt, während das Deployment auf `replicas: 0` skaliert ist. Kein Image wird gezogen, kein Pod läuft, nichts kann abstürzen. Du beweist, dass DNS auflöst, der Ingress routet und Let's Encrypt ein echtes Zertifikat ausstellt — während die App noch dunkel ist.
	> In the real lernreise-garden deploy, the Let's Encrypt cert > (`lernreise-grow-tls`) issued successfully at 0/0 replicas — proving DNS, > ingress, and ACME all work end-to-end before any image existed. If something > was going to break, it broke here, where breaking is free.	> Im echten lernreise-garden-Deploy wurde das Let's-Encrypt-Zertifikat > (`lernreise-grow-tls`) erfolgreich bei 0/0 replicas ausgestellt — Beweis, dass > DNS, Ingress und ACME alle Ende-zu-Ende funktionieren, bevor irgendein Image > existierte. Wenn etwas kaputtgehen sollte, ging es hier kaputt, wo Kaputtgehen > kostenlos ist.
	Rule 2 — verify in the cluster, not in your head	Regel 2 — verifiziere im Cluster, nicht in deinem Kopf
	"`kubectl apply` succeeded" is not "it works." Done means the cluster demonstrably serves the thing: `curl -sI https://<domain>` returns 200, the served certificate is the issued one, and the app's own gate passes (a request with a valid token succeeds; one without is rejected). You read reality back from the cluster, not from your intentions.	»`kubectl apply` war erfolgreich« ist nicht »es funktioniert.« Fertig heißt, der Cluster liefert das Ding nachweislich aus: `curl -sI https://<domain>` gibt 200 zurück, das ausgelieferte Zertifikat ist das ausgestellte, und das eigene Tor der App besteht (eine Anfrage mit gültigem Token gelingt; eine ohne wird abgewiesen). Du liest die Wirklichkeit aus dem Cluster zurück, nicht aus deinen Absichten.
	> This is the same spirit as iState's "the moon is not an alarm" (see > [iState](../istate/OVERVIEW.md)): never let a hopeful belief stand in for a > confirmed fact. A green `apply` is a hope; a 200 from the live URL is a fact.	> Das ist derselbe Geist wie iStates »der Mond ist kein Alarm« (siehe > [iState](../../istate/OVERVIEW.md)): lass nie einen hoffnungsvollen Glauben für eine > bestätigte Tatsache einstehen. Ein grünes `apply` ist eine Hoffnung; ein 200 von > der Live-URL ist eine Tatsache.
	Together: make the reversible structure real and prove it (Rule 1), then — only then — flip the one irreversible switch and confirm reality (Rule 2).	Zusammen: mach die umkehrbare Struktur real und beweise sie (Regel 1), dann — und erst dann — leg den einen unumkehrbaren Schalter um und bestätige die Wirklichkeit (Regel 2).
	The big picture (one diagram)	Das große Bild (ein Diagramm)
	The whole shape, left to right. The bold path is what decides reality; the side-boxes are what that path pulls from.	Die ganze Form, von links nach rechts. Der fette Pfad ist das, was über die Wirklichkeit entscheidet; die Seitenkästen sind das, woraus dieser Pfad schöpft.
	AUTHOR (pad) THE TRUTH (infinix) THE CLUSTER ─────────── ──────────────────── ─────────── project source ──┐ manifests (YAML) │ ┌──────────────────────────┐ ┌────────────────┐ ├───▶ │ /root/k8s-gitops/ │ │ Flux │ ◀ the gardener sudo gitops-write│ pen │ applications/<app>/ │ ───▶ │ reconciles │ (lock-based commit) │ clusters/production/<CR> │ read │ YAML → cluster│ └────────────┬─────────────┘ └───────┬────────┘ │ │ ┌────────────────────┼────────────────────┐ ▼ ▼ ▼ ▼ namespace · quota ┌──────────────┐ ┌──────────────────┐ ┌───────────────┐ · service │ registry │ │ iSecrets │ │ cert-manager │ · ingress │ (Harbor): │ │ (pass.manager): │ │ + letsencrypt │ · TLS cert ✓ │ the image │ │ robot cred (R2) │ │ → HTTPS cert │ · deployment │ warehouse │ │ + the keypair │ └───────────────┘ (replicas: 0→1) └──────────────┘ └──────────────────┘	VERFASSER (pad) DIE WAHRHEIT (infinix) DER CLUSTER ─────────── ──────────────────── ─────────── Projekt-Quelle ──┐ Manifeste (YAML) │ ┌──────────────────────────┐ ┌────────────────┐ ├───▶ │ /root/k8s-gitops/ │ │ Flux │ ◀ der Gärtner sudo gitops-write│Stift│ applications/<app>/ │ ───▶ │ reconciled │ (sperrenbasierter Commit)│ clusters/production/<CR>│ liest│ YAML → Cluster│ └────────────┬─────────────┘ └───────┬────────┘ │ │ ┌────────────────────┼────────────────────┐ ▼ ▼ ▼ ▼ namespace · quota ┌──────────────┐ ┌──────────────────┐ ┌───────────────┐ · service │ Registry │ │ iSecrets │ │ cert-manager │ · ingress │ (Harbor): │ │ (pass.manager): │ │ + letsencrypt │ · TLS-Zert ✓ │ das Image- │ │ Robot-Cred (R2) │ │ → HTTPS-Zert │ · deployment │ Lagerhaus │ │ + das Keypair │ └───────────────┘ (replicas: 0→1) └──────────────┘ └──────────────────┘
	Read it left to right: you author on pad; the one write-pen commits the YAML into the truth folder on infinix; Flux reads that folder and makes the cluster match — pulling the image from the registry, the secrets from iSecrets, and the cert from cert-manager as it goes.	Lies es von links nach rechts: du verfasst auf pad; der eine Schreibstift committet das YAML in den Wahrheitsordner auf infinix; Flux liest diesen Ordner und bringt den Cluster zur Übereinstimmung — zieht dabei das Image aus der Registry, die Secrets aus iSecrets und das Zertifikat aus cert-manager.
