Voraussetzungen

Stellen Sie vor der Installation des Operators sicher, dass Ihre Umgebung die folgenden Anforderungen erfüllt.

Cluster

• Ein Kubernetes-Cluster in Version v1.28 oder neuer. Getestet auf AKS, EKS, GKE, OpenShift sowie auf lokalen Clustern (Kind / Minikube) für die Entwicklung.
• kubectl, konfiguriert gegen den Ziel-Cluster mit cluster-admin-Rechten für die Installation (der Operator installiert CRDs, RBAC und Webhooks).
• Eine Standard-StorageClass mit Unterstützung für dynamisches Provisioning, falls Sie managed-Datenspeicher betreiben möchten (Postgres, ClickHouse, Redis, MongoDB, Meilisearch).
• Ein Ingress-Controller (z. B. ingress-nginx) und DNS, falls Sie öffentliche Endpunkte für das Gateway, die Chat-UI, Langfuse oder die Management-Konsole bereitstellen möchten.

Ressourcen

Der Operator installiert mehrere Upstream-Operatoren und wartet auf diese, von denen einige Admission-Webhooks ausführen. Geben Sie dem Cluster ausreichend Spielraum:

• Der Manager selbst fordert moderate CPU an, profitiert jedoch von ~1Gi Arbeitsspeicher – die im Binary integrierte Helm-Engine und das Chart-Rendering sind speicherhungrig, und die Standard-Limits von Kubebuilder sind für den In-Cluster-Betrieb zu niedrig.
• Jeder managed-Datenspeicher startet seinen eigenen Operator und seine eigenen Pods; dimensionieren Sie die Nodes entsprechend.

Secrets-Backend

SecretsManagement ist erforderlich, wählen Sie daher vor dem Start ein Backend aus:

• External Secrets (ESO) mit einer der folgenden Optionen:
  • Azure Key Vault über Workload Identity (der Produktionsstandard auf AKS) – benötigt ein Federated-Identity-Credential und einen für Workload Identity aktivierten ServiceAccount.
  • Azure Key Vault über einen Service Principal – funktioniert überall, einschließlich Nicht-AKS-Clustern und Kind.
  • HashiCorp Vault, AWS Secrets Manager, GCP Secret Manager oder einen beliebigen anderen ESO-Provider (ein generischer Provider-Passthrough unterstützt sie alle).
• Sealed Secrets – verschlüsselte Manifeste, die im Cluster entschlüsselt werden, ohne externen Speicher.

Die vollständige Matrix finden Sie unter Secrets Management.

Ausgehender Zugriff (oder ein Mirror)

Bei der ersten Verwendung installiert der Operator Upstream-Charts, die im Binary eingebettet sind – Chart-Pulls erfordern daher keinen Netzwerkzugriff. Die Images, auf die diese Charts verweisen, werden jedoch aus öffentlichen Registries bezogen (ghcr.io, quay.io, Docker Hub usw.). Für Air-Gapped-Cluster spiegeln Sie diese Images in Ihre interne Registry und verweisen die Charts über die Value-Overrides des Operators darauf.

Optional: eine Enterprise-Lizenz

Der Operator läuft ohne Lizenz vollständig als die quelloffene Community-Edition. Um Multi-Instance, Mandantenfähigkeit, auto-wiring, SSO/SCIM oder die PII-Guardrail freizuschalten, benötigen Sie ein signiertes Lizenztoken von Navique. Es wird als Secret angewendet, auf das die License-Ressource verweist. Sie erhalten es — als Testversion, per Kauf oder als Download Ihrer bestehenden Lizenz — über das Navique-Kundenportal unter portal.navique.dev; siehe Lizenz verwalten.

Weiter

Fahren Sie mit der Installation fort.