FreshRSS sur GKE Autopilot

FreshRSS est un agrégateur de flux RSS et Atom gratuit, auto-hébergé et sous licence GPL-3.0 — un « lecteur d'actualités » léger et multi-utilisateur écrit en PHP, qui s'exécute derrière Apache et expose les API Google Reader et Fever pour les clients mobiles. Ce module déploie FreshRSS sur GKE Autopilot en s'appuyant sur le socle App_GKE, qui provisionne et gère l'infrastructure Google Cloud et Kubernetes partagée.

Ce guide se concentre sur les services cloud utilisés par FreshRSS et sur la manière de les explorer et de les exploiter depuis la console Google Cloud et la ligne de commande. Pour les mécanismes communs à toutes les applications GKE — Workload Identity, entrée, autoscaling, CI/CD, Cloud Armor, IAP, Binary Authorization, VPC Service Controls, sauvegardes et cycle de vie du déploiement — reportez-vous au guide du socle App_GKE plutôt que de les répéter ici.

1. Vue d'ensemble

FreshRSS s'exécute comme une charge de travail web PHP/Apache. Le déploiement assemble un ensemble ciblé de services Google Cloud :

Fonctionnalité	Service Google Cloud	Remarques
Calcul	GKE Autopilot	Pods PHP/Apache sur le port 80, 1 vCPU / 2 GiB par défaut
Base de données	Cloud SQL for PostgreSQL 15	Obligatoire — le point d'entrée effectue l'installation avec `--db-type pgsql`
Stockage persistant	NFS (Filestore / autogéré) ou PVC en mode bloc	Répertoire de données sur `/var/www/FreshRSS/data` ; contient la configuration, l'état par utilisateur et le cache des flux. Aucun bucket GCS
Cache	Redis (facultatif)	Désactivé par défaut ; FreshRSS n'en a pas besoin
Secrets	Secret Manager	`FRESHRSS_ADMIN_PASSWORD` généré automatiquement ; mot de passe de la base de données
Entrée	Cloud Load Balancing	LoadBalancer externe, domaine personnalisé et certificat géré facultatifs

Valeurs par défaut judicieuses à connaître d'emblée :

PostgreSQL 15 est le moteur pris en charge. Le point d'entrée du conteneur code en dur --db-type pgsql et le job db-init ne prend en charge que Postgres ; le schéma est créé par l'installateur de FreshRSS lui-même au premier démarrage.
Sur GKE, le Cloud SQL Auth Proxy s'exécute comme sidecar lié à 127.0.0.1:5432, si bien que FreshRSS se connecte à l'adresse de loopback (DB_HOST = 127.0.0.1) — le point d'entrée traite le loopback comme un hôte TCP en clair (le proxy assure la terminaison TLS).
NFS est activé par défaut (enable_nfs = true) et monté sur /var/www/FreshRSS/data. FreshRSS y écrit sa configuration générée, l'état par utilisateur, les articles mis en cache et les favicons — sans volume persistant, cet état est perdu au redémarrage du pod. Un Deployment adossé à NFS utilise la stratégie Recreate, afin que deux pods n'écrivent jamais sur le même volume pendant un déploiement progressif.
FRESHRSS_ADMIN_PASSWORD est généré automatiquement et stocké dans Secret Manager. Il initialise le compte admin par défaut (ainsi que son mot de passe d'API) lors de la première installation.
L'affinité de session est ClientIP par défaut. Elle maintient les requêtes d'un client sur le même pod.
Un minimum d'un réplica est maintenu (min_instance_count = 1, max_instance_count = 1) ; GKE ne prend pas en charge la mise à l'échelle à zéro, si bien que le cron d'actualisation des flux du conteneur s'exécute en permanence.
Une adresse IP externe statique est réservée par défaut (reserve_static_ip = true) et un Ingress de domaine personnalisé est provisionné par défaut (enable_custom_domain = true) — renseignez application_domains pour servir de vrais noms d'hôte.
Le conteneur écoute sur le port 80 (Apache), et non 8080.

