fix(storagesvc): scan all namespaces in archivePruner

DefaultNSResolver().Snapshot() returns only namespaces registered via
AddNamespace(). Storagesvc does not listen to namespace events, so tenant
namespaces (fission-*) are never registered and their Package CRDs are
invisible to the pruner — causing all archives to be treated as orphans
and deleted.

Fix: use metav1.NamespaceAll to list Packages across all namespaces.
Remove unused pkg/utils import.

Deployed as naeel/fission-bundle:v1.23.1

.github/copilot-instructions.md

@@ -0,0 +1,61 @@
+# Правила
+
+## ⛔ ОТВЕЧАТЬ КРАТКО — АБСОЛЮТНОЕ ПРАВИЛО
+- Вопрос → короткий ответ → СТОП.
+- Ничего лишнего.
+- Код — только по запросу.
+
+## ⛔⛔⛔ ВОПРОС = СТОП
+
+**Если в сообщении есть вопрос в ЛЮБОЙ форме** ("так ?", "верно ?", "почему ?", "как ?", "так же ?" и т.д.):
+1. ТОЛЬКО ответить на вопрос
+2. ОСТАНОВИТЬСЯ
+3. ЖДАТЬ следующей команды
+**ЗАПРЕЩЕНО** начинать работу, писать код, запускать команды — без явного "делай".
+
+1. **⛔⛔⛔ АБСОЛЮТНЫЙ ЗАПРЕТ: не трогать и не читать рабочий код с целью подготовки к правке — без ПРЯМОГО указания "делай". Даже чтение файлов перед правкой — СТОП, сначала разрешение.**
+
+2. Файлы редактируются локально:
+   ~/fission-src (текущая рабочая папка)
+
+   После ЛЮБЫХ изменений ОБЯЗАТЕЛЬНО синхронизировать на ВМ командой:
+   rsync -az \
+      -e "ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=10" \
+      ~/fission-src/ \
+      naeel@5.172.178.213:~/terra/fission-src/
+
+
+3. Git (add/commit/push) выполнять ЛОКАЛЬНО в ~/fission-src
+4. Docker, kubectl и другие инфраструктурные команды — только через SSH на ВМ:
+   ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=10 naeel@5.172.178.213 'КОМАНДА'
+
+   - не выполнять инфраструктурные команды локально
+   - не открывать интерактивные сессии
+   - не делать цепочки без необходимости
+
+4. Перед запуском команд ОБЯЗАТЕЛЬНО убедиться, что синхронизация выполнена.
+
+5. ЗАПРЕЩЕНО:
+   - откатывать код
+   - менять версии
+   - ломать рабочее состояние
+
+6. После каждого исправления:
+   - git add/commit ЛОКАЛЬНО (в ~/fission-src)
+   - затем синхронизация (rsync) на ВМ
+
+## ⛔⛔⛔ ДЕЛАТЬ ТОЛЬКО ЧТО ПРЯМО ПРИКАЗАНО
+
+**АБСОЛЮТНЫЙ ЗАПРЕТ на додумывание:**
+- Не расширять масштаб работы
+- Не выполнять "логичные следующие шаги"
+- Не инициировать дополнительные операции
+- Не делать ничего кроме того что сказано
+
+**Пример (2026-05-01):**
+- Приказано: "собери"
+- Сделано: ✓ собрал образы v1.3.17 и v0.1.2
+- СТОП — жду команды дальше
+- **ЗАПРЕЩЕНО:** обновлять манифесты, заливать образы, применять на кластер, запускать тесты
+
+**Исключение:** только если приказ явно включает цепочку ("собери И залей И тесты")

.github/dependabot.yml

@@ -0,0 +1,62 @@
+version: 2
+updates:
+  - package-ecosystem: github-actions
+    directory: /
+    schedule:
+      interval: weekly
+    open-pull-requests-limit: 5
+    groups:
+      github-actions:
+        patterns:
+          - "*"
+
+  - package-ecosystem: docker
+    directories:
+      - /cmd/builder
+      - /cmd/fetcher
+      - /cmd/fission-bundle
+      - /cmd/preupgradechecks
+      - /cmd/reporter
+    schedule:
+      interval: weekly
+    open-pull-requests-limit: 5
+    exclude-paths:
+      - "test/**"
+    groups:
+      docker-images:
+        patterns:
+          - "*"
+
+  - package-ecosystem: gomod
+    directory: /
+    schedule:
+      interval: weekly
+    open-pull-requests-limit: 5
+    exclude-paths:
+      - "test/**"
+    groups:
+      go-dependencies:
+        patterns:
+          - "*"
+
+  - package-ecosystem: helm
+    directory: /charts/fission-all
+    schedule:
+      interval: weekly
+    open-pull-requests-limit: 5
+    groups:
+      helm-charts:
+        patterns:
+          - "*"
+
+  - package-ecosystem: npm
+    directory: /
+    schedule:
+      interval: weekly
+    open-pull-requests-limit: 5
+    exclude-paths:
+      - "test/**"
+    groups:
+      npm-dependencies:
+        patterns:
+          - "*"

.github/pravila.md

@@ -0,0 +1,100 @@
+# Правила работы агента
+
+## ⛔⛔⛔ DOCKER — ОБЯЗАТЕЛЬНЫЙ ПОРЯДОК ПЕРЕД КАЖДЫМ BUILD
+
+1. УВЕЛИЧИТЬ ТЕГ в `console/deploy/console.yaml` (vX.Y.Z → vX.Y.Z+1)
+2. rsync на ВМ
+3. ПРОВЕРИТЬ что файлы на ВМ новые (grep ключевой строки)
+4. docker build с НОВЫМ тегом
+5. docker push с НОВЫМ тегом
+6. kubectl apply (не rollout restart — apply подтягивает новый тег)
+
+**НИКОГДА не делать `docker build` со старым тегом — под не перетянет образ (imagePullPolicy: IfNotPresent)**
+
+## Файловая система (актуально)
+
+1. Все файлы редактируются локально: `~/fission-src` (текущая рабочая папка)
+2. После любых изменений — обязательно rsync на ВМ:
+   rsync -az \
+     -e "ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=10" \
+     ~/fission-src/ \
+     naeel@5.172.178.213:~/terra/fission-src/
+
+3. Git (add/commit/push) выполнять ЛОКАЛЬНО в ~/fission-src
+4. Docker, kubectl и другие инфраструктурные команды — только через SSH на ВМ
+5. Перед запуском любой команды на ВМ обязательно убедиться, что синхронизация (rsync) выполнена
+6. SCP, sshfs, remote_dev и маунты больше НЕ используются
+7. Только rsync для синхронизации
+
+Пример:
+1. Редактируешь локально (~/fission-src)
+2. rsync на ВМ
+3. Выполняешь команды через SSH на ВМ
+
+## SSH
+
+Все команды — только через SSH на ВМ. Локально — только читать и редактировать файлы.
+
+```bash
+ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=10 naeel@5.172.178.213 'КОМАНДА'
+```
+
+Запрещено локально: `go`, `docker`, `kubectl`, `helm`, `terraform`, `curl/wget`, `git push/pull`, любые скрипты проекта.
+
+## Документация
+
+- `doc/thinking/` — лог рассуждений агента (обязательно)
+- `doc/progress.md` — трекер задач
+- Старые файлы `doc/` не перезаписывать — новое в новых файлах с датой
+
+## Git
+
+- Git — ТОЛЬКО ЛОКАЛЬНО в `~/fission-src`. НИКОГДА через SSH на VM.
+- Разрешены ТОЛЬКО две операции: `git commit` и `git push`.
+- ЗАПРЕЩЕНО: git pull, git fetch, git rebase, git merge, git reset, git stash, git checkout — что угодно кроме commit и push.
+- Если push отклонён — СТОП, доложить пользователю. Не лезть в pull/merge/rebase самостоятельно.
+
+Версионирование тегами: `vMAJOR.MINOR.PATCH`
+- Patch — любое изменение кода
+- Minor — новая фича / компонент
+- Major — breaking change
+
+```bash
+git tag vX.Y.Z && git push origin vX.Y.Z
+```
+
+## ⛔ ТЕРМИНАЛЬНЫЙ БУФЕР — НИКОГДА НЕ ЧИТАТЬ СТАРЫЙ
+
+**АБСОЛЮТНОЕ ПРАВИЛО:**
+- get_terminal_output из старых сессий — МУСОР. Там старые прогоны.
+- Всегда запускать новую команду через SSH и читать её вывод напрямую.
+- НИКОГДА не читать буфер терминала из предыдущей сессии как актуальные данные.
+- Актуальный результат — только из команды, которая была запущена СЕЙЧАС.
+
+## ⛔ ДОКУМЕНТАЦИЯ ТЕСТ-ПРОГОНОВ — В РЕАЛЬНОМ ВРЕМЕНИ
+
+**Правила:**
+1. Перед запуском `run_all.sh` — создать файл `test-results/YYYY-MM-DD_HH-MM.log` и записать в него метку времени и что запускается.
+2. Запускать `run_all.sh 2>&1 | tee ~/terra/fission-src/test-results/YYYY-MM-DD_HH-MM.log` — вывод пишется сразу в файл и отображается в терминале.
+3. После завершения — rsync лога локально. Лог остаётся как документация.
+4. Папка `test-results/` в репозитории — `.gitignore` не добавлять, логи коммитить.
+
+**Формат запуска:**
+```bash
+LOG="test-results/$(date +%Y-%m-%d_%H-%M).log"
+ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no naeel@5.172.178.213 \
+  "bash ~/terra/fission-src/scripts/run_all.sh 2>&1 | tee ~/terra/fission-src/${LOG}"
+rsync -az -e "ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no" \
+  naeel@5.172.178.213:~/terra/fission-src/test-results/ ~/fission-src/test-results/
+```
+
+**Никогда не разбираться с результатами по памяти / буферу / чату. Только лог.**
+
+## Поведение агента
+
+- **⛔⛔⛔ АБСОЛЮТНЫЙ ЗАПРЕТ: не читать и не трогать код с целью подготовки к правке — без прямого "делай". Даже чтение файлов перед правкой — СТОП, сначала разрешение.**
+- Не трогать рабочий код без явного указания
+- Не делать НИЧЕГО сверх того, о чём явно приказали — ни git-команд, ни rebase, ни дополнительных шагов
+- Если для продолжения нужен выбор — СПРОСИТЬ разрешения, не делать самостоятельно
+- Деструктивные операции (`kubectl delete`, `rm -rf`, `terraform destroy` и др.) — только после явного подтверждения с указанием конкретных объектов
+- Отвечать кратко, без вступлений, извинений, благодарностей и прочей воды

.github/workflows/codeql.yaml

@@ -4,39 +4,47 @@ on:
   push:
     branches:
       - main
-    paths:
-      - '**.go'
-      - go.mod
-      - go.sum
+      - '!dependabot/**'
   pull_request:
     branches:
       - main
-    paths:
-      - '**.go'
-      - go.mod
-      - go.sum
   schedule:
     - cron: "0 0 * * 0"
-  workflow_dispatch:
+
+permissions:
+  contents: read
+
+concurrency:
+  group: fission-codeql-${{ github.ref }}
+  cancel-in-progress: true
 
 jobs:
   CodeQL-Build:
-    runs-on: ubuntu-latest
+    permissions:
+      actions: read  # for github/codeql-action/init to get workflow details
+      contents: read  # for actions/checkout to fetch code
+      security-events: write  # for github/codeql-action/analyze to upload SARIF results
+    runs-on: ubuntu-24.04
     if: ${{ !contains(github.event.pull_request.labels.*.name, 'skip-ci') }}
     steps:
+      - name: Harden Runner
+        uses: step-security/harden-runner@20cf305ff2072d973412fa9b1e3a4f227bda3c76 # v2.14.0
+        with:
+          egress-policy: audit
+
       - name: Check out code
-        uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11 # v4.1.1
+        uses: actions/checkout@8e8c483db84b4bee98b60c0593521ed34d9990e8 # v6.0.1
 
       - name: setup go
-        uses: actions/setup-go@93397bea11091df50f3d7e59dc26a7711a8bcfbe # v4.1.0
+        uses: actions/setup-go@4dc6199c7b1a012772edbd06daecab0f50c9053c # v6.1.0
         with:
           go-version-file: "go.mod"
           cache: true
 
       - name: Initialize CodeQL
-        uses: github/codeql-action/init@66b90a5db151a8042fa97405c6cf843bbe433f7b # v2.22.7
+        uses: github/codeql-action/init@1b168cd39490f61582a9beae412bb7057a6b2c4e # v4.31.8
         with:
           languages: go
 
       - name: Perform CodeQL Analysis
-        uses: github/codeql-action/analyze@66b90a5db151a8042fa97405c6cf843bbe433f7b # v2.22.7
+        uses: github/codeql-action/analyze@1b168cd39490f61582a9beae412bb7057a6b2c4e # v4.31.8

.github/workflows/dependency-review.yml

@@ -0,0 +1,31 @@
+# Dependency Review Action
+#
+# This Action will scan dependency manifest files that change as part of a Pull Request,
+# surfacing known-vulnerable versions of the packages declared or updated in the PR.
+# Once installed, if the workflow run is marked as required,
+# PRs introducing known-vulnerable packages will be blocked from merging.
+#
+# Source repository: https://github.com/actions/dependency-review-action
+name: 'Dependency Review'
+on: [pull_request]
+
+permissions:
+  contents: read
+
+concurrency:
+  group: fission-dependency-review-${{ github.ref }}
+  cancel-in-progress: true
+
+jobs:
+  dependency-review:
+    runs-on: ubuntu-24.04
+    steps:
+      - name: Harden Runner
+        uses: step-security/harden-runner@20cf305ff2072d973412fa9b1e3a4f227bda3c76 # v2.14.0
+        with:
+          egress-policy: audit
+
+      - name: 'Checkout Repository'
+        uses: actions/checkout@8e8c483db84b4bee98b60c0593521ed34d9990e8 # v6.0.1
+      - name: 'Dependency Review'
+        uses: actions/dependency-review-action@3c4e3dcb1aa7874d2c16be7d79418e9b7efd6261 # v4.8.2

.github/workflows/lint-dashboards.yaml

@@ -11,25 +11,27 @@ on:
       - main
     paths:
       - 'charts/fission-all/dashboards/**.json'
-  workflow_dispatch:
+
+permissions:
+  contents: read
 
 jobs:
   lint-dashboards:
-    runs-on: ubuntu-latest
+    runs-on: ubuntu-24.04
     if: ${{ !contains(github.event.pull_request.labels.*.name, 'skip-ci') }}
     steps:
+      - name: Harden Runner
+        uses: step-security/harden-runner@20cf305ff2072d973412fa9b1e3a4f227bda3c76 # v2.14.0
+        with:
+          egress-policy: audit
+
       - name: Check out code
-        uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11 # v4.1.1
+        uses: actions/checkout@8e8c483db84b4bee98b60c0593521ed34d9990e8 # v6.0.1
 
       - name: Set up Go
-        uses: actions/setup-go@93397bea11091df50f3d7e59dc26a7711a8bcfbe # v4.1.0
+        uses: actions/setup-go@4dc6199c7b1a012772edbd06daecab0f50c9053c # v6.1.0
         with:
           go-version-file: "go.mod"
 
-      - name: Install dashboard linter
-        run: |
-          go get github.com/grafana/dashboard-linter
-          go install github.com/grafana/dashboard-linter
-
       - name: Run dashboard linter
         run: ./hack/lint-dashboards.sh

.github/workflows/lint.yaml

@@ -15,22 +15,36 @@ on:
       - "**.go"
       - go.mod
       - go.sum
-  workflow_dispatch:
 
 env:
-  GOLANGCI_LINT_VERSION: v1.57.0
+  GOLANGCI_LINT_VERSION: v2.6.2
   GOLANGCI_LINT_TIMEOUT: 5m
 
+permissions:
+  contents: read
+
+concurrency:
+  group: fission-lint-${{ github.ref }}
+  cancel-in-progress: true
+
 jobs:
   lint:
-    runs-on: ubuntu-latest
+    permissions:
+      contents: read  # for actions/checkout to fetch code
+      pull-requests: read  # for golangci/golangci-lint-action to fetch pull requests
+    runs-on: ubuntu-24.04
     # if: ${{ !contains(github.event.pull_request.labels.*.name, 'skip-ci') }}
     steps:
+      - name: Harden Runner
+        uses: step-security/harden-runner@20cf305ff2072d973412fa9b1e3a4f227bda3c76 # v2.14.0
+        with:
+          egress-policy: audit
+
       - name: Check out code
-        uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11 # v4.1.1
+        uses: actions/checkout@8e8c483db84b4bee98b60c0593521ed34d9990e8 # v6.0.1
 
       - name: Set up Go
-        uses: actions/setup-go@93397bea11091df50f3d7e59dc26a7711a8bcfbe # v4.1.0
+        uses: actions/setup-go@4dc6199c7b1a012772edbd06daecab0f50c9053c # v6.1.0
         with:
           go-version-file: "go.mod"
           cache: true
@@ -41,7 +55,7 @@ jobs:
           go mod download
 
       - name: Run golangci-lint
-        uses: golangci/golangci-lint-action@3a919529898de77ec3da873e3063ca4b10e7f5cc # v3.7.0
+        uses: golangci/golangci-lint-action@1e7e51e771db61008b38414a730f564565cf7c20 # v9.2.0
         with:
           skip-cache: true
           version: ${{ env.GOLANGCI_LINT_VERSION }}
@@ -62,8 +76,8 @@ jobs:
         run: ./hack/runtests.sh
 
       - name: Upload Coverage report to CodeCov
-        uses: codecov/codecov-action@eaaf4bedf32dbdc6b720b63067d99c4d77d6047d # v3.1.4
+        uses: codecov/codecov-action@671740ac38dd9b0130fbe1cec585b89eea48d3de # v5.5.2
         with:
-          token: ${{secrets.CODECOV_TOKEN}}
+          token: ${{ secrets.CODECOV_TOKEN }}
           flags: unittests
           file: ./coverage.txt

.github/workflows/push_pr.yaml

@@ -4,6 +4,7 @@ on:
   push:
     branches:
       - main
+      - '!dependabot/**'
     paths:
       - "**.go"
       - "charts/**"
@@ -19,12 +20,19 @@ on:
       - "test/**"
       - go.mod
       - go.sum
-  workflow_dispatch:
 
 env:
-  HELM_VERSION: v3.13.0
-  KIND_VERSION: v0.23.0
+  HELM_VERSION: v4.0.1
+  KIND_VERSION: v0.30.0
   KIND_CLUSTER_NAME: kind
+  SKAFFOLD_VERSION: v2.17.0
+
+permissions:
+  contents: read
+
+concurrency:
+  group: fission-ci-${{ github.ref }}
+  cancel-in-progress: true
 
 jobs:
   # Job to run change detection
@@ -34,31 +42,36 @@ jobs:
     strategy:
       fail-fast: false
       matrix:
-        kindversion: ["v1.25.16", "v1.27.13", "v1.30.0"]
-        os: [ubuntu-latest]
+        kindversion: ["v1.28.15", "v1.32.8", "v1.34.0"]
+        os: [ubuntu-24.04]
     steps:
+      - name: Harden Runner
+        uses: step-security/harden-runner@20cf305ff2072d973412fa9b1e3a4f227bda3c76 # v2.14.0
+        with:
+          egress-policy: audit
+
       - name: Checkout sources
-        uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11 # v4.1.1
+        uses: actions/checkout@8e8c483db84b4bee98b60c0593521ed34d9990e8 # v6.0.1
 
       - name: setup go
-        uses: actions/setup-go@93397bea11091df50f3d7e59dc26a7711a8bcfbe # v4.1.0
+        uses: actions/setup-go@4dc6199c7b1a012772edbd06daecab0f50c9053c # v6.1.0
         with:
           go-version-file: "go.mod"
           cache: true
 
       - name: Checkout sources
-        uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11 # v4.1.1
+        uses: actions/checkout@8e8c483db84b4bee98b60c0593521ed34d9990e8 # v6.0.1
         with:
           repository: fission/examples
           path: examples
 
       - name: Helm installation
-        uses: Azure/setup-helm@5119fcb9089d432beecbf79bb2c7915207344b78 # v3.5
+        uses: Azure/setup-helm@1a275c3b69536ee54be43f2070a358922e12c8d4 # v4.3.1
         with:
           version: ${{ env.HELM_VERSION }}
 
       - name: Kind Cluster
-        uses: helm/kind-action@0025e74a8c7512023d06dc019c617aa3cf561fde # v1.10.0
+        uses: helm/kind-action@92086f6be054225fa813e0a4b13787fc9088faab # v1.13.0
         with:
           node_image: kindest/node:${{ matrix.kindversion }}
           version: ${{ env.KIND_VERSION }}
@@ -79,15 +92,15 @@ jobs:
 
       - name: Install Skaffold
         run: |
-          curl -Lo skaffold https://storage.googleapis.com/skaffold/releases/v2.0.3/skaffold-linux-amd64
+          curl -Lo skaffold https://storage.googleapis.com/skaffold/releases/${{ env.SKAFFOLD_VERSION }}/skaffold-linux-amd64
           sudo install skaffold /usr/local/bin/
           skaffold version
 
       - name: Install GoReleaser
-        uses: goreleaser/goreleaser-action@7ec5c2b0c6cdda6e8bbb49444bc797dd33d74dd8 # v5.0.0
+        uses: goreleaser/goreleaser-action@e435ccd777264be153ace6237001ef4d979d3a7a # v6.4.0
         with:
           install-only: true
-          version: "~> v1"
+          version: "~> v2"
 
       - name: Setup Prometheus Stack
         run: |
@@ -145,7 +158,7 @@ jobs:
       - name: Archive fission dump
         timeout-minutes: 10
         if: ${{ failure() || cancelled() }}
-        uses: actions/upload-artifact@a8a3f3ad30e3422c9c7b888a15615d19a852ae32 # v3.1.3
+        uses: actions/upload-artifact@b7c566a772e6b6bfb58ed0dc250532a479d7789f # v6.0.0
         with:
           name: fission-dump-${{ github.run_id }}-${{ matrix.kindversion }}
           path: fission-dump/*.zip
@@ -154,7 +167,7 @@ jobs:
       - name: Archive prometheus dump
         timeout-minutes: 10
         if: ${{ always() }}
-        uses: actions/upload-artifact@a8a3f3ad30e3422c9c7b888a15615d19a852ae32 # v3.1.3
+        uses: actions/upload-artifact@b7c566a772e6b6bfb58ed0dc250532a479d7789f # v6.0.0
         with:
           name: prom-dump-${{ github.run_id }}-${{ matrix.kindversion }}
           path: /tmp/prometheus/*
@@ -163,7 +176,7 @@ jobs:
       - name: Archive kind logs
         timeout-minutes: 10
         if: ${{ always() }}
-        uses: actions/upload-artifact@a8a3f3ad30e3422c9c7b888a15615d19a852ae32 # v3.1.3
+        uses: actions/upload-artifact@b7c566a772e6b6bfb58ed0dc250532a479d7789f # v6.0.0
         with:
           name: kind-logs-${{ github.run_id }}-${{ matrix.kindversion }}
           path: kind-logs/*
@@ -177,31 +190,36 @@ jobs:
     strategy:
       fail-fast: false
       matrix:
-        kindversion: ["v1.19.16"]
-        os: [ubuntu-latest]
+        kindversion: ["v1.31.12"]
+        os: [ubuntu-24.04]
     steps:
+      - name: Harden Runner
+        uses: step-security/harden-runner@20cf305ff2072d973412fa9b1e3a4f227bda3c76 # v2.14.0
+        with:
+          egress-policy: audit
+
       - name: Checkout sources
-        uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11 # v4.1.1
+        uses: actions/checkout@8e8c483db84b4bee98b60c0593521ed34d9990e8 # v6.0.1
 
       - name: setup go
-        uses: actions/setup-go@93397bea11091df50f3d7e59dc26a7711a8bcfbe # v4.1.0
+        uses: actions/setup-go@4dc6199c7b1a012772edbd06daecab0f50c9053c # v6.1.0
         with:
           go-version-file: "go.mod"
           cache: true
 
       - name: Checkout sources
-        uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11 # v4.1.1
+        uses: actions/checkout@8e8c483db84b4bee98b60c0593521ed34d9990e8 # v6.0.1
         with:
           repository: fission/examples
           path: examples
 
       - name: Helm installation
-        uses: Azure/setup-helm@5119fcb9089d432beecbf79bb2c7915207344b78 # v3.5
+        uses: Azure/setup-helm@1a275c3b69536ee54be43f2070a358922e12c8d4 # v4.3.1
         with:
           version: ${{ env.HELM_VERSION }}
 
       - name: Kind Cluster
-        uses: helm/kind-action@0025e74a8c7512023d06dc019c617aa3cf561fde # v1.10.0
+        uses: helm/kind-action@92086f6be054225fa813e0a4b13787fc9088faab # v1.13.0
         with:
           node_image: kindest/node:${{ matrix.kindversion }}
           version: ${{ env.KIND_VERSION }}
@@ -222,15 +240,15 @@ jobs:
 
       - name: Install Skaffold
         run: |
-          curl -Lo skaffold https://storage.googleapis.com/skaffold/releases/v2.0.3/skaffold-linux-amd64
+          curl -Lo skaffold https://storage.googleapis.com/skaffold/releases/${{ env.SKAFFOLD_VERSION }}/skaffold-linux-amd64
           sudo install skaffold /usr/local/bin/
           skaffold version
 
       - name: Install GoReleaser
-        uses: goreleaser/goreleaser-action@7ec5c2b0c6cdda6e8bbb49444bc797dd33d74dd8 # v5.0.0
+        uses: goreleaser/goreleaser-action@e435ccd777264be153ace6237001ef4d979d3a7a # v6.4.0
         with:
           install-only: true
-          version: "~> v1"
+          version: "~> v2"
 
       - name: Setup Prometheus Stack
         run: |
@@ -291,26 +309,26 @@ jobs:
       - name: Archive fission dump
         timeout-minutes: 10
         if: ${{ failure() || cancelled() }}
-        uses: actions/upload-artifact@a8a3f3ad30e3422c9c7b888a15615d19a852ae32 # v3.1.3
+        uses: actions/upload-artifact@b7c566a772e6b6bfb58ed0dc250532a479d7789f # v6.0.0
         with:
-          name: fission-dump-${{ github.run_id }}-${{ github.job_id }}-${{ matrix.kindversion }}
+          name: fission-dump-${{ github.run_id }}-${{ matrix.kindversion }}
           path: fission-dump/*.zip
           retention-days: 5
 
       - name: Archive prometheus dump
         timeout-minutes: 10
         if: ${{ always() }}
-        uses: actions/upload-artifact@a8a3f3ad30e3422c9c7b888a15615d19a852ae32 # v3.1.3
+        uses: actions/upload-artifact@b7c566a772e6b6bfb58ed0dc250532a479d7789f # v6.0.0
         with:
-          name: prom-dump-${{ github.run_id }}-${{ github.job_id }}-${{ matrix.kindversion }}
+          name: prom-dump-${{ github.run_id }}-${{ matrix.kindversion }}
           path: /tmp/prometheus/*
           retention-days: 5
 
       - name: Archive kind logs
         timeout-minutes: 10
         if: ${{ always() }}
-        uses: actions/upload-artifact@a8a3f3ad30e3422c9c7b888a15615d19a852ae32 # v3.1.3
+        uses: actions/upload-artifact@b7c566a772e6b6bfb58ed0dc250532a479d7789f # v6.0.0
         with:
-          name: kind-logs-${{ github.run_id }}-${{ github.job_id }}-${{ matrix.kindversion }}
+          name: kind-logs-${{ github.run_id }}-${{ matrix.kindversion }}
           path: kind-logs/*
           retention-days: 5

.github/workflows/release.yaml

@@ -6,37 +6,52 @@ on:
       - v2.**
 
 env:
-  KIND_VERSION: v0.23.0
-  KIND_NODE_IMAGE_TAG: v1.25.16
+  KIND_VERSION: v0.30.0
+  KIND_NODE_IMAGE_TAG: v1.28.15
   KIND_CLUSTER_NAME: kind
+  COSIGN_VERSION: v3.0.3
 
 jobs:
   create-draft-release:
-    runs-on: ubuntu-latest
+    name: Create Draft Release with Goreleaser
+    outputs:
+      ghcr_images: ${{ steps.image.outputs.ghcr_images }}
+      version: ${{ steps.get_version.outputs.VERSION }}
+    permissions:
+      contents: write # for goreleaser/goreleaser-action to create a GitHub release
+      packages: write # for goreleaser/goreleaser-action to upload artifacts to GitHub Packages
+      id-token: write # for cosign to sign the image and binary
+      attestations: write # for goreleaser/goreleaser-action to upload attestations
+    runs-on: ubuntu-24.04
     steps:
+      - name: Harden Runner
+        uses: step-security/harden-runner@20cf305ff2072d973412fa9b1e3a4f227bda3c76 # v2.14.0
+        with:
+          egress-policy: audit
+
       - name: Check out code
-        uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11 # v4.1.1
+        uses: actions/checkout@8e8c483db84b4bee98b60c0593521ed34d9990e8 # v6.0.1
         with:
           fetch-depth: 0
 
       - name: Setup go
-        uses: actions/setup-go@93397bea11091df50f3d7e59dc26a7711a8bcfbe # v4.1.0
+        uses: actions/setup-go@4dc6199c7b1a012772edbd06daecab0f50c9053c # v6.1.0
         with:
           go-version-file: "go.mod"
           cache: true
 
       - name: Get the version
         id: get_version
-        run: echo ::set-output name=VERSION::${GITHUB_REF/refs\/tags\//}
+        run: echo "VERSION=${GITHUB_REF/refs\/tags\//}" >> $GITHUB_OUTPUT
 
       - name: Install GoReleaser
-        uses: goreleaser/goreleaser-action@7ec5c2b0c6cdda6e8bbb49444bc797dd33d74dd8 # v5.0.0
+        uses: goreleaser/goreleaser-action@e435ccd777264be153ace6237001ef4d979d3a7a # v6.4.0
         with:
           install-only: true
-          version: "~> v1"
+          version: "~> v2"
 
-      - name: Kind Clutser
-        uses: helm/kind-action@0025e74a8c7512023d06dc019c617aa3cf561fde # v1.10.0
+      - name: Kind Cluster
+        uses: helm/kind-action@92086f6be054225fa813e0a4b13787fc9088faab # v1.13.0
         with:
           node_image: kindest/node:${{ env.KIND_NODE_IMAGE_TAG }}
           version: ${{ env.KIND_VERSION }}
@@ -44,34 +59,27 @@ jobs:
           cluster_name: ${{ env.KIND_CLUSTER_NAME }}
 
       - name: Set up QEMU
-        uses: docker/setup-qemu-action@68827325e0b33c7199eb31dd4e31fbe9023e06e3 # v3.0.0
+        uses: docker/setup-qemu-action@c7c53464625b32c7a7e944ae62b3e17d2b600130 # v3.7.0
+
+      - name: Set up Docker Buildx
+        uses: docker/setup-buildx-action@e468171a9de216ec08956ac3ada2f0791b6bd435 # v3.11.1
 
       - name: Login to ghcr.io
-        uses: docker/login-action@343f7c4344506bcbf9b4de18042ae17996df046d # v3.0.0
+        uses: docker/login-action@5e57cd118135c172c3672efd75eb46360885c0ef # v3.6.0
         with:
           registry: ghcr.io
           username: ${{ github.repository_owner }}
           password: ${{ secrets.GITHUB_TOKEN }}
 
-      - name: Login to docker.io
-        uses: docker/login-action@343f7c4344506bcbf9b4de18042ae17996df046d # v3.0.0
-        with:
-          username: ${{ secrets.DOCKERHUB_USERNAME }}
-          password: ${{ secrets.DOCKERHUB_TOKEN }}
-
       - name: Install Cosign
-        uses: sigstore/cosign-installer@1fc5bd396d372bee37d608f955b336615edf79c8 # v3.2.0
+        uses: sigstore/cosign-installer@faadad0cce49287aee09b3a48701e75088a2c6ad # v4.0.0
         with:
-          cosign-release: "v2.2.1"
+          cosign-release: ${{ env.COSIGN_VERSION }}
 
       - name: Check cosign install!
         run: cosign version
 
-      - name: Write cosign signing key to disk
-        run: 'echo "$KEY" > cosign.key'
-        shell: bash
-        env:
-          KEY: ${{ secrets.COSIGN_PRIVATE_KEY }}
+      - uses: anchore/sbom-action/download-syft@43a17d6e7add2b5535efe4dcae9952337c479a93 #v0.20.11
 
       - name: Generate yaml for manifest, Minikube and Openshift installation
         run: ${GITHUB_WORKSPACE}/hack/build-yaml.sh $VERSION
@@ -80,14 +88,115 @@ jobs:
         shell: bash
 
       - name: Run GoReleaser
-        uses: goreleaser/goreleaser-action@7ec5c2b0c6cdda6e8bbb49444bc797dd33d74dd8 # v5.0.0
+        id: goreleaser
+        uses: goreleaser/goreleaser-action@e435ccd777264be153ace6237001ef4d979d3a7a # v6.4.0
         with:
-          version: "~> v1"
+          version: "~> v2"
           args: release
         env:
-          COSIGN_PWD: ${{ secrets.COSIGN_PWD }}
           GORELEASER_CURRENT_TAG: ${{ steps.get_version.outputs.VERSION }}
           GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
           DOCKER_CLI_EXPERIMENTAL: "enabled"
 