	The full mechanism — producer by producer, with the real commit `14ce433`, the per-app CR, and a tiny build-it-yourself GitOps loop — is in the [deep dive](DEEPDIVE.md).	Der volle Mechanismus — Producer für Producer, mit dem echten Commit `14ce433`, dem Per-App-CR und einer winzigen Bau-es-selbst-GitOps-Schleife — steht im [Tiefen Einstieg](DEEPDIVE.md).
	What was real in this deploy (the honest ledger)	Was in diesem Deploy real war (das ehrliche Hauptbuch)
	This module is grounded in one real deploy: the lernreise coop garden, staged onto infinix on 2026-06-12 → 13. To stay honest, here is exactly what is live versus pending as of writing.	Dieses Modul gründet auf einem echten Deploy: dem lernreise-Gemeinschaftsgarten, am 2026-06-12 → 13 auf infinix bereitgestellt. Um ehrlich zu bleiben, hier genau, was zum Zeitpunkt des Schreibens live versus ausstehend ist.
	Live (done, verifiable):	Live (erledigt, verifizierbar):
	Committed `14ce433` to `/root/k8s-gitops/` via `gitops-write`; the per-app Flux `Kustomization` CR applied; Flux reconciled to that commit.	`14ce433` via `gitops-write` nach `/root/k8s-gitops/` committet; der Per-App-Flux- `Kustomization`-CR angewandt; Flux auf diesen Commit reconciled.
	In namespace `lernreise-garden`: ResourceQuota, Service, Ingress (`lernreise.grow.b0x.store`), and deployment at `replicas: 0` (no pods, no image needed yet).	Im Namespace `lernreise-garden`: ResourceQuota, Service, Ingress (`lernreise.grow.b0x.store`) und Deployment bei `replicas: 0` (keine Pods, noch kein Image nötig).
	TLS certificate ISSUED — `lernreise-grow-tls = True` (Let's Encrypt prod).	TLS-Zertifikat AUSGESTELLT — `lernreise-grow-tls = True` (Let's Encrypt prod).
	The parent `flux-system` was resumed cleanly (staged, with a diff-gate before every mutating step; zero deletions, zero pruned real objects). All 19 Kustomizations `Ready`. Legacy `lernreise` and `grow-main` untouched.	Das übergeordnete `flux-system` wurde sauber wiederaufgenommen (gestaffelt, mit einem Diff-Gate vor jedem mutierenden Schritt; null Löschungen, null geprunte echte Objekte). Alle 19 Kustomizations `Ready`. Das alte `lernreise` und `grow-main` unangetastet.
	Pending (the two residuals — honestly not yet done):	Ausstehend (die zwei Restposten — ehrlicherweise noch nicht erledigt):
	R1 — the missing GitLab deploy-key. The 13 GitOps commits are written and live on infinix (Flux reads the local repo), but pushing them to the durable mirror `git.labs.ooo` failed on SSH auth — root on infinix holds no key the GitLab server accepts. We correctly stopped and did not force. This is a durability/mirroring gap, not a cluster-state issue. (You wrote the letter; you lack the key to the postbox.)	R1 — der fehlende GitLab-Deploy-Key. Die 13 GitOps-Commits sind geschrieben und live auf infinix (Flux liest das lokale Repo), aber das Pushen zum dauerhaften Spiegel `git.labs.ooo` scheiterte an der SSH-Auth — root auf infinix hält keinen Schlüssel, den der GitLab-Server akzeptiert. Wir haben korrekt gestoppt und nicht erzwungen. Das ist eine Haltbarkeits-/Spiegelungs-Lücke, kein Problem des Cluster-Zustands. (Du hast den Brief geschrieben; dir fehlt der Schlüssel zum Briefkasten.)