2. Services Google Cloud et comment les explorer

Toutes les commandes supposent que vous avez exécuté gcloud container clusters get-credentials <cluster> --region <region> --project <project> et que PROJECT, REGION et NAMESPACE sont définis. L'espace de noms et les autres identifiants sont indiqués dans les sorties du déploiement.

A. GKE Autopilot — la charge de travail FreshRSS

Les pods FreshRSS sont planifiés sur Autopilot, qui facture le CPU et la mémoire réellement demandés par les pods. Comme le répertoire de données repose sur NFS, le Deployment utilise la stratégie de mise à jour Recreate plutôt qu'une mise à jour progressive.

Console : Kubernetes Engine → Workloads → sélectionnez la charge de travail FreshRSS pour consulter les pods et les événements. Kubernetes Engine → Services & Ingress affiche l'adresse IP externe.

CLI :

kubectl get pods,svc -n "$NAMESPACE"
kubectl logs -n "$NAMESPACE" deploy/<service-name> --tail=100
kubectl describe deploy -n "$NAMESPACE" <service-name>

Consultez App_GKE pour la gestion d'Autopilot, de la mise à l'échelle et du type de charge de travail (Deployment ou StatefulSet).

B. Cloud SQL for PostgreSQL 15

FreshRSS stocke toutes les données de l'application (flux, abonnements, articles, catégories, utilisateurs) dans une instance gérée Cloud SQL for PostgreSQL 15. Les pods s'y connectent de manière privée via le sidecar Cloud SQL Auth Proxy sur le loopback 127.0.0.1:5432 ; aucune adresse IP publique n'est exposée. Lors du premier déploiement, le Job db-init crée la base de données et l'utilisateur de l'application, et l'installateur de FreshRSS crée le schéma.

Console : SQL → sélectionnez l'instance pour consulter les connexions, les sauvegardes, les flags et les métriques.

CLI :

gcloud sql instances list --project "$PROJECT"
gcloud sql instances describe <instance-name> --project "$PROJECT"
gcloud sql connect <instance-name> --user=<db-user> --database=<db-name> --project "$PROJECT"

Le nom de l'instance, la base de données, l'utilisateur et le secret du mot de passe figurent tous dans les sorties. Pour le modèle de connexion, les sauvegardes et la rotation du mot de passe, consultez App_GKE.

C. Stockage persistant (NFS / PVC)

Le répertoire de données de FreshRSS (/var/www/FreshRSS/data) repose sur un volume NFS (enable_nfs = true), qui contient la configuration générée, l'état par utilisateur, les articles mis en cache et les favicons. Ce module ne déclare aucun bucket GCS. Un PVC en mode bloc (StatefulSet) constitue un mode de persistance alternatif, via les variables StatefulSet du groupe 7.

Console : Filestore → Instances (NFS géré) ; Kubernetes Engine → Storage (PVC).

CLI :

gcloud filestore instances list --project "$PROJECT"
kubectl get pvc -n "$NAMESPACE"
kubectl exec -n "$NAMESPACE" deploy/<service-name> -- ls /var/www/FreshRSS/data

Consultez App_GKE pour le modèle de serveur NFS, les PVC en mode bloc et GCS Fuse.

D. Redis (cache facultatif)

Redis est désactivé par défaut (enable_redis = false) et FreshRSS n'en a pas besoin. Il est exposé comme option transmise par souci de cohérence avec les modules PHP apparentés ; laissez-le désactivé sauf raison précise de l'activer.

Console : Memorystore → Redis (si vous utilisez une instance gérée).
CLI :
```
redis-cli -h <redis-host> ping
```

E. Secret Manager

Un secret d'application est généré automatiquement : FRESHRSS_ADMIN_PASSWORD, qui initialise le compte admin par défaut et son mot de passe d'API lors de la première installation. Le mot de passe de la base de données est géré séparément par le socle.

Console : Security → Secret Manager.

CLI :

gcloud secrets list --project "$PROJECT" --filter="name~freshrss"
gcloud secrets versions access latest --secret=<secret-name> --project "$PROJECT"

Le nom du secret du mot de passe de la base de données figure dans les Sorties. Consultez App_GKE pour l'intégration du Secret Store CSI et la rotation.