-    #ToDo - Verify and upload releases
+      # Attest binary artifacts
+      # https://goreleaser.com/customization/attestations/
+      - name: Attest binary artifacts
+        uses: actions/attest-build-provenance@977bb373ede98d70efdf65b84cb5f73e068dcc2a # v3.0.0
+        with:
+          subject-checksums: ./dist/checksums.txt
+
+      - name: Image digest
+        id: image
+        env:
+          ARTIFACTS: "${{ steps.goreleaser.outputs.artifacts }}"
+        run: |
+          set -euo pipefail
+          image_and_digest=$(echo "$ARTIFACTS" | jq -r '.[] | select (.type=="Docker Image") | {name, "digest": (.extra.Digest // .extra.Checksum)} | select(.digest) | {name} + {digest} | join("@") | sub("^sha256:";"")' | grep -v latest)
+          ghcr_images=$(echo "${image_and_digest}" | grep ghcr.io | jq -R -s -c '
+            split("\n")
+            | map(select(. != ""))
+            | map(
+                split("@")
+                | {
+                    "image": .[0] | split(":")[0],
+                    "checksum": .[1]
+                  }
+              )')
+          echo "ghcr_images=$ghcr_images" >> "$GITHUB_OUTPUT"
+
+  image-sbom-provenance-ghcr:
+    name: Create SBOM & Provenance for container images
+    # Goreleaser does not support generating SBOM for container images.
+    needs: [create-draft-release]
+    runs-on: ubuntu-24.04
+    strategy:
+      matrix:
+        include: ${{ fromJson(needs.create-draft-release.outputs.ghcr_images) }}
+    permissions:
+      actions: write
+      id-token: write
+      packages: write
+      attestations: write
+    steps:
+      - name: Checkout code
+        uses: actions/checkout@8e8c483db84b4bee98b60c0593521ed34d9990e8 # v6.0.1
+        with:
+          persist-credentials: false
+      - name: Login to GitHub Container Registry
+        uses: docker/login-action@5e57cd118135c172c3672efd75eb46360885c0ef # v3.6.0
+        with:
+          registry: ghcr.io
+          username: ${{ github.actor }}
+          password: ${{ secrets.GITHUB_TOKEN }}
+      - name: Run Trivy in fs mode to generate SBOM
+        uses: aquasecurity/trivy-action@b6643a29fecd7f34b3597bc6acb0a98b03d33ff8 # v0.33.1
+        with:
+          scan-type: "fs"
+          format: "spdx-json"
+          output: "sbom.spdx.json"
+      - name: Attest SBOM for image
+        uses: actions/attest-sbom@4651f806c01d8637787e274ac3bdf724ef169f34 # v3.0.0
+        with:
+          sbom-path: sbom.spdx.json
+          subject-name: ${{ fromJson(toJson(matrix)).image }}
+          subject-digest: ${{ fromJson(toJson(matrix)).checksum }}
+          push-to-registry: true
+      - name: Attest provenance for image
+        uses: actions/attest-build-provenance@977bb373ede98d70efdf65b84cb5f73e068dcc2a # v3.0.0
+        with:
+          subject-name: ${{ fromJson(toJson(matrix)).image }}
+          subject-digest: ${{ fromJson(toJson(matrix)).checksum }}
+          push-to-registry: true
+
+  image-provenance-verification-with-cosign:
+    name: Verify Image Provenance
+    needs: [create-draft-release, image-sbom-provenance-ghcr]
+    strategy:
+      matrix:
+        include: ${{ fromJson(needs.create-draft-release.outputs.ghcr_images) }}
+    runs-on: ubuntu-24.04
+    permissions: read-all
+    steps:
+      - name: Login
+        uses: docker/login-action@5e57cd118135c172c3672efd75eb46360885c0ef # v3.6.0
+        with:
+          registry: ghcr.io
+          username: ${{ github.actor }}
+          password: ${{ secrets.GITHUB_TOKEN }}
+
+      - name: Install Cosign
+        uses: sigstore/cosign-installer@faadad0cce49287aee09b3a48701e75088a2c6ad # v4.0.0
+        with:
+          cosign-release: ${{ env.COSIGN_VERSION }}
+
+      - name: Verify image
+        env:
+          IMAGE: ${{ fromJson(toJson(matrix)).image }}
+          DIGEST: ${{ fromJson(toJson(matrix)).checksum }}
+        run: |
+          echo "Verifying $IMAGE@$DIGEST"
+          cosign verify-attestation \
+             --type https://slsa.dev/provenance/v1 \
+             --certificate-oidc-issuer https://token.actions.githubusercontent.com \
+             --certificate-identity-regexp '^https://github.com/fission/fission/.github/workflows/release.yaml@refs/tags/v[0-9]+\.[0-9]+\.[0-9]+(?:-rc[0-9]+)?$' \
+             $IMAGE@$DIGEST

.github/workflows/scorecard.yml

@@ -0,0 +1,78 @@
+# This workflow uses actions that are not certified by GitHub. They are provided
+# by a third-party and are governed by separate terms of service, privacy
+# policy, and support documentation.
+
+name: Scorecard supply-chain security
+on:
+  # For Branch-Protection check. Only the default branch is supported. See
+  # https://github.com/ossf/scorecard/blob/main/docs/checks.md#branch-protection
+  branch_protection_rule:
+  # To guarantee Maintained check is occasionally updated. See
+  # https://github.com/ossf/scorecard/blob/main/docs/checks.md#maintained
+  schedule:
+    - cron: '41 18 * * 0'
+  push:
+    branches: [ "main" ]
+
+# Declare default permissions as read only.
+permissions: read-all
+
+jobs:
+  analysis:
+    name: Scorecard analysis
+    runs-on: ubuntu-24.04
+    permissions:
+      # Needed to upload the results to code-scanning dashboard.
+      security-events: write
+      # Needed to publish results and get a badge (see publish_results below).
+      id-token: write
+      # Uncomment the permissions below if installing in a private repository.
+      # contents: read
+      # actions: read
+
+    steps:
+      - name: Harden Runner
+        uses: step-security/harden-runner@20cf305ff2072d973412fa9b1e3a4f227bda3c76 # v2.14.0
+        with:
+          egress-policy: audit
+
+      - name: "Checkout code"
+        uses: actions/checkout@8e8c483db84b4bee98b60c0593521ed34d9990e8 # v6.0.1
+        with:
+          persist-credentials: false
+
+      - name: "Run analysis"
+        uses: ossf/scorecard-action@4eaacf0543bb3f2c246792bd56e8cdeffafb205a # v2.4.3
+        with:
+          results_file: results.sarif
+          results_format: sarif
+          # (Optional) "write" PAT token. Uncomment the `repo_token` line below if:
+          # - you want to enable the Branch-Protection check on a *public* repository, or
+          # - you are installing Scorecard on a *private* repository
+          # To create the PAT, follow the steps in https://github.com/ossf/scorecard-action?tab=readme-ov-file#authentication-with-fine-grained-pat-optional.
+          # repo_token: ${{ secrets.SCORECARD_TOKEN }}
+
+          # Public repositories:
+          #   - Publish results to OpenSSF REST API for easy access by consumers
+          #   - Allows the repository to include the Scorecard badge.
+          #   - See https://github.com/ossf/scorecard-action#publishing-results.
+          # For private repositories:
+          #   - `publish_results` will always be set to `false`, regardless
+          #     of the value entered here.
+          publish_results: true
+
+      # Upload the results as artifacts (optional). Commenting out will disable uploads of run results in SARIF
+      # format to the repository Actions tab.
+      - name: "Upload artifact"
+        uses: actions/upload-artifact@b7c566a772e6b6bfb58ed0dc250532a479d7789f # v3.pre.node20
+        with:
+          name: SARIF file
+          path: results.sarif
+          retention-days: 5
+
+      # Upload the results to GitHub's code scanning dashboard (optional).
+      # Commenting out will disable upload of results to your repo's Code Scanning dashboard
+      - name: "Upload to code-scanning"
+        uses: github/codeql-action/upload-sarif@1b168cd39490f61582a9beae412bb7057a6b2c4e # v4.31.8
+        with:
+          sarif_file: results.sarif

.github/workflows/upgrade_test.yaml

@@ -4,6 +4,7 @@ on:
   push:
     branches:
       - main
+      - '!dependabot/**'
     paths:
       - "**.go"
       - "charts/**"
@@ -19,13 +20,19 @@ on:
       - "test/**"
       - go.mod
       - go.sum
-  workflow_dispatch:
 
 env:
-  HELM_VERSION: v3.13.0
-  KIND_VERSION: v0.23.0
+  HELM_VERSION: v3.19.0
+  KIND_VERSION: v0.30.0
   KIND_CLUSTER_NAME: kind
 
+permissions:
+  contents: read
+
+concurrency:
+  group: fission-upgrade-test-${{ github.ref }}
+  cancel-in-progress: true
+
 jobs:
   upgrade-test:
     runs-on: ${{ matrix.os }}
@@ -33,35 +40,40 @@ jobs:
     strategy:
       fail-fast: false
       matrix:
-        kindimage: ["kindest/node:v1.25.16"]
-        os: [ubuntu-latest]
+        kindversion: ["v1.31.12"]
+        os: [ubuntu-24.04]
     steps:
+      - name: Harden Runner
+        uses: step-security/harden-runner@20cf305ff2072d973412fa9b1e3a4f227bda3c76 # v2.14.0
+        with:
+          egress-policy: audit
+
       - name: Checkout action sources
-        uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11 # v4.1.1
+        uses: actions/checkout@8e8c483db84b4bee98b60c0593521ed34d9990e8 # v6.0.1
 
       - name: Setup go
-        uses: actions/setup-go@93397bea11091df50f3d7e59dc26a7711a8bcfbe # v4.1.0
+        uses: actions/setup-go@4dc6199c7b1a012772edbd06daecab0f50c9053c # v6.1.0
         with:
           go-version-file: "go.mod"
           cache: true
 
       - name: Setup Helm
-        uses: Azure/setup-helm@5119fcb9089d432beecbf79bb2c7915207344b78 # v3.5
+        uses: Azure/setup-helm@1a275c3b69536ee54be43f2070a358922e12c8d4 # v4.3.1
         with:
           version: ${{ env.HELM_VERSION }}
 
-      - name: Setup Kind Clutser
-        uses: helm/kind-action@0025e74a8c7512023d06dc019c617aa3cf561fde # v1.10.0
+      - name: Setup Kind Cluster
+        uses: helm/kind-action@92086f6be054225fa813e0a4b13787fc9088faab # v1.13.0
         with:
-          node_image: ${{ matrix.kindimage }}
+          node_image: kindest/node:${{ matrix.kindversion }}
           version: ${{ env.KIND_VERSION }}
           cluster_name: ${{ env.KIND_CLUSTER_NAME }}
 
       - name: Install GoReleaser
-        uses: goreleaser/goreleaser-action@7ec5c2b0c6cdda6e8bbb49444bc797dd33d74dd8 # v5.0.0
+        uses: goreleaser/goreleaser-action@e435ccd777264be153ace6237001ef4d979d3a7a # v6.4.0
         with:
           install-only: true
-          version: "~> v1"
+          version: "~> v2"
 
       - name: Setup kubectl & fetch node information
         run: |
@@ -106,7 +118,7 @@ jobs:
 
       - name: Archive fission dump
         if: ${{ failure() || cancelled() }}
-        uses: actions/upload-artifact@a8a3f3ad30e3422c9c7b888a15615d19a852ae32 # v3.1.3
+        uses: actions/upload-artifact@b7c566a772e6b6bfb58ed0dc250532a479d7789f # v6.0.0
         with:
           name: fission-dump-${{ github.run_id }}-${{ matrix.kindversion }}
           path: fission-dump/*.zip
@@ -114,7 +126,7 @@ jobs:
 
       - name: Archive kind logs
         if: ${{ always() }}
-        uses: actions/upload-artifact@a8a3f3ad30e3422c9c7b888a15615d19a852ae32 # v3.1.3
+        uses: actions/upload-artifact@b7c566a772e6b6bfb58ed0dc250532a479d7789f # v6.0.0
         with:
           name: kind-logs-${{ github.run_id }}-${{ matrix.kindversion }}
           path: kind-logs/*

.gitignore

@@ -20,6 +20,8 @@ environments/php7/vendor/
 *.tfstate
 *.backup
 
+*.token
+
 # Common backup files
 *.swp
 *.bak

.golangci.yaml

@@ -1,35 +1,51 @@
+version: "2"
 linters:
   enable:
-    # Default linter
     - errcheck
-    - gosimple
     - govet
     - ineffassign
-    - staticcheck
-    - typecheck
-    - unused
-    # Additional linters
-    - gofmt
-    - goimports
     - misspell
     - nakedret
-    - unconvert
     - promlinter
-    # Enable in future
-    # - bodyclose
-    # - dogsled
-    # - dupl
-    # - gosec
-    # - nilerr
-    # - prealloc
-    # - revive
-    # - unparam
-    # - wrapcheck
-    # - gocritic
-linters-settings:
-  errcheck:
-    ignore: go.uber.org/zap:Sync
-  goimports:
-    # put imports beginning with prefix after 3rd-party packages;
-    # it's a comma-separated list of prefixes
-    local: github.com/fission/fission
+    - unconvert
+    - unused
+    - staticcheck
+  settings:
+    errcheck:
+      exclude-functions:
+        - (*go.uber.org/zap.Logger).Sync
+  exclusions:
+    generated: lax
+    presets:
+      - comments
+      - common-false-positives
+      - legacy
+      - std-error-handling
+    paths:
+      - third_party$
+      - builtin$
+      - examples$
+    rules:
+      - linters:
+        - staticcheck
+        text: "QF1008"
+      - linters:
+          - staticcheck
+        text: "QF1001"
+      - linters:
+          - staticcheck
+        text: "QF1003"
+formatters:
+  enable:
+    - gofmt
+    - goimports
+  settings:
+    goimports:
+      local-prefixes:
+        - github.com/fission/fission
+  exclusions:
+    generated: lax
+    paths:
+      - third_party$
+      - builtin$
+      - examples$

.goreleaser.yml

@@ -1,9 +1,14 @@
+version: 2
+
+env:
+  - GHCR_REPO=ghcr.io/fission
+
 project_name: fission
 release:
   github:
     owner: fission
     name: fission
-  prerelease: true
+  prerelease: "true"
   draft: true
   header: |
     Release Highlights: https://fission.io/docs/releases/{{ .Tag }}/
@@ -16,7 +21,7 @@ before:
   hooks:
     - go mod tidy
 snapshot:
-  name_template: "{{ .Tag }}"
+  version_template: "{{ .Tag }}"
 builds:
   - &build-linux
     id: builder
@@ -65,290 +70,134 @@ builds:
     id: reporter
     binary: reporter
     dir: ./cmd/reporter
-dockers:
-  - &docker-amd64
-    use: buildx
-    goos: linux
-    goarch: amd64
-    ids:
-      - builder
-    image_templates:
-      - "fission/builder:latest-amd64"
-      - "fission/builder:{{ .Tag }}-amd64"
-      - "ghcr.io/fission/builder:latest-amd64"
-      - "ghcr.io/fission/builder:{{ .Tag }}-amd64"
+dockers_v2:
+  - id: builder
+    tags:
+      - latest
+      - "{{ .Tag }}"
+    images:
+      - "{{ .Env.GHCR_REPO }}/builder"
+    labels:
+      org.opencontainers.image.description: "The builder assists in building the fission function source code for deployment."
+      org.opencontainers.image.source: "{{.GitURL}}"
+      org.opencontainers.image.created: "{{.Date}}"
+      org.opencontainers.image.revision: "{{.FullCommit}}"
+      org.opencontainers.image.version: "{{.Tag}}"
+      org.opencontainers.image.authors: "The Fission Authors https://fission.io/"
+      org.opencontainers.image.vendor: "Fission"
+      org.opencontainers.image.url: "https://fission.io/"
     dockerfile: cmd/builder/Dockerfile
-    build_flag_templates:
-      - "--label=org.opencontainers.image.description=The builder assists in building the fission function source code for deployment."
-      - "--label=org.opencontainers.image.source={{.GitURL}}"
-      - "--platform=linux/amd64"
-      - "--label=org.opencontainers.image.created={{.Date}}"
-      - "--label=org.opencontainers.image.revision={{.FullCommit}}"
-      - "--label=org.opencontainers.image.version={{.Tag}}"
-  - <<: *docker-amd64
-    ids:
-      - fetcher
-    image_templates:
-      - "fission/fetcher:latest-amd64"
-      - "fission/fetcher:{{ .Tag }}-amd64"
-      - "ghcr.io/fission/fetcher:latest-amd64"
-      - "ghcr.io/fission/fetcher:{{ .Tag }}-amd64"
+  - id: fetcher
+    tags:
+      - latest
+      - "{{ .Tag }}"
+    images:
+      - "{{ .Env.GHCR_REPO }}/fetcher"
+    labels:
+      org.opencontainers.image.description: "Fetcher is a lightweight component used by environment and builder pods. Fetcher helps in fetch and upload of source/deployment packages and specializing environments."
+      org.opencontainers.image.source: "{{.GitURL}}"
+      org.opencontainers.image.created: "{{.Date}}"
+      org.opencontainers.image.revision: "{{.FullCommit}}"
+      org.opencontainers.image.version: "{{.Tag}}"
+      org.opencontainers.image.authors: "The Fission Authors https://fission.io/"
+      org.opencontainers.image.vendor: "Fission"
+      org.opencontainers.image.url: "https://fission.io/"
     dockerfile: cmd/fetcher/Dockerfile
-    build_flag_templates:
-      - "--label=org.opencontainers.image.description=Fetcher is a lightweight component used by environment and builder pods. Fetcher helps in fetch and upload of source/deployment packages and specializing environments."
-      - "--label=org.opencontainers.image.source={{.GitURL}}"
-      - "--platform=linux/amd64"
-      - "--label=org.opencontainers.image.created={{.Date}}"
-      - "--label=org.opencontainers.image.revision={{.FullCommit}}"
-      - "--label=org.opencontainers.image.version={{.Tag}}"
-  - <<: *docker-amd64
-    ids:
-      - fission-bundle
-    image_templates:
-      - "fission/fission-bundle:latest-amd64"
-      - "fission/fission-bundle:{{ .Tag }}-amd64"
-      - "ghcr.io/fission/fission-bundle:latest-amd64"
-      - "ghcr.io/fission/fission-bundle:{{ .Tag }}-amd64"
+  - id: fission-bundle
+    tags:
+      - latest
+      - "{{ .Tag }}"
+    images:
+      - "{{ .Env.GHCR_REPO }}/fission-bundle"
+    labels:
+      org.opencontainers.image.description: "fission-bundle is a component which is a single binary for all components. Most server side components running on server side are fission-bundle binary wrapped in container and used with different arguments."
+      org.opencontainers.image.source: "{{.GitURL}}"
+      org.opencontainers.image.created: "{{.Date}}"
+      org.opencontainers.image.revision: "{{.FullCommit}}"
+      org.opencontainers.image.version: "{{.Tag}}"
+      org.opencontainers.image.authors: "The Fission Authors https://fission.io/"
+      org.opencontainers.image.vendor: "Fission"
+      org.opencontainers.image.url: "https://fission.io/"
     dockerfile: cmd/fission-bundle/Dockerfile
-    build_flag_templates:
-      - "--label=org.opencontainers.image.description=fission-bundle is a component which is a single binary for all components. Most server side components running on server side are fission-bundle binary wrapped in container and used with different arguments."
-      - "--label=org.opencontainers.image.source={{.GitURL}}"
-      - "--platform=linux/amd64"
-      - "--label=org.opencontainers.image.created={{.Date}}"
-      - "--label=org.opencontainers.image.revision={{.FullCommit}}"
-      - "--label=org.opencontainers.image.version={{.Tag}}"
-  - <<: *docker-amd64
-    ids:
-      - pre-upgrade-checks
-    image_templates:
-      - "fission/pre-upgrade-checks:latest-amd64"
-      - "fission/pre-upgrade-checks:{{ .Tag }}-amd64"
-      - "ghcr.io/fission/pre-upgrade-checks:latest-amd64"
-      - "ghcr.io/fission/pre-upgrade-checks:{{ .Tag }}-amd64"
+  - id: pre-upgrade-checks
+    tags:
+      - latest
+      - "{{ .Tag }}"
+    images:
+      - "{{ .Env.GHCR_REPO }}/pre-upgrade-checks"
+    labels:
+      org.opencontainers.image.description: "Preupgradechecks ensures that Fission is ready for the targeted version upgrade by performing checks beforehand."
+      org.opencontainers.image.source: "{{.GitURL}}"
+      org.opencontainers.image.created: "{{.Date}}"
+      org.opencontainers.image.revision: "{{.FullCommit}}"
+      org.opencontainers.image.version: "{{.Tag}}"
+      org.opencontainers.image.authors: "The Fission Authors https://fission.io/"
+      org.opencontainers.image.vendor: "Fission"
+      org.opencontainers.image.url: "https://fission.io/"
     dockerfile: cmd/preupgradechecks/Dockerfile
-    build_flag_templates:
-      - "--label=org.opencontainers.image.description=Preupgradechecks ensures that Fission is ready for the targeted version upgrade by performing checks beforehand."
-      - "--label=org.opencontainers.image.source={{.GitURL}}"
-      - "--platform=linux/amd64"
-      - "--label=org.opencontainers.image.created={{.Date}}"
-      - "--label=org.opencontainers.image.revision={{.FullCommit}}"
-      - "--label=org.opencontainers.image.version={{.Tag}}"
-  - <<: *docker-amd64
-    ids:
-      - reporter
-    image_templates:
-      - "fission/reporter:latest-amd64"
-      - "fission/reporter:{{ .Tag }}-amd64"
-      - "ghcr.io/fission/reporter:latest-amd64"
-      - "ghcr.io/fission/reporter:{{ .Tag }}-amd64"
+  - id: reporter
+    tags:
+      - latest
+      - "{{ .Tag }}"
+    images:
+      - "{{ .Env.GHCR_REPO }}/reporter"
+    labels:
+      org.opencontainers.image.description: "The reporter gathers information that assists in improving fission."
+      org.opencontainers.image.source: "{{.GitURL}}"
+      org.opencontainers.image.created: "{{.Date}}"
+      org.opencontainers.image.revision: "{{.FullCommit}}"
+      org.opencontainers.image.version: "{{.Tag}}"
+      org.opencontainers.image.authors: "The Fission Authors https://fission.io/"
+      org.opencontainers.image.vendor: "Fission"
+      org.opencontainers.image.url: "https://fission.io/"
     dockerfile: cmd/reporter/Dockerfile
-    build_flag_templates:
-      - "--label=org.opencontainers.image.description=The reporter gathers information that assists in improving fission."
-      - "--label=org.opencontainers.image.source={{.GitURL}}"
-      - "--platform=linux/amd64"
-      - "--label=org.opencontainers.image.created={{.Date}}"
-      - "--label=org.opencontainers.image.revision={{.FullCommit}}"
-      - "--label=org.opencontainers.image.version={{.Tag}}"
-  - &docker-arm64
-    use: buildx
-    goos: linux
-    goarch: arm64
-    ids:
-      - builder
-    image_templates:
-      - "fission/builder:latest-arm64"
-      - "fission/builder:{{ .Tag }}-arm64"
-      - "ghcr.io/fission/builder:latest-arm64"
-      - "ghcr.io/fission/builder:{{ .Tag }}-arm64"
-    dockerfile: cmd/builder/Dockerfile
-    build_flag_templates:
-      - "--label=org.opencontainers.image.description=The builder assists in building the fission function source code for deployment."
-      - "--label=org.opencontainers.image.source={{.GitURL}}"
-      - "--platform=linux/arm64"
-      - "--label=org.opencontainers.image.created={{.Date}}"
-      - "--label=org.opencontainers.image.revision={{.FullCommit}}"
-      - "--label=org.opencontainers.image.version={{.Tag}}"
-  - <<: *docker-arm64
-    ids:
-      - fetcher
-    image_templates:
-      - "fission/fetcher:latest-arm64"
-      - "fission/fetcher:{{ .Tag }}-arm64"
-      - "ghcr.io/fission/fetcher:latest-arm64"
-      - "ghcr.io/fission/fetcher:{{ .Tag }}-arm64"
-    dockerfile: cmd/fetcher/Dockerfile
-    build_flag_templates:
-      - "--label=org.opencontainers.image.description=Fetcher is a lightweight component used by environment and builder pods. Fetcher helps in fetch and upload of source/deployment packages and specializing environments."
-      - "--label=org.opencontainers.image.source={{.GitURL}}"
-      - "--platform=linux/arm64"
-      - "--label=org.opencontainers.image.created={{.Date}}"
-      - "--label=org.opencontainers.image.revision={{.FullCommit}}"
-      - "--label=org.opencontainers.image.version={{.Tag}}"
-  - <<: *docker-arm64
-    ids:
-      - fission-bundle
-    image_templates:
-      - "fission/fission-bundle:latest-arm64"
-      - "fission/fission-bundle:{{ .Tag }}-arm64"
-      - "ghcr.io/fission/fission-bundle:latest-arm64"
-      - "ghcr.io/fission/fission-bundle:{{ .Tag }}-arm64"
-    dockerfile: cmd/fission-bundle/Dockerfile
-    build_flag_templates:
-      - "--label=org.opencontainers.image.description=fission-bundle is a component which is a single binary for all components. Most server side components running on server side are fission-bundle binary wrapped in container and used with different arguments."
-      - "--label=org.opencontainers.image.source={{.GitURL}}"
-      - "--platform=linux/arm64"
-      - "--label=org.opencontainers.image.created={{.Date}}"
-      - "--label=org.opencontainers.image.revision={{.FullCommit}}"
-      - "--label=org.opencontainers.image.version={{.Tag}}"
-  - <<: *docker-arm64
-    ids:
-      - pre-upgrade-checks
-    image_templates:
-      - "fission/pre-upgrade-checks:latest-arm64"
-      - "fission/pre-upgrade-checks:{{ .Tag }}-arm64"
-      - "ghcr.io/fission/pre-upgrade-checks:latest-arm64"
-      - "ghcr.io/fission/pre-upgrade-checks:{{ .Tag }}-arm64"
-    dockerfile: cmd/preupgradechecks/Dockerfile
-    build_flag_templates:
-      - "--label=org.opencontainers.image.description=Preupgradechecks ensures that Fission is ready for the targeted version upgrade by performing checks beforehand."
-      - "--label=org.opencontainers.image.source={{.GitURL}}"
-      - "--platform=linux/arm64"
-      - "--label=org.opencontainers.image.created={{.Date}}"
-      - "--label=org.opencontainers.image.revision={{.FullCommit}}"
-      - "--label=org.opencontainers.image.version={{.Tag}}"
-  - <<: *docker-arm64
-    ids:
-      - reporter
-    image_templates:
-      - "fission/reporter:latest-arm64"
-      - "fission/reporter:{{ .Tag }}-arm64"
-      - "ghcr.io/fission/reporter:latest-arm64"
-      - "ghcr.io/fission/reporter:{{ .Tag }}-arm64"
-    dockerfile: cmd/reporter/Dockerfile
-    build_flag_templates:
-      - "--label=org.opencontainers.image.description=The reporter gathers information that assists in improving fission."
-      - "--label=org.opencontainers.image.source={{.GitURL}}"
-      - "--platform=linux/arm64"
-      - "--label=org.opencontainers.image.created={{.Date}}"
-      - "--label=org.opencontainers.image.revision={{.FullCommit}}"
-      - "--label=org.opencontainers.image.version={{.Tag}}"
-docker_manifests:
-  - name_template: ghcr.io/fission/builder:{{ .Tag }}
-    image_templates:
-      - ghcr.io/fission/builder:{{ .Tag }}-amd64
-      - ghcr.io/fission/builder:{{ .Tag }}-arm64
-  - name_template: fission/builder:{{ .Tag }}
-    image_templates:
-      - fission/builder:{{ .Tag }}-amd64
-      - fission/builder:{{ .Tag }}-arm64
-  - name_template: ghcr.io/fission/fetcher:{{ .Tag }}
-    image_templates:
-      - ghcr.io/fission/fetcher:{{ .Tag }}-amd64
-      - ghcr.io/fission/fetcher:{{ .Tag }}-arm64
-  - name_template: fission/fetcher:{{ .Tag }}
-    image_templates:
-      - fission/fetcher:{{ .Tag }}-amd64
-      - fission/fetcher:{{ .Tag }}-arm64
-  - name_template: ghcr.io/fission/fission-bundle:{{ .Tag }}
-    image_templates:
-      - ghcr.io/fission/fission-bundle:{{ .Tag }}-amd64
-      - ghcr.io/fission/fission-bundle:{{ .Tag }}-arm64
-  - name_template: fission/fission-bundle:{{ .Tag }}
-    image_templates:
-      - fission/fission-bundle:{{ .Tag }}-amd64
-      - fission/fission-bundle:{{ .Tag }}-arm64
-  - name_template: ghcr.io/fission/pre-upgrade-checks:{{ .Tag }}
-    image_templates:
-      - ghcr.io/fission/pre-upgrade-checks:{{ .Tag }}-amd64
-      - ghcr.io/fission/pre-upgrade-checks:{{ .Tag }}-arm64
-  - name_template: fission/pre-upgrade-checks:{{ .Tag }}
-    image_templates:
-      - fission/pre-upgrade-checks:{{ .Tag }}-amd64
-      - fission/pre-upgrade-checks:{{ .Tag }}-arm64
-  - name_template: ghcr.io/fission/reporter:{{ .Tag }}
-    image_templates:
-      - ghcr.io/fission/reporter:{{ .Tag }}-amd64
-      - ghcr.io/fission/reporter:{{ .Tag }}-arm64
-  - name_template: fission/reporter:{{ .Tag }}
-    image_templates:
-      - fission/reporter:{{ .Tag }}-amd64
-      - fission/reporter:{{ .Tag }}-arm64
-  - name_template: ghcr.io/fission/builder:latest
-    image_templates:
-      - ghcr.io/fission/builder:latest-amd64
-      - ghcr.io/fission/builder:latest-arm64
-  - name_template: fission/builder:latest
-    image_templates:
-      - fission/builder:latest-amd64
-      - fission/builder:latest-arm64
-  - name_template: ghcr.io/fission/fetcher:latest
-    image_templates:
-      - ghcr.io/fission/fetcher:latest-amd64
-      - ghcr.io/fission/fetcher:latest-arm64
-  - name_template: fission/fetcher:latest
-    image_templates:
-      - fission/fetcher:latest-amd64
-      - fission/fetcher:latest-arm64
-  - name_template: ghcr.io/fission/fission-bundle:latest
-    image_templates:
-      - ghcr.io/fission/fission-bundle:latest-amd64
-      - ghcr.io/fission/fission-bundle:latest-arm64
-  - name_template: fission/fission-bundle:latest
-    image_templates:
-      - fission/fission-bundle:latest-amd64
-      - fission/fission-bundle:latest-arm64
-  - name_template: ghcr.io/fission/pre-upgrade-checks:latest
-    image_templates:
-      - ghcr.io/fission/pre-upgrade-checks:latest-amd64
-      - ghcr.io/fission/pre-upgrade-checks:latest-arm64
-  - name_template: fission/pre-upgrade-checks:latest
-    image_templates:
-      - fission/pre-upgrade-checks:latest-amd64
-      - fission/pre-upgrade-checks:latest-arm64
-  - name_template: ghcr.io/fission/reporter:latest
-    image_templates:
-      - ghcr.io/fission/reporter:latest-amd64
-      - ghcr.io/fission/reporter:latest-arm64
-  - name_template: fission/reporter:latest
-    image_templates:
-      - fission/reporter:latest-amd64
-      - fission/reporter:latest-arm64
 changelog:
-  skip: false
+  disable: true
 archives:
   - id: fission
-    builds:
+    ids:
       - fission-cli
     name_template: "{{ .ProjectName }}-{{ .Tag }}-{{ .Os }}-{{ .Arch }}"
-    format: binary
+    formats:
+      - binary
 checksum:
   name_template: "checksums.txt"
-  algorithm: sha256
+docker_digest:
+  name_template: "docker-digests.txt"
 
 # signs the checksum file
 # https://goreleaser.com/customization/sign
 signs:
-- cmd: cosign
-  artifacts: all
-  stdin: '{{ .Env.COSIGN_PWD }}'
-  output: true
-  args:
-    - sign-blob
-    - '--key=cosign.key'
-    - '--output-certificate=${certificate}'
-    - '--output-signature=${signature}'
-    - '${artifact}'
-    - '--yes' # needed for cosign 2.0.0+
+  - id: cosign-binary
+    env:
+      - COSIGN_EXPERIMENTAL=1
+    signature: "${artifact}.sig.bundle"
+    cmd: cosign
+    artifacts: all
+    args:
+      - sign-blob
+      - "--bundle=${signature}"
+      - "${artifact}"
+      - "--yes" # needed for cosign 2.0.0+
 
 # signs our docker image
 # https://goreleaser.com/customization/docker_sign
 docker_signs:
-- cmd: cosign
-  artifacts: all
-  stdin: '{{ .Env.COSIGN_PWD }}'
-  output: true
-  args:
-    - 'sign'
-    - '--key=cosign.key'
-    - '${artifact}'
-    - '--yes' # needed for cosign 2.0.0+
+  - cmd: cosign
+    env:
+      - COSIGN_EXPERIMENTAL=1
+    artifacts: all
+    args:
+      - sign
+      - "${artifact}"
+      - "--yes" # needed for cosign 2.0.0+
+
+sboms:
+  - artifacts: archive
+    id: archive
+  - artifacts: source
+    id: source
+  - artifacts: binary
+    id: binary
+  - artifacts: package
+    id: package

.pre-commit-config.yaml

@@ -0,0 +1,18 @@
+repos:
+- repo: https://github.com/gitleaks/gitleaks
+  rev: v8.16.3
+  hooks:
+  - id: gitleaks
+- repo: https://github.com/golangci/golangci-lint
+  rev: v1.52.2
+  hooks:
+  - id: golangci-lint
+- repo: https://github.com/jumanjihouse/pre-commit-hooks
+  rev: 3.0.0
+  hooks:
+  - id: shellcheck
+- repo: https://github.com/pre-commit/pre-commit-hooks
+  rev: v4.4.0
+  hooks:
+  - id: end-of-file-fixer
+  - id: trailing-whitespace

Makefile

@@ -59,23 +59,20 @@ install-fission-cli:
 	mv dist/fission-cli_$(GOOS)_$(GOARCH)_v1/fission$(FISSION-CLI-SUFFIX) /usr/local/bin/fission
 
 ### Codegen
-codegen: controller-gen-install
+codegen:
 	@./hack/update-codegen.sh
-	$(GOPATH)/bin/controller-gen object:headerFile="hack/boilerplate.txt" paths="./..."
+	go tool controller-gen object:headerFile="hack/boilerplate.txt" paths="./..."
 
