🛰️ Atlas PaaS — Arquitetura & Tutorial de Deploy

1. Visão geral — quem faz o quê

2. 🗺️ Mapa da arquitetura

Os números n nas setas correspondem à legenda de ações abaixo do desenho.

Legenda de ações

3. Fluxo de um deploy (staging)

4. Tutorial — aplicar na VM Azure (PaasMachine), passo a passo

4.1 Pré-requisitos

4.2 Preparar a VM

# liberar a porta 53 do systemd-resolved (acme-dns usa a 53)
sudo sed -i 's/^#\?DNSStubListener=.*/DNSStubListener=no/' /etc/systemd/resolved.conf
sudo ln -sf /run/systemd/resolve/resolv.conf /etc/resolv.conf
sudo systemctl restart systemd-resolved

4.3 Preencher o config.env

Na sua máquina, no repo paas-devops: cp config.env.example config.env e edite (ver tabela completa de variáveis). Exemplo de produção (Azure):

PROFILE=prod
DOMAIN_SUFFIX=paas.atlasren.com
COOLIFY_DOMAIN=coolify.paas.atlasren.com
GITEA_DOMAIN=gitea.paas.atlasren.com
SSH_PORT=31847
ACME_EMAIL=devops@atlasren.com

COOLIFY_VERSION=4.1.2
COOLIFY_ADMIN_EMAIL=admin@atlasren.com
COOLIFY_ADMIN_PASSWORD=<senha-forte>

EGRESS_PROXY_URL=http://10.3.0.28:3128   # Azure egress fechado (vazio se aberto)

WILDCARD_TLS_ENABLED=1
ACME_DNS_ZONE=acme.atlasren.com
VM_PUBLIC_IP=20.106.196.125
ACME_CA_SERVER=https://acme-staging-v02.api.letsencrypt.org/directory  # staging no 1º teste

GHCR_NS=ghcr.io/atlasren-partners
GHCR_USER=<login-github>
GHCR_TOKEN=<PAT read:packages>

GITEA_ORG=atlasren
GITEA_ADMIN_USER=gitea_admin
GITEA_ADMIN_PASS=<senha-forte>
GITEA_BOT_USER=paas-bot
GITEA_BOT_PASS=<senha-forte>

GITEA_HTTP_PUBLISH_PORT=          # VAZIO em prod (gitea interno). 3000 só p/ teste por IP
GATE_VERIFY_URL=https://apphub-staging.atlasren.com/paas_form/gate/verify

COOLIFY_SSO_AZURE_CLIENT_ID=<...>     # SSO opcional no Coolify
COOLIFY_SSO_AZURE_CLIENT_SECRET=<...>
COOLIFY_SSO_AZURE_TENANT=<...>

4.4 Rodar o bootstrap

# da sua máquina (rsync do repo + roda na VM por SSH):
make deploy                 # bootstrap completo na VM
make deploy STEP=15         # só um step (em janela)

# OU diretamente na VM:
sudo -E make bootstrap

Ordem dos steps: 00 vm-prep · 05 egress (direto ou Squid) · 10 Coolify (+setup+proxy) · 15 re-point infra→ghcr · 20 Coolify config (admin, token, fqdn, SSO) · 30 Gitea · 40 Gitea config (admin/bot/deploy-key) · 50 gate · 55 wildcard (acme-dns) · 60 dns/tls · 70 credenciais.

4.5 DNS — os registros

Base (uma vez): A *.paas → IP (e A coolify, A gitea se não usar wildcard de 1 nível). O step 55 imprime os 3 registros do acme-dns — crie no DNS:

4.6 Emitir o wildcard

O wildcard-sync.timer re-tenta sozinho quando o CNAME propaga. Para validar e depois trocar pra produção:

sudo systemctl start wildcard-sync.service
sudo openssl x509 -in /data/coolify/proxy/certs/wildcard.crt -noout -ext subjectAltName   # DNS:*.paas...
# validado no staging → trocar ACME_CA_SERVER= (vazio) no config.env e re-rodar step 55

4.7 Verificação

• Coolify: https://coolify.paas.atlasren.com → login COOLIFY_ADMIN_EMAIL / senha. (ou http://<IP>:8000)
• Gitea: https://gitea.paas.atlasren.com → gitea_admin / GITEA_ADMIN_PASS.
• Deploy de teste pelo paas_form → app servindo em <slug>-staging.paas.atlasren.com.

5. config.env — todas as variáveis de entrada

O config.env é gitignored. Na VM vive em /opt/paas-devops/config.env (chmod 600). No CI ele viaja dentro do secret PAAS_CONFIG_ENV.

6. Saídas → onde configurar no Odoo (Settings → PaaS)

O step 70 imprime, e o arquivo paas-devops/out/credentials.env guarda, os valores gerados. Copie para Settings → PaaS do apphub (Odoo):

7. Operação do dia a dia

8. Especificidades da VM Azure (vs. a de teste)

Gerado a partir do estado validado em VM real · repos atlasren-partners/paas-devops + paas-form · branch feat/offline-coolify-deploy.