[5ym]

infisical-push-bridge の実行イメージを distroless (chiseled の runtime-deps) にした変更 (danything/infisical-push-bridge#36) を、本番に出すための PR。

• イメージは chart の版で決まる: chart の image.tag は空で、appVersion が使われる。そのため chart を上げないと新しいイメージにならない。
• 0.1.1 から 0.1.38 までの差: 41 コミットあるが、変わったのは Dockerfile・テスト・CI・README・renovate.json だけ。chart とアプリのコードは変わっていない。
• probe: 前と同じ httpGet の /healthz。

🤖 Generated with Claude Code

https://claude.ai/code/session_01QTh6wTyvpp9FAHK1pPe2Rm

[claude]

Claude finished @5ym's task in 19s —— View job

---

レビュー結果

apps/infisical/push-bridge.yaml の targetRevision を 0.1.1 → 0.1.38 に上げる 1 行の変更です。リポジトリ内で確認できる範囲では問題ありません。

確認できたこと

• 変更は targetRevision の 1 行だけです。valuesObject は変わっておらず、image.tag を指定していません。PR 本文のとおり、イメージは chart の appVersion で決まります。chart を上げればイメージも更新されます。
• 参照先は ghcr.io/danything/charts の infisical-push-bridge のままです。自作・公開の chart で、渡している values のキー (infisicalSecret.*) もこの PR では変わっていません。

要確認(このセッションでは確認できませんでした)

• 本文の「0.1.1 から 0.1.38 までで chart とアプリのコードは変わっていない」という主張は、上流リポジトリの比較 (danything/infisical-push-bridge の v0.1.1...v0.1.38) を取得する権限がなく、実際には検証していません。マージ前に、差分が Dockerfile・テスト・CI・README・renovate.json だけであることを確認してください。特に charts/ 配下と Chart.yaml の appVersion が対象です。
• 0.1.38 が ghcr.io に push 済みで、chart とイメージの両方が pull できることも確認してください。未公開だと Argo CD が ComparisonError になり、selfHeal が走っても同期できません。
• distroless (chiseled runtime-deps) ではシェルがありません。本文では probe が httpGet の /healthz で変わらないとあるので exec 型の probe は問題なさそうです。ただし chart 側に exec/sh を使う command、lifecycle、initContainer が無いことも合わせて確認してください。
• イメージが非 root で動く前提なら、securityContext と書き込みが必要なパス (readOnlyRootFilesystem など) が合っているかも見てください。

リスクと戻し方

• 落ちても operator の resyncInterval に戻るだけで、影響は小さい構成です (ファイル冒頭のコメントより)。
• 問題があれば targetRevision を 0.1.1 に戻せば復旧できます。

セキュリティ上の問題、シークレットの混入、テストの不足はありません (設定変更のみ)。