 ### CRDs
-controller-gen-install:
-	go install sigs.k8s.io/controller-tools/cmd/controller-gen@v0.15.0
-
-generate-crds: controller-gen-install
-	$(GOPATH)/bin/controller-gen crd \
+generate-crds:
+	go tool controller-gen crd \
 	paths=./pkg/apis/core/v1  \
 	output:crd:artifacts:config=crds/v1
 
 ### Webhook generation: it generates webhook configs with help of kubebuilder:webhook tag
-generate-webhooks: controller-gen-install
-	$(GOPATH)/bin/controller-gen webhook \
-	 paths=./pkg/apis/core/v1 \
+generate-webhooks:
+	go tool controller-gen webhook \
+	 paths=./pkg/webhook \
 	 output:dir=charts/fission-all/templates/webhook-server
 
 
@@ -99,12 +96,9 @@ generate-swagger-doc:
 generate-cli-docs:
 	go run tools/cmd-docs/main.go -o "../fission.io/content/en/docs/reference/fission-cli"
 
-install-crd-ref-docs:
-	go install github.com/elastic/crd-ref-docs@v0.0.12
-
-generate-crd-ref-docs: install-crd-ref-docs
+generate-crd-ref-docs:
 	# crd-ref-docs: https://github.com/elastic/crd-ref-docs
-	$(GOPATH)/bin/crd-ref-docs --source-path=pkg/apis/core/v1 --config=tools/crd-ref-docs/config.yaml --renderer markdown
+	go tool crd-ref-docs --source-path=pkg/apis/core/v1 --config=tools/crd-ref-docs/config.yaml --renderer markdown
 	cp tools/crd-ref-docs/header.md crd_docs.md
 	cat out.md >> crd_docs.md && rm out.md
 	mv crd_docs.md ../fission.io/content/en/docs/reference/crd-reference.md
@@ -118,6 +112,7 @@ skaffold-prebuild:
 	@cp -v cmd/fission-bundle/Dockerfile dist/fission-bundle_linux_amd64_v1/Dockerfile
 	@cp -v cmd/reporter/Dockerfile dist/reporter_linux_amd64_v1/Dockerfile
 	@cp -v cmd/preupgradechecks/Dockerfile dist/pre-upgrade-checks_linux_amd64_v1/Dockerfile
+	@find dist/ -name 'Dockerfile' -exec sed -i.bak 's|$$TARGETPLATFORM/||g' {} +; find dist/ -name 'Dockerfile.bak' -delete
 
 skaffold-deploy: skaffold-prebuild
 	skaffold run -p $(SKAFFOLD_PROFILE)
@@ -128,10 +123,3 @@ release:
 	@./hack/release.sh $(VERSION)
 	@./hack/release-tag.sh $(VERSION)
 	@./hack/changelog.sh
-
-## Envtest
-install-envtest:
-	go install sigs.k8s.io/controller-runtime/tools/setup-envtest@latest
-
-setup-envtest:
-	setup-envtest -p path use 1.23.x

README.md

@@ -36,6 +36,12 @@
   <a href="https://github.com/fission/fission">
     <img alt="GitHub Repo stars" src="https://img.shields.io/github/stars/fission/fission?style=social">
   </a>
+  <a href="https://scorecard.dev/viewer/?uri=github.com/fission/fission">
+    <image alt="OpenSSF Scorecard" src="https://api.scorecard.dev/projects/github.com/fission/fission/badge">
+  </a>
+  <a href="https://www.bestpractices.dev/projects/4986">
+    <img src="https://www.bestpractices.dev/projects/4986/badge">
+  </a>
 </p>
 