F. Réseau et entrée

Par défaut, la charge de travail est exposée via une adresse IP Cloud Load Balancing externe avec une adresse IP statique réservée, et un Ingress de domaine personnalisé est provisionné. Ajoutez des noms d'hôte via application_domains pour obtenir un certificat géré par Google.

Console : Network services → Load balancing ; VPC network → IP addresses.

CLI :

kubectl get ingress,svc -n "$NAMESPACE"
gcloud compute addresses list --project "$PROJECT"

Consultez App_GKE pour les domaines personnalisés, Cloud CDN et les détails de l'adresse IP statique.

G. Cloud Logging et Monitoring

Les sorties stdout/stderr des pods sont envoyées vers Cloud Logging ; les métriques de GKE et de Cloud SQL sont envoyées vers Cloud Monitoring. Des tests de disponibilité et des règles d'alerte facultatifs sont disponibles.

Console : Logging → Logs Explorer ; Monitoring → Dashboards / Alerting.

CLI :

gcloud logging read 'resource.type="k8s_container" AND resource.labels.namespace_name="'"$NAMESPACE"'"' \
  --project "$PROJECT" --limit 50

3. Comportement de l'application FreshRSS

Configuration de la base de données au premier déploiement. Le Job db-init s'exécute avec postgres:15-alpine. Il se connecte via le Cloud SQL Auth Proxy et crée de manière idempotente la base de données et l'utilisateur de l'application, puis accorde les privilèges. Le job peut être réexécuté sans risque.
Installation au premier démarrage. Le script platform-entrypoint.sh du conteneur résout l'hôte de la base de données (loopback du proxy 127.0.0.1 sur GKE), puis pilote les scripts de FreshRSS cli/do-install.php (qui crée data/config.php et le schéma) et cli/create-user.php (qui crée le compte admin à partir de FRESHRSS_ADMIN_PASSWORD), avant d'enchaîner sur le point d'entrée d'origine. L'installation est idempotente — elle est ignorée dès que data/config.php existe sur le volume persistant.
Cron d'actualisation des flux. L'image d'origine démarre un cron dans le conteneur (CRON_MIN = */15) qui actualise les flux suivis toutes les 15 minutes. Comme GKE maintient au moins un réplica en cours d'exécution, le cron se déclenche toujours.
Identifiant administrateur. L'identifiant par défaut est admin avec le FRESHRSS_ADMIN_PASSWORD généré ; la même valeur est définie comme mot de passe d'API utilisé par les clients mobiles des API Google Reader / Fever. Modifiez-le dans l'interface de FreshRSS après la première connexion — la seule rotation de la valeur dans Secret Manager ne réinitialise pas un compte déjà installé.
Stratégie de déploiement. Lorsque NFS est activé, le Deployment utilise Recreate (et non RollingUpdate) afin que deux pods n'écrivent jamais simultanément dans le répertoire de données partagé — une mise à jour progressive de cette application avec état se bloquerait sur les verrous de fichiers et de base de données.
Chemin de santé. La sonde de démarrage est une vérification TCP sur le port 80 ; la sonde de vivacité est un HTTP GET sur / (200). FreshRSS sert également un point de terminaison JSON /status non authentifié, adapté aux tests de disponibilité. Prévoyez une fenêtre généreuse au premier démarrage, le temps que l'installateur crée le schéma.
Définissez l'URL externe une fois l'adresse IP connue. Vérifiez l'adresse IP du LoadBalancer / l'hôte de l'Ingress et définissez BASE_URL (via environment_variables) ou application_domains afin que les liens autoréférents de FreshRSS soient correctement résolus :
```
kubectl get svc,ingress -n "$NAMESPACE"
```

4. Variables de configuration

Les variables sont regroupées exactement comme elles apparaissent sur la plateforme de déploiement. Seuls les paramètres propres à FreshRSS ou notables pour celui-ci sont listés ; toutes les autres entrées sont héritées d'App_GKE avec leur comportement et leurs valeurs par défaut standard.