 --------------
@@ -88,7 +94,7 @@ aggregation &mdash; also helps with ops on your Fission deployment.
 
 ```bash
   # Add the stock NodeJS env to your Fission deployment
-  $ fission env create --name nodejs --image fission/node-env
+  $ fission env create --name nodejs --image ghcr.io/fission/node-env
 
   # Create a function with a javascript one-liner that prints "hello world"
   $ fission function create --name hello --env nodejs --code https://raw.githubusercontent.com/fission/examples/master/nodejs/hello.js

SECURITY.md

@@ -6,12 +6,12 @@ Please refer using [latest stable release](https://github.com/fission/fission/re
 
 | Version | Supported          |
 | ------- | ------------------ |
-| >=1.14.x   | :white_check_mark: |
-| < 1.14.0   | :x:                |
+| >=1.20.x   | :white_check_mark: |
+| < 1.20.0   | :x:                |
 
 ## Reporting a Vulnerability
 
 Please send the details to both of us:
 
-- Sanket Sudake sanket@infracloud.io
-- Vishal Biyani vishal@infracloud.io
+- Sanket Sudake sanket[at]infracloud.io
+- Vishal Biyani vishal[at]infracloud.io

_build/linux_amd64/Dockerfile

@@ -0,0 +1,3 @@
+FROM gcr.io/distroless/static-debian12:nonroot
+COPY fission-bundle /
+ENTRYPOINT ["/fission-bundle"]

charts/fission-all/Chart.yaml

@@ -1,9 +1,9 @@
 apiVersion: v2
 name: fission-all
-version: v1.20.4
-appVersion: v1.20.4
+version: 1.22.0
+appVersion: v1.22.0
 description: Fission is a fast serverless framework for Kubernetes.
-kubeVersion: ">=1.25.0-0"
+kubeVersion: ">=1.28.0-0"
 home: https://fission.io/
 icon: https://fission.io/images/fission-logo-white.svg
 sources:
@@ -21,7 +21,6 @@ maintainers:
     email: vishal@infracloud.io
   - name: Sanket Sudake
     email: sanket@infracloud.io
-engine: gotpl
 type: application
 annotations:
   artifacthub.io/signKey: |

charts/fission-all/README.md

@@ -4,7 +4,7 @@
 
 ## Prerequisites
 
-- Kubernetes 1.23+
+- Kubernetes 1.28+
 - Helm 3+
 
 ## Get Repo Info

charts/fission-all/templates/NOTES.txt

@@ -1,3 +1,5 @@
+{{ template "deprecationWarnings" . }}
+
 1. Install the client CLI.
 
 Mac:
@@ -18,7 +20,7 @@ Windows:
 {{- end }}
 
   # Create an environment
-  $ fission env create --name nodejs --image fission/node-env --namespace {{ .Values.defaultNamespace }}
+  $ fission env create --name nodejs --image ghcr.io/fission/node-env --namespace {{ .Values.defaultNamespace }}
 
   # Get a hello world
   $ curl https://raw.githubusercontent.com/fission/examples/master/nodejs/hello.js > hello.js

charts/fission-all/templates/_deprecation-warnings.tpl

@@ -0,0 +1,21 @@
+{{- define "deprecationWarnings" -}}
+{{- $deprecations := list -}}
+
+{{- if .Values.builderNamespace -}}
+{{- $deprecations = append $deprecations "The 'builderNamespace' parameter is deprecated and will be removed in future release." -}}
+{{- end -}}
+
+{{- if .Values.functionNamespace -}}
+{{- $deprecations = append $deprecations "The 'functionNamespace' parameter is deprecated and will be removed in future release." -}}
+{{- end -}}
+
+{{- if .Values.disableOwnerReference -}}
+{{- $deprecations = append $deprecations "The 'disableOwnerReference' flag is temporary addition and will be removed in future release." -}}
+{{- end -}}
+
+{{- if $deprecations -}}
+{{- range $deprecations }}
+{{- printf "WARNING: %s" . | nindent 0 }}
+{{- end -}}
+{{- end -}}
+{{- end -}}

charts/fission-all/templates/_helpers.tpl

@@ -37,38 +37,37 @@ auth:
 {{- end -}}
 
 {{/*
-This template generates the image name for the deployment depending on the value of "repository" field in values.yaml file.
+Helper template to construct image names with repository and tag
 */}}
-{{- define "fission-bundleImage" -}}
-{{- if .Values.repository -}}
-  {{- if eq .Values.imageTag "" -}}
-    {{ .Values.repository }}/{{ .Values.image }}
-  {{- else -}}
-    {{ .Values.repository }}/{{ .Values.image }}:{{ .Values.imageTag }}
-  {{- end }}
+{{- define "imageWithTag" -}}
+{{- $repository := index . 0 -}}
+{{- $image := index . 1 -}}
+{{- $tag := index . 2 -}}
+{{- if $repository -}}
+{{- printf "%s/%s%s" $repository $image (ne $tag "" | ternary (printf ":%s" $tag) "") -}}
 {{- else -}}
-  {{- if eq .Values.imageTag "" -}}
-    {{ .Values.image }}
-  {{- else -}}
-    {{ .Values.image }}:{{ .Values.imageTag }}
-  {{- end }}
-{{- end }}
+{{- printf "%s%s" $image (ne $tag "" | ternary (printf ":%s" $tag) "") -}}
+{{- end -}}
+{{- end -}}
+
+{{- define "fission-bundleImage" -}}
+{{- $args := list .Values.repository .Values.image .Values.imageTag -}}
+{{- include "imageWithTag" $args -}}
 {{- end -}}
 
 {{- define "reporterImage" -}}
-{{- if .Values.repository -}}
-  {{- if eq .Values.imageTag "" -}}
-    {{ .Values.repository }}/{{ .Values.postInstallReportImage }}
-  {{- else -}}
-    {{ .Values.repository }}/{{ .Values.postInstallReportImage }}:{{ .Values.imageTag }}
-  {{- end }}
-{{- else -}}
-  {{- if eq .Values.imageTag "" -}}
-    {{ .Values.postInstallReportImage }}
-  {{- else -}}
-    {{ .Values.postInstallReportImage }}:{{ .Values.imageTag }}
-  {{- end }}
-{{- end }}
+{{- $args := list .Values.repository .Values.postInstallReportImage .Values.imageTag -}}
+{{- include "imageWithTag" $args -}}
+{{- end -}}
+
+{{- define "fetcherImage" -}}
+{{- $args := list (.Values.fetcher.repository | default .Values.repository) .Values.fetcher.image .Values.fetcher.imageTag -}}
+{{- include "imageWithTag" $args -}}
+{{- end -}}
+
+{{- define "preUpgradeChecksImage" -}}
+{{- $args := list (.Values.preUpgradeChecks.repository | default .Values.repository) .Values.preUpgradeChecks.image .Values.preUpgradeChecks.imageTag -}}
+{{- include "imageWithTag" $args -}}
 {{- end -}}
 
 {{- define "opentelemtry.envs" }}

charts/fission-all/templates/analytics/post-install-job.yaml

@@ -2,7 +2,7 @@
 apiVersion: batch/v1
 kind: Job
 metadata:
-  name: {{ template "fullname" . }}-{{ .Chart.Version }}
+  name: {{ template "fullname" . }}-{{ .Chart.Version }}-post-install
   labels:
     # The "release" convention makes it easy to tie a release to all of the
     # Kubernetes resources that were created as part of that release.

charts/fission-all/templates/analytics/post-upgrade-job.yaml

@@ -2,7 +2,7 @@
 apiVersion: batch/v1
 kind: Job
 metadata:
-  name: {{ template "fullname" . }}-{{ .Chart.Version }}
+  name: {{ template "fullname" . }}-{{ .Chart.Version }}-post-upgrade
   labels:
     # The "release" convention makes it easy to tie a release to all of the
     # Kubernetes resources that were created as part of that release.

charts/fission-all/templates/buildermgr/deployment.yaml

@@ -30,11 +30,7 @@ spec:
         args: ["--builderMgr", "--storageSvcUrl", "http://storagesvc.{{ .Release.Namespace }}"]
         env:
         - name: FETCHER_IMAGE
-        {{- if eq .Values.fetcher.imageTag "" }}
-          value: "{{ .Values.fetcher.image }}"
-        {{- else }}
-          value: "{{ .Values.fetcher.image }}:{{ .Values.fetcher.imageTag }}"
-        {{- end }}
+          value: {{ include "fetcherImage" . | quote }}
         - name: FETCHER_IMAGE_PULL_POLICY
           value: "{{ .Values.pullPolicy }}"
         - name: BUILDER_IMAGE_PULL_POLICY
@@ -51,6 +47,8 @@ spec:
           value: {{ .Values.fetcher.resource.mem.limits | quote }}
         - name: DEBUG_ENV
           value: {{ .Values.debugEnv | quote }}
+        - name: DISABLE_OWNER_REFERENCES
+          value: {{ .Values.disableOwnerReference | quote }}
         - name: PPROF_ENABLED
           value: {{ .Values.pprof.enabled | quote }}
         - name: HELM_RELEASE_NAME

charts/fission-all/templates/executor/deployment.yaml

@@ -30,11 +30,7 @@ spec:
         args: ["--executorPort", "8888"]
         env:
         - name: FETCHER_IMAGE
-        {{- if eq .Values.fetcher.imageTag "" }}
-          value: "{{ .Values.fetcher.image }}"
-        {{- else }}
-          value: "{{ .Values.fetcher.image }}:{{ .Values.fetcher.imageTag }}"
-        {{- end }}
+          value: {{ include "fetcherImage" . | quote }}
         - name: FETCHER_IMAGE_PULL_POLICY
           value: "{{ .Values.pullPolicy }}"
         - name: RUNTIME_IMAGE_PULL_POLICY
@@ -76,6 +72,8 @@ spec:
           value: {{ .Values.executor.serviceAccountCheck.enabled | quote }}  
         - name: SERVICEACCOUNT_CHECK_INTERVAL
           value: {{ .Values.executor.serviceAccountCheck.interval | quote }}
+        - name: DISABLE_OWNER_REFERENCES
+          value: {{ .Values.disableOwnerReference | quote }}
         {{- end}}  
         {{- include "fission-resource-namespace.envs" . | indent 8 }}
         {{- include "kube_client.envs" . | indent 8 }}

charts/fission-all/templates/pre-upgrade-checks/pre-upgrade-job.yaml

@@ -28,11 +28,7 @@ spec:
       restartPolicy: Never
       containers:
       - name: pre-upgrade-job
-      {{- if .Values.preUpgradeChecks.imageTag }}
-        image: {{ .Values.preUpgradeChecks.image }}:{{ .Values.preUpgradeChecks.imageTag }}
-      {{- else }}
-        image: {{ .Values.preUpgradeChecks.image }}
-      {{- end }}
+        image: {{ include "preUpgradeChecksImage" . | quote }}
         imagePullPolicy: {{ .Values.pullPolicy }}
         command: [ "/pre-upgrade-checks" ]
         env:

charts/fission-all/templates/storagesvc/deployment.yaml

@@ -12,6 +12,12 @@ spec:
     matchLabels:
       svc: storagesvc
       application: fission-storage
+  strategy:
+    type: {{ .Values.storagesvc.deploymentStrategy.type }}
+    {{- if eq .Values.storagesvc.deploymentStrategy.type "RollingUpdate" }}
+    rollingUpdate:
+      {{- toYaml .Values.storagesvc.deploymentStrategy.rollingUpdate | nindent 6}}
+    {{- end }}
   template:
     metadata:
       labels:
@@ -113,7 +119,7 @@ spec:
       priorityClassName: {{ .Values.priorityClassName }}
 {{- end }}
     {{- with .Values.imagePullSecrets }}
-      imagePullSecrets: 
+      imagePullSecrets:
         {{- toYaml . | nindent 8 }}
     {{- end }}
 {{- if .Values.extraCoreComponentPodConfig }}

charts/fission-all/templates/webhook-server/deployment.yaml

@@ -38,6 +38,8 @@ spec:
         ports:
           - containerPort: 8080
             name: metrics
+        resources:
+          {{- toYaml .Values.webhook.resources | nindent 10 }}
       volumes:
       - name: serving-certs
         secret:

charts/fission-all/values.yaml

@@ -25,13 +25,13 @@ image: fission/fission-bundle
 ## It is also used by the chart to identify version of the few more images apart from fission-bundle.
 ## Keep it empty for using latest tag.
 ##
-imageTag: v1.20.4
+imageTag: v1.22.1
 
 ## pullPolicy represents the pull policy to use for images in the chart.
 ##
 pullPolicy: IfNotPresent
 
-## imageppullsecrets 
+## imagepullsecrets
 imagePullSecrets: []
 
 ## priorityClassName represents the priority class name to use for Fission components.
@@ -67,16 +67,20 @@ defaultNamespace: default
 ## if builderNamespace is set to empty then builder resources will be created in the same namespace as the Fission resources.
 ## This is different from the release namespace.
 ##
+## Note: This parameter is deprecated and will be removed in future fission releases.
+##
 builderNamespace: ""
 
 ## functionNamespace represents the namespace in which Fission Function resources will be created.
 ## if functionNamespace is set to empty then function resources will be created in the same namespace as the Fission resources.
 ## This is different from the release namespace.
 ##
+## Note: This parameter is deprecated and will be removed in future fission releases.
+##
 functionNamespace: ""
 
 ## Fission will watch the following namespaces along with the `defaultNamespace` for fission custom resources.
-## additionalFissionNamespaces: 
+## additionalFissionNamespaces:
 ## - namespace1
 ## - namespace2
 ## - namespace3
@@ -88,6 +92,16 @@ additionalFissionNamespaces: []
 ##
 createNamespace: true
 
+## disableOwnerReference decides to set OwnerReference to K8s resources like deployment, services, hpa etc. created by Fission.
+## If set to true, the K8s resources created by Fission will not have OwnerReference set.
+## Set to false if you want to add OwnerReference to K8s resources created by Fission.
+##
+## Set to true if you are using cross namespace meaning `builderNamespace` and `functionNamespace` are set.
+##
+## Note: This flag is temporary addition and would be removed in future fission releases.
+##
+disableOwnerReference: false
+
 ## enableIstio indicates whether to enable istio integration.
 ##
 enableIstio: false
@@ -103,10 +117,14 @@ kubernetesClientBurst: 500
 ## fetcher helps in fetching function source code/build and uploading it when function is invoked.
 ##
 fetcher:
+  ## repository represents the repository of the fetcher component.
+  ##
+  ## By default, it is empty, which means global repository will be used.
+  repository: ""
   ## image represents the image of the fetcher component.
   image: fission/fetcher
   ## imageTag represents the tag of the image of the fetcher component.
-  imageTag: v1.20.4
+  imageTag: v1.22.0
 
   ## Fetcher is only for to downloading or uploading archive.
   ## Normally, you don't need to change the value here, unless necessary.
@@ -145,7 +163,7 @@ executor:
   ## This is applicable to Pool Manager executor type only.
   ##
   podReadyTimeout: 300s
-  
+
   ## Pod resources as:
   ##  resources:
   ##    limits:
@@ -318,7 +336,7 @@ router:
     runAsGroup: 10001
 
 ## The builder manager watches the package & environments CRD changes and manages the builds of function source code.
-## 
+##
 buildermgr:
   ## Pod resources as:
   ##  resources:
@@ -344,7 +362,7 @@ buildermgr:
     runAsGroup: 10001
 
 ## webhook is the component that validates API calls.
-## It contains validation and mutation for functions, triggers, environments, Kubernetes event watches, etc. 
+## It contains validation and mutation for functions, triggers, environments, Kubernetes event watches, etc.
 ##
 webhook:
   ## Pod resources as:
@@ -421,6 +439,16 @@ storagesvc:
   ##
   resources: {}
 
+  ## Deployment strategy defaults to RollingUpdate but use Recreate if new pods fail to
+  ## attach to the volume until the old pod has released it.
+  ## deploymentStrategy:
+  ##   type: Recreate
+  deploymentStrategy:
+    type: RollingUpdate
+    rollingUpdate:
+      maxSurge: 25%
+      maxUnavailable: 25%
+
   ## Archive pruner removes archives from storage which are not referenced by any package.
   archivePruner:
     enabled: true
@@ -523,7 +551,7 @@ serviceMonitor:
   #  key: "value"
 
 # The following components expose Prometheus metrics and have podmonitors in this chart (disabled by default)
-# 
+#
 podMonitor:
   enabled: false
   ##namespace in which you want to deploy podmonitor
@@ -559,7 +587,7 @@ persistence:
   #   region: <awsRegion>
   ## For Minio and other s3 compatible storage systems set endPoint property
   #   endPoint: <s3StorageUrl>
-  
+
   ## A manually managed Persistent Volume Claim name
   ## Requires persistence.enabled: true
   ## If defined, PVC must be created manually before volume will be bound
@@ -669,12 +697,16 @@ preUpgradeChecks:
   ## Run pre-install/pre-upgrade checks if true
   ##
   enabled: true
+  ## Repository for pre-install/pre-upgrade checks image
+  ## By default it uses the global repository
+  ##
+  repository: ""
   ## pre-install/pre-upgrade checks live in this image
   ##
   image: fission/pre-upgrade-checks
   ## pre-install/pre-upgrade checks image version
   ##
-  imageTag: v1.20.4
+  imageTag: v1.22.0
 
 ## Fission post-install/post-upgrade reporting live in this image
 ##
@@ -742,12 +774,12 @@ authentication:
   ## jwtSigningKey is the signing key used for
   ## signing the JWT token
   ##
-  jwtSigningKey: 
+  jwtSigningKey:
   ## jwtExpiryTime is the JWT expiry time
   ## in seconds
   ## default '120'
   ##
-  jwtExpiryTime: 
+  jwtExpiryTime:
   ## jwtIssuer is the issuer of JWT
   ## default 'fission'
   ##
@@ -806,28 +838,28 @@ mqt_keda:
   connector_images:
     kafka:
       image: ghcr.io/fission/keda-kafka-http-connector
-      tag: v0.15
+      tag: v0.17
     rabbitmq:
       image: ghcr.io/fission/keda-rabbitmq-http-connector
-      tag: v0.13
+      tag: v0.15
     awskinesis:
       image: ghcr.io/fission/keda-aws-kinesis-http-connector
-      tag: v0.13
+      tag: v0.15
     aws_sqs:
       image: ghcr.io/fission/keda-aws-sqs-http-connector
-      tag: v0.14
+      tag: v0.16
     nats_steaming:
       image: ghcr.io/fission/keda-nats-streaming-http-connector
-      tag: v0.16
+      tag: v0.18
     nats_jetstream:
       image: ghcr.io/fission/keda-nats-jetstream-http-connector
-      tag: v0.7
+      tag: v0.9
     gcp_pubsub:
       image: ghcr.io/fission/keda-gcp-pubsub-http-connector
-      tag: v0.9
+      tag: v0.11
     redis:
       image: ghcr.io/fission/keda-redis-http-connector
-      tag: v0.6
+      tag: v0.8
 
   ## Pod resources as:
   ##  resources:
@@ -852,7 +884,7 @@ runtimePodSpec:
   ## Setting it false by default so that integration tests pass
   ##
   enabled: false
-  
+
   ## Checkout PodSpec in https://fission.io/docs/reference/crd-reference/#runtime
   ##
   podSpec:

cmd/builder/Dockerfile

@@ -1,3 +1,4 @@
-FROM cgr.dev/chainguard/static:latest
-COPY builder /builder
+FROM cgr.dev/chainguard/static:latest@sha256:a301031ffd4ed67f35ca7fa6cf3dad9937b5fa47d7493955a18d9b4ca5412d1a
+ARG TARGETPLATFORM
+COPY $TARGETPLATFORM/builder /builder
 ENTRYPOINT ["/builder"]

cmd/fetcher/Dockerfile

@@ -1,3 +1,4 @@
-FROM cgr.dev/chainguard/static:latest
-COPY fetcher /
+FROM cgr.dev/chainguard/static:latest@sha256:a301031ffd4ed67f35ca7fa6cf3dad9937b5fa47d7493955a18d9b4ca5412d1a
+ARG TARGETPLATFORM
+COPY $TARGETPLATFORM/fetcher /
 ENTRYPOINT ["/fetcher"]

cmd/fission-bundle/Dockerfile

@@ -1,3 +1,4 @@
-FROM cgr.dev/chainguard/static:latest
-COPY fission-bundle /
+FROM cgr.dev/chainguard/static:latest@sha256:a301031ffd4ed67f35ca7fa6cf3dad9937b5fa47d7493955a18d9b4ca5412d1a
+ARG TARGETPLATFORM
+COPY $TARGETPLATFORM/fission-bundle /
 ENTRYPOINT ["/fission-bundle"]

cmd/fission-bundle/Dockerfile.local

@@ -0,0 +1,3 @@
+FROM cgr.dev/chainguard/static:latest@sha256:a301031ffd4ed67f35ca7fa6cf3dad9937b5fa47d7493955a18d9b4ca5412d1a
+COPY fission-bundle /
+ENTRYPOINT ["/fission-bundle"]

cmd/fission-bundle/main.go

@@ -21,9 +21,7 @@ import (
 	"flag"
 	"fmt"
 	"os"
-	"strconv"
 
-	docopt "github.com/docopt/docopt-go"
 	"go.uber.org/zap"
 	"sigs.k8s.io/controller-runtime/pkg/manager/signals"
 	cnwebhook "sigs.k8s.io/controller-runtime/pkg/webhook"
@@ -48,120 +46,38 @@ import (
 	"github.com/fission/fission/pkg/webhook"
 )
 
-// runWebhook starts admission webhook server
-func runWebhook(ctx context.Context, clientGen crd.ClientGeneratorInterface, logger *zap.Logger, port int) error {
-	return webhook.Start(ctx, clientGen, logger, cnwebhook.Options{
-		Port: port,
-	})
+// Command line arguments
+type CommandLineArgs struct {
+	// Flags
+	canaryConfig bool
+	kubewatcher  bool
+	timer        bool
+	mqt          bool
+	mqt_keda     bool
+	builderMgr   bool
+	showVersion  bool
+	logger       bool
+
+	// Port values
+	webhookPort        int
+	routerPort         int
+	executorPort       int
+	storageServicePort int
+
+	// URL values
+	executorUrl   string
+	routerUrl     string
+	storageSvcUrl string
+
+	// Other configurations
+	storageType string
 }
 
-func runCanaryConfigServer(ctx context.Context, clientGen crd.ClientGeneratorInterface, logger *zap.Logger, mgr manager.Interface) error {
-	return canaryconfigmgr.StartCanaryServer(ctx, clientGen, logger, mgr, false)
-}
-
-func runRouter(ctx context.Context, clientGen crd.ClientGeneratorInterface, logger *zap.Logger, mgr manager.Interface, port int, executorUrl string) error {
-	return router.Start(ctx, clientGen, logger, mgr, port, eclient.MakeClient(logger, executorUrl))
-}
-
-func runExecutor(ctx context.Context, clientGen crd.ClientGeneratorInterface, logger *zap.Logger, mgr manager.Interface, port int) error {
-	return executor.StartExecutor(ctx, clientGen, logger, mgr, port)
-}
-
-func runKubeWatcher(ctx context.Context, clientGen crd.ClientGeneratorInterface, logger *zap.Logger, mgr manager.Interface, routerUrl string) error {
-	return kubewatcher.Start(ctx, clientGen, logger, mgr, routerUrl)
-}
-
-func runTimer(ctx context.Context, clientGen crd.ClientGeneratorInterface, logger *zap.Logger, mgr manager.Interface, routerUrl string) error {
-	return timer.Start(ctx, clientGen, logger, mgr, routerUrl)
-}
-
-func runMessageQueueMgr(ctx context.Context, clientGen crd.ClientGeneratorInterface, logger *zap.Logger, mgr manager.Interface, routerUrl string) error {
-	return mqtrigger.Start(ctx, clientGen, logger, mgr, routerUrl)
-}
-
-// KEDA based MessageQueue Trigger Manager
-func runMQManager(ctx context.Context, clientGen crd.ClientGeneratorInterface, logger *zap.Logger, mgr manager.Interface, routerURL string) error {
-	return mqt.StartScalerManager(ctx, clientGen, logger, mgr, routerURL)
-}
-
-func runStorageSvc(ctx context.Context, clientGen crd.ClientGeneratorInterface, logger *zap.Logger, mgr manager.Interface, port int, storage storagesvc.Storage) error {
-	return storagesvc.Start(ctx, clientGen, logger, storage, mgr, port)
-}
-
-func runBuilderMgr(ctx context.Context, clientGen crd.ClientGeneratorInterface, logger *zap.Logger, mgr manager.Interface, storageSvcUrl string) error {
-	return buildermgr.Start(ctx, clientGen, logger, mgr, storageSvcUrl)
-}
-
-func runLogger(ctx context.Context, clientGen crd.ClientGeneratorInterface, logger *zap.Logger) error {
-	return functionLogger.Start(ctx, clientGen, logger)
-}
-
-func getPort(logger *zap.Logger, portArg interface{}) int {
-	portArgStr := portArg.(string)
-	port, err := strconv.Atoi(portArgStr)
-	if err != nil {
-		logger.Fatal("invalid port number", zap.Error(err), zap.String("port", portArgStr))
-	}
-	return port
-}
-
-func getStringArgWithDefault(arg interface{}, defaultValue string) string {
-	if arg != nil {
-		return arg.(string)
-	} else {
-		return defaultValue
-	}
-}
-
-func getServiceName(arguments map[string]interface{}) string {
-	serviceName := "Fission-Unknown"
-
-	if arguments["--routerPort"] != nil {
-		serviceName = "Fission-Router"
-	} else if arguments["--executorPort"] != nil {
-		serviceName = "Fission-Executor"
-	} else if arguments["--kubewatcher"] == true {
-		serviceName = "Fission-KubeWatcher"
-	} else if arguments["--timer"] == true {
-		serviceName = "Fission-Timer"
-	} else if arguments["--mqt"] == true {
-		serviceName = "Fission-MessageQueueTrigger"
-	} else if arguments["--builderMgr"] == true {
-		serviceName = "Fission-BuilderMgr"
-	} else if arguments["--storageServicePort"] != nil {
-		serviceName = "Fission-StorageSvc"
-	} else if arguments["--mqt_keda"] == true {
-		serviceName = "Fission-Keda-MQTrigger"
-	}
-
-	return serviceName
-}
-
-func exitWithSync(logger *zap.Logger) {
-	// Ignore error, safe to ignore as per https://github.com/uber-go/zap/issues/328
-	_ = logger.Sync()
-	os.Exit(1)
-}
-
-func main() {
-	mgr := manager.New()
-	defer mgr.Wait()
-
-	var err error
-
-	// From https://github.com/containous/traefik/pull/1817/files
-	// Tell glog to log into STDERR. Otherwise, we risk
-	// certain kinds of API errors getting logged into a directory not
-	// available in a `FROM scratch` Docker container, causing glog to abort
-	// hard with an exit code > 0.
-	// TODO: fix the lint error. Error checking here is causing all components to crash with error "logtostderr not found"
-	flag.Set("logtostderr", "true") //nolint: errcheck
-
-	usage := `fission-bundle: Package of all fission microservices: router, executor.
+// Usage information
+const usageText string = `fission-bundle: Package of all fission microservices: router, executor.
 
 Use it to start one or more of the fission servers:
 
-
  Pool manager maintains a pool of generalized function containers, and
  specializes them on-demand. Executor must be run from a pod in a
  Kubernetes cluster.
@@ -198,142 +114,231 @@ Options:
   --storageServicePort=<port>     Port that the storage service should listen on.
   --executorUrl=<url>             Executor URL. Not required if --executorPort is specified.
   --routerUrl=<url>               Router URL.
-  --etcdUrl=<etcdUrl>             Etcd URL.
   --storageSvcUrl=<url>           StorageService URL.
-  --filePath=<filePath>           Directory to store functions in.
-  --namespace=<namespace>         Kubernetes namespace in which to run function containers. Defaults to 'fission-function'.
   --kubewatcher                   Start Kubernetes events watcher.
   --timer                         Start Timer.
   --mqt                           Start message queue trigger.
   --mqt_keda					  Start message queue trigger of kind KEDA
   --builderMgr                    Start builder manager.
-  --version                       Print version information
-`
-	logger := loggerfactory.GetLogger()
-	defer exitWithSync(logger)
+  --version                       Print version information`
 
-	ctx := signals.SetupSignalHandler()
-	profile.ProfileIfEnabled(ctx, logger, mgr)
+func main() {
+	mgr := manager.New()
+	defer mgr.Wait()
 
-	version := fmt.Sprintf("Fission Bundle Version: %s", info.BuildInfo().String())
-	arguments, err := docopt.ParseArgs(usage, nil, version)
-	if err != nil {
-		logger.Error("failed to parse arguments", zap.Error(err))
-		return
+	// Set up command line parsing
+	args := setupCommandLineArgs()
+
+	// Handle version request specially - exit after printing
+	if args.showVersion {
+		fmt.Printf("Fission Bundle Version: %s\n", info.BuildInfo().String())
+		os.Exit(0)
 	}
 
-	shutdown, err := otel.InitProvider(ctx, logger, getServiceName(arguments))
+	// Initialize logger
+	logger := loggerfactory.GetLogger()
+	defer func() {
+		// Ignore error, safe to ignore as per https://github.com/uber-go/zap/issues/328
+		_ = logger.Sync()
+	}()
+
+	// Set up signal handling for graceful shutdown
+	ctx := signals.SetupSignalHandler()
+
+	// Enable profiling if configured
+	profile.ProfileIfEnabled(ctx, logger, mgr)
+
+	// Initialize OpenTelemetry
+	serviceName := getServiceNameFromArgs(args)
+	shutdown, err := otel.InitProvider(ctx, logger, serviceName)
 	if err != nil {
-		logger.Error("error initializing provider for OTLP", zap.Error(err), zap.Any("argument", arguments))
+		logger.Error("error initializing provider for OTLP", zap.Error(err))
 		return
 	}
 	if shutdown != nil {
 		defer shutdown(ctx)
 	}
 
-	executorUrl := getStringArgWithDefault(arguments["--executorUrl"], "http://executor.fission")
-	routerUrl := getStringArgWithDefault(arguments["--routerUrl"], "http://router.fission")
-	storageSvcUrl := getStringArgWithDefault(arguments["--storageSvcUrl"], "http://storagesvc.fission")
+	// Initialize client generator
 	clientGen := crd.NewClientGenerator()
 
-	if arguments["--webhookPort"] != nil {
-		port := getPort(logger, arguments["--webhookPort"])
-		err = runWebhook(ctx, clientGen, logger, port)
+	// Start the appropriate service based on command line arguments
+	startRequestedService(ctx, args, clientGen, logger, mgr)
+
+	<-ctx.Done()
+	logger.Error("exiting")
+}
+
+// setupCommandLineArgs parses command line arguments and returns them
+func setupCommandLineArgs() *CommandLineArgs {
+	args := &CommandLineArgs{}
+
+	// Override the default usage function
+	flag.Usage = func() {
+		fmt.Println(usageText)
+	}
+
+	// Tell glog to log into STDERR
+	flag.Set("logtostderr", "true") //nolint: errcheck
+
+	// Define flags
+	flag.BoolVar(&args.canaryConfig, "canaryConfig", false, "Start canary config server")
+	flag.BoolVar(&args.kubewatcher, "kubewatcher", false, "Start Kubernetes events watcher")
+	flag.BoolVar(&args.timer, "timer", false, "Start Timer")
+	flag.BoolVar(&args.mqt, "mqt", false, "Start message queue trigger")
+	flag.BoolVar(&args.mqt_keda, "mqt_keda", false, "Start message queue trigger of kind KEDA")
+	flag.BoolVar(&args.builderMgr, "builderMgr", false, "Start builder manager")
+	flag.BoolVar(&args.showVersion, "version", false, "Print version information")
+	flag.BoolVar(&args.logger, "logger", false, "Start logger")
+
+	// Port flags
+	flag.IntVar(&args.webhookPort, "webhookPort", 0, "Port that the webhook should listen on")
+	flag.IntVar(&args.routerPort, "routerPort", 0, "Port that the router should listen on")
+	flag.IntVar(&args.executorPort, "executorPort", 0, "Port that the executor should listen on")
+	flag.IntVar(&args.storageServicePort, "storageServicePort", 0, "Port that the storage service should listen on")
+
+	// URL flags
+	flag.StringVar(&args.executorUrl, "executorUrl", "http://executor.fission", "Executor URL")
+	flag.StringVar(&args.routerUrl, "routerUrl", "http://router.fission", "Router URL")
+	flag.StringVar(&args.storageSvcUrl, "storageSvcUrl", "http://storagesvc.fission", "StorageService URL")
+
+	// Other configuration flags
+	flag.StringVar(&args.storageType, "storageType", "", "Type of storage to use")
+
+	// Parse flags
+	flag.Parse()
+
+	return args
+}
+
+// getServiceNameFromArgs determines which service is being started based on command line args
+func getServiceNameFromArgs(args *CommandLineArgs) string {
+	serviceName := "Fission-Unknown"
+
+	if args.routerPort != 0 {
+		serviceName = "Fission-Router"
+	} else if args.executorPort != 0 {
+		serviceName = "Fission-Executor"
+	} else if args.kubewatcher {
+		serviceName = "Fission-KubeWatcher"
+	} else if args.timer {
+		serviceName = "Fission-Timer"
+	} else if args.mqt {
+		serviceName = "Fission-MessageQueueTrigger"
+	} else if args.builderMgr {
+		serviceName = "Fission-BuilderMgr"
+	} else if args.storageServicePort != 0 {
+		serviceName = "Fission-StorageSvc"
+	} else if args.mqt_keda {
+		serviceName = "Fission-Keda-MQTrigger"
+	}
+
+	return serviceName
+}
+
+// startRequestedService starts the service specified by command line arguments
+func startRequestedService(ctx context.Context, args *CommandLineArgs, clientGen crd.ClientGeneratorInterface, logger *zap.Logger, mgr manager.Interface) {
+	var err error
+
+	// Start the requested service based on command line arguments
+	if args.webhookPort != 0 {
+		err = webhook.Start(ctx, clientGen, logger, cnwebhook.Options{
+			Port: args.webhookPort,
+		})
 		logger.Error("webhook server exited:", zap.Error(err))
 		return
 	}
 
-	if arguments["--canaryConfig"] == true {
-		err := runCanaryConfigServer(ctx, clientGen, logger, mgr)
+	if args.canaryConfig {
+		err = canaryconfigmgr.StartCanaryServer(ctx, clientGen, logger, mgr, false)
 		if err != nil {
 			logger.Error("canary config server exited with error: ", zap.Error(err))
-			return
 		}
+		return
 	}
 
-	if arguments["--routerPort"] != nil {
-		port := getPort(logger, arguments["--routerPort"])
-		err = runRouter(ctx, clientGen, logger, mgr, port, executorUrl)
+	if args.routerPort != 0 {
+		err = router.Start(ctx, clientGen, logger, mgr, args.routerPort, eclient.MakeClient(logger, args.executorUrl))
 		if err != nil {
 			logger.Error("router exited", zap.Error(err))
-			return
 		}
+		return
 	}
 
-	if arguments["--executorPort"] != nil {
-		port := getPort(logger, arguments["--executorPort"])
-		err = runExecutor(ctx, clientGen, logger, mgr, port)
+	if args.executorPort != 0 {
+		err = executor.StartExecutor(ctx, clientGen, logger, mgr, args.executorPort)
 		if err != nil {
 			logger.Error("executor exited", zap.Error(err))
-			return
 		}
+		return
 	}
 
-	if arguments["--kubewatcher"] == true {
-		err = runKubeWatcher(ctx, clientGen, logger, mgr, routerUrl)
+	if args.kubewatcher {
+		err = kubewatcher.Start(ctx, clientGen, logger, mgr, args.routerUrl)
 		if err != nil {
 			logger.Error("kubewatcher exited", zap.Error(err))
-			return
 		}
+		return
 	}
 
-	if arguments["--timer"] == true {
-		err = runTimer(ctx, clientGen, logger, mgr, routerUrl)
+	if args.timer {
+		err = timer.Start(ctx, clientGen, logger, mgr, args.routerUrl)
 		if err != nil {
 			logger.Error("timer exited", zap.Error(err))
-			return
 		}
+		return
 	}
 
-	if arguments["--mqt"] == true {
-		err = runMessageQueueMgr(ctx, clientGen, logger, mgr, routerUrl)
+	if args.mqt {
+		err = mqtrigger.Start(ctx, clientGen, logger, mgr, args.routerUrl)
 		if err != nil {
 			logger.Error("message queue manager exited", zap.Error(err))
-			return
 		}
+		return
 	}
 
-	if arguments["--mqt_keda"] == true {
-		err = runMQManager(ctx, clientGen, logger, mgr, routerUrl)
+	if args.mqt_keda {
+		err = mqt.StartScalerManager(ctx, clientGen, logger, mgr, args.routerUrl)
 		if err != nil {
 			logger.Error("mqt scaler manager exited", zap.Error(err))
-			return
 		}
+		return
 	}
 
-	if arguments["--builderMgr"] == true {
-		err = runBuilderMgr(ctx, clientGen, logger, mgr, storageSvcUrl)
+	if args.builderMgr {
+		err = buildermgr.Start(ctx, clientGen, logger, mgr, args.storageSvcUrl)
 		if err != nil {
 			logger.Error("builder manager exited", zap.Error(err))
-			return
 		}
+		return
 	}
 
-	if arguments["--logger"] == true {
-		err = runLogger(ctx, clientGen, logger)
+	if args.logger {
+		err = functionLogger.Start(ctx, clientGen, logger)
 		if err != nil {
 			logger.Error("logger exited", zap.Error(err))
 		}
 		return
 	}
 
-	if arguments["--storageServicePort"] != nil {
-		port := getPort(logger, arguments["--storageServicePort"])
+	if args.storageServicePort != 0 {
+		startStorageService(ctx, args, clientGen, logger, mgr)
+		return
+	}
+}
 
-		var storage storagesvc.Storage
+// startStorageService initializes and starts the storage service
+func startStorageService(ctx context.Context, args *CommandLineArgs, clientGen crd.ClientGeneratorInterface, logger *zap.Logger, mgr manager.Interface) {
+	var storage storagesvc.Storage
 
-		if arguments["--storageType"] != nil && arguments["--storageType"] == string(storagesvc.StorageTypeS3) {
-			storage = storagesvc.NewS3Storage()
-		} else if arguments["--storageType"] == string(storagesvc.StorageTypeLocal) {
-			storage = storagesvc.NewLocalStorage("/fission")
-		}
-		err := runStorageSvc(ctx, clientGen, logger, mgr, port, storage)
-		if err != nil {
-			logger.Error("storage service exited", zap.Error(err))
-			return
-		}
+	if args.storageType == string(storagesvc.StorageTypeS3) {
+		storage = storagesvc.NewS3Storage()
+	} else if args.storageType == string(storagesvc.StorageTypeLocal) {
+		storage = storagesvc.NewLocalStorage("/fission")
 	}
 
-	<-ctx.Done()
-	logger.Error("exiting")
+	err := storagesvc.Start(ctx, clientGen, logger, storage, mgr, args.storageServicePort)
+	if err != nil {
+		logger.Error("storage service exited", zap.Error(err))
+	}
 }

cmd/fission-bundle/mqtrigger/mqtrigger.go

@@ -24,7 +24,6 @@ import (
 	"strings"
 	"time"
 
-	"github.com/pkg/errors"
 	"go.uber.org/zap"
 
 	fv1 "github.com/fission/fission/pkg/apis/core/v1"
@@ -41,12 +40,12 @@ import (
 func Start(ctx context.Context, clientGen crd.ClientGeneratorInterface, logger *zap.Logger, mgr manager.Interface, routerUrl string) error {
 	fissionClient, err := clientGen.GetFissionClient()
 	if err != nil {
-		return errors.Wrap(err, "failed to get fission client")
+		return fmt.Errorf("failed to get fission client: %w", err)
 	}
 
 	err = crd.WaitForFunctionCRDs(ctx, logger, fissionClient)
 	if err != nil {
-		return errors.Wrap(err, "error waiting for CRDs")
+		return fmt.Errorf("error waiting for CRDs: %w", err)
 	}
 
 	mqType := (fv1.MessageQueueType)(os.Getenv("MESSAGE_QUEUE_TYPE"))

cmd/fission-cli/app/app.go

@@ -14,7 +14,8 @@ limitations under the License.
 package app
 
 import (
-	"github.com/pkg/errors"
+	"fmt"
+
 	"github.com/spf13/cobra"
 
 	"github.com/fission/fission/pkg/fission-cli/cliwrapper/cli"
@@ -65,7 +66,7 @@ func App(clientOptions cmd.ClientOptions) *cobra.Command {
 				// }
 				client, err := cmd.NewClient(clientOptions)
 				if err != nil {
-					return errors.Wrap(err, "failed to get fission client")
+					return fmt.Errorf("failed to get fission client: %w", err)
 				}
 				cmd.SetClientset(*client)
 				return nil

cmd/preupgradechecks/Dockerfile

@@ -1,3 +1,4 @@
-FROM cgr.dev/chainguard/static:latest
-COPY pre-upgrade-checks /
+FROM cgr.dev/chainguard/static:latest@sha256:a301031ffd4ed67f35ca7fa6cf3dad9937b5fa47d7493955a18d9b4ca5412d1a
+ARG TARGETPLATFORM
+COPY $TARGETPLATFORM/pre-upgrade-checks /
 ENTRYPOINT ["/pre-upgrade-checks"]

cmd/preupgradechecks/checks_test.go

@@ -1,7 +1,6 @@
 package main
 
 import (
-	"context"
 	"testing"
 
 	"github.com/stretchr/testify/require"
@@ -12,8 +11,7 @@ import (
 func TestPreUpgradeTaskClient(t *testing.T) {
 	f := framework.NewFramework()
 	defer f.Logger().Sync()
-	ctx, cancel := context.WithCancel(context.Background())
-	defer cancel()
+	ctx := t.Context()
 	err := f.Start(ctx)
 	require.NoError(t, err)
 

cmd/reporter/Dockerfile

@@ -1,3 +1,4 @@
-FROM cgr.dev/chainguard/static:latest
-COPY reporter /
+FROM cgr.dev/chainguard/static:latest@sha256:a301031ffd4ed67f35ca7fa6cf3dad9937b5fa47d7493955a18d9b4ca5412d1a
+ARG TARGETPLATFORM
+COPY $TARGETPLATFORM/reporter /
 ENTRYPOINT ["/reporter"]

crds/v1/fission.io_canaryconfigs.yaml

@@ -3,7 +3,7 @@ apiVersion: apiextensions.k8s.io/v1
 kind: CustomResourceDefinition
 metadata:
   annotations:
-    controller-gen.kubebuilder.io/version: v0.15.0
+    controller-gen.kubebuilder.io/version: v0.17.2
   name: canaryconfigs.fission.io
 spec:
   group: fission.io

crds/v1/fission.io_httptriggers.yaml

@@ -3,7 +3,7 @@ apiVersion: apiextensions.k8s.io/v1
 kind: CustomResourceDefinition
 metadata:
   annotations:
-    controller-gen.kubebuilder.io/version: v0.15.0
+    controller-gen.kubebuilder.io/version: v0.17.2
   name: httptriggers.fission.io
 spec:
   group: fission.io
@@ -76,14 +76,11 @@ spec:
                 type: object
               host:
                 description: |-
-                  TODO: remove this field since we have IngressConfig already
                   Deprecated: the original idea of this field is not for setting Ingress.
                   Since we have IngressConfig now, remove Host after couple releases.
                 type: string
               ingressconfig:
-                description: |-
-                  TODO: make IngressConfig an independent Fission resource
-                  IngressConfig for router to set up Ingress.
+                description: IngressConfig for router to set up Ingress.
                 properties:
                   annotations:
                     additionalProperties:

crds/v1/fission.io_kuberneteswatchtriggers.yaml

@@ -3,7 +3,7 @@ apiVersion: apiextensions.k8s.io/v1
 kind: CustomResourceDefinition
 metadata:
   annotations:
-    controller-gen.kubebuilder.io/version: v0.15.0
+    controller-gen.kubebuilder.io/version: v0.17.2
   name: kuberneteswatchtriggers.fission.io
 spec:
   group: fission.io

crds/v1/fission.io_packages.yaml

@@ -3,7 +3,7 @@ apiVersion: apiextensions.k8s.io/v1
 kind: CustomResourceDefinition
 metadata:
   annotations:
-    controller-gen.kubebuilder.io/version: v0.15.0
+    controller-gen.kubebuilder.io/version: v0.17.2
   name: packages.fission.io
 spec:
   group: fission.io

crds/v1/fission.io_timetriggers.yaml

@@ -3,7 +3,7 @@ apiVersion: apiextensions.k8s.io/v1
 kind: CustomResourceDefinition
 metadata:
   annotations:
-    controller-gen.kubebuilder.io/version: v0.15.0
+    controller-gen.kubebuilder.io/version: v0.17.2
   name: timetriggers.fission.io
 spec:
   group: fission.io
@@ -73,6 +73,17 @@ spec:
                 - name
                 - type
                 type: object
+              method:
+                default: POST
+                description: 'HTTP Method for trigger, ex : GET, POST, PUT, DELETE,
+                  HEAD (default: "POST")'
+                type: string
+              subpath:
+                default: /
+                description: |-
+                  Subpath to trigger a specific route if function
+                  internally supports routing, (default: "/")
+                type: string
             required:
             - cron
             - functionref

crds/v1/kustomization.yaml

@@ -1,13 +1,15 @@
 apiVersion: kustomize.config.k8s.io/v1beta1
 kind: Kustomization
-commonLabels:
-  group: fission.io
 resources:
-  - fission.io_canaryconfigs.yaml
-  - fission.io_environments.yaml
-  - fission.io_functions.yaml
-  - fission.io_httptriggers.yaml
-  - fission.io_kuberneteswatchtriggers.yaml
-  - fission.io_messagequeuetriggers.yaml
-  - fission.io_packages.yaml
-  - fission.io_timetriggers.yaml
+- fission.io_canaryconfigs.yaml
+- fission.io_environments.yaml
+- fission.io_functions.yaml
+- fission.io_httptriggers.yaml
+- fission.io_kuberneteswatchtriggers.yaml
+- fission.io_messagequeuetriggers.yaml
+- fission.io_packages.yaml
+- fission.io_timetriggers.yaml
+labels:
+- includeSelectors: true
+  pairs:
+    group: fission.io

deploy/multitenant/rbac.yaml

@@ -0,0 +1,122 @@
+# deploy/multitenant/rbac.yaml
+#
+# RBAC required for the Fission multi-tenant NSWatcher components.
+#
+# Both fission-executor and fission-router must be allowed to list and watch
+# Namespaces at the cluster scope so that their NSWatchers can detect newly-
+# labeled Namespaces.
+#
+# The executor also needs additional write permissions to provision the
+# fission-fetcher ServiceAccount/Role/RoleBinding in new namespaces.
+# Apply once per cluster after installing Fission:
+#
+#   kubectl apply -f deploy/multitenant/rbac.yaml
+#
+---
+apiVersion: rbac.authorization.k8s.io/v1
+kind: ClusterRole
+metadata:
+  name: fission-executor-ns-watcher
+  labels:
+    app.kubernetes.io/name: fission
+    app.kubernetes.io/component: executor
+    app.kubernetes.io/part-of: fission-multitenant
+rules:
+  - apiGroups: [""]
+    resources: ["namespaces"]
+    verbs: ["list", "watch"]
+---
+apiVersion: rbac.authorization.k8s.io/v1
+kind: ClusterRoleBinding
+metadata:
+  name: fission-executor-ns-watcher
+  labels:
+    app.kubernetes.io/name: fission
+    app.kubernetes.io/component: executor
+    app.kubernetes.io/part-of: fission-multitenant
+roleRef:
+  apiGroup: rbac.authorization.k8s.io
+  kind: ClusterRole
+  name: fission-executor-ns-watcher
+subjects:
+  - kind: ServiceAccount
+    name: fission-executor
+    namespace: fission
+---
+apiVersion: rbac.authorization.k8s.io/v1
+kind: ClusterRole
+metadata:
+  name: fission-router-ns-watcher
+  labels:
+    app.kubernetes.io/name: fission
+    app.kubernetes.io/component: router
+    app.kubernetes.io/part-of: fission-multitenant
+rules:
+  - apiGroups: [""]
+    resources: ["namespaces"]
+    verbs: ["list", "watch"]
+---
+apiVersion: rbac.authorization.k8s.io/v1
+kind: ClusterRoleBinding
+metadata:
+  name: fission-router-ns-watcher
+  labels:
+    app.kubernetes.io/name: fission
+    app.kubernetes.io/component: router
+    app.kubernetes.io/part-of: fission-multitenant
+roleRef:
+  apiGroup: rbac.authorization.k8s.io
+  kind: ClusterRole
+  name: fission-router-ns-watcher
+subjects:
+  - kind: ServiceAccount
+    name: fission-router
+    namespace: fission
+---
+# ClusterRole: allows fission-executor to create/update fission-fetcher SA,
+# Role and RoleBinding in any user namespace managed by NSWatcher.
+#
+# It also needs two less-obvious permissions:
+#   1. localsubjectaccessreviews.create — setupSAAndRoleBindings checks whether
+#      the target SA already has each permission before creating missing rules.
+#   2. events.create — Kubernetes forbids creating a Role that grants permissions
+#      the caller does not currently hold. Since fission-fetcher gets events.create,
+#      fission-executor must hold it too in order to create that Role.
+apiVersion: rbac.authorization.k8s.io/v1
+kind: ClusterRole
+metadata:
+  name: fission-executor-sa-provisioner
+  labels:
+    app.kubernetes.io/name: fission
+    app.kubernetes.io/component: executor
+    app.kubernetes.io/part-of: fission-multitenant
+rules:
+  - apiGroups: [""]
+    resources: ["serviceaccounts"]
+    verbs: ["get", "list", "watch", "create", "update", "patch"]
+  - apiGroups: [""]
+    resources: ["events"]
+    verbs: ["create"]
+  - apiGroups: ["authorization.k8s.io"]
+    resources: ["localsubjectaccessreviews"]
+    verbs: ["create"]
+  - apiGroups: ["rbac.authorization.k8s.io"]
+    resources: ["roles", "rolebindings"]
+    verbs: ["get", "list", "watch", "create", "update", "patch"]
+---
+apiVersion: rbac.authorization.k8s.io/v1
+kind: ClusterRoleBinding
+metadata:
+  name: fission-executor-sa-provisioner
+  labels:
+    app.kubernetes.io/name: fission
+    app.kubernetes.io/component: executor
+    app.kubernetes.io/part-of: fission-multitenant
+roleRef:
+  apiGroup: rbac.authorization.k8s.io
+  kind: ClusterRole
+  name: fission-executor-sa-provisioner
+subjects:
+  - kind: ServiceAccount
+    name: fission-executor
+    namespace: fission

doc/2026-05-18-namespace-lifecycle-hardening-impl.md

@@ -0,0 +1,567 @@
+# Namespace Lifecycle Hardening — Implementation Notes
+## Дата: 2026-05-18
+## Ветка: `fix/namespace-lifecycle-hardening`
+## Коммиты: `3b93c5dc` (предыдущая сессия) → `4eedf95f` (эта сессия)
+
+---
+
+## 1. Контекст: что было сделано до этой сессии
+
+### Предыдущие правки (коммит `3b93c5dc`)
+1. **`RemoveNamespace(ns string) bool`** — добавлен в `NamespaceResolver` (`pkg/utils/namespace.go`).  
+   `HandleWatcherNamespaceRemoval` теперь вызывает его при любой стратегии, очищая глобальный resolver. Это исправляет дедупликацию router/buildermgr при re-add NS.
+
+2. **Параллельный `dispatch()`** — `pkg/utils/namespace_manager.go`: заменён последовательный обход подписчиков на параллельный с `sync.WaitGroup`. Исправляет 30-минутное окно, когда HTTPTrigger не видел namespace из-за того что обход был последовательным.
+
+3. **`RunReconciler()`** — добавлен в `NamespaceManager` interface и реализован в `inMemoryNamespaceManager`. Каждые 30 секунд сканирует namespace-ы в фазе `NamespacePhaseFailed` и вызывает `DispatchResync`. Исправляет постоянно stuck-failed namespace при транзиентных k8s API ошибках.
+
+### Что оставалось нерешённым (из аудита)
+Три проблемы, зафиксированные в `FORENSIC_ARCHITECTURE_AUDIT.md`:
+
+**Проблема 1 — Executor dedup gap (Critical)**  
+При удалении NS и повторном добавлении executor молча пропускал его.  
+Причина: `gpm.poolPodC.envLister[ns]` и `deploy.deplLister[ns]` проверялись как дедупликация в `AddNamespace`, но никогда не очищались при удалении NS.  
+Результат: повторно добавленный namespace не получал informers в executor → функции не запускались.
+
+**Проблема 2 — Goroutine/FD leak (High)**  
+При удалении NS старые informer factories продолжали работать (goroutines, file descriptors, LIST-запросы к k8s API каждые 30 минут).  
+Причина: informers запускались с `ctx.Done()` родительского контекста всего процесса, без механизма per-NS остановки.
+
+**Проблема 3 — Router stale routes (Medium)**  
+После удаления NS router продолжал держать HTTPTrigger routes для этого namespace.  
+Причина: `triggerInformer[ns]` и `funcInformer[ns]` не чистились, `syncTriggers()` не вызывался.
+
+---
+
+## 2. Анализ перед реализацией
+
+### 2.1 Чтение интерфейса ExecutorType
+Файл: `pkg/executor/executortype/executortype.go`
+
+```go
+// До правки — нет RemoveNamespace
+AddNamespace(ctx context.Context, ns string, mgr manager.Interface) error
+}
+```
+
+Подтверждено: ни `grep`, ни LSP не нашли `RemoveNamespace` в executor types.
+
+### 2.2 Анализ механизма дедупликации по каждому executor type
+
+**poolmgr** (`gpm.go` строка 807):
+```go
+if _, ok := gpm.poolPodC.envLister[ns]; ok {
+    return nil // already registered
+}
+```
+Деdup через `PoolPodController.envLister[ns]` — локальная карта, не связана с глобальным resolver.
+
+**newdeploy** (`newdeploymgr.go` строка 917):
+```go
+if _, ok := deploy.deplLister[ns]; ok {
+    return nil // already registered
+}
+```
+Деdup через `deploy.deplLister[ns]`.
+
+**container** (`containermgr.go` строка 805):
+```go
+if _, ok := caaf.deplLister[ns]; ok {
+    return nil // already registered
+}
+```
+Деdup через `caaf.deplLister[ns]`.
+
+**router** (`httpTriggers.go` строка 461):
+```go
+if !utils.DefaultNSResolver().AddNamespace(ns) {
+    return nil // already registered
+}
+```
+Деdup через глобальный resolver — **уже починен** предыдущим коммитом (`RemoveNamespace` в resolver).
+
+**buildermgr envwatcher** (`envwatcher.go` строка 506):
+```go
+if _, exists := envw.envWatchInformer[ns]; exists {
+    return
+}
+```
+Деdup через `envw.envWatchInformer[ns]`.
+
+**buildermgr pkgwatcher** (`pkgwatcher.go` строка 337):
+```go
+if _, exists := pkgw.pkgInformer[ns]; exists {
+    return
+}
+```
+Деdup через `pkgw.pkgInformer[ns]`.
+
+### 2.3 Анализ стратегии удаления
+
+`NewDefaultManagedNamespaceWatcherConfig` создаёт конфиг с `RemovalStrategy: NamespaceRemovalStrategyTrackOnly`.  
+При `TrackOnly` — `HandleWatcherNamespaceRemoval` вызывает `DefaultNSResolver().RemoveNamespace()` (наш предыдущий фикс), но **не** вызывает `manager.DispatchRemove()` → `subscriber.OnNamespaceRemove()` → `RemoveFunc` не срабатывает.
+
+Для вызова `RemoveFunc` нужна стратегия `DispatchRemove`.
+
+### 2.4 Решение: per-namespace context cancellation
+
+Informers запускаются через `factory.Start(ctx.Done())`. Стандартный способ остановить отдельный informer — отменить контекст, с которым он запущен.
+
+**Решение:**
+```go
+nsCtx, nsCancel := context.WithCancel(ctx)
+gpm.nsCancels[ns] = nsCancel
+finformer.Start(nsCtx.Done())  // вместо ctx.Done()
+```
+
+При `RemoveNamespace`:
+```go
+if cancel, ok := gpm.nsCancels[ns]; ok {
+    cancel()  // останавливает goroutines informer factories
+    delete(gpm.nsCancels, ns)
+}
+```
+
+Это чисто и не требует изменения k8s client-go.
+
+### 2.5 Mutex и thread-safety
+
+Существующий код в executor types не защищает lister maps мьютексами. Записи в них происходят только при `AddNamespace` (из subscriber goroutine). Добавление `RemoveNamespace` добавляет ещё одну запись из той же goroutine. Race condition с event handlers (которые читают эти maps) — известное ограничение существующего дизайна, не добавляем мьютексы чтобы не выходить за рамки задачи.
+
+`HTTPTriggerSet` уже имеет `informerMu sync.RWMutex` — его и используем в `RemoveNamespace` при удалении из `triggerInformer`/`funcInformer`.
+
+---
+
+## 3. Реализация — пошаговое описание
+
+### Шаг 1: `pkg/executor/executortype/executortype.go`
+
+Добавлен метод в `ExecutorType` interface:
+
+```go
+// RemoveNamespace deregisters a namespace from the executor, cancelling its
+// informer goroutines and clearing dedup state so that a re-add works correctly.
+// Called when a Namespace with label fission.io/managed=true is removed.
+RemoveNamespace(ctx context.Context, ns string) error
+```
+
+**Почему:** Все три executor type реализуют этот интерфейс. Добавление в интерфейс гарантирует, что новый тип executor не забудет реализовать метод (компилятор поймает).
+
+---
+
+### Шаг 2: `pkg/executor/executortype/poolmgr/gpm.go`
+
+**2a. Добавлено поле в struct:**
+```go
+// nsCancels holds per-namespace context cancel functions so informer
+// factories started in AddNamespace can be stopped on RemoveNamespace.
+nsCancels map[string]context.CancelFunc
+```
+
+**2b. Инициализация в `MakeGenericPoolManager`:**
+```go
+nsCancels: make(map[string]context.CancelFunc),
+```
+
+**2c. Изменение в `AddNamespace`:** вместо `ctx.Done()` передаём `nsCtx.Done()`:
+```go
+nsCtx, nsCancel := context.WithCancel(ctx)
+gpm.nsCancels[ns] = nsCancel
+finformer.Start(nsCtx.Done())
+gpmInformer.Start(nsCtx.Done())
+```
+
+**2d. Новый метод `RemoveNamespace`:**
+```go
+func (gpm *GenericPoolManager) RemoveNamespace(ctx context.Context, ns string) error {
+    if ns == "" { return nil }
+    gpm.logger.Info("RemoveNamespace: cleaning up namespace (poolmgr)", ...)
+    if cancel, ok := gpm.nsCancels[ns]; ok {
+        cancel()
+        delete(gpm.nsCancels, ns)
+    }
+    delete(gpm.podLister, ns)
+    delete(gpm.podListerSynced, ns)
+    gpm.poolPodC.RemoveNamespace(ns)  // очищает envLister/podLister в PoolPodController
+    return nil
+}
+```
+
+---
+
+### Шаг 3: `pkg/executor/executortype/poolmgr/poolpodcontroller.go`
+
+Добавлен метод, очищающий lister maps в `PoolPodController`:
+
+```go
+func (p *PoolPodController) RemoveNamespace(ns string) {
+    delete(p.envLister, ns)
+    delete(p.envListerSynced, ns)
+    delete(p.podLister, ns)
+    delete(p.podListerSynced, ns)
+    p.logger.Info("PoolPodController.RemoveNamespace: cleared lister state", ...)
+}
+```
+
+**Почему отдельный метод:** `PoolPodController` — отдельная структура внутри poolmgr. Доступ к её полям из `GenericPoolManager.RemoveNamespace` требовал бы либо экспорта полей, либо метода. Метод — чище.
+
+---
+
+### Шаг 4: `pkg/executor/executortype/newdeploy/newdeploymgr.go`
+
+Аналогично gpm:
+- Добавлен `nsCancels map[string]context.CancelFunc` в struct `NewDeploy`
+- Инициализирован в `MakeNewDeploy`
+- `AddNamespace` переключён на `nsCtx.Done()`
+- Добавлен `RemoveNamespace` очищающий `deplLister`, `deplListerSynced`, `svcLister`, `svcListerSynced`
+
+---
+
+### Шаг 5: `pkg/executor/executortype/container/containermgr.go`
+
+Аналогично. Struct `Container` получил `nsCancels`. `AddNamespace` использует `nsCtx.Done()`. `RemoveNamespace` очищает `deplLister`, `deplListerSynced`, `svcLister`, `svcListerSynced`.
+
+---
+
+### Шаг 6: `pkg/executor/multitenant/namespace_subscriber.go`
+
+Добавлен `RemoveFunc` в `NamespaceSubscriberFuncs`:
+
+```go
+RemoveFunc: func(ctx context.Context, record utils.NamespaceRecord) error {
+    return deregisterNamespace(ctx, logger, record.Name, executorTypes)
+},
+```
+
+`deregisterNamespace` итерирует все executor types и вызывает `et.RemoveNamespace(ctx, ns)`.
+
+---
+
+### Шаг 7: `pkg/executor/multitenant/ns_watcher.go`
+
+**7a. Добавлен `deregisterNamespace`:**
+```go
+func deregisterNamespace(ctx, logger, ns, executorTypes) error {
+    var joinErr error
+    for _, et := range executorTypes {
+        if err := et.RemoveNamespace(ctx, ns); err != nil {
+            joinErr = errors.Join(joinErr, err)
+        }
+    }
+    logger.Info("multitenant.NSWatcher: deregistered namespace", ...)
+    return joinErr
+}
+```
+
+**7b. Изменён `StartNSWatcher`:** стратегия `TrackOnly` → `DispatchRemove`:
+```go
+config := utils.NewDefaultManagedNamespaceWatcherConfig(...)
+config.RemovalStrategy = utils.NamespaceRemovalStrategyDispatchRemove
+```
+
+**Почему:** Без `DispatchRemove` `RemoveFunc` подписчика никогда не вызывается. `TrackOnly` вызывает только `DefaultNSResolver().RemoveNamespace()` (что сделано в `HandleWatcherNamespaceRemoval`), но не диспетчирует событие подписчикам.
+
+---
+
+### Шаг 8: `pkg/buildermgr/envwatcher.go`
+
+- Добавлен `nsCancels map[string]context.CancelFunc` в struct `environmentWatcher`
+- Инициализирован в `makeEnvironmentWatcher` (там же где `envWatchInformer`)
+- `AddNamespace` переключён на per-NS context:
+  ```go
+  nsCtx, nsCancel := context.WithCancel(ctx)
+  envw.nsCancels[ns] = nsCancel
+  factory.Start(nsCtx.Done())
+  ```
+- Добавлен `RemoveNamespace(ns string)`:
+  ```go
+  func (envw *environmentWatcher) RemoveNamespace(ns string) {
+      if cancel, ok := envw.nsCancels[ns]; ok { cancel(); delete(...) }
+      delete(envw.envWatchInformer, ns)
+  }
+  ```
+
+**Ошибка при первой попытке:** replace_string_in_file добавил `nsCancels` с тройным отступом (три таба вместо двух) и без закрывающего `}` struct literal — синтаксическая ошибка компиляции. Исправлено вторым вызовом replace.
+
+---
+
+### Шаг 9: `pkg/buildermgr/pkgwatcher.go`
+
+Аналогично envwatcher:
+- `nsCancels` в struct `packageWatcher`
+- Инициализация в `makePackageWatcher`
+- `AddNamespace` → per-NS ctx для `fissionFactory.Start()` и `podFactory.Start()`
+- `RemoveNamespace(ns string)` очищает `pkgInformer[ns]`, `podInformer[ns]`
+
+---
+
+### Шаг 10: `pkg/buildermgr/namespace_subscriber.go`
+
+Добавлены два новых интерфейса:
+```go
+type builderEnvNamespaceRemover interface {
+    RemoveNamespace(ns string)
+}
+type builderPkgNamespaceRemover interface {
+    RemoveNamespace(ns string)
+}
+```
+
+Добавлен `RemoveFunc`:
+```go
+RemoveFunc: func(ctx context.Context, record utils.NamespaceRecord) error {
+    deregisterBuilderNamespace(record.Name, envw, pkgw)
+    return nil
+},
+```
+
+`deregisterBuilderNamespace` через type assertion вызывает `RemoveNamespace` если интерфейс реализован:
+```go
+func deregisterBuilderNamespace(namespace string, envw, pkgw) {
+    utils.DefaultNSResolver().RemoveNamespace(namespace)
+    if r, ok := envw.(builderEnvNamespaceRemover); ok { r.RemoveNamespace(namespace) }
+    if r, ok := pkgw.(builderPkgNamespaceRemover); ok { r.RemoveNamespace(namespace) }
+}
+```
+
+**Почему type assertion:** `builderEnvNamespaceAdder` — интерфейс-параметр функции `NewNamespaceSubscriber`. Вместо добавления `RemoveNamespace` в существующий интерфейс (что сломало бы тестовые фейки) используем опциональный интерфейс через type assertion.
+
+---
+
+### Шаг 11: `pkg/buildermgr/ns_watcher.go`
+
+Стратегия изменена на `DispatchRemove` аналогично executor.
+
+---
+
+### Шаг 12: `pkg/router/httpTriggers.go`
+
+**12a. Добавлен `nsCancels` в struct:**
+```go
+// nsCancels holds per-namespace context cancel functions for informer lifecycle.
+nsCancels map[string]context.CancelFunc
+```
+
+**12b. Инициализация в `makeHTTPTriggerSet`:**
+```go
+nsCancels: make(map[string]context.CancelFunc),
+```
+
+**12c. Изменён `AddNamespace`:** per-NS ctx:
+```go
+nsCtx, nsCancel := context.WithCancel(ctx)
+ts.nsCancels[ns] = nsCancel
+factory.Start(nsCtx.Done())
+k8sCache.WaitForCacheSync(nsCtx.Done(), ...)  // тоже nsCtx
+```
+
+**12d. Новый метод `RemoveNamespace`:**
+```go
+func (ts *HTTPTriggerSet) RemoveNamespace(ns string) {
+    if cancel, ok := ts.nsCancels[ns]; ok { cancel(); delete(...) }
+    ts.informerMu.Lock()
+    delete(ts.triggerInformer, ns)
+    delete(ts.funcInformer, ns)
+    ts.informerMu.Unlock()
+    ts.syncTriggers()  // немедленно перестраивает routing table без удалённого NS
+}
+```
+
+**Почему `informerMu.Lock()`:** `HTTPTriggerSet` уже имеет `informerMu sync.RWMutex` для защиты `triggerInformer`/`funcInformer`. Используем его — не добавляем новые мьютексы.
+
+---
+
+### Шаг 13: `pkg/router/namespace_subscriber.go`
+
+Добавлен `routerNamespaceRemover` interface и `RemoveFunc`:
+
+```go
+type routerNamespaceRemover interface {
+    RemoveNamespace(ns string)
+}
+
+RemoveFunc: func(ctx context.Context, record utils.NamespaceRecord) error {
+    if r, ok := ts.(routerNamespaceRemover); ok {
+        r.RemoveNamespace(record.Name)
+    }
+    return nil
+},
+```
+
+---
+
+### Шаг 14: `pkg/router/ns_watcher.go`
+
+Стратегия → `DispatchRemove`.
+
+---
+
+### Шаг 15: Тест-фейк `pkg/executor/multitenant/ns_watcher_test.go`
+
+`fakeExecutorType` не реализовывал новый метод → ошибка компиляции:
+```
+*fakeExecutorType does not implement executortype.ExecutorType (missing method RemoveNamespace)
+```
+
+Добавлена заглушка:
+```go
+func (f *fakeExecutorType) RemoveNamespace(ctx context.Context, ns string) error { return nil }
+```
+
+---
+
+## 4. Результат компиляции и тестов
+
+```
+go build ./pkg/... ./cmd/...   → нет вывода (успех)
+
+go test ./pkg/utils/...
+      ./pkg/executor/...
+      ./pkg/buildermgr/...
+      ./pkg/router/...
+
+ok    github.com/fission/fission/pkg/utils
+ok    github.com/fission/fission/pkg/executor/executortype/newdeploy
+ok    github.com/fission/fission/pkg/executor/executortype/poolmgr
+ok    github.com/fission/fission/pkg/executor/fscache
+ok    github.com/fission/fission/pkg/executor/multitenant
+ok    github.com/fission/fission/pkg/executor/util
+ok    github.com/fission/fission/pkg/buildermgr
+ok    github.com/fission/fission/pkg/router
+```
+
+---
+
+## 5. Схема потока при удалении NS (после всех правок)
+
+```
+k8s: Namespace label fission.io/managed=true удалён/NS удалён
+    │
+    ▼
+ManagedNamespaceWatcher (DispatchRemove стратегия)
+    │
+    ├─► HandleWatcherNamespaceRemoval()
+    │       DefaultNSResolver().RemoveNamespace(ns)  ← сброс глобального guard
+    │       manager.DispatchRemove(ctx, ns)
+    │
+    ▼
+inMemoryNamespaceManager.DispatchRemove()
+    │
+    ├─► goroutine: subscriber[executor].OnNamespaceRemove(record)
+    │       deregisterNamespace(ctx, logger, ns, executorTypes)
+    │           gpm.RemoveNamespace(ctx, ns)
+    │               nsCancel()                    ← останавливает informer goroutines
+    │               delete(podLister[ns])
+    │               delete(podListerSynced[ns])
+    │               poolPodC.RemoveNamespace(ns)
+    │                   delete(envLister[ns])
+    │                   delete(envListerSynced[ns])
+    │                   delete(podLister[ns])
+    │                   delete(podListerSynced[ns])
+    │           deploy.RemoveNamespace(ctx, ns)
+    │               nsCancel()
+    │               delete(deplLister[ns])
+    │               delete(deplListerSynced[ns])
+    │               delete(svcLister[ns])
+    │               delete(svcListerSynced[ns])
+    │           container.RemoveNamespace(ctx, ns)
+    │               nsCancel()
+    │               delete(deplLister[ns])
+    │               delete(svcLister[ns])
+    │
+    ├─► goroutine: subscriber[buildermgr].OnNamespaceRemove(record)
+    │       deregisterBuilderNamespace(ns, envw, pkgw)
+    │           DefaultNSResolver().RemoveNamespace(ns)  ← повторно (безопасно)
+    │           envw.RemoveNamespace(ns)
+    │               nsCancel()
+    │               delete(envWatchInformer[ns])
+    │           pkgw.RemoveNamespace(ns)
+    │               nsCancel()
+    │               delete(pkgInformer[ns])
+    │               delete(podInformer[ns])
+    │
+    └─► goroutine: subscriber[router].OnNamespaceRemove(record)
+            ts.RemoveNamespace(ns)
+                nsCancel()                         ← останавливает triggerInf/funcInf goroutines
+                informerMu.Lock()
+                delete(triggerInformer[ns])
+                delete(funcInformer[ns])
+                informerMu.Unlock()
+                syncTriggers()                     ← немедленно убирает routes для удалённого NS
+```
+
+---
+
+## 6. Что НЕ было реализовано и почему
+
+**`FunctionServiceCache.DeleteByNamespace(ns string)`** — не реализовано.
+
+Причина: `idleObjectReaper` периодически вызывает `IsValid()` для всех записей. Для удалённого NS k8s API возвращает 404/403 → `IsValid()` вернёт `false` → запись будет удалена reaperом естественным образом. Это создаёт несколько минут "грязных" записей и 404 ошибки в логах, но не влияет на корректность: для удалённого NS новые запросы не придут (router очистил routes), а reaper уберёт старые записи.
+
+Реализация `DeleteByNamespace` потребовала бы добавления namespace-индекса в `byFunction`/`byAddress`/`byFunctionUID` кэшах (нетривиально), или дорогого линейного прохода по всем записям. Не было делать без явного запроса.
+
+---
+
+## 7. Затронутые файлы (17 изменённых)
+
+| Файл | Тип изменения |
+|------|---------------|
+| `pkg/executor/executortype/executortype.go` | +метод в interface |
+| `pkg/executor/executortype/poolmgr/gpm.go` | +поле nsCancels, modify AddNamespace, +RemoveNamespace |
+| `pkg/executor/executortype/poolmgr/poolpodcontroller.go` | +RemoveNamespace |
+| `pkg/executor/executortype/newdeploy/newdeploymgr.go` | +поле nsCancels, modify AddNamespace, +RemoveNamespace |
+| `pkg/executor/executortype/container/containermgr.go` | +поле nsCancels, modify AddNamespace, +RemoveNamespace |
+| `pkg/executor/multitenant/namespace_subscriber.go` | +RemoveFunc |
+| `pkg/executor/multitenant/ns_watcher.go` | +deregisterNamespace, DispatchRemove |
+| `pkg/executor/multitenant/ns_watcher_test.go` | +RemoveNamespace в fakeExecutorType |
+| `pkg/buildermgr/namespace_subscriber.go` | +интерфейсы remover, +RemoveFunc, +deregisterBuilderNamespace |
+| `pkg/buildermgr/envwatcher.go` | +nsCancels, modify AddNamespace, +RemoveNamespace |
+| `pkg/buildermgr/pkgwatcher.go` | +nsCancels, modify AddNamespace, +RemoveNamespace |
+| `pkg/buildermgr/ns_watcher.go` | DispatchRemove |
+| `pkg/router/httpTriggers.go` | +nsCancels, modify AddNamespace, +RemoveNamespace |
+| `pkg/router/namespace_subscriber.go` | +routerNamespaceRemover, +RemoveFunc |
+| `pkg/router/ns_watcher.go` | DispatchRemove |
+| `doc/FORENSIC_ARCHITECTURE_AUDIT.md` | перемещён из корня (git rename) |
+| `doc/console-compat-2026-05-15.md` | создан (отдельная задача) |
+
+---
+
+## 8. Ошибки в процессе
+
+### Ошибка 1: Синтаксическая ошибка в envwatcher.go
+**Что случилось:** При попытке заменить блок инициализации struct добавился `nsCancels:` с тройным отступом и без закрывающей `}`:
+```
+// Стало (неверно):
+		enableOwnerReferences:  utils.IsOwnerReferencesEnabled(),
+			nsCancels:              make(map[string]context.CancelFunc),
+	err := envWatcher.EnvWatchEventHandlers(ctx)
+// ← пропущена } закрывающая struct literal
+```
+
+**Причина:** replace_string_in_file не нашёл точное совпадение с нужным whitespace и применил замену частично некорректно.
+
+**Исправление:** второй вызов replace_string_in_file с правильным контекстом (включая соседние строки для однозначного совпадения).
+
+**Вывод компилятора:**
+```
+pkg/buildermgr/envwatcher.go:117:6: syntax error: unexpected := in composite literal; possibly missing comma or }
+```
+
+### Ошибка 2: Тест-фейк не реализует интерфейс
+**Что случилось:** После добавления `RemoveNamespace` в interface `ExecutorType`, тест `ns_watcher_test.go` не компилировался:
+```
+*fakeExecutorType does not implement executortype.ExecutorType (missing method RemoveNamespace)
+```
+
+**Исправление:** добавлена заглушка в `fakeExecutorType`.
+
+---
+
+## 9. Инварианты безопасности
+
+1. `nsCancel()` идемпотентен: повторный вызов не паникует (context package гарантирует это)
+2. `RemoveNamespace("")` защищён early return во всех реализациях
+3. `deregisterBuilderNamespace` через type assertion — безопасно если интерфейс не реализован (просто пропускает)
+4. `routerNamespaceRemover` через type assertion в router subscriber — аналогично
+5. Goroutines informer factories останавливаются асинхронно после `cancel()` — это нормально, k8s client-go гарантирует graceful shutdown при отмене контекста
+6. После `RemoveNamespace` и до следующего `AddNamespace` — любые события от k8s для этого NS будут проигнорированы (informers остановлены, listers удалены)

doc/FORENSIC_ARCHITECTURE_AUDIT.md

@@ -0,0 +1,279 @@
+# Forensic Architecture Audit: Fission Fork (multitenant, May 2026)
+
+> Актуальная редакция. Легаси-версия: `FORENSIC_ARCHITECTURE_AUDIT_LEGACY_2026-05.md`
+> Обновлено: 2026-05-18 после реализации namespace lifecycle hardening.
+
+---
+
+## Статус исправлений
+
+| Риск | Статус | Коммит |
+|------|--------|--------|
+| Informer goroutine/FD leak при TrackOnly removal | ✅ ЗАКРЫТ | `4eedf95f` |
+| Router stale routes при повторном добавлении NS | ✅ ЗАКРЫТ | `4eedf95f` |
+| Executor dedup dirty state при re-add NS | ✅ ЗАКРЫТ | `4eedf95f` |
+| Синхронный subscriber dispatch (onboarding latency) | ✅ ЗАКРЫТ | предыдущая сессия |
+| `DefaultNSResolver` только append (нет RemoveNamespace) | ✅ ЗАКРЫТ | предыдущая сессия |
+| Stuck-failed namespace без auto-recovery | ✅ ЗАКРЫТ | `919e8439` |
+| AdoptExistingResources race при rolling update | ✅ ЗАКРЫТ | `2a7d6101` |
+| No Explicit State Machine (implicit phase transitions) | ⚠️ СМЯГЧЕНО | `919e8439` |
+| Sharded mutex (bottleneck при >500 concurrent tenant) | ⏳ BACKLOG | не актуально при текущей нагрузке |
+
+---
+
+## Architectural Decisions (реально принятые)
+
+- **Dynamic Namespace Discovery**: Механизм динамического обнаружения и подключения tenant-namespace через label `fission.io/managed=true` (`pkg/utils/namespace_manager.go`, `pkg/executor/multitenant/ns_watcher.go`).
+- **Namespace Lifecycle Management**: Жизненный цикл namespace централизован через интерфейс `NamespaceManager` с подписчиками (executor, router, buildermgr).
+- **Decoupled Registration**: Каждый компонент подписывается как `NamespaceSubscriber` и реализует свою логику инициализации/чистки ресурсов.
+- **Backward Compatibility**: Поддержка статического списка через env (`FISSION_RESOURCE_NAMESPACES`) с динамическим расширением.
+- **No-Restart Onboarding**: Добавление tenant не требует рестарта pod-ов.
+- **RBAC/SA Provisioning**: Автоматическое создание SA и RBAC для новых namespace (`EnsureNamespaceSA`).
+- **Informer Factories Per Namespace**: Отдельная informer factory для каждого NS, с per-NS context cancellation.
+- **Explicit Namespace Removal Strategy**: `DispatchRemove` — при удалении NS вызываются `RemoveFunc` у всех подписчиков, останавливаются informer-ы через `context.CancelFunc`.
+- **Parallel Subscriber Dispatch**: Подписчики вызываются параллельно через `errgroup` — onboarding не блокируется медленным SA provisioning.
+
+---
+
+## Core Complexity Centers
+
+- **NamespaceManager & Watcher**: Центр всей динамики — координация событий, фаз, подписчиков.
+- **ExecutorType Subsystems**: Poolmgr, NewDeploy, Container — каждый хранит собственный per-NS кэш, lister-ы, логику adoption и reaping.
+- **Informer Lifecycle**: Динамическое создание/остановка informer-ов через per-NS `context.CancelFunc`. Чистка `envLister[ns]`/`deplLister[ns]`/`triggerInformer[ns]` при `RemoveNamespace`.
+- **FunctionServiceCache**: Кэширование и lifecycle function pod-ов, синхронизация с событиями из разных источников. **Не очищается при RemoveNamespace** — `idleObjectReaper` убирает устаревшие записи через `IsValid()` check.
+
+---
+
+## Hidden Coupling & Accidental Complexity
+
+- **Implicit Contract**: Все компоненты обязаны реализовывать `NamespaceSubscriber` симметрично (и `AddFunc`, и `RemoveFunc`). Нарушение → silent drift.
+- **Global vs Local State**: Глобальный `DefaultNSResolver` + локальные lister-ы в каждом executor type. `RemoveNamespace` в NSResolver и в каждом executor type должны быть вызваны согласованно.
+- **Deduplication Responsibility**: `AddNamespace` дедупликация — через `DefaultNSResolver().AddNamespace()` возвращающий `bool`, и через проверку локального lister-а (`envLister[ns] != nil`). После `RemoveNamespace` оба guard сбрасываются → re-add корректно создаёт новые informer-ы.
+- **Event Handler Ordering**: Порядок подписчиков в `Subscribe` влияет на side-effects, но `errgroup` делает их параллельными — ordering больше не определяет latency, но всё ещё влияет на приоритет ошибок.
+- **RBAC Drift**: Provisioning SA/RBAC в `registerNamespace`, cleanup — в `deregisterNamespace`. При сбое cleanup — dangling SA/ClusterRoleBinding.
+
+---
+
+## Workaround-Driven Decisions
+
+- ~~**Track-Only Removal**~~ → **ЗАМЕНЕНО** на `DispatchRemove` — cleanup вызывается всегда.
+- **Manual Adoption**: При старте executor-ы делают adopt orphaned ресурсов. Закрыто: `PreRegisterManagedNamespaces` обеспечивает полный NS snapshot до adopt/cleanup (§1.3).
+- **Explicit Reaper Loops**: `idleObjectReaper` чистит `FunctionServiceCache` вместо event-driven подхода. Приемлемо: `IsValid()` check достаточен при корректной работе per-NS informer-ов.
+
+---
+
+## Fragile Operational Components
+
+- **RBAC/SA Drift**: Неконсистентность между созданием и удалением SA/ролей при сбое в `deregisterNamespace`.
+- **Cache Invalidation**: `FunctionServiceCache` не очищается при `RemoveNamespace` — расчёт на `idleObjectReaper`. При высоком churn rate может накапливать stale записи быстрее, чем reaper убирает.
+- **Adoption Race**: ~~`AdoptExistingResources` vs `namespace_subscriber` — активная проблема~~  — закрыто: `PreRegisterManagedNamespaces` перед adopt/cleanup (`2a7d6101`).
+- **Stuck Failed Phase**: ~~Namespace в `failed` не восстанавливается без рестарта~~ — закрыто: `RunReconciler` + полная цепочка error propagation (§1.4).
+
+---
+
+## Poor Scalability Risks
+
+- **Informer Explosion**: ~1500–2000 goroutine при 100 tenant (см. §2). **Частично смягчено**: goroutine-ы корректно останавливаются при `RemoveNamespace` — нет накопления при churn. Но в steady-state 100 NS — линейный рост горутин остаётся.
+- ~~**Synchronous Dispatch**~~ → **ИСПРАВЛЕНО**: параллельный dispatch через `errgroup`.
+- **Centralized Locking**: Глобальный mutex на NamespaceManager. При текущей нагрузке (<50 ns) — не узкое место. При >500 concurrent tenant — backlog (sharded mutex, §5).
+- **Thundering Herd на resync**: 100 NS × 5 informer-типов × LIST каждые 30 мин — 500 concurrent LIST к API.
+
+---
+
+## Future Maintenance Problems
+
+- **Hidden State Machines**: Фазы namespace реализованы неявно — сложно дебажить stuck state. Нет формализованной машины состояний с explicit transitions.
+- **Implicit Error Handling**: Ошибки в `deregisterNamespace` логируются, но NS может остаться в некорректном состоянии. Нет `NamespaceCondition` на k8s-объекте.
+- **Contract Drift**: Изменение интерфейса `NamespaceSubscriber` (например, добавление `ResyncFunc`) требует синхронного обновления всех компонентов.
+- **FunctionServiceCache без per-NS cleanup**: если `idleObjectReaper` будет отключён/изменён — stale cache может накапливаться.
+
+---
+
+## Risky / Hard-to-Maintain Decisions
+
+| Решение | Статус | Примечание |
+|---------|--------|------------|
+| Informer Lifecycle Management | ✅ Hardened | per-NS context cancel + RemoveNamespace во всех компонентах |
+| Centralized Mutex | ⚠️ Приемлемо | sharding в backlog, не актуально до >500 NS |
+| Manual Adoption | ✅ Закрыто | race при rolling update (`2a7d6101`) |
+| No Explicit State Machine | ✅ Частично закрыто | stuck-failed закрыт (`919e8439`); явная state machine в backlog |
+| Eventual Consistency | ⚠️ Смягчено | параллельный dispatch уменьшает окно, но не устраняет |
+
+---
+
+## Multi-Tenancy, Isolation, Orchestration, Lifecycle, State, Reconciliation
+
+- **Multi-Tenancy**: Label-based discovery, каждый tenant — отдельный namespace, изоляция на уровне k8s.
+- **Isolation Model**: Namespace-level isolation, per-NS SA/RBAC, per-NS informer factory.
+- **Lifecycle Management**: Фазы (discovered → registering → active → deregistering → removed / failed) реализованы. Auto-recovery из failed работает через `RunReconciler`. Явная state machine в backlog.
+- **State Handling**: Глобальный `DefaultNSResolver` + локальные lister-ы. После `RemoveNamespace` — оба синхронизованы. После re-add — оба корректно инициализируются заново.
+- **Reconciliation Logic**: Каждый компонент через subscribe. Отсутствует reconcile-очередь для failed state.
+- **Operational Burden**: Средний — goroutine leak устранён, stale informer устранён, stuck-failed закрыт. Требуется мониторинг: orphaned SA/RBAC при неудачном deregister.
+
+---
+
+## Engineering Maturity
+
+- **Maturity**: Архитектурно зрелый, хорошо документированный, с явным reasoning и поэтапным внедрением.
+- **Complexity**: Высокая в синхронизации и lifecycle. Снижена за счёт формализации `RemoveNamespace` контракта.
+- **Maintainability**: Среднесрочная — без явной state machine сложность будет расти. Auto-recovery из failed работает.
+- **Production-Grade**: Близко — informer lifecycle корректен, dispatch параллелен, cleanup симметричен, stuck-failed закрыт, AdoptExistingResources race закрыт.
+
+---
+
+# Deep Risk Analysis (актуальная, May 2026)
+
+---
+
+## 1. Сценарии отказа
+
+### 1.1 Informer Lifecycle Management — ✅ ЗАКРЫТ
+
+**Что было:** relabel-цикл NS создавал phantom-состояние: informer-ы не останавливались при track-only removal, `DefaultNSResolver` не очищал запись → re-add возвращал `false` → новые informer-ы не создавались.
+
+**Что сделано (коммит `4eedf95f`):**
+- `RemoveNamespace(ns)` добавлен в интерфейс `ExecutorType` и реализован в poolmgr, newdeploy, container.
+- В каждом executor type: per-NS context cancel (`nsCancels map[string]context.CancelFunc`). `AddNamespace` создаёт `nsCtx, nsCancel := context.WithCancel(ctx)`, передаёт `nsCtx` в `factory.Start()`. `RemoveNamespace` вызывает `nsCancel()` и удаляет lister-ы из карт.
+- Router: `HTTPTriggerSet.RemoveNamespace()` отменяет per-NS ctx, удаляет `triggerInformer[ns]`/`funcInformer[ns]` под `informerMu.Lock()`, вызывает `syncTriggers()`.
+- Buildermgr: `envWatcher.RemoveNamespace()` и `pkgWatcher.RemoveNamespace()` — аналогично.
+- `DefaultNSResolver.RemoveNamespace(ns)` удаляет NS из глобального map → re-add корректно проходит guard.
+- Стратегия `DispatchRemove` во всех 3 компонентах → `RemoveFunc` вызывается при удалении NS.
+
+**Текущий статус:** informer goroutine/FD корректно останавливаются; re-add NS создаёт чистые informer-ы; router не видит stale routes.
+
+---
+
+### 1.2 Centralized Mutex — ⚠️ ПРИЕМЛЕМО
+
+**Сценарий:** высокая churn + concurrent Snapshot.
+
+`dispatch()` отпускает mutex перед вызовом каждого subscriber, берёт снова для следующего. При батч-онбординге 10+ NS параллельно: конкуренция за mutex, latency spike на `Snapshot()` в `idleObjectReaper`.
+
+**Смягчено:** `dispatch()` теперь параллельный (errgroup) — подписчики не вызываются последовательно, время блокировки mutex между подписчиками устранено. `Snapshot()` конкурирует только с `Upsert` — при текущей нагрузке (<50 NS) практически нет.
+
+**Остаётся:** при >500 concurrent tenant с >1 onboarding/sec — sharded mutex даст выигрыш. В backlog.
+
+---
+
+### 1.3 Manual Adoption (AdoptExistingResources) — ✅ ЗАКРЫТ (коммит `2a7d6101`)
+
+**Сценарий: гонка adoption vs watcher при старте**
+
+**Что было:** `AdoptExistingResources` и `CleanupOldExecutorObjects` запускались до `StartNSWatcher`. `DefaultNSResolver().Snapshot()` возвращал только статические NS из `FISSION_RESOURCE_NAMESPACES` → managed NS не покрывались:
+- Pods от предыдущего executor в managed NS не adoptировались (сохраняли старый `instanceID`) → poolmgr создавал новые pool pods → cold start.
+- Старые RS/deployments в managed NS не чистились → накапливались.
+
+**Что сделано:** `multitenant.PreRegisterManagedNamespaces(ctx, logger, kubernetesClient)` — синхронный `Namespaces.List` с label `fission.io/managed=true` вызывается в `executor.go` **до** goroutines adopt+cleanup. Добавляет все managed NS в `DefaultNSResolver`. Идемпотентен с последующим `AddFunc` из watcher. Не ломает при ошибке API (warn + proceed).
+
+**End-to-end после фикса:**
+1. `PreRegisterManagedNamespaces` → `DefaultNSResolver` содержит static + managed NS
+2. `AdoptExistingResources` → патчит pods в managed NS с новым `instanceID`
+3. `CleanupOldExecutorObjects` / `GetReaperNamespace()` → видит managed NS → чистит стale объекты
+4. `StartNSWatcher` → `AddFunc` срабатывает для тех же NS — `DefaultNSResolver().AddNamespace()` idempotent, `AddNamespace` executor types dedup-protected
+
+---
+
+### 1.4 No Explicit State Machine — ✅ ЗАКРЫТ (коммит `919e8439`)
+
+**Сценарий: stuck в `failed` без auto-recovery**
+
+**Что было:** `EnsureNamespaceSA` и `registerNamespace` были void-функциями — ошибки только логировались, до `MarkPartFailed` не доходили. Executor subscriber всегда возвращал nil → namespace никогда не попадал в `NamespacePhaseFailed` → `RunReconciler` для executor был мёртвым кодом.
+
+**Что сделано:**
+- `setupSAAndRoleBindings` → возвращает `error`
+- `EnsureNamespaceSA` → возвращает `error`, пробрасывает
+- `registerNamespace` → возвращает `error` (SA + executorTypes) с `fmt.Errorf` wrapping
+- Executor `AddFunc`/`ResyncFunc` → пробрасывают ошибку вместо `return nil`
+- `RunReconciler` → принимает `*zap.Logger`, логирует каждый retry и исход
+
+**End-to-end flow:**
+1. `EnsureNamespaceSA` fails (k8s 503) → `registerNamespace` returns error
+2. Executor AddFunc returns error → `dispatch()` → `MarkPartFailed("executor")`
+3. `deriveNamespacePhase` → `NamespacePhaseFailed`
+4. `RunReconciler` tick (30s) находит namespace → `DispatchResync` → retry
+5. Если API восстановился: `MarkPartActive` → `NamespacePhaseActive` → лог `resync succeeded`
+
+**Накопление при churn:** ликвидировано — failed NS автоматически выходят из этой фазы при восстановлении API.
+
+**Ограничение:** нет max-retries. Namespace, у которого SA создать принципиально невозможно (например, удалённый k8s namespace), будет ретраиться вечно. Приемлемо на текущем масштабе.
+
+---
+
+### 1.5 Eventual Consistency — ⚠️ СМЯГЧЕНО
+
+**Сценарий:** HTTPTrigger создан в окне до готовности informer.
+
+**Было:** последовательный dispatch → если executor делал SA provisioning 10–30 сек, router не начинал `WaitForCacheSync`. Trigger, созданный в этом окне, пропускался до следующего resync (30 мин).
+
+**Смягчено:** параллельный dispatch через errgroup → router и executor стартуют `AddNamespace` одновременно. Окно уязвимости = время `WaitForCacheSync` в router (~2–5 сек), а не время SA provisioning (~30 сек).
+
+**Остаётся:** trigger, созданный за 2–5 сек до `WaitForCacheSync` в router → нормально обрабатывается через `AddFunc` после sync. Фактически проблема устранена для практических сценариев.
+
+---
+
+## 2. Анализ при 50–100 tenant с churn 10 ns/час
+
+### Informer Count (steady-state)
+
+При 100 активных tenant:
+- **Poolmgr**: 2 factory × 100 NS × ~3–5 goroutine = **600–1000 goroutine**
+- **NewDeploy**: аналогично ~600–1000 goroutine
+- **Router**: 1 factory × 100 NS × ~2 goroutine = **200 goroutine**
+- **Buildermgr**: ~200 goroutine
+
+Итого: **~1600–2400 goroutine** от informer-ов. **Линейный рост с числом NS — неизбежен при текущей архитектуре.**
+
+**Что изменилось после hardening:** при churn goroutine-ы корректно останавливаются при `RemoveNamespace` — нет накопления мёртвых goroutine. Steady-state = ~O(active_NS), а не O(total_NS_ever_seen).
+
+### Thundering Herd на resync
+
+100 NS × 5 informer-типов × LIST каждые 30 мин = **500 concurrent LIST** к Kubernetes API. Не изменилось, не исправлено.
+
+### Stuck Failed Accumulation — ✅ ЗАКРЫТ
+
+Failed NS автоматически ретраятся `RunReconciler` каждые 30с и выходят из `failed` при восстановлении API. Накопления больше не происходит.
+
+### AdoptExistingResources Race — ✅ ЗАКРЫТ
+
+`PreRegisterManagedNamespaces` синхронно добавляет managed NS в `DefaultNSResolver` до adopt/cleanup. Старые pods adoptируются, stale объекты чистятся. Подробно — §1.3.
+
+---
+
+## 3. Рекомендации (приоритизированные)
+
+### P1 — Reconcile-очередь для failed NS — ✅ ЗАКРЫТ (`919e8439`)
+
+Error propagation исправлена во всей цепочке: `setupSAAndRoleBindings` → `EnsureNamespaceSA` → `registerNamespace` → executor subscriber. `RunReconciler` логирует retry и исход.
+
+### P2 — AdoptExistingResources после BootstrapAndDispatch — ✅ ЗАКРЫТ (`2a7d6101`)
+
+`PreRegisterManagedNamespaces` вызывается синхронно до adopt/cleanup. Делает один `Namespaces.List(label=fission.io/managed=true)` → добавляет все managed NS в `DefaultNSResolver`. После этого adopt и cleanup покрывают полный tenant NS set.
+
+**Влияние:** устранены orphaned pods при холодном старте и resource leak (stale RS/deployments).
+
+### P3 — NamespaceCondition на k8s Namespace объекте
+
+Пометить Namespace через `kubectl annotate` или через status subresource при failed phase → оператор видит причину без чтения логов.
+
+### Backlog — Sharded mutex
+
+Актуально при >500 concurrent tenant с >1 onboarding/sec. Технически feasible без breaking interface change (см. `FORENSIC_ARCHITECTURE_AUDIT_LEGACY_2026-05.md §5`).
+
+---
+
+## 4. FunctionServiceCache — текущий инвариант
+
+`FunctionServiceCache` (`fsCache` в gpm и newdeploy) **не очищается** при `RemoveNamespace`. Это осознанное решение:
+
+- `idleObjectReaper` периодически вызывает `fsCache.ListOldForPool()` → для каждой записи проверяет `podLister[ns]` → если NS удалён, `podLister[ns]` == nil → pod не найден → запись считается expired → `fsCache.DeleteEntry()`.
+- Временной лаг = интервал reaper-а (по умолчанию ~1 мин). При высоком churn возможно накопление stale записей, но они не вызывают функциональных ошибок (только небольшой overhead на reaper iteration).
+
+**Когда станет проблемой:** при отключении/изменении reaper-а или при >10 000 stale записей (O(n) iteration).
+
+---
+
+## 5. Sharded Mutex — вердикт
+
+**Технически реализуемо** без breaking interface change. Полный код — в `FORENSIC_ARCHITECTURE_AUDIT_LEGACY_2026-05.md §5`.
+
+**Вердикт:** не оправдано при текущей нагрузке. Реальный bottleneck — AdoptExistingResources race — закрыт (`2a7d6101`). Sharded mutex — в backlog, актуально при >500 concurrent tenant с >1 onboarding/sec.

doc/FORENSIC_ARCHITECTURE_AUDIT_LEGACY_2026-05.md

@@ -0,0 +1,385 @@
+# Forensic Architecture Audit: Fission Fork (feature/multitenant, May 2026)
+
+---
+
+## Architectural Decisions (реально принятые)
+- **Dynamic Namespace Discovery**: Введён механизм динамического обнаружения и подключения tenant-namespace через label `fission.io/managed=true` (см. `pkg/utils/namespace_manager.go`, `pkg/executor/multitenant/ns_watcher.go`).
+- **Namespace Lifecycle Management**: Весь жизненный цикл namespace теперь централизован через интерфейс `NamespaceManager` с подписчиками (executor, router, buildermgr).
+- **Decoupled Registration**: Каждый компонент (executor, router, buildermgr) подписывается как subscriber и реализует свою логику инициализации/чистки ресурсов при появлении/удалении namespace.
+- **Backward Compatibility**: Сохраняется поддержка статического списка через env (`FISSION_RESOURCE_NAMESPACES`), но теперь он расширяется динамически.
+- **No-Restart Onboarding**: Добавление нового tenant не требует рестарта pod-ов — watcher реагирует на label, триггерит регистрацию во всех подсистемах.
+- **RBAC/SA Provisioning**: Автоматическое создание service account и RBAC для новых namespace (см. `EnsureNamespaceSA`).
+- **Informer Factories Per Namespace**: Для каждого нового namespace создаются отдельные informer factory для CRD и core-ресурсов.
+- **Explicit Namespace Removal Strategy**: Поддержка двух стратегий удаления: track-only (по умолчанию) и dispatch-remove (с вызовом OnNamespaceRemove у подписчиков).
+
+## Core Complexity Centers
+- **NamespaceManager & Watcher**: Центр всей динамики — сложная координация событий, фаз, подписчиков, race-conditions.
+- **ExecutorType Subsystems**: Poolmgr, NewDeploy, Container — каждый хранит собственное состояние, кэш, логику adoption и reaping.
+- **Informer Lifecycle**: Динамическое создание/удаление informer-ов на лету для каждого namespace.
+- **FunctionServiceCache**: Кэширование и lifecycle function pod-ов, синхронизация с событиями из разных источников.
+
+## Hidden Coupling & Accidental Complexity
+- **Implicit Contract**: Все компоненты обязаны корректно реализовать NamespaceSubscriber — нарушение приводит к silent drift.
+- **Global vs Local State**: Есть глобальный NamespaceResolver и локальные состояния в каждом executor type — возможны рассинхронизации.
+- **Deduplication Responsibility**: Deduplication namespace размазан между глобальным резолвером и локальными структурами.
+- **Event Handler Ordering**: Порядок подписчиков влияет на фазу и side-effects, но не гарантируется явно.
+- **RBAC Drift**: Provisioning SA/RBAC делается в одном месте, но cleanup — в другом, возможны dangling ресурсы.
+
+## Iterative Growth
+- **Layered Refactor**: Ветка развивается через серию малых шагов (см. doc/thinking/2026-04-26-namespace-manager-step*.md), каждый шаг — отдельный инвариант.
+- **Hybrid Model**: Некоторое время coexist старый статический и новый динамический pipeline, с явным разделением путей.
+- **Feature Flags via Env**: Многое управляется через env-переменные, что позволяет поэтапно включать/выключать новые механики.
+
+## Workaround-Driven Decisions
+- **Track-Only Removal**: По умолчанию удаление namespace не вызывает cleanup в подписчиках — workaround против race-condition при массовых удалениях.
+- **Manual Adoption**: При старте executor-ы делают adopt orphaned ресурсов (pods, deployments) — workaround для несовершенного lifecycle.
+- **Explicit Reaper Loops**: Для чистки orphaned объектов используются отдельные циклы (object reaper), а не event-driven подход.
+
+## Fragile Operational Components
+- **Informer Factory Lifecycle**: Ошибки в динамическом создании/удалении informer-ов приводят к memory leak или stale watchers.
+- **RBAC/SA Drift**: Неконсистентность между созданием и удалением сервисных аккаунтов и ролей.
+- **Cache Invalidation**: FunctionServiceCache может рассинхронизироваться при сбоях в event flow.
+- **Adoption Loops**: AdoptExistingResources может не покрыть все edge-case, особенно при race между startup и watcher.
+
+## Poor Scalability Risks
+- **Informer Explosion**: На сотнях/тысячах namespace число informer-ов и goroutine растёт линейно, возможен memory/FD exhaustion.
+- **Synchronous Dispatch**: Все подписчики вызываются синхронно, при долгой инициализации одного — блокируются остальные.
+- **Centralized Locking**: NamespaceManager держит глобальный mutex на все операции — bottleneck при высокой churn rate.
+- **No Sharding**: Нет горизонтального масштабирования NamespaceManager — всё в одном процессе.
+
+## Future Maintenance Problems
+- **Hidden State Machines**: Фазы namespace и частей (part state) реализованы неявно, без явной state machine — сложно дебажить stuck state.
+- **Implicit Error Handling**: Ошибки в подписчиках часто логируются, но не эскалируются — возможна silent failure.
+- **Contract Drift**: Любое изменение интерфейса NamespaceSubscriber требует синхронного обновления всех компонентов.
+- **Complex Test Surface**: Много интеграционных точек, сложно покрыть тестами все сценарии гонок и отказов.
+
+## Deepest Upstream Divergence
+- **Полная замена статической модели discovery на динамическую через watcher и NamespaceManager.**
+- **Весь lifecycle tenant-namespace теперь event-driven, а не env-driven.**
+- **Введён централизованный интерфейс подписки на события namespace для всех core-компонентов.**
+- **Механика adopt orphaned ресурсов и явная поддержка rollback/cleanup.**
+
+## Surprisingly Mature Parts
+- **Интерфейс NamespaceManager**: Чётко выделен, покрыт тестами, поддерживает snapshot, summary, phase tracking.
+- **Event Handler Abstraction**: Все watcher-ы используют единый event handler contract, легко расширять.
+- **Backward Compatibility Layer**: Старый pipeline не сломан, coexist с новым.
+- **Документация и коммиты**: Подробные шаги, объяснения, reasoning — видно зрелый инженерный подход.
+
+## Risky / Hard-to-Maintain Decisions
+- **Informer Lifecycle Management**: Очень сложно гарантировать отсутствие leak/stale при динамике.
+- **Centralized Mutex**: Один mutex на NamespaceManager — риск блокировок.
+- **Manual Adoption**: AdoptExistingResources — временное решение, не покрывает все сценарии.
+- **No Explicit State Machine**: Фазы и переходы не формализованы, возможны stuck state.
+- **Eventual Consistency**: Нет гарантии моментальной консистентности между компонентами.
+
+---
+
+## Multi-Tenancy, Isolation, Orchestration, Lifecycle, State, Reconciliation
+- **Multi-Tenancy**: Реализовано через label-based discovery, каждый tenant — отдельный namespace, все ресурсы изолированы на уровне k8s.
+- **Isolation Model**: Namespace-level isolation, автоматическое создание SA/RBAC, informer-ы и кэш на каждый tenant.
+- **Orchestration**: NamespaceManager + подписчики — централизованный event bus для всех core-компонентов.
+- **Lifecycle Management**: Поддержка всех фаз (discovered, registering, active, deregistering, removed, failed), но state machine неявная.
+- **State Handling**: Гибрид глобального и локального состояния, возможны рассинхронизации.
+- **Reconciliation Logic**: Каждый компонент реализует свою reconcile-логику через подписку на события.
+- **Controller Complexity**: Высокая, много слоёв абстракции, много точек гонок.
+- **Deployment Reproducibility**: Helm-чарты поддерживают все новые env, backward compatibility сохранён.
+- **Operational Burden**: Высокий — требуется мониторинг leak, race, orphaned ресурсов, ручной контроль за adoption.
+
+---
+
+## Engineering Maturity, Complexity, Maintainability Horizon
+- **Maturity**: Архитектурно зрелый, хорошо документированный, с явным reasoning и поэтапным внедрением.
+- **Complexity**: Высокая, особенно в динамике и синхронизации между компонентами.
+- **Maintainability**: Среднесрочная — без явной state machine и горизонтального масштабирования возможны проблемы при росте нагрузки.
+- **Production-Grade**: Ближе к production-grade platform engineering, чем к эксперименту, но требует доработки по масштабированию и явной формализации state transitions.
+
+---
+
+## Architectural Drift / Entropy / Hazards
+- **Drift**: Возможен drift между глобальным и локальным состоянием, если подписчики реализованы несимметрично.
+- **Entropy**: Много точек входа, implicit contract, нет явной state machine — сложность будет расти.
+- **Hazards**: Memory leak, race-condition, orphaned ресурсы, silent failure при ошибках в подписчиках.
+
+---
+
+## Summary
+Этот форк — зрелая попытка перевести Fission на event-driven multi-tenant архитектуру с динамическим discovery и централизованным lifecycle management. Основные сложности и риски — в управлении состоянием, синхронизации и масштабируемости. Требует дальнейшей формализации state machine, горизонтального масштабирования и усиления тестового покрытия для production-grade эксплуатации.
+
+---
+
+# Deep Risk Analysis (May 2026)
+
+> Конкретные сценарии отказа, оценка при 50–100 tenant, предложения по исправлению.
+
+---
+
+## 1. Сценарии отказа для каждого "Risky Decision"
+
+### 1.1 Informer Lifecycle Management
+
+**Сценарий: повторная регистрация namespace через relabel**
+
+1. Оператор снимает label `fission.io/managed=true` с namespace `tenant-42`.
+2. Namespace-watcher вызывает `HandleWatcherNamespaceRemoval()`. Стратегия `TrackOnly`: NamespaceManager помечает запись как `removed` и **не вызывает** `OnNamespaceRemove` у подписчиков.
+3. Informer-ы executor (gpm, newdeploy) и router продолжают работать — pool для tenant-42 жив, функции маршрутизируются.
+4. Оператор возвращает label — kubernetes генерирует `MODIFIED`-событие.
+5. `RunManagedNamespaceWatcher` (resync 30 мин) может не вызвать Add снова для уже известного NS.
+6. **Router**: `AddNamespace` вызывает `DefaultNSResolver().AddNamespace(ns)`. Глобальный resolver уже содержит tenant-42 (его никто не удалял из-за track-only) → возвращает `false` → router делает **early return без создания новых informer-ов** (строка 460 `httpTriggers.go`). Router считает namespace активным (старые informer-ы ещё работают) — но если они были остановлены контекстом — тихое 404.
+7. **Executor**: `gpm.AddNamespace` проверяет `poolPodC.envLister[ns]` — если старый lister жив, возвращает nil сразу (дедупликация). Всё выглядит нормально, но фактически используются **устаревшие informer-ы** с застрявшим кэшем.
+
+**Итог**: relabel-цикл создаёт phantom-состояние: компоненты думают что NS активен, но его lifecycle разорван.
+
+---
+
+### 1.2 Centralized Mutex
+
+**Сценарий: высокая churn + concurrent Snapshot**
+
+`dispatch()` снимает write-lock перед вызовом каждого subscriber-а, затем берёт его снова для следующего. Структура:
+
+```
+mu.Lock()   → читаем список subs →
+mu.Unlock() → вызываем handler(sub1)  [k8s API call, может занять сотни мс]
+mu.Lock()   → читаем следующий sub →
+mu.Unlock() → вызываем handler(sub2)
+```
+
+Параллельно: router каждые 20 мс делает `syncTriggers()` → `updateRouter()` → итерирует `snapshotFuncInformers()` → берёт `informerMu.RLock`. Это другой mutex, но `DefaultNSResolver().Snapshot()` вызывается из `idleObjectReaper` каждые 5 сек под глобальным `RWMutex` NamespaceManager.
+
+При 100 tenant с churn 10 ns/час: в среднем каждые 6 мин добавляется namespace. Само по себе безвредно. Но при пике (батч-онбординг 10 tenant за 1 минуту): `dispatch()` держит write-lock с паузами на unlock/relock для каждого subscriber × 10 параллельных dispatch → конкуренция за mutex возрастает. `Snapshot()` в `idleObjectReaper` (каждые 5 сек) и в `AdoptExistingResources` (каждый рестарт) будут ждать.
+
+**Итог**: не deadlock, но latency spike на Snapshot на старте и при батч-онбординге — 200–500 мс при 10+ concurrent dispatch.
+
+---
+
+### 1.3 Manual Adoption (AdoptExistingResources)
+
+**Сценарий: гонка adoption vs watcher**
+
+1. Executor стартует. `AdoptExistingResources` запускается, берёт `DefaultNSResolver().Snapshot()` — snapshot содержит только статические NS из `FISSION_RESOURCE_NAMESPACES`.
+2. Параллельно запускается `RunManagedNamespaceWatcher`. Watcher вызывает `BootstrapAndDispatch()`, который регистрирует managed NS и вызывает `registerNamespace()` у executor-подписчика.
+3. `registerNamespace()` вызывает `DefaultNSResolver().AddNamespace(ns)` (глобальный guard), затем `gpm.AddNamespace()`.
+4. **Но `AdoptExistingResources` уже завершила свой loop** — managed NS не попал в snapshot. Orphaned pods в tenant NS не приняты.
+5. Функции в этих pod-ах будут вызываться ещё раз через cold start — лишний latency spike и потеря статуса `instanceID` у подов (старый instanceID в annotation не перезаписан → `CleanupOldExecutorObjects` сочтёт их orphaned → удалит).
+
+**Hardcoded 30s timeout**: `AdoptExistingResources` в poolmgr не имеет явного timeout, но `k8sCache.WaitForCacheSync` в `Run()` блокирует до готовности — только после этого запускается `service()`. Если namespace watcher опередил, poolmgr получит env-события до того как `AdoptExistingResources` завершится → гонка на `gpm.pools` map (не защищена mutex вне `service()` goroutine).
+
+---
+
+### 1.4 No Explicit State Machine
+
+**Сценарий: stuck в `failed` без auto-recovery**
+
+1. Namespace `tenant-99` помечен `fission.io/managed=true`.
+2. `registerNamespace()` вызывает `EnsureNamespaceSA()` — Kubernetes API momentarily unavailable (503).
+3. `EnsureNamespaceSA()` возвращает ошибку → вызывающий код (предположительно) пишет в лог и помечает часть как `NamespacePartStateFailed`.
+4. `deriveNamespacePhase()` выставляет namespace в `NamespacePhaseFailed`.
+5. **Нет reconcile-цикла**: нет горутины, которая периодически проверяет failed namespace и пытается повторить. Phase останется `failed` до рестарта процесса.
+6. Router был вызван следующим в цепочке dispatch. Т.к. dispatch вызывается подписчики последовательно без barrier, router **уже создал свои informer-ы** до того как executor завершился с ошибкой.
+7. **Dirty state**: router видит `tenant-99` как активный (informer-ы есть), executor — нет (SA/RBAC не создан). Любой вызов функции из tenant-99 → executor не может специализировать pod (нет fetcher SA) → 503.
+
+Лог покажет ошибку, но namespace останется в `failed` навсегда (до рестарта). Оператор не получит никакого k8s-статуса — ни condition на Namespace объекте, ни event.
+
+---
+
+### 1.5 Eventual Consistency
+
+**Сценарий: HTTPTrigger создан в окне до ready informer**
+
+1. Tenant создаёт namespace с label → namespace добавляется в NamespaceManager.
+2. `dispatch()` вызывает router subscriber → `AddNamespace()`:
+   ```go
+   k8sCache.WaitForCacheSync(ctx.Done(), triggerInf.HasSynced, funcInf.HasSynced)
+   ts.syncTriggers()
+   ```
+   Router ждёт sync и перестраивает роутинг. Это занимает несколько секунд.
+3. Tenant **немедленно** после создания namespace создаёт HTTPTrigger через API.
+4. Если trigger создан **до** завершения `WaitForCacheSync` в router → informer ещё не синхронизирован, но trigger уже в etcd.
+5. После sync informer получит это событие через `AddFunc` → `syncTriggers()`. Это нормально.
+6. **Проблема в другом**: `dispatch()` вызывает подписчиков **последовательно**. Если executor (первый в списке) занимается `EnsureNamespaceSA` + `registerExecutorTypes` (10–30 сек при медленном API) → router subscriber не вызывается всё это время. HTTPTrigger, созданный в этом окне, попадёт в informer, но router ещё не начал слушать → `AddFunc` для этого trigger не вызовется никогда (resync через 30 мин).
+7. Результат: trigger существует в etcd, но **отсутствует в роутере 30 минут**.
+
+---
+
+## 2. Анализ при 50–100 tenant с churn 10 ns/час
+
+### Informer Explosion
+
+При 100 активных tenant:
+- **Executor (poolmgr)**: 1 `SharedInformerFactory` (Fission CRD) + 1 `SharedInformerFactory` (k8s pods/RS) на NS = 200 factory. Каждая factory запускает горутины на каждый informer (~3–5 горутин). **~600–1000 goroutine** только от poolmgr.
+- **Executor (newdeploy)**: аналогично — ещё 200 factory, ~600 goroutин.
+- **Router**: 1 factory на NS = 100 factory, ~200 goroutин.
+- **buildermgr**: 1 factory на NS = 100 goroutин.
+
+Итого: **~1500–2000 goroutine** только от informer-ов. При пике churn (10 ns/час) — каждые 6 минут добавляется NS, создаётся ~20 новых горутин, они не убираются при track-only removal.
+
+При **100 NS × 30 мин resync**: каждые 30 мин каждый informer делает LIST всех объектов в своём NS. 100 × 5 informer-типов × LIST = **500 concurrent LIST-запросов** к Kubernetes API раз в 30 минут — возможный thundering herd.
+
+### Stuck Failed State
+
+10 ns/час churn с 1% API error rate = ~2.4 failed namespace/сутки. Каждый остаётся в `failed` навсегда. За 30 дней = ~72 "мёртвых" записи в NamespaceManager. `Snapshot()` возвращает их в `idleObjectReaper` → лишние LIST к k8s API для несуществующих/неактивных NS → ошибки, логи, load.
+
+### AdoptExistingResources Race
+
+Каждый рестарт executor-а — race. При rolling update в k8s (новый pod стартует, старый ещё жив): оба executor-а параллельно делают `AdoptExistingResources` → оба патчат `instanceID` на одних и тех же pod-ах → `CleanupOldExecutorObjects` нового экземпляра удаляет pod-ы старого (ожидаемо), но при race может удалить pod, который новый экземпляр уже adoptировал.
+
+### Router Dedup Gap — критический сценарий при рестарте
+
+При рестарте executor + router одновременно:
+1. `FISSION_RESOURCE_NAMESPACES` содержит `fission-fn` (статический NS).
+2. `namespace.go` `init()` добавляет его в `DefaultNSResolver`.
+3. `BootstrapAndDispatch()` в NamespaceManager вызывает dispatch для всех managed NS, включая `fission-fn`.
+4. **Router** `AddNamespace("fission-fn")` → `DefaultNSResolver().AddNamespace("fission-fn")` → **false** (уже добавлен в `init()`!) → **early return, informer для fission-fn НЕ создан**.
+5. Executor (gpm, newdeploy) — используют own dedup (envLister/deplLister), `fission-fn` там нет → создают informer.
+6. Router слеп к HTTPTrigger и Function событиям из `fission-fn` при динамическом пути. Спасает только то, что `GetInformersForNamespaces` вызывается в `MakeHTTPTriggerSet` при старте — но только для NS из env.
+
+**Вывод**: если `fission-fn` включён в `FISSION_RESOURCE_NAMESPACES` И помечен `fission.io/managed=true` — возможна ситуация, когда после рестарта router использует startup-informer, а executor использует watcher-informer с другим lifecycle → рассинхронизация при следующем relabel-цикле.
+
+---
+
+## 3. Минимальное изменение: явная state machine без полного рефакторинга
+
+Текущая проблема: `failed` namespace остаётся в `failed` навсегда — нет retry.
+
+**Изменение**: добавить reconcile-очередь в `inMemoryNamespaceManager` без изменения публичного интерфейса.
+
+```go
+// В inMemoryNamespaceManager добавить:
+type reconcileRequest struct {
+    ns      string
+    attempt int
+}
+
+reconcileQueue chan reconcileRequest  // небуферизованный или с буфером 64
+
+// В MarkPartFailed (или в dispatch при возврате ошибки от subscriber):
+func (m *inMemoryNamespaceManager) enqueueReconcile(ns string, attempt int) {
+    select {
+    case m.reconcileQueue <- reconcileRequest{ns: ns, attempt: attempt}:
+    default: // уже в очереди, skip
+    }
+}
+
+// Новая горутина, запускается в BootstrapAndDispatch или отдельным методом:
+func (m *inMemoryNamespaceManager) RunReconciler(ctx context.Context) {
+    for {
+        select {
+        case <-ctx.Done():
+            return
+        case req := <-m.reconcileQueue:
+            if req.attempt >= 5 { // max retries
+                m.logger.Error("namespace reconcile exhausted", zap.String("ns", req.ns))
+                continue
+            }
+            backoff := time.Duration(1<<req.attempt) * time.Second // 1, 2, 4, 8, 16 сек
+            time.AfterFunc(backoff, func() {
+                // Повторить dispatch только для failed-частей:
+                m.mu.RLock()
+                rec, ok := m.records[req.ns]
+                m.mu.RUnlock()
+                if !ok || rec.Phase != NamespacePhaseFailed {
+                    return // уже исправлено или удалено
+                }
+                // Вызвать только тех подписчиков, у кого часть в FailedState:
+                m.dispatchRetry(ctx, req.ns, req.attempt+1)
+            })
+        }
+    }
+}
+```
+
+**Изменения интерфейса**: `NamespaceManager` получает метод `RunReconciler(ctx)` — добавляется в интерфейс, но не breaking change для существующих вызывающих (можно добавить как опциональный метод или вызвать из `BootstrapAndDispatch`).
+
+**Что НЕ меняется**: `NamespaceSubscriber`, `NamespaceRecord`, публичные методы `Upsert`/`Snapshot`/`Subscribe` — всё прежнее.
+
+---
+
+## 4. Track-Only Removal: скрытые допущения и dirty state
+
+### Допущение 1: `DefaultNSResolver` — только append
+
+`pkg/utils/namespace.go`: метод `AddNamespace` добавляет NS в глобальный map, метода `RemoveNamespace` не существует. Последствия:
+
+- Namespace, удалённый через label-снятие, **навсегда остаётся** в глобальном resolver-е.
+- `idleObjectReaper` в poolmgr и newdeploy делает `DefaultNSResolver().Snapshot()` → итерирует удалённые NS → делает LIST Environments/Functions в уже несуществующем (или чужом) namespace → получает k8s 403/404 → логирует ошибку → возвращает из reaper-а (!) — `return` на ошибке прерывает весь цикл reaper-а для текущей итерации.
+
+### Допущение 2: Informer-ы продолжают работать
+
+После track-only removal informer-ы executor-а и router-а **не останавливаются**. Для poolmgr: env-events из удалённого namespace продолжают триггерить создание пулов. Пулы создаются в k8s (или пытаются) — для namespace, который более не является managed. RBAC мог быть уже удалён оператором → pod-ы не могут pull fetcher image → CrashLoopBackOff в "удалённом" namespace.
+
+### Допущение 3: FunctionServiceCache не очищается
+
+`fsCache` (в gpm и newdeploy) содержит записи с `Function.Namespace = "tenant-42"`. После track-only removal записи не удаляются. `idleObjectReaper` находит их через `fsCache.ListOldForPool()` → пытается найти pod в `gpm.podLister["tenant-42"]` → lister ещё жив (informer работает) → pod может быть найден → считается "valid" → не reaped → запись в кэше живёт вечно.
+
+### Допущение 4 (критическое): повторное добавление того же NS → router слеп
+
+Последовательность:
+1. NS `tenant-42` добавлен → `DefaultNSResolver().AddNamespace("tenant-42")` → **true** → router создаёт informer.
+2. NS удалён (track-only) → resolver не очищен → informer router-а продолжает работать.
+3. NS добавлен снова (новый tenant с тем же именем, например после namespace-переименования).
+4. `AddNamespace("tenant-42")` на router-е → `DefaultNSResolver().AddNamespace("tenant-42")` → **false** (уже в map!) → **early return**.
+5. Router **не создаёт новый informer** — считает что уже обслуживает namespace. Но старый informer работает с **кэшем от предыдущего tenants** — старые Function и HTTPTrigger объекты (с другими UID) видны в `funcInformer.GetStore()`.
+6. Executor (gpm): `poolPodC.envLister["tenant-42"]` тоже существует → own dedup → early return → executor тоже не создаёт новый informer.
+7. Новые HTTPTrigger-ы нового tenant-42 **никогда не попадут в router** (resync через 30 мин принесёт их, но с кэшем старого tenanta!).
+
+**Результат**: dirty state — оба компонента убеждены что всё нормально, но фактически обслуживают кэш несуществующего tenant с объектами с устаревшими UID. Вызовы функций нового tenant → 404 или выполнение **функций старого tenant** если имена совпадают.
+
+---
+
+## 5. Оценка замены centralized mutex на sharded lock
+
+### Техническая реализация (feasible)
+
+```go
+const numShards = 16
+
+type shardedNamespaceManager struct {
+    shards  [numShards]nsShard
+    subsMu  sync.RWMutex
+    subs    map[string]NamespaceSubscriber
+    // ... остальные поля
+}
+
+type nsShard struct {
+    mu      sync.RWMutex
+    records map[string]NamespaceRecord  // только NS принадлежащие этому шарду
+}
+
+func shardIndex(ns string) int {
+    h := fnv.New32a()
+    h.Write([]byte(ns))
+    return int(h.Sum32()) % numShards
+}
+```
+
+`Upsert(ns, ...)` → берёт lock только шарда `shardIndex(ns)`.
+`Get(ns)` → RLock только нужного шарда.
+`Snapshot()` → **последовательно** берёт RLock каждого шарда, копирует, освобождает, переходит к следующему. N=16 последовательных lock-acquisitions.
+
+### Сохранение интерфейса
+
+Публичный интерфейс `NamespaceManager` (Upsert, Get, Snapshot, Subscribe, Dispatch) не меняется. Подписчики (`NamespaceSubscriber`) не меняются.
+
+### Анализ выгоды
+
+При 10 ns/час churn: **одно upsert каждые 6 минут**. Текущий bottleneck — не mutex, а:
+1. Synchronous subscriber dispatch (каждый делает k8s API calls)
+2. Informer resync thundering herd
+3. AdoptExistingResources race
+
+Sharded lock убирает конкуренцию за mutex при **параллельных per-namespace операциях**. Но `dispatch()` сам снимает/берёт lock несколько раз — sharding не помогает здесь (dispatch по одному NS всегда один шард).
+
+`Snapshot()` становится чуть медленнее (16 lock-acquisitions вместо 1 RLock) при маленьком числе NS, и сопоставима при большом.
+
+### Вердикт
+
+**Технически реализуемо с сохранением интерфейса. Не оправдано при текущей нагрузке.**
+
+Sharded mutex даст реальный выигрыш только если `Upsert` и `Get` вызываются **параллельно для разных NS** с частотой > 100 ops/sec. При 10 ns/час это недостижимо. Реальные bottleneck-и — в subscriber dispatch и informer lifecycle, не в mutex.
+
+Приоритет вместо sharding:
+1. Сделать subscriber dispatch **параллельным** (goroutine per subscriber с errgroup) — немедленное ускорение онбординга.
+2. Добавить `RemoveNamespace` в `DefaultNSResolver` — закрывает класс dirty-state багов.
+3. Добавить reconcile-очередь (см. п. 3) — закрывает stuck-failed.
+
+Sharded lock — в backlog, актуально при > 500 concurrent tenant с > 1 onboarding/sec.

doc/INTEGRATION_TEST_PLAN_P1_P2.md

@@ -0,0 +1,62 @@
+# Интеграционный тест: P1/P2 (namespace lifecycle hardening)
+
+## Контекст
+Ветка: `fix/namespace-lifecycle-hardening` (fission-src)
+Коммиты: P1 (auto-recovery failed NS), P2 (adopt orphaned pods)
+Образ executor: `naeel/fission-bundle:v1.22.1` (задеплоен 2026-05-18)
+Тестирование — через **fission-console** UI.
+
+---
+
+## 1. Проверка P1: auto-recovery failed NS
+
+1. Открыть fission-console, создать tenant (новый managed namespace)
+2. Нарочно сломать ServiceAccount или RoleBinding:
+   ```bash
+   kubectl delete sa fission-fetcher -n <tenant-ns>
+   ```
+3. В UI убедиться, что namespace ушёл в фазу `failed`
+4. Через ~30 сек namespace должен автоматически восстановиться (`active`)
+   - SA/RB пересозданы
+   - Функции снова работают (запустить любую тестовую функцию)
+
+---
+
+## 2. Проверка P2: adopt orphaned pods после рестарта executor
+
+1. Через fission-console вызвать несколько функций (чтобы были warm pods)
+2. Рестартовать executor:
+   ```bash
+   kubectl rollout restart deployment/executor -n fission
+   kubectl rollout status deployment/executor -n fission
+   ```
+3. Убедиться что:
+   - Функции продолжают работать без cold start задержки
+   - В логах executor есть строки `PreRegisterManagedNamespaces`, `adopt`, `cleanup`:
+     ```bash
+     kubectl logs -n fission -l svc=executor --tail=100 | grep -E "PreRegister|adopt|cleanup"
+     ```
+
+---
+
+## 3. Проверить отсутствие регрессий (через fission-console)
+
+- Создание/удаление tenant работает
+- Функции создаются, редактируются, выполняются
+- Логи функций доступны в UI
+- Нет ошибок в UI и в логах executor/router
+
+---
+
+## 4. Команды для диагностики
+
+```bash
+# Текущий образ executor
+kubectl get deployment executor -n fission -o jsonpath="{.spec.template.spec.containers[0].image}"
+
+# Логи executor (последние 200 строк)
+kubectl logs -n fission -l svc=executor --tail=200
+
+# Статус managed NS
+kubectl get ns -l managed-by=fission
+```

doc/api-guide.md

@@ -0,0 +1,644 @@
+# Fission Console API — Руководство пользователя
+
+> Версия: актуальна для модернизированного Fission с мультитенантностью (ngcloud).
+
+---
+
+## Базовый URL
+
+```
+https://fission.kube5s.ru/console/api
+```
+
+---
+
+## Аутентификация
+
+### Где взять токен
+
+Сервер поддерживает два типа токенов — определяет автоматически по форме:
+
+| Форма токена | Тип | Описание |
+|---|---|---|
+| JWT (три части через `.`) | **Production** | JWT из личного кабинета NUBES (Профиль → Токены). Валидируется через Deck API облака |
+| Любая строка ≥ 6 символов | **Demo** | Любой произвольный логин — без внешней проверки. Удобно для разработки и тестирования |
+| Строка < 6 символов | — | 401 |
+
+**Production (NUBES):** JWT-токен берётся в личном кабинете NUBES → Профиль → Токены.  
+**Demo:** любая строка ≥ 6 символов — например `myuser@example.com` или `dev-user-1`.
+
+### Передача токена
+
+Два способа — оба равнозначны:
+
+```http
+X-Auth-Token: <токен>
+```
+```http
+Authorization: Bearer <токен>
+```
+
+### POST /auth
+
+Проверка токена и получение информации о своём namespace.
+
+```bash
+curl -X POST https://fission.kube5s.ru/console/api/auth \
+  -H "Content-Type: application/json" \
+  -d '{"token": "myuser@example.com", "env": "test"}'
+```
+
+**Параметры:**
+| Поле | Описание |
+|---|---|
+| `token` | Токен (JWT или demo-строка) |
+| `env` | Стенд: `prod`, `dev`, `test` (только для JWT; по умолчанию `test`) |
+
+**Ответ 200:**
+```json
+{
+  "ok": true,
+  "env": "test",
+  "namespace": "fission-a3f9c1b2d4e6f8a1",
+  "email": "user@example.com"
+}
+```
+
+**Ошибки:**
+| Код | Причина |
+|-----|---------|
+| 400 | Тело не JSON или `token` пустой |
+| 401 | Токен < 6 символов или JWT не прошёл валидацию в Deck API |
+| 405 | GET вместо POST |
+
+> **Namespace детерминирован**: `fission-` + hex(SHA256(sub)[:8]) — одинаковый токен → всегда один namespace.  
+> Namespace и RBAC создаются автоматически при первом обращении.
+
+---
+
+## Мультитенантность ★ КЛЮЧЕВОЕ ОТЛИЧИЕ
+
+- Каждый пользователь работает в **изолированном K8s namespace**: `fission-<hash(token)>`
+- Все операции (создание, список, вызов, удаление) **автоматически ограничены своим namespace**
+- Указать namespace вручную **невозможно**
+- Функции другого пользователя **не видны и не доступны** — любая операция над чужим объектом возвращает **404** (не 403, чтобы не раскрывать факт существования)
+- **Routes изолированы**: функции разных пользователей с одинаковым именем получают разные HTTP-маршруты
+
+### Квоты (применяются автоматически, значения по умолчанию)
+
+| Ресурс | Лимит |
+|--------|-------|
+| Функции (`count/functions.fission.io`) | 20 |
+| Пакеты (`count/packages.fission.io`) | 40 |
+| HTTP Triggers (`count/httptriggers.fission.io`) | 20 |
+| Pods | 30 |
+| CPU requests (суммарно) | 1 |
+| CPU limits (суммарно) | 12 |
+| RAM requests (суммарно) | 2 Gi |
+| RAM limits (суммарно) | 6 Gi |
+
+> Значения настраиваются env vars (`QUOTA_REQ_CPU`, `QUOTA_PODS`, и т.д.) без пересборки.
+
+---
+
+## Функции
+
+### POST /functions — Создать функцию из кода (JSON)
+
+```bash
+curl -X POST https://fission.kube5s.ru/console/api/functions \
+  -H "X-Auth-Token: user@domain.com" \
+  -H "Content-Type: application/json" \
+  -d '{
+    "name":     "my-fn",
+    "language": "nodejs",
+    "code":     "module.exports = async function(ctx) { return { status: 200, body: \"hello\" }; }"
+  }'
+```
+
+**Параметры запроса:**
+| Поле | Тип | Обязательно | Описание |
+|------|-----|:-----------:|---------|
+| `name` | string | ✓ | Имя функции (см. правила ниже) |
+| `language` | string | ✓ | Среда выполнения: `nodejs`, `python`, `go`, `php`, `ruby` |
+| `code` | string | ✓ | Исходный код (строка). Максимум 1 MB |
+| `entrypoint` | string | — | Точка входа (по умолчанию — зависит от языка) |
+| `route` | string | — | HTTP-маршрут (по умолчанию `/<ns-suffix>/<name>`) |
+| `methods` | []string | — | HTTP-методы (по умолчанию `["GET"]`) |
+| `timeout` | int64 | — | Таймаут функции в секундах |
+| `ttl` | string | — | Время жизни функции: `15m`, `1h`, `2d` и т.д. ★ |
+
+**Правила именования (`name`):**
+- Только строчные буквы, цифры, дефис
+- Не начинается и не заканчивается дефисом
+- Максимум **57 символов**
+
+**Ответ 201:**
+```json
+{
+  "name":        "my-fn",
+  "package":     "my-fn-pkg",
+  "httptrigger": "my-fn-route",
+  "route":       "/a3f9c1b2d4e6/my-fn",
+  "expires_at":  null
+}
+```
+> `expires_at` — время удаления функции (RFC3339), `null` если TTL не задан.
+
+**Ошибки:**
+| Код | Причина |
+|-----|---------|
+| 400 | Нет `name`/`language`/`code`, невалидное имя, неизвестный язык, код > 1 MB, невалидный TTL |
+| 409 | Функция с таким именем уже существует у этого пользователя |
+
+---
+
+### POST /functions — Создать функцию из zip-архива (multipart)
+
+Альтернативный способ: передать архив напрямую при создании функции.
+
+```bash
+curl -X POST https://fission.kube5s.ru/console/api/functions \
+  -H "X-Auth-Token: user@domain.com" \
+  -F "name=my-fn" \
+  -F "language=python" \
+  -F "entrypoint=main.handler" \
+  -F "archive=@my-function.zip"
+```
+
+**Параметры формы (multipart/form-data):**
+| Поле | Тип | Обязательно | Описание |
+|------|-----|:-----------:|---------|
+| `name` | string | ✓ | Имя функции |
+| `language` | string | ✓* | Язык (`python`, `nodejs`, `go`, `php`, `ruby`) — или `environment` |
+| `environment` | string | ✓* | Явное имя environment (вместо `language`) |
+| `archive` | file | ✓ | zip-архив с кодом. Максимум 100 KB |
+| `entrypoint` | string | — | Точка входа |
+| `route` | string | — | HTTP-маршрут |
+| `methods` | string | — | HTTP-методы через запятую (`GET,POST`) |
+| `timeout` | string | — | Таймаут в секундах |
+| `ttl` | string | — | Время жизни: `15m`, `1h`, `2d` и т.д. |
+
+> Архив должен быть валидным zip (magic bytes `PK`). Максимальный суммарный распакованный размер — 100 KB (защита от zip bomb).
+
+**Ответ 201:**
+```json
+{
+  "name":        "my-fn",
+  "namespace":   "fission-a3f9c1b2d4e6f8a1",
+  "environment": "python-env",
+  "route":       "/a3f9c1b2d4e6/my-fn",
+  "source_type": "archive"
+}
+```
+
+---
+
+### GET /functions — Список функций
+
+```bash
+curl https://fission.kube5s.ru/console/api/functions \
+  -H "X-Auth-Token: user@domain.com"
+```
+
+**Ответ 200** — массив сырых K8s объектов типа `Function`. Новый пользователь → `[]`.  
+Возвращает **только функции текущего пользователя**.
+
+---
+
+### GET /functions/{name} — Описание функции
+
+```bash
+curl https://fission.kube5s.ru/console/api/functions/my-fn \
+  -H "X-Auth-Token: user@domain.com"
+```
+
+**Ответ 200:**
+```json
+{
+  "name":             "my-fn",
+  "namespace":        "fission-a3f9c1b2d4e6f8a1",
+  "environment":      "nodejs-env",
+  "package":          "my-fn-pkg",
+  "entrypoint":       "main",
+  "timeout":          60,
+  "created_at":       "2026-05-01T10:00:00Z",
+  "updated_at":       "2026-05-01T12:00:00Z",
+  "code":             "module.exports = async function(ctx) { ... }",
+  "source_type":      "code",
+  "archive_filename": "",
+  "route":            "/a3f9c1b2d4e6/my-fn",
+  "methods":          ["GET", "POST"],
+  "raw":              {}
+}
+```
+
+> `code` — исходный код (если хранится как literal). Для функций из архива может быть пустым.  
+> `source_type` — `"code"` или `"archive"`.  
+> `raw` — полный K8s объект Function.
+
+**Ошибки:**
+| Код | Причина |
+|-----|---------|
+| 404 | Функция не существует или принадлежит другому пользователю |
+
+---
+
+### POST /functions/{name}/invoke — Вызов функции
+
+```bash
+curl -X POST https://fission.kube5s.ru/console/api/functions/my-fn/invoke \
+  -H "X-Auth-Token: user@domain.com" \
+  -H "Content-Type: application/json" \
+  -d '{}'
+```
+
+**Ответ 200:**
+```json
+{
+  "status":       200,
+  "latency_ms":   42,
+  "response_raw": "hello"
+}
+```
+
+> `response_raw` — тело ответа функции как строка.  
+> `status` — HTTP-статус ответа функции.  
+> `latency_ms` — время выполнения в миллисекундах.  
+> Cold start (первый вызов после создания) может занять **10-60 секунд** — Pod создаётся и прогревается. Последующие вызовы быстрые.
+
+**Ошибки:**
+| Код | Причина |
+|-----|---------|
+| 404 | Функция не существует или принадлежит другому пользователю |
+| 502 | Fission router недоступен или функция завершилась с timeout |
+
+---
+
+### PUT /functions/{name}/code — Обновить код функции ★
+
+Обновляет код существующей функции. Создаётся новый Package, executor подхватывает его при следующем вызове.
+
+```bash
+curl -X PUT https://fission.kube5s.ru/console/api/functions/my-fn/code \
+  -H "X-Auth-Token: user@domain.com" \
+  -H "Content-Type: application/json" \
+  -d '{
+    "code": "module.exports = async function(ctx) { return { status: 200, body: \"v2\" }; }"
+  }'
+```
+
+**Параметры:**
+| Поле | Тип | Обязательно | Описание |
+|------|-----|:-----------:|---------|
+| `code` | string | ✓ | Новый исходный код |
+| `timeout` | int64 | — | Новый таймаут в секундах |
+
+**Ответ 200:**
+```json
+{
+  "updated": true,
+  "package": "my-fn-pkg-xxxxxx"
+}
+```
+
+**Ошибки:**
+| Код | Причина |
+|-----|---------|
+| 400 | `code` пустой или только пробелы |
+| 404 | Функция не существует или принадлежит другому пользователю |
+
+---
+
+### PUT /functions/{name}/archive — Обновить архив функции ★
+
+Обновляет функцию новым zip-архивом (multipart/form-data, поле `archive`).
+
+```bash
+curl -X PUT https://fission.kube5s.ru/console/api/functions/my-fn/archive \
+  -H "X-Auth-Token: user@domain.com" \
+  -F "archive=@my-function-v2.zip"
+```
+
+**Ответ 200:**
+```json
+{
+  "updated": true,
+  "package": "my-fn-pkg-xxxxxx"
+}
+```
+
+---
+
+### PUT /functions/{name}/timeout — Обновить таймаут функции ★
+
+Обновляет только таймаут (и опционально entrypoint) без замены кода или архива.
+
+```bash
+curl -X PUT https://fission.kube5s.ru/console/api/functions/my-fn/timeout \
+  -H "X-Auth-Token: user@domain.com" \
+  -H "Content-Type: application/json" \
+  -d '{"timeout": 120}'
+```
+
+**Параметры:**
+| Поле | Тип | Описание |
+|------|-----|---------|
+| `timeout` | int64 | Новый таймаут в секундах |
+| `entrypoint` | string | Новая точка входа (опционально) |
+
+**Ответ 200:**
+```json
+{
+  "updated": true,
+  "timeout": 120
+}
+```
+
+---
+
+### DELETE /functions/{name} — Удалить функцию
+
+```bash
+curl -X DELETE https://fission.kube5s.ru/console/api/functions/my-fn \
+  -H "X-Auth-Token: user@domain.com"
+```
+
+**Ответ 200:**
+```json
+{
+  "deleted": true,
+  "name":    "my-fn",
+  "package": "my-fn-pkg"
+}
+```
+
+> Удаляются также связанные HTTPTrigger, TimeTrigger и Package.  
+> Архив в S3 удаляется асинхронно.  
+> Если язык больше не используется ни одной функцией — environment Pod'ы убираются автоматически.
+
+**Ошибки:**
+| Код | Причина |
+|-----|---------|
+| 404 | Функция не существует или принадлежит другому пользователю |
+
+> Повторное удаление той же функции → **404**.
+
+---
+
+## Прямой вызов по route — GET|POST /fn/{route}
+
+Вызов функции напрямую по HTTP-маршруту без обёртки invoke. Ответ проксируется как есть — без JSON-обёртки.
+
+```bash
+curl https://fission.kube5s.ru/fn/a3f9c1b2d4e6/my-fn \
+  -H "X-Auth-Token: user@domain.com"
+```
+
+> Используйте этот endpoint когда нужно получить чистый HTTP-ответ функции, а не JSON-обёртку с `response_raw`.  
+> Метод запроса (GET/POST/…) проксируется без изменений.
+
+---
+
+## Time Triggers (расписание)
+
+### GET /timetriggers — Список
+
+```bash
+curl https://fission.kube5s.ru/console/api/timetriggers \
+  -H "X-Auth-Token: user@domain.com"
+```
+
+Возвращает массив сырых K8s объектов TimeTrigger.
+
+### POST /timetriggers — Создать
+
+```bash
+curl -X POST https://fission.kube5s.ru/console/api/timetriggers \
+  -H "X-Auth-Token: user@domain.com" \
+  -H "Content-Type: application/json" \
+  -d '{
+    "name":         "my-cron",
+    "functionName": "my-fn",
+    "cron":         "*/5 * * * *"
+  }'
+```
+
+**Параметры:**
+| Поле | Тип | Обязательно | Описание |
+|------|-----|:-----------:|---------|
+| `name` | string | ✓ | Имя trigger'а |
+| `functionName` | string | ✓ | Имя функции |
+| `cron` | string | ✓ | Cron-выражение (стандартный формат) |
+| `method` | string | — | HTTP-метод для вызова (по умолчанию `POST`) |
+| `subpath` | string | — | Дополнительный путь |
+
+**Ответ 201:**
+```json
+{
+  "name":      "my-cron",
+  "namespace": "fission-a3f9c1b2d4e6f8a1",
+  "cron":      "*/5 * * * *",
+  "method":    "POST",
+  "subpath":   "",
+  "function":  "my-fn",
+  "raw":       {}
+}
+```
+
+### GET /timetriggers/{name} — Описание
+
+**Ответ 200** — та же структура что и при создании.
+
+### PUT /timetriggers/{name} — Обновить
+
+**Ответ 200:**
+```json
+{
+  "updated": true,
+  "trigger": { ...та же структура... }
+}
+```
+
+### DELETE /timetriggers/{name} — Удалить
+
+**Ответ 200:**
+```json
+{
+  "deleted": true,
+  "name":    "my-cron"
+}
+```
+
+---
+
+## AI-линтер архивов ★
+
+Проверяет zip-архив на синтаксические ошибки до деплоя. Не создаёт функцию.  
+Поддерживаемые файлы: `.py`, `.js`, `.rb`, `.php`.
+
+### POST /ai/lint-archive
+
+```bash
+curl -X POST https://fission.kube5s.ru/console/api/ai/lint-archive \
+  -H "X-Auth-Token: user@domain.com" \
+  -F "archive=@my-function.zip" \
+  -F "entrypoint=main.handler" \
+  -F "language=python"
+```
+
+**Параметры формы:**
+| Поле | Описание |
+|------|---------|
+| `archive` | zip-архив (обязательно) |
+| `entrypoint` | Точка входа `module.function` — проверяется что файл и функция существуют в архиве |
+| `language` | Язык — проверяется что архив содержит файлы нужного расширения |
+
+**Ответ 200:**
+```json
+{
+  "ok": true,
+  "results": [
+    {"file": "main.py",    "ok": true},
+    {"file": "helper.py",  "ok": false, "output": "SyntaxError: invalid syntax (helper.py, line 5)"},
+    {"file": "main.handler", "ok": true, "output": "entrypoint 'main.handler' найден"}
+  ]
+}
+```
+
+> `ok: false` в корне объекта означает что хотя бы один файл не прошёл проверку.  
+> `output` содержит вывод линтера — присутствует только при ошибке (для entrypoint — всегда).
+
+**Ошибки:**
+| Код | Причина |
+|-----|---------|
+| 400 | Нет поля `archive`, нет поддерживаемых файлов (.py/.js/.rb/.php) в архиве |
+| 413 | Архив > 100 KB или суммарный распакованный размер > 100 KB (zip bomb protection) |
+
+---
+
+## TTL — Время жизни функции ★
+
+Функция может быть создана с ограниченным временем жизни. После истечения TTL функция удаляется автоматически.
+
+**Формат:** число + суффикс: `m` (минуты), `h` (часы), `d` (дни).  
+**Примеры:** `15m`, `1h`, `2d`, `12h`
+
+```bash
+curl -X POST .../functions \
+  -H "X-Auth-Token: user@domain.com" \
+  -H "Content-Type: application/json" \
+  -d '{
+    "name":     "temp-fn",
+    "language": "python",
+    "code":     "def main(event, context): return \"hi\"",
+    "ttl":      "1h"
+  }'
+```
+
+В ответе будет поле `expires_at` (формат RFC3339):
+```json
+{
+  "name":       "temp-fn",
+  "package":    "temp-fn-pkg",
+  "httptrigger": "temp-fn-route",
+  "route":      "/...",
+  "expires_at": "2026-05-06T14:00:00Z"
+}
+```
+
+Невалидные значения TTL (`0d`, `-1h`, `99z`, `abc`) → **400**.
+
+---
+
+## HTTP-коды — сводная таблица
+
+| Код | Значение |
+|-----|---------|
+| 200 | Успех (GET, DELETE, PUT) |
+| 201 | Объект создан (POST /functions, POST /timetriggers) |
+| 400 | Ошибка валидации параметров |
+| 401 | Не авторизован (нет токена или < 6 символов) |
+| 404 | Объект не найден (или чужой) |
+| 405 | Неверный HTTP-метод |
+| 409 | Конфликт (дубликат имени) |
+| 413 | Тело слишком большое (код > 1 MB, архив > 100 KB) |
+| 502 | Ошибка взаимодействия с Fission (router/executor недоступен) |
+
+**Формат ошибки:**
+```json
+{ "error": "описание ошибки" }
+```
+
+---
+
+## Поддерживаемые языки
+
+| `language` | Расширение файла | Entrypoint по умолчанию |
+|------------|-----------------|------------------------|
+| `python` | `.py` | `main.main` |
+| `nodejs` | `.js` | зависит от runtime |
+| `go` | `.go` | зависит от runtime |
+| `php` | `.php` | зависит от runtime |
+| `ruby` | `.rb` | зависит от runtime |
+
+---
+
+## Примеры сценариев
+
+### Быстрый старт (inline-код)
+```bash
+BASE="https://fission.kube5s.ru/console/api"
+TOKEN="myuser@example.com"
+
+# Создать функцию
+curl -X POST "$BASE/functions" \
+  -H "X-Auth-Token: $TOKEN" -H "Content-Type: application/json" \
+  -d '{"name":"hello","language":"python","code":"def main(event, context): return \"hello world\""}'
+
+# Вызвать
+curl -X POST "$BASE/functions/hello/invoke" \
+  -H "X-Auth-Token: $TOKEN" -H "Content-Type: application/json" -d '{}'
+
+# Обновить код
+curl -X PUT "$BASE/functions/hello/code" \
+  -H "X-Auth-Token: $TOKEN" -H "Content-Type: application/json" \
+  -d '{"code":"def main(event, context): return \"v2\""}'
+
+# Удалить
+curl -X DELETE "$BASE/functions/hello" -H "X-Auth-Token: $TOKEN"
+```
+
+### Создать из архива напрямую
+```bash
+curl -X POST "$BASE/functions" \
+  -H "X-Auth-Token: $TOKEN" \
+  -F "name=my-fn" \
+  -F "language=python" \
+  -F "entrypoint=main.handler" \
+  -F "archive=@my-fn.zip"
+```
+
+### Проверить архив перед деплоем
+```bash
+curl -X POST "$BASE/ai/lint-archive" \
+  -H "X-Auth-Token: $TOKEN" \
+  -F "archive=@my-fn.zip" \
+  -F "entrypoint=main.handler" \
+  -F "language=python"
+```
+
+### Создать временную функцию (исчезнет через 30 минут)
+```bash
+curl -X POST "$BASE/functions" \
+  -H "X-Auth-Token: $TOKEN" -H "Content-Type: application/json" \
+  -d '{"name":"temp-fn","language":"nodejs","code":"module.exports = async () => ({status:200,body:\"tmp\"})","ttl":"30m"}'
+```
+
+### Настроить расписание
+```bash
+# Вызывать my-fn каждые 5 минут
+curl -X POST "$BASE/timetriggers" \
+  -H "X-Auth-Token: $TOKEN" -H "Content-Type: application/json" \
+  -d '{"name":"my-cron","functionName":"my-fn","cron":"*/5 * * * *"}'
+```

doc/console-compat-2026-05-15.md

@@ -0,0 +1,72 @@
+# Console ↔ fission-src multitenant: compatibility check (2026-05-15)
+
+## Что изменилось в fission-src (feature/multitenant)
+
+| Изменение | Файл |
+|---|---|
+| Удалён старый partial RBAC | `deploy/executor-ns-watcher-rbac.yaml` |
+| Добавлен полный RBAC для NSWatcher | `deploy/multitenant/rbac.yaml` |
+| Добавлен `EnsureNamespaceSA` | `pkg/utils/serviceaccount.go` |
+| NSWatcher вызывает `EnsureNamespaceSA` при обнаружении NS с `fission.io/managed=true` | `pkg/executor/multitenant/ns_watcher.go` |
+| Добавлен тест NSWatcher с fake k8s | `pkg/utils/namespace_manager_test.go` |
+
+---
+
+## Что делает консоль при создании namespace
+
+`SetupFissionNamespace` в `console/internal/fission/namespace.go`:
+
+1. Создаёт Namespace с лейблами:
+   - `managed-by=fission-console`
+   - `fission.io/managed=true` ← триггер для NSWatcher
+
+2. Создаёт ServiceAccounts: `fission-fetcher`, `fission-builder`
+
+3. Создаёт RoleBindings с `cluster-admin` ClusterRole для всех Fission SA:
+   - `fission-executor`, `fission-router`, `fission-buildermgr`, `fission-kubewatcher`, `fission-timer`
+   - `fission-fetcher` (из fission NS + локально в user NS)
+   - `fission-builder` (из fission NS + локально в user NS)
+
+---
+
+## Взаимодействие с EnsureNamespaceSA
+
+`EnsureNamespaceSA` вызывается NSWatcher **после** того как консоль создала NS.
+Логика (в `setupSAAndRoleBindings`):
+
+1. Создаёт/получает SA `fission-fetcher` → SA уже существует → `IsAlreadyExists` → OK
+2. Для каждого permission из `fetcherCheck` вызывает `checkPermission` через `localsubjectaccessreviews`
+3. Поскольку у `fission-fetcher` уже есть `cluster-admin` RoleBinding (создан консолью) →
+   **все проверки возвращают `exists=true`** → `rules` остаётся пустым → Role и RoleBinding **не создаются**
+
+**Итог: EnsureNamespaceSA является no-op если консоль уже настроила namespace. Никаких конфликтов.**
+
+---
+
+## Что нужно на кластере
+
+Для работы NSWatcher нужен `deploy/multitenant/rbac.yaml` применён **один раз**:
+```bash
+kubectl apply -f ~/terra/fission-src/deploy/multitenant/rbac.yaml
+```
+
+Это даёт:
+- `fission-executor` → `list/watch namespaces` (NSWatcher)
+- `fission-router` → `list/watch namespaces` (NSWatcher)
+- `fission-executor` → `create SA/Role/RoleBinding` в user NS (`fission-executor-sa-provisioner`)
+
+Без этого RBAC `EnsureNamespaceSA` будет падать с Forbidden, но **консоль продолжит работать** — она создаёт SA/RoleBindings сама и не зависит от NSWatcher.
+
+---
+
+## Вердикт
+
+| Сценарий | Статус |
+|---|---|
+| Новый NS создаётся через консоль | ✅ работает как раньше |
+| NSWatcher обнаруживает NS по `fission.io/managed=true` | ✅ совместимо |
+| `EnsureNamespaceSA` вызывается в уже настроенном NS | ✅ no-op, нет конфликтов |
+| Старый NS (без нового fission-bundle) | ✅ консоль не зависит от NSWatcher |
+| Сборка консоли (`go build ./...`) | ✅ BUILD OK |
+
+**Код консоли менять не нужно.** Нужно только применить `deploy/multitenant/rbac.yaml` при деплое нового fission-bundle.

doc/multitenant-porting-guide.md

@@ -0,0 +1,349 @@
+# Fission Multi-Tenant Porting Guide
+
+> **Purpose:** This document exists so that any AI agent or engineer can fully
+> understand what was changed to add multi-tenancy to this Fission fork, why
+> each decision was made, and what needs to be ported when a new upstream
+> Fission release arrives.
+>
+> Fork base: `github.com/fission/fission` tag `v1.22.0` (2025-12-16)
+> Our branch: `feature/multitenant`
+
+---
+
+## 1. The Problem We Solved
+
+In stock Fission v1.22.0 all resource namespaces must be listed in the
+`FISSION_RESOURCE_NAMESPACES` environment variable **before** the process starts.
+Adding a new tenant namespace requires:
+
+1. Patching that env var on executor, router, buildermgr deployments
+2. Triggering a rolling restart of all three components (~30 s downtime each)
+
+At scale (hundreds of tenants created continuously) this causes a permanent
+rolling-restart loop and cascading failures for existing users.
+
+**Our solution:** hot namespace registration without pod restarts. Any platform
+(console, operator, CI/CD) creates a Kubernetes Namespace with label
+`fission.io/managed=true` — all three Fission components detect it within
+milliseconds via k8s Watch and register it live.
+
+---
+
+## 2. Integration Contract (external platforms)
+
+The entire contract between an external platform and Fission is a single label:
+
+```yaml
+apiVersion: v1
+kind: Namespace
+metadata:
+  name: tenant-abc123
+  labels:
+    fission.io/managed: "true"
+```
+
+No other coupling to Fission internals is required.
+
+To remove a tenant namespace: delete the namespace or remove the label.
+Current removal strategy is `track-only` (the manager records the event but does
+not actively deregister — the executor types stop receiving events for deleted
+resources naturally). `dispatch-remove` strategy exists in the model but is not
+wired by default (see §8).
+
+---
+
+## 2a. How the Console (`../fission`) Integrates
+
+The Fission Console (`github.com/naeel/fission`, package `console`) creates tenant
+namespaces via `SetupFissionNamespace()` in
+`console/internal/fission/namespace.go`.
+
+That function does three things:
+1. Creates the Namespace with two labels:
+   - `managed-by=fission-console` — console's own filter
+   - **`fission.io/managed=true`** — this is the NSWatcher trigger
+2. Creates `fission-fetcher` and `fission-builder` ServiceAccounts in the new NS
+3. Creates RoleBindings for all Fission system SAs (`fission-executor`,
+   `fission-router`, `fission-buildermgr`, etc.) using `cluster-admin` scoped to
+   the namespace
+
+**The coupling is exactly one label.** The console does not call any Fission
+internal API to register the namespace — it just sets `fission.io/managed=true`
+and the NSWatcher in executor/router/buildermgr picks it up automatically within
+~50ms.
+
+**Before `v1.22.0-mt1` (today's deploy):** the console set the label but the
+executor was running the official `ghcr.io/fission/fission-bundle:v1.22.0` image
+which has no NSWatcher — so the label was silently ignored. Tenant namespaces
+still worked because the console also created the SA/RoleBindings manually (step 2
+and 3 above), so pool pods could start. But executor/router/buildermgr were not
+dynamically aware of new namespaces — they relied on whatever was in
+`FISSION_RESOURCE_NAMESPACES` at startup.
+
+**After `v1.22.0-mt1`:** executor/router/buildermgr detect the label
+automatically. The SA creation in `EnsureNamespaceSA` (our code in
+`pkg/utils/serviceaccount.go`) now runs from the executor side as well — but since
+the console already created the SA, `EnsureNamespaceSA` is a no-op (idempotent).
+No conflict, no double work.
+
+---
+
+## 3. Backward Compatibility
+
+`FISSION_RESOURCE_NAMESPACES` continues to work exactly as before. Namespaces
+listed there are bootstrapped at startup with source `env` and do not require the
+label. The NSWatcher layer adds **on top** of the existing mechanism — nothing
+was removed.
+
+---
+
+## 4. File Map
+
+### New files (did not exist in v1.22.0)
+
+| File | Purpose | What breaks if removed |
+|------|---------|------------------------|
+| `pkg/utils/namespace_manager_model.go` | All types: `NamespaceRecord`, `NamespacePhase`, `NamespaceSource`, `NamespaceEvent`, `NamespaceRemovalStrategy`, `ManagedNamespaceWatcherConfig` | Everything — all other files import these types |
+| `pkg/utils/namespace_manager.go` | `NamespaceManager` interface + `inMemoryNamespaceManager` implementation. `RunManagedNamespaceWatcher()` — the single entry point used by all three components. `NewNamespaceWatcherEventHandlers()` — k8s informer callbacks. `EnsureNamespaceSA` helper call site. | All NSWatcher functionality |
+| `pkg/utils/namespace_manager_test.go` | Unit + integration tests for NamespaceManager | Tests only |
+| `pkg/utils/namespace_manager_model_test.go` | Tests for model helpers | Tests only |
+| `pkg/utils/serviceaccount.go` (was modified, `EnsureNamespaceSA` added at bottom) | `EnsureNamespaceSA(ctx, client, logger, ns)` — creates fission-fetcher SA/Role/RoleBinding in a new namespace idempotently | Pool pods in new namespaces fail to start (no SA to run fetcher) |
+| `pkg/executor/multitenant/ns_watcher.go` | `StartNSWatcher()` — executor entry point. `registerNamespace()` — calls `AddNamespace` on global resolver + `EnsureNamespaceSA` + all executor types. | Executor never learns about new namespaces |
+| `pkg/executor/multitenant/namespace_subscriber.go` | `NewNamespaceSubscriber()` — adapter from `NamespaceSubscriber` interface to executor `registerNamespace()` | Same as above |
+| `pkg/executor/multitenant/ns_watcher_test.go` | Tests | Tests only |
+| `pkg/executor/multitenant/namespace_subscriber_test.go` | Tests | Tests only |
+| `pkg/router/ns_watcher.go` | `StartNSWatcher()` — router entry point, 5 lines | Router never learns about new namespaces |
+| `pkg/router/namespace_subscriber.go` | `NewNamespaceSubscriber()` — adapter calling `HTTPTriggerSet.AddNamespace` | Same as above |
+| `pkg/router/namespace_subscriber_test.go` | Tests | Tests only |
+| `pkg/buildermgr/ns_watcher.go` | `StartNSWatcher()` — buildermgr entry point, 5 lines | Buildermgr never learns about new namespaces |
+| `pkg/buildermgr/namespace_subscriber.go` | `NewNamespaceSubscriber()` — adapter calling `envWatcher.AddNamespace` + `pkgWatcher.AddNamespace` | Same as above |
+| `pkg/buildermgr/namespace_subscriber_test.go` | Tests | Tests only |
+| `deploy/multitenant/rbac.yaml` | ClusterRoles + ClusterRoleBindings for all three components (see §6) | Components crash at startup or fail to watch namespaces |
+
+### Modified files (existed in v1.22.0, we changed them)
+
+| File | What we added | What breaks if reverted |
+|------|--------------|-------------------------|
+| `pkg/utils/namespace.go` | `ManagedNamespaceLabelKey/Value` constants, `ManagedNamespaceLabelSelector()`, `IsManagedNamespace()`, `AddNamespace()` (thread-safe dedup), `Snapshot()` (sorted slice copy under read-lock), `SnapshotWithOptions()` | All callers of `Snapshot()` break — there are many; label constants used by informer filter |
+| `pkg/utils/namespace_test.go` | Tests for new methods | Tests only |
+| `pkg/utils/informer.go` | `NewSharedInformerFactoryForNamespaces(namespaces []string)` — creates informer factory filtered to a dynamic list of namespaces | Executor types cannot create per-NS informers for new namespaces |
+| `pkg/executor/executor.go` | `StartNSWatcher(...)` call added after executor types are initialized | NSWatcher never starts in executor |
+| `pkg/executor/executortype/executortype.go` | `AddNamespace(ctx, ns, mgr)` added to the `ExecutorType` interface | All three executor types must implement this; compilation fails |
+| `pkg/executor/executortype/poolmgr/gpm.go` | `AddNamespace()` implementation — creates per-NS informer factory, pod lister, event handlers | poolmgr never picks up functions in new namespaces |
+| `pkg/executor/executortype/poolmgr/poolpodcontroller.go` | Uses `Snapshot()` in runtime loop instead of static namespace list | Pool pods not created in new namespaces |
+| `pkg/executor/executortype/newdeploy/newdeploymgr.go` | `AddNamespace()` implementation | newdeploy never picks up functions in new namespaces |
+| `pkg/executor/executortype/container/containermgr.go` | `AddNamespace()` implementation | container executor never picks up functions in new namespaces |
+| `pkg/router/router.go` | `StartNSWatcher(...)` call added | NSWatcher never starts in router |
+| `pkg/router/httpTriggers.go` | `AddNamespace(ns string)` on `HTTPTriggerSet` — starts per-NS informers for HTTPTriggers and Functions | Router ignores HTTPTriggers in new namespaces |
+| `pkg/router/functionReferenceResolver.go` | Uses `Snapshot()` in runtime loop | Router resolves functions only in statically-configured namespaces |
+| `pkg/buildermgr/buildermgr.go` | `StartNSWatcher(...)` call added | NSWatcher never starts in buildermgr |
+| `pkg/buildermgr/envwatcher.go` | `AddNamespace(ns string)` — starts per-NS Environment informer | Buildermgr ignores Environments in new namespaces |
+| `pkg/buildermgr/pkgwatcher.go` | `AddNamespace(ns string)` — starts per-NS Package informer | Buildermgr ignores Packages in new namespaces |
+| `pkg/storagesvc/archivePruner.go` | Uses `Snapshot()` instead of static namespace list | Archive pruner only cleans old namespaces |
+| `.gitignore` | Added `*.token` | Minor — token files would be committed accidentally |
+| `deploy/multitenant/rbac.yaml` | New file (see above) | — |
+
+---
+
+## 5. Data Flow: from label to HTTP 200
+
+```
+kubectl label ns tenant-abc123 fission.io/managed=true
+        │
+        ▼
+k8s API server emits ADDED event on Namespace stream
+        │
+        ▼ (within ~50ms)
+utils.RunManagedNamespaceWatcher  ← informer AddFunc
+        │  (all 3 components share this function)
+        ▼
+NamespaceManager.DispatchAdd(ctx, "tenant-abc123")
+        │
+        ├──► executor subscriber:
+        │        registerNamespace()
+        │          1. DefaultNSResolver().AddNamespace("tenant-abc123")
+        │          2. EnsureNamespaceSA(ctx, client, logger, "tenant-abc123")
+        │               └─ creates fission-fetcher SA + Role + RoleBinding
+        │          3. poolmgr.AddNamespace("tenant-abc123")
+        │               └─ creates per-NS InformerFactory, pod lister, handlers
+        │          4. newdeploy.AddNamespace("tenant-abc123")
+        │          5. container.AddNamespace("tenant-abc123")
+        │
+        ├──► router subscriber:
+        │        HTTPTriggerSet.AddNamespace("tenant-abc123")
+        │          └─ starts watching HTTPTriggers + Functions in that NS
+        │
+        └──► buildermgr subscriber:
+                 envWatcher.AddNamespace("tenant-abc123")
+                 pkgWatcher.AddNamespace("tenant-abc123")
+                   └─ starts watching Environments + Packages in that NS
+
+User creates: fission env create --namespace tenant-abc123 ...
+              fission fn create   --namespace tenant-abc123 ...
+              fission httptrigger create --namespace tenant-abc123 ...
+
+Router picks up HTTPTrigger → resolves Function → cold-starts pod in tenant-abc123
+        │
+        ▼
+HTTP 200 ← function response
+```
+
+---
+
+## 6. RBAC Explained
+
+Three ClusterRoles in `deploy/multitenant/rbac.yaml`:
+
+### `fission-executor-ns-watcher` (also for router: `fission-router-ns-watcher`)
+```
+namespaces: list, watch
+```
+Without this: informer fails to start with "Forbidden" — components never learn
+about new namespaces.
+
+### `fission-executor-sa-provisioner`
+```
+serviceaccounts:             get, list, watch, create, update, patch
+events:                      create
+localsubjectaccessreviews:   create
+roles:                       get, list, watch, create, update, patch
+rolebindings:                get, list, watch, create, update, patch
+```
+Why `events.create`: Kubernetes forbids creating a Role that grants permissions
+the caller does not currently hold. Since `fission-fetcher` gets `events.create`
+in the Role we create for it, `fission-executor` must hold `events.create` itself
+to be allowed to create that Role. This is a k8s RBAC escalation prevention rule.
+
+Why `localsubjectaccessreviews.create`: `EnsureNamespaceSA` calls
+`setupSAAndRoleBindings` which first checks if the SA already has each permission
+before creating it — that check uses a `LocalSubjectAccessReview`.
+
+---
+
+## 7. Key Design Decisions and Why
+
+### Decision: pub/sub via `NamespaceManager`, not direct calls
+**Why not:** simply call `poolmgr.AddNamespace`, `router.AddNamespace` etc.
+directly from a shared goroutine.
+**Why pub/sub:** executor, router and buildermgr run as separate processes
+(different pod). Each process has its own copy of the watcher. Subscribers are
+registered in-process. This pattern makes each component fully self-contained and
+testable in isolation. No cross-process coupling.
+
+### Decision: `fission.io/managed=true` label as the only trigger
+**Why not:** watch all namespaces, or use a CRD, or use annotations.
+**Why label:** labels are the idiomatic k8s way to select resources. A label
+selector in the informer factory (`fission.io/managed=true`) means the informer
+only receives events for labeled namespaces — zero overhead for the hundreds of
+system namespaces.
+
+### Decision: `EnsureNamespaceSA` in executor, not in a separate operator
+**Why:** the SA must exist before the first pool pod starts. The executor is
+already in the hot path — it processes the NS event and then immediately triggers
+pod scheduling. Doing it in a separate controller would introduce a race. Doing it
+in the executor keeps the lifecycle coupled correctly.
+
+### Decision: `NamespaceRemovalStrategy = track-only` (not `dispatch-remove`)
+**Why:** removing a namespace in k8s is already an irreversible event — all
+resources inside are cascade-deleted by k8s. The executor types detect the pod
+deletions themselves. Dispatching an explicit "remove" to all subscribers would
+require each subscriber to implement a cleanup path — added complexity for zero
+operational benefit in our use case. Can be switched per-component via
+`ManagedNamespaceWatcherConfig.RemovalStrategy`.
+
+### Decision: `AddNamespace` is idempotent (safe to call multiple times)
+**Why:** k8s informers can deliver the same event more than once (resync). Every
+`AddNamespace` call is a no-op if the namespace is already registered. No locks
+held across the whole function — `NamespaceResolver.AddNamespace` uses a write
+lock only for the map write, checks for existence first under the same lock.
+
+### Decision: global `NamespaceResolver` (`DefaultNSResolver()`) updated once in executor
+**Why:** `DefaultNSResolver().AddNamespace(ns)` is called exactly once in
+`registerNamespace()` — before the executor types are called. Each executor type
+does NOT call it themselves. This avoids a subtle race: if executor type A adds
+the NS to the global resolver first, and executor type B checks the global resolver
+as its dedup mechanism, B would see it as already registered and skip — even
+though B has not actually processed it yet. The correct dedup is per executor type.
+
+---
+
+## 8. What Is NOT Done (deliberately deferred)
+
+| Missing feature | Why deferred | File/interface to extend |
+|----------------|--------------|--------------------------|
+| `dispatch-remove` full wiring | Not needed for current use case | `ManagedNamespaceWatcherConfig.RemovalStrategy` — just switch the constant |
+| Buildermgr ClusterRole in rbac.yaml | Buildermgr uses the same SA as executor in our deployment; check your setup | Add a third ClusterRole/Binding to `deploy/multitenant/rbac.yaml` |
+| Helm chart integration | We apply rbac.yaml manually. A proper Helm chart would include these RBAC objects | `charts/fission-all/templates/` |
+| Layer 2 (tenant isolation: per-NS network policy, resource quotas) | Out of scope for Layer 1 | Not started |
+| Layer 3 (per-tenant auth, billing hooks) | Out of scope | Not started |
+| `NamespaceManager.DispatchRemove` subscriber wiring | Each subscriber has a `RemoveFunc` stub returning nil | Implement per subscriber |
+
+---
+
+## 9. Porting to a New Upstream Version
+
+When `github.com/fission/fission` releases v1.23 or later, follow this order:
+
+1. **Check the upstream changelog** for any changes to:
+   - `pkg/utils/namespace.go` — if they renamed or refactored `NamespaceResolver`, our `AddNamespace`/`Snapshot` additions need to be reapplied
+   - `pkg/executor/executortype/executortype.go` — if they changed the `ExecutorType` interface, our `AddNamespace` method needs to be reapplied
+   - `pkg/router/httpTriggers.go` — if `HTTPTriggerSet` changed, our `AddNamespace` method on it needs to be reapplied
+   - `pkg/buildermgr/envwatcher.go`, `pkgwatcher.go` — same
+   - `pkg/utils/informer.go` — if the informer factory pattern changed
+
+2. **Apply in this order** (each depends on the previous):
+   1. `pkg/utils/namespace_manager_model.go` — pure types, no deps on other changed files
+   2. `pkg/utils/namespace.go` additions (`AddNamespace`, `Snapshot`, label constants)
+   3. `pkg/utils/namespace_manager.go` — depends on model + namespace.go
+   4. `pkg/utils/serviceaccount.go` — add `EnsureNamespaceSA` at the bottom
+   5. `pkg/utils/informer.go` — add `NewSharedInformerFactoryForNamespaces`
+   6. `pkg/executor/executortype/executortype.go` — add `AddNamespace` to interface
+   7. Executor types: `poolmgr/gpm.go`, `newdeploy/newdeploymgr.go`, `container/containermgr.go` — implement `AddNamespace`
+   8. `pkg/executor/multitenant/` — copy the whole package as-is
+   9. `pkg/executor/executor.go` — add `StartNSWatcher` call
+   10. `pkg/router/httpTriggers.go` — add `AddNamespace` method on `HTTPTriggerSet`
+   11. `pkg/router/namespace_subscriber.go`, `pkg/router/ns_watcher.go` — copy as-is
+   12. `pkg/router/router.go` — add `StartNSWatcher` call
+   13. `pkg/buildermgr/envwatcher.go`, `pkgwatcher.go` — add `AddNamespace` method
+   14. `pkg/buildermgr/namespace_subscriber.go`, `pkg/buildermgr/ns_watcher.go` — copy as-is
+   15. `pkg/buildermgr/buildermgr.go` — add `StartNSWatcher` call
+   16. `pkg/storagesvc/archivePruner.go` — replace static namespace list with `Snapshot()`
+   17. `deploy/multitenant/rbac.yaml` — apply unchanged
+
+3. **Run tests:**
+   ```bash
+   go test ./pkg/utils/... ./pkg/executor/... ./pkg/router/... ./pkg/buildermgr/...
+   ```
+
+4. **Build and deploy:**
+   ```bash
+   # on VM:
+   docker run --rm -v $PWD:/src -w /src golang:1.26-alpine \
+     sh -c 'go build -o /src/fission-bundle-bin ./cmd/fission-bundle/'
+   docker build -f Dockerfile.mt -t naeel/fission-bundle:vNEW_TAG .
+   docker push naeel/fission-bundle:vNEW_TAG
+   kubectl set image deployment/executor -n fission executor=naeel/fission-bundle:vNEW_TAG
+   kubectl set image deployment/router   -n fission router=naeel/fission-bundle:vNEW_TAG
+   kubectl set image deployment/buildermgr -n fission buildermgr=naeel/fission-bundle:vNEW_TAG
+   ```
+
+5. **Run e2e test:**
+   ```bash
+   bash ~/terra/fission/scripts/test_layer1.sh
+   # Expected: PASS=5 FAIL=0
+   ```
+
+---
+
+## 10. Test Coverage
+
+| Test file | What it covers |
+|-----------|---------------|
+| `pkg/utils/namespace_test.go` | `AddNamespace` dedup, `Snapshot` sorted output, `IsManagedNamespace` |
+| `pkg/utils/namespace_manager_test.go` | `Bootstrap`, `DispatchAdd`/`Remove`/`Resync`, subscriber dispatch, `TestStartManagedNamespaceWatcherIntegration` — full k8s fake informer → subscriber pipeline |
+| `pkg/utils/namespace_manager_model_test.go` | Model helpers, `Clone`, `IsActive`, `IsTerminal` |
+| `pkg/executor/multitenant/ns_watcher_test.go` | `registerNamespace` with fake k8s client |
+| `pkg/executor/multitenant/namespace_subscriber_test.go` | Subscriber adapter |
+| `pkg/router/namespace_subscriber_test.go` | Router subscriber adapter |
+| `pkg/buildermgr/namespace_subscriber_test.go` | Buildermgr subscriber adapter |
+| `~/terra/fission/scripts/test_layer1.sh` | End-to-end: create labeled NS → executor registers it → create env/fn/trigger → call function → HTTP 200 |

doc/progress.md

@@ -0,0 +1,52 @@
+# Fission Multi-Tenant — Progress
+
+## Задача
+Добиться 5/5 PASS в `test_layer1.sh`: динамически добавленный NS с меткой `fission.io/managed=true` должен работать без рестарта Fission.
+
+---
+
+## Статус задач
+
+| # | Задача | Статус |
+|---|--------|--------|
+| 1 | Добавить `EnsureNamespaceSA` в `pkg/utils/serviceaccount.go` | ✅ DONE |
+| 2 | Вызов `EnsureNamespaceSA` из `ns_watcher.go` при регистрации NS | ✅ DONE |
+| 3 | Сборка образа `naeel/fission-bundle:v1.22.0-multi-ns-8` | ✅ DONE |
+| 4 | Деплой образа v8 в кластер (executor/router/buildermgr) | ✅ DONE |
+| 5 | Коммит `161de70` "multi-tenant: EnsureNamespaceSA + ns_watcher SA provisioning (v8)" | ✅ DONE |
+| 6 | Исправить RBAC: добавить полный набор прав для SA provisioning в `deploy/multitenant/rbac.yaml` | ✅ DONE |
+| 7 | Применить RBAC через `kubectl apply`, верифицировать SA/Role/RoleBinding | ✅ DONE |
+| 8 | Коммит RBAC fix | 🔄 IN PROGRESS |
+| 9 | Запустить `test_layer1.sh`, добиться 5/5 PASS | ⏳ TODO |
+
+---
+
+## Текущий результат теста
+`test_layer1.sh` — 4/5:
+- Шаг 5 падает: `serviceaccount "fission-fetcher" not found` в NS `l1-test-77773`
+
+## Диагностика (2026-04-26)
+- Код `EnsureNamespaceSA` присутствует в `serviceaccount.go` ✅
+- `ns_watcher.go` строка 168 вызывает `EnsureNamespaceSA` ✅
+- RBAC: `kubectl auth can-i create serviceaccounts --as=...fission-executor -n l1-test-77773` → **`no`** ❌
+- ClusterRole `fission-executor-multi-ns` не имеет `create` для `serviceaccounts`, и нет rules для `roles`/`rolebindings`
+- Вывод: `setupSAAndRoleBindings` вызывается, но получает 403 Forbidden и тихо фейлится → SA не создаётся → pod не стартует
+
+## Решение
+Добавить в `deploy/multitenant/rbac.yaml` новый ClusterRole + ClusterRoleBinding с правами:
+- `serviceaccounts`: `get/list/watch/create/update/patch`
+- `roles`, `rolebindings`: `get/list/watch/create/update/patch`
+- `events`: `create`
+- `localsubjectaccessreviews.authorization.k8s.io`: `create`
+
+Применить через `kubectl apply`.
+
+**Пересборка образа НЕ нужна** — логика правильная, проблема только в RBAC.
+
+## Последняя верификация
+- `kubectl auth can-i create events --as=system:serviceaccount:fission:fission-executor` → `yes`
+- `kubectl auth can-i create localsubjectaccessreviews.authorization.k8s.io --as=system:serviceaccount:fission:fission-executor` → `yes`
+- В новом NS `rbac-verify-83117` автоматически созданы:
+	- `ServiceAccount/fission-fetcher`
+	- `Role/fission-fetcher-role-*`
+	- `RoleBinding/fission-fetcher-rolebinding-*`

doc/quick-ref.md

@@ -0,0 +1,191 @@
+# Fission — Краткий справочник команд
+
+> Базовый URL: `https://fission.kube5s.ru/console/api`  
+> Токен передаётся через `X-Auth-Token: <token>` или `Authorization: Bearer <token>`
+
+```bash
+BASE="https://fission.kube5s.ru/console/api"
+T="X-Auth-Token: mylogin@example.com"  # demo: любая строка ≥6 символов
+```
+
+---
+
+## Стандартные операции
+
+### Функции
+
+```bash
+# Создать функцию
+curl -X POST "$BASE/functions" -H "$T" -H "Content-Type: application/json" \
+  -d '{"name":"hello","language":"python","code":"def main(event, context): return \"hi\""}'
+
+# Список функций
+curl "$BASE/functions" -H "$T"
+
+# Описание функции
+curl "$BASE/functions/hello" -H "$T"
+
+# Вызвать функцию
+curl -X POST "$BASE/functions/hello/invoke" -H "$T" \
+  -H "Content-Type: application/json" -d '{}'
+
+# Обновить код
+curl -X PUT "$BASE/functions/hello/code" -H "$T" -H "Content-Type: application/json" \
+  -d '{"code":"def main(event, context): return \"v2\""}'
+
+# Удалить функцию
+curl -X DELETE "$BASE/functions/hello" -H "$T"
+```
+
+**Языки:** `python`, `nodejs`, `go`, `php`, `ruby`
+
+**Правила имени:** строчные буквы, цифры, дефис; не начинается/не заканчивается дефисом; максимум 57 символов.
+
+---
+
+### Environments
+
+```bash
+# Список environments
+curl "$BASE/environments" -H "$T"
+```
+
+---
+
+### Packages
+
+```bash
+# Список пакетов
+curl "$BASE/packages" -H "$T"
+```
+
+---
+
+### HTTP Triggers
+
+```bash
+# Список HTTP triggers
+curl "$BASE/httptriggers" -H "$T"
+```
+
+---
+
+### Time Triggers (cron)
+
+```bash
+# Создать cron
+curl -X POST "$BASE/timetriggers" -H "$T" -H "Content-Type: application/json" \
+  -d '{"name":"my-cron","functionName":"hello","cron":"*/5 * * * *"}'
+
+# Список
+curl "$BASE/timetriggers" -H "$T"
+
+# Обновить
+curl -X PUT "$BASE/timetriggers/my-cron" -H "$T" -H "Content-Type: application/json" \
+  -d '{"cron":"0 * * * *"}'
+
+# Удалить
+curl -X DELETE "$BASE/timetriggers/my-cron" -H "$T"
+```
+
+---
+
+### Прямой вызов по route
+
+```bash
+# Вызов без JSON-обёртки (чистый HTTP)
+curl "https://fission.kube5s.ru/fn/<route>" -H "$T"
+```
+
+---
+
+## Наши расширения
+
+### Создание из zip-архива
+
+```bash
+# Создать функцию из архива напрямую
+curl -X POST "$BASE/functions" -H "$T" \
+  -F "name=my-fn" -F "language=python" -F "entrypoint=main.handler" \
+  -F "archive=@my-function.zip"
+
+# Обновить функцию новым архивом
+curl -X PUT "$BASE/functions/my-fn/archive" -H "$T" \
+  -F "archive=@my-function-v2.zip"
+```
+
+---
+
+### TTL — самоуничтожающиеся функции
+
+```bash
+# Функция исчезнет через 1 час
+curl -X POST "$BASE/functions" -H "$T" -H "Content-Type: application/json" \
+  -d '{"name":"temp","language":"nodejs","code":"module.exports=async()=>({status:200,body:\"ok\"})","ttl":"1h"}'
+```
+
+Форматы TTL: `15m`, `2h`, `1d`, `7d`
+
+---
+
+### AI: проверить архив перед деплоем
+
+```bash
+curl -X POST "$BASE/ai/lint-archive" -H "$T" \
+  -F "archive=@my-fn.zip" \
+  -F "language=python" \
+  -F "entrypoint=main.handler"
+```
+
+Ответ:
+```json
+{
+  "ok": true,
+  "results": [{"file": "main.py", "ok": true}]
+}
+```
+
+Поддерживает: `.py`, `.js`, `.rb`, `.php`
+
+---
+
+### Обновить только таймаут
+
+```bash
+curl -X PUT "$BASE/functions/hello/timeout" -H "$T" -H "Content-Type: application/json" \
+  -d '{"timeout": 120}'
+```
+
+---
+
+### Статус namespace
+
+```bash
+# Готовность namespace (stages: создан → RBAC → control-plane)
+curl "$BASE/ns/status" -H "$T"
+```
+
+---
+
+### Аутентификация / получить namespace
+
+```bash
+curl -X POST "$BASE/auth" -H "Content-Type: application/json" \
+  -d '{"token":"mylogin@example.com"}'
+# → {"ok":true,"namespace":"fission-a3f9c1b2...","email":"..."}
+```
+
+---
+
+## HTTP-коды
+
+| Код | Значение |
+|-----|---------|
+| 200 | OK |
+| 201 | Создано |
+| 400 | Ошибка валидации |
+| 401 | Нет/невалидный токен |
+| 404 | Не найдено (или чужое) |
+| 409 | Уже существует |
+| 413 | Слишком большой код/архив |
+| 502 | Fission внутренняя ошибка |

doc/thinking/2026-04-26-layer1-pass-detailed.md

@@ -0,0 +1,248 @@
+# 2026-04-26 - Layer1 multi-tenant NSWatcher: полный разбор до 5/5 PASS
+
+## Цель
+
+Довести `test_layer1.sh` до `PASS=5 FAIL=0` для сценария:
+
+1. создаётся новый namespace
+2. namespace получает label `fission.io/managed=true`
+3. Fission без рестарта подхватывает namespace
+4. в namespace создаются `Environment`, `Function`, `HTTPTrigger`
+5. функция успешно вызывается через router
+
+Ключевое требование: всё должно происходить без rolling restart Fission-компонентов.
+
+## Исходный симптом
+
+Первый устойчивый симптом был таким:
+
+- `test_layer1.sh` стабильно доходил до `4/5`
+- шаг вызова функции падал
+- в user namespace наблюдалось:
+  - `FailedCreate`
+  - `serviceaccount "fission-fetcher" not found`
+
+Это означало, что poolmgr deployment для environment уже создаётся, но pod не может стартовать без `fission-fetcher` ServiceAccount.
+
+## Что уже было исправлено до RBAC-этапа
+
+Кодовая часть hot-registration была уже внедрена ранее:
+
+- `pkg/utils/serviceaccount.go`
+  - добавлена `EnsureNamespaceSA(...)`
+- `pkg/executor/multitenant/ns_watcher.go`
+  - при регистрации нового namespace вызывается `EnsureNamespaceSA(...)`
+- образ `naeel/fission-bundle:v1.22.0-multi-ns-8` уже был собран и задеплоен
+
+То есть логика в коде уже существовала; сбой был не в отсутствии вызова, а в невозможности выполнить его успешно в кластере.
+
+## Диагностика 1: executor не может создать ServiceAccount/Role/RoleBinding
+
+Была проведена проверка прав service account `fission-executor`.
+
+Подтверждено:
+
+- код `EnsureNamespaceSA` вызывается
+- `ns_watcher` регистрирует namespace
+- executor не имеет достаточных RBAC-прав для provisioning ресурсов в новом namespace
+
+Первый явный пробел:
+
+- отсутствовали права на:
+  - `serviceaccounts`
+  - `roles`
+  - `rolebindings`
+
+После начального RBAC fix было видно, что `ServiceAccount/fission-fetcher` уже создаётся, но этого оказалось недостаточно.
+
+## Диагностика 2: initial RBAC fix оказался неполным
+
+После расширения прав на `serviceaccounts/roles/rolebindings` тест перестал падать на отсутствии SA, но при детальной диагностике выяснилось, что `EnsureNamespaceSA` всё ещё не может полностью создать `Role` для fetcher.
+
+Ключевой лог executor:
+
+```text
+error while creating role for sa fission-fetcher in namespace diag-ns-82702
+... is attempting to grant RBAC permissions not currently held:
+{APIGroups:[""], Resources:["events"], Verbs:["create"]}
+```
+
+И дополнительный лог перед этим:
+
+```text
+localsubjectaccessreviews.authorization.k8s.io is forbidden
+```
+
+### Что это означает
+
+Функция `setupSAAndRoleBindings()` делает две важные вещи:
+
+1. пытается проверить уже существующие права через `LocalSubjectAccessReview`
+2. если прав нет, создаёт `Role` с нужными permission-ами
+
+Следовательно executor должен иметь не только право создавать `Role/RoleBinding`, но и:
+
+- `authorization.k8s.io/localsubjectaccessreviews:create`
+- все permission-ы, которые он пытается делегировать через создаваемую `Role`
+
+В нашем случае fetcher получает право:
+
+- `events:create`
+
+По правилам Kubernetes нельзя создать `Role`, выдающую право, которого нет у самого вызывающего субъекта. Поэтому executor должен был сам иметь `events:create`.
+
+### Реальный root cause на этом этапе
+
+`fission-executor` не имел:
+
+- `events.create`
+- `localsubjectaccessreviews.create`
+
+Из-за этого:
+
+- `ServiceAccount` создавался
+- но `Role` и `RoleBinding` создавались не полностью или не создавались вовсе
+- downstream specialization ломалась
+
+## Исправление 1: полный executor RBAC для dynamic SA provisioning
+
+В `deploy/multitenant/rbac.yaml` был добавлен и затем расширен `ClusterRole`:
+
+- `fission-executor-sa-provisioner`
+
+Итоговый набор прав для него:
+
+- core:
+  - `serviceaccounts`: `get`, `list`, `watch`, `create`, `update`, `patch`
+  - `events`: `create`
+- `authorization.k8s.io`:
+  - `localsubjectaccessreviews`: `create`
+- `rbac.authorization.k8s.io`:
+  - `roles`: `get`, `list`, `watch`, `create`, `update`, `patch`
+  - `rolebindings`: `get`, `list`, `watch`, `create`, `update`, `patch`
+
+После применения этого манифеста было подтверждено:
+
+- `kubectl auth can-i create events --as=system:serviceaccount:fission:fission-executor` -> `yes`
+- `kubectl auth can-i create localsubjectaccessreviews.authorization.k8s.io --as=system:serviceaccount:fission:fission-executor` -> `yes`
+
+И в новом test namespace автоматически появлялись:
+
+- `ServiceAccount/fission-fetcher`
+- `Role/fission-fetcher-role-*`
+- `RoleBinding/fission-fetcher-rolebinding-*`
+
+## Изменение симптома после executor-fix
+
+После полного executor RBAC fix шаг 5 перестал падать с `500` timeout от executor.
+
+Новый симптом:
+
+- постоянный `HTTP 404`
+- router не видел route/function в новом namespace
+
+Это был важный индикатор того, что executor-path уже работает лучше, а оставшаяся проблема находится в router-path.
+
+## Диагностика 3: router NSWatcher не мог watch/list namespaces
+
+Лог router показал прямую ошибку:
+
+```text
+failed to list *v1.Namespace: namespaces is forbidden:
+User "system:serviceaccount:fission:fission-router" cannot list resource
+"namespaces" at the cluster scope
+```
+
+При этом код router уже содержал dynamic namespace watcher:
+
+- `pkg/router/ns_watcher.go`
+
+То есть логика была, но RBAC для `fission-router` отсутствовал.
+
+### Реальный root cause на этом этапе
+
+`fission-router` не имел cluster-scope прав:
+
+- `namespaces:list`
+- `namespaces:watch`
+
+Из-за этого:
+
+- router не подхватывал новые labeled namespaces
+- `HTTPTriggerSet.AddNamespace(...)` не вызывался
+- HTTP trigger не попадал в router runtime map
+- вызов функции возвращал `404`
+
+## Исправление 2: router RBAC для NSWatcher
+
+В тот же `deploy/multitenant/rbac.yaml` добавлены:
+
+- `ClusterRole/fission-router-ns-watcher`
+- `ClusterRoleBinding/fission-router-ns-watcher`
+
+С правами:
+
+- core `namespaces`: `list`, `watch`
+
+После применения подтверждено:
+
+- `kubectl auth can-i list namespaces --as=system:serviceaccount:fission:fission-router` -> `yes`
+- `kubectl auth can-i watch namespaces --as=system:serviceaccount:fission:fission-router` -> `yes`
+
+## Финальная проверка
+
+После обоих RBAC fixes повторный запуск `test_layer1.sh` дал:
+
+```text
+ИТОГ: PASS=5  FAIL=0
+```
+
+На шаге 5 функция успешно ответила:
+
+```text
+HTTP 200 - hello from layer1
+```
+
+## Что именно оказалось правдой по итогу
+
+Итоговая проблема состояла из двух последовательных RBAC-дырок:
+
+1. executor не мог полностью provision-ить `fission-fetcher` в динамическом namespace
+2. router не мог подхватить новый namespace из-за отсутствия namespace watch/list
+
+То есть код hot-registration в целом был правильный, но runtime contract в Kubernetes RBAC был реализован не полностью.
+
+## Итоговые изменения
+
+### Код и манифесты
+
+- `deploy/multitenant/rbac.yaml`
+  - executor namespace watch
+  - executor SA provisioning RBAC
+  - router namespace watch RBAC
+
+### Документация
+
+- `doc/progress.md`
+- `doc/thinking/2026-04-26-rbac-fix.md`
+- `doc/thinking/2026-04-26-layer1-pass-detailed.md`
+
+### Коммиты по ходу исправления
+
+- `161de70` - `multi-tenant: EnsureNamespaceSA + ns_watcher SA provisioning (v8)`
+- `8ccc9fb` - первый RBAC commit
+- `f617913` - полный executor RBAC fix для fetcher role provisioning
+- `7faaa9d` - router namespace watch RBAC
+
+## Практический вывод
+
+Для hot namespace onboarding в Fission недостаточно просто добавить informer-ы в коде.
+
+Нужно обеспечить весь runtime contract:
+
+- executor видит namespace
+- executor может provision-ить service accounts и RBAC в tenant namespace
+- executor может делегировать все требуемые permission-ы
+- router видит namespace и подписывается на triggers/functions в нём
+
+Если хотя бы одно из этих звеньев отсутствует, поведение выглядит как "код вроде есть, но dynamic namespace не работает".

doc/thinking/2026-04-26-namespace-manager-logic-detailed.md

@@ -0,0 +1,589 @@
+# 2026-04-26 — Layer 1 namespace rewrite: подробная логика правок
+
+## Зачем этот документ
+
+Нужен не просто список коммитов, а объяснение инженерной логики:
+
+- что именно было не так в коде;
+- почему исправление выбрано именно таким;
+- почему изменения разбиты на маленькие шаги;
+- какие инварианты я старался сохранить;
+- что уже исправлено, а что еще нет.
+
+Этот документ описывает серию маленьких безопасных шагов в ветке
+`rewrite/layer1-namespace-manager-step1`.
+
+Основной принцип серии:
+
+1. Не делать большой взрывной rewrite.
+2. Сначала сузить race-surface и разъединить старую статическую модель от новой динамической.
+3. Исправлять реальные дефекты отдельно от mechanical refactor.
+4. После каждого шага отдельно проверять соответствующий пакет тестами.
+
+---
+
+## Исходная архитектурная проблема
+
+Переделанный Layer 1 жил в гибридном состоянии.
+
+Старая модель Fission:
+
+- список resource namespaces задается один раз на старте;
+- компоненты считают этот список immutable;
+- informer factories строятся из startup configuration.
+
+Новая multi-tenant модель:
+
+- namespace появляется позже, уже после старта процесса;
+- watcher видит label `fission.io/managed=true`;
+- компоненты должны подключить новый namespace на лету.
+
+Из-за этого в коде образовался разрыв между двумя мирами:
+
+1. Часть кода уже работает как dynamic system.
+2. Часть кода все еще читает глобальную map namespace-ов напрямую, как будто она immutable.
+3. В некоторых компонентах startup-path и dynamic-path оказались несимметричными.
+4. В некоторых местах общий global dedup конфликтует с локальной логикой конкретного компонента.
+
+Это и есть корневой дефект всей подсистемы: не один конкретный баг, а отсутствие единого namespace lifecycle contract.
+
+---
+
+## Что было решено не делать сразу
+
+Я сознательно не пошел в большой rewrite в один коммит.
+
+Почему:
+
+1. Слишком много точек входа: executor, router, buildermgr, storagesvc, utils.
+2. Если переписать все сразу, невозможно будет локализовать регрессию.
+3. Уже были реальные functional дефекты в нескольких местах, их удобнее чинить изолированно.
+4. Пользователь отдельно попросил идти последовательно и проверять после каждого изменения.
+
+Поэтому выбран bounded rewrite: сначала вычищать старые опасные предположения, затем исправлять функциональные несовпадения, и только потом идти к более крупному NamespaceManager.
+
+---
+
+## Инварианты серии
+
+Во всех шагах я старался держать одинаковые правила.
+
+### 1. Не ломать действующий onboarding contract
+
+Если namespace приходит через label watcher, компоненты должны продолжать подключать его без рестарта. Нельзя было ради рефактора возвращаться к статической модели.
+
+### 2. Не менять лишние контракты одновременно
+
+Если шаг про snapshot API, он не должен заодно переписывать cleanup semantics.
+
+### 3. Сначала механические и безопасные сдвиги, потом functional fixes
+
+Это нужно, чтобы понимать, баг возник из-за новой логики или уже существовал ранее.
+
+### 4. Каждый шаг должен быть проверяем локально
+
+После каждого шага запускались тесты по затронутому пакету, а не абстрактное «кажется, всё нормально».
+
+---
+
+## Step 1 — Snapshot API для namespace resolver
+
+Коммит: `c987fa0`
+
+### Что было не так
+
+`NamespaceResolver` уже имел mutex для записи через `AddNamespace`, но многие потребители читали `FissionResourceNS` напрямую.
+
+Это означало следующее:
+
+1. Запись в map уже динамическая.
+2. Чтение в части мест по-прежнему не thread-safe.
+3. Код внешне выглядел как безопасный, потому что mutex в структуре есть, но контракт чтения не был централизован.
+
+То есть защита существовала только наполовину.
+
+### Что я сделал
+
+В `pkg/utils/namespace.go` добавлены:
+
+- `Snapshot()`
+- `SnapshotWithOptions()`
+
+Их логика:
+
+1. Под read lock взять текущее состояние.
+2. Скопировать его в detached slice.
+3. Отсортировать, чтобы получить стабильный детерминированный порядок.
+
+Почему именно slice snapshot, а не снова map:
+
+1. Читателям в основном нужен именно проход по namespace-ам.
+2. Slice удобнее для безопасной итерации.
+3. Сортировка убирает дрожание порядка и делает поведение более предсказуемым в тестах и логике startup factory generation.
+
+### Почему это был правильный первый шаг
+
+Этот шаг почти не меняет бизнес-логику. Он не трогает watchers, RBAC, cleanup, lifecycle events. Он вводит базовый безопасный API, на который потом можно переводить потребителей.
+
+### Что было переведено сразу
+
+Чтобы snapshot API не оставался мертвым кодом, на него были переведены:
+
+- `pkg/utils/informer.go`
+- startup factory creation в `pkg/executor/executor.go`
+
+Логика этого выбора:
+
+1. Это общие helper path.
+2. Они касаются большого числа компонентов.
+3. Но при этом change поверхностный: вместо прямой итерации по map берется snapshot.
+
+### Отдельный мелкий дефект, найденный на шаге 1
+
+Новые тесты создали локальный `NamespaceResolver` без logger. Выяснилось, что часть методов предполагает ненулевой logger. Это нехорошо само по себе: utility object не должен падать только потому, что его используют вне global singleton.
+
+Поэтому были добавлены nil checks вокруг debug/info логов в resolver.
+
+### Проверка шага
+
+Проверялось:
+
+- `go test ./pkg/utils/...`
+- `go test ./pkg/executor/...`
+
+Смысл проверки:
+
+1. Убедиться, что snapshot API корректен как utility layer.
+2. Убедиться, что startup path executor не поменял поведение.
+
+---
+
+## Step 2 — Исправление namespace routing в serviceaccount checker
+
+Коммит: `9ce9829`
+
+### Что было не так
+
+В `pkg/utils/serviceaccount.go` был более тонкий дефект, чем просто прямое чтение map.
+
+В `runSACheck()` одна и та же переменная `ns` переиспользовалась внутри цикла по permission groups.
+
+Смысл проблемы:
+
+1. Есть исходный base namespace.
+2. Для fetcher нужен путь через `GetFunctionNS(baseNS)`.
+3. Для builder нужен путь через `GetBuilderNS(baseNS)`.
+4. Но код мутировал саму переменную `ns` по мере обхода permission sets.
+
+Это опасно, потому что builder resolution начинает зависеть от предыдущего шага цикла, а не от исходного namespace.
+
+Если `FunctionNamespace` и `BuilderNamespace` различаются, route builder SA может поехать.
+
+### Что я сделал
+
+Изменение было разбито на две части:
+
+1. Итерироваться не по `FissionResourceNS` напрямую, а по `Snapshot()`.
+2. Явно вычислять `targetNS` из `baseNS` через отдельный метод `resolveSANamespace(baseNS, saName)`.
+
+Почему выделен отдельный метод:
+
+1. Логика namespace routing становится читаемой как отдельный контракт.
+2. Её можно тестировать отдельно.
+3. В коде исчезает скрытая мутация переменной цикла.
+
+### Почему я не переписывал весь serviceaccount.go сразу
+
+В файле еще остаются спорные места:
+
+- глобальные `fetcherCheck` / `builderCheck`;
+- мутация `permission.exists`;
+- runtime provisioning через `LocalSubjectAccessReview`.
+
+Но если решать всё сразу, шаг становится слишком широким. На этом этапе была цель исправить именно namespace routing bug и убрать прямую итерацию по общей map.
+
+### Какой тест был добавлен
+
+Добавлен unit test на `resolveSANamespace()`:
+
+- fetcher на default namespace должен идти в function namespace;
+- builder на default namespace должен идти в builder namespace;
+- tenant namespace должен сохраняться как tenant namespace.
+
+Тест важен не из-за синтаксиса, а потому что он фиксирует смысловую развязку между двумя namespace path.
+
+### Проверка шага
+
+Проверялось:
+
+- `go test ./pkg/utils/...`
+- `go test ./pkg/executor/...`
+
+---
+
+## Step 3 — Перевод runtime loops на snapshot API
+
+Коммит: `6102b27`
+
+### Что было не так
+
+Даже после появления snapshot API ещё оставались runtime loops, которые напрямую читали общую map namespace-ов в горячих путях:
+
+- adopt existing resources;
+- idle object reaper;
+- orphan archive pruning.
+
+Это плохо не только из-за race. Это также концептуально закрепляет старую модель «список namespace-ов — это просто глобальная map, в которую можно смотреть отовсюду».
+
+### Что я сделал
+
+Перевёл на `Snapshot()` следующие места:
+
+- `pkg/executor/executortype/container/containermgr.go`
+- `pkg/executor/executortype/newdeploy/newdeploymgr.go`
+- `pkg/executor/executortype/poolmgr/gpm.go`
+- `pkg/storagesvc/archivePruner.go`
+
+### Почему именно эти места были хорошим кандидатом
+
+Потому что это mechanical refactor:
+
+1. Логика списков не меняется.
+2. Namespace source меняется с raw map на stable snapshot.
+3. Поведение должно оставаться тем же, кроме устранения unsafe read.
+
+### Что это дало
+
+1. Уменьшило площадь прямого доступа к глобальному mutable состоянию.
+2. Подготовило код к следующему этапу, когда namespace registry станет ещё более централизованным.
+3. Сделало background loops более предсказуемыми при одновременном dynamic onboarding.
+
+### Проверка шага
+
+Проверялось:
+
+- `go test ./pkg/executor/... ./pkg/storagesvc/...`
+
+---
+
+## Step 4 — Исправление buildermgr dedup bug
+
+Коммит: `56a499a`
+
+### Это уже не mechanical refactor, а реальный functional fix
+
+### Что было не так
+
+`buildermgr.StartNSWatcher()` при появлении нового namespace делал:
+
+1. `envw.AddNamespace()`
+2. `pkgw.AddNamespace()`
+
+Но оба watcher-а использовали один и тот же глобальный dedup через `nsResolver.AddNamespace()`.
+
+Фактический эффект:
+
+1. Первый вызов успешно добавляет namespace в global resolver.
+2. Второй вызов видит, что namespace уже «есть».
+3. И просто выходит.
+
+То есть в buildermgr динамический namespace мог получить только часть подписок.
+
+Это уже не theoretical risk, а реальный дефект логики.
+
+### Почему проблема архитектурная
+
+Здесь смешались два уровня ответственности:
+
+1. Global registry должен знать, что namespace существует.
+2. Конкретный компонент должен знать, подписался ли он уже на этот namespace.
+
+Это разные виды dedup.
+
+Один глобальный dedup не может корректно заменить локальный dedup для двух разных subcomponents.
+
+### Что я сделал
+
+Логику развёл по уровням:
+
+1. В `pkg/buildermgr/ns_watcher.go` global resolver обновляется один раз.
+2. `environmentWatcher` dedup делает по своей map `envWatchInformer`.
+3. `packageWatcher` dedup делает по своей map `pkgInformer`.
+
+### Почему это правильнее
+
+Теперь структура похожа на executor path:
+
+1. Глобальный реестр говорит: namespace известен системе.
+2. Каждый компонент сам решает: свои informers он уже поднял или нет.
+
+Именно так должен выглядеть multi-component dynamic onboarding.
+
+### Что я сознательно не делал
+
+Не добавлял remove/cleanup и не переделывал buildermgr lifecycle целиком. На шаге требовалось только убрать ошибку дедупликации.
+
+### Проверка шага
+
+Проверялось:
+
+- `go test ./pkg/buildermgr/...`
+
+Тестов в пакете немного, но для этого шага важно было хотя бы подтвердить, что wiring собирается и не поломан compile-time.
+
+---
+
+## Step 5 — Исправление parity gap в newdeploy
+
+Коммит: `94f26b6`
+
+### Что было не так
+
+`MakeNewDeploy()` на старте процесса регистрировал оба типа handler-ов:
+
+- `FunctionEventHandlers()`
+- `EnvEventHandlers()`
+
+Но `AddNamespace()` для динамически появившегося namespace регистрировал только `FunctionEventHandlers()`.
+
+Это значит, что два namespace-а с одинаковым содержимым вели себя по-разному только из-за времени появления:
+
+1. startup namespace обслуживается полным code path;
+2. dynamic namespace обслуживается урезанным code path.
+
+Это очень плохое свойство для Layer 1, потому что поведение перестаёт зависеть только от данных и начинает зависеть от истории запуска процесса.
+
+### Что я сделал
+
+В `newdeploy.AddNamespace()` добавил регистрацию `EnvEventHandlers()` рядом с `FunctionEventHandlers()`.
+
+### Почему fix именно такой
+
+Потому что это минимальное исправление семантической несимметрии.
+
+Я не придумывал новую абстракцию, а привёл dynamic path к уже существующему startup contract.
+
+### Инженерный смысл шага
+
+Это важный принцип всей серии: если startup-path и late onboarding-path делают похожую работу, они должны проходить через один и тот же контракт, а не через два слегка разных набора side effects.
+
+### Проверка шага
+
+Проверялось:
+
+- `go test ./pkg/executor/executortype/newdeploy`
+
+---
+
+## Step 6 — Защита router informer maps от гонок
+
+Коммит: `87477d4`
+
+### Что было не так
+
+В router динамический namespace добавляет новые informer-ы в две map:
+
+- `triggerInformer`
+- `funcInformer`
+
+Параллельно `updateRouter()` итерируется по тем же map, собирая триггеры и функции для rebuild router-а.
+
+Плюс `functionReferenceResolver` получает `funcInformer` и тоже читает его напрямую.
+
+Это создаёт классическую проблему:
+
+1. одна goroutine пишет в map;
+2. другая одновременно по ней итерируется;
+3. третья читает её через resolver.
+
+Результат может быть от паники `concurrent map iteration and map write` до тихого чтения неполного состояния.
+
+### Почему шаг стал чуть шире
+
+Простой mutex только вокруг `HTTPTriggerSet.AddNamespace()` не решал бы проблему полностью, потому что `functionReferenceResolver` держал свою ссылку на ту же mutable структуру.
+
+Поэтому понадобилось сделать две вещи одновременно:
+
+1. Защитить maps в `HTTPTriggerSet` через `RWMutex` и snapshot helpers.
+2. Дать `functionReferenceResolver` собственный thread-safe путь доступа к informer registry.
+
+### Что я сделал
+
+В `HTTPTriggerSet`:
+
+- добавлен `RWMutex`;
+- добавлены `snapshotTriggerInformers()`;
+- добавлены `snapshotFuncInformers()`;
+- `updateRouter()` и setup handlers теперь работают по snapshot-спискам.
+
+В `functionReferenceResolver`:
+
+- добавлен `RWMutex`;
+- чтение informer-а по namespace теперь под read lock;
+- добавлен `addInformer()` для безопасного добавления нового namespace.
+
+В `router.AddNamespace()`:
+
+- запись в `triggerInformer` и `funcInformer` идёт под lock;
+- resolver получает новый informer через собственный безопасный метод.
+
+### Почему именно snapshot-helpers, а не держать lock во время всей итерации
+
+Потому что rebuild router-а и чтение store-ов могут быть относительно дорогими. Держать глобальный lock на всё это время было бы лишним. Нам нужен был не coarse lock на длинный процесс, а короткий lock на получение стабильного снимка ссылок на informer-ы.
+
+То есть стратегия такая:
+
+1. Быстро снять snapshot ссылок.
+2. Отпустить lock.
+3. Работать со snapshot уже без блокировки записи.
+
+Это лучше и по безопасности, и по latency.
+
+### Проверка шага
+
+Проверялось:
+
+- `go test ./pkg/router/...`
+
+---
+
+## Почему шаги документировались отдельно
+
+Я сохранял отдельный thinking-файл на каждый шаг не ради бюрократии, а ради трассируемости.
+
+Когда изменения маленькие, отдельные документы позволяют понять:
+
+1. какой дефект исправлял именно этот коммит;
+2. что было осознанно оставлено за рамками;
+3. какой тест подтверждал именно этот шаг;
+4. где functional fix, а где только mechanical safety refactor.
+
+Именно это позволяет потом анализировать regressions не по памяти, а по истории.
+
+---
+
+## Что осталось нерешённым после step 6
+
+Несмотря на шесть шагов, это ещё не финальный NamespaceManager rewrite.
+
+Остаются важные вопросы.
+
+### 1. Нет remove/cleanup semantics
+
+Система умеет add, но почти не умеет delete/relabel cleanup.
+
+Что это значит practically:
+
+- informer-ы и локальные registry entries живут вечно;
+- once onboarded, always onboarded;
+- короткоживущие tenant namespace-ы будут оставлять мусор.
+
+### 2. `serviceaccount.go` всё ещё не идеален
+
+Текущий `serviceaccount.go` уже лучше, чем до step 2, но файл всё ещё сложный:
+
+- глобальные `fetcherCheck` / `builderCheck` живут как process-wide mutable objects;
+- `permission.exists` мутируется в runtime;
+- provisioning и permission-check тесно сцеплены.
+
+Это отдельный кандидат на следующий bounded refactor, но уже не маленький mechanical шаг.
+
+### 3. Глобальный resolver всё ещё остаётся transitional abstraction
+
+`NamespaceResolver` теперь безопаснее для чтения, но это пока ещё не полноценный NamespaceManager с событиями, remove lifecycle и подписками.
+
+Он всё ещё ближе к thread-safe registry, чем к полной orchestration layer.
+
+### 4. Cleanup/restart/backfill lifecycle ещё не централизован
+
+Часть компонентов уже ближе к единообразию, но по-прежнему нет одного центрального orchestration contract вида:
+
+- add existing namespaces on startup;
+- reconcile on relabel;
+- remove on delete;
+- rebuild after restart;
+- re-register late component safely.
+
+---
+
+## Почему я не стал сразу делать remove/cleanup
+
+Потому что это уже следующая категория сложности.
+
+До step 6 изменения укладывались в схему:
+
+- локальный и понятный дефект;
+- ограниченный blast radius;
+- тестируемый пакет;
+- отдельный маленький commit.
+
+Remove/cleanup меняет уже жизненный цикл системы и затрагивает много мест одновременно:
+
+- watcher behavior;
+- manager lifecycle;
+- informer shutdown semantics;
+- cache invalidation;
+- resolver state.
+
+Это не тот шаг, который разумно смешивать с небольшими safety fixes.
+
+---
+
+## Почему такая стратегия лучше, чем «переписать всё сразу»
+
+Потому что сейчас уже есть видимый результат с низким риском:
+
+1. Уменьшено число прямых доступов к общей mutable map.
+2. Исправлен реальный functional bug в buildermgr.
+3. Исправлена реальная логическая ошибка в serviceaccount namespace routing.
+4. Исправлена несимметрия в newdeploy dynamic path.
+5. Закрыта явная router race-surface.
+
+И всё это не одним большим коммитом, а серией шагов с локальной верификацией.
+
+Для инфраструктурного кода это важнее, чем «красивый большой rewrite», который сложно раскладывать при регрессиях.
+
+---
+
+## Какие проверки были прогнаны по ходу серии
+
+После шагов запускались:
+
+- `go test ./pkg/utils/...`
+- `go test ./pkg/executor/...`
+- `go test ./pkg/storagesvc/...`
+- `go test ./pkg/buildermgr/...`
+- `go test ./pkg/router/...`
+
+Логика была такая:
+
+1. Не гонять каждый раз всю репу, если шаг локальный.
+2. Но обязательно проверять затронутый пакет и соседний пакет, если change касается shared utility layer.
+
+---
+
+## Текущее состояние после серии
+
+Серия шагов 1-6 не завершает rewrite, но заметно улучшает базу для следующего этапа.
+
+Что теперь стало лучше:
+
+1. Namespace reads стали заметно более дисциплинированными.
+2. Dynamic namespace onboarding стал логически ровнее между компонентами.
+3. В router исчезла наиболее явная race-surface на informer maps.
+4. Buildermgr больше не теряет часть подписок на новый namespace из-за неправильного dedup.
+
+Что остаётся следующим осмысленным этапом:
+
+1. Вынесение уже полноценного NamespaceManager как orchestration layer.
+2. Remove/cleanup lifecycle.
+3. Разделение discovery, registry и provisioning.
+4. Дополнительные тесты на restart/relabel/delete/burst onboarding.
+
+---
+
+## Отдельная заметка про `serviceaccount.go`
+
+На момент написания этого документа файл `pkg/utils/serviceaccount.go` был заново перечитан по текущему содержимому. Документ описывает актуальную логику файла в его текущем состоянии, а не только то состояние, которое было в момент коммита step 2.
+
+Это важно, потому что именно в этом файле пользовательский контекст отдельно предупредил о возможных дополнительных изменениях между сообщениями.

doc/thinking/2026-04-26-namespace-manager-step1.md

@@ -0,0 +1,44 @@
+# 2026-04-26 — NamespaceManager rewrite, step 1
+
+## Цель шага
+
+Начать bounded rewrite Layer 1 без большого взрыва по коду.
+Первый шаг deliberately узкий:
+
+- не менять lifecycle namespace onboarding;
+- не трогать watcher-ы executor/router/buildermgr;
+- не менять контракты `AddNamespace`;
+- убрать первые прямые проходы по общей mutable map `FissionResourceNS`.
+
+## Почему именно так
+
+Сейчас multi-tenant логика уже динамическая, но многие старые code path все еще читают
+`DefaultNSResolver().FissionResourceNS` напрямую. Это опасно по двум причинам:
+
+1. map общая и mutable, а dynamic onboarding меняет ее во время работы процесса;
+2. часть helper-ов и startup path продолжают жить как будто список namespace-ов immutable.
+
+Полный rewrite в один шаг дал бы слишком большой blast radius. Поэтому сначала вводится
+thread-safe snapshot API в namespace layer, а затем существующие потребители переводятся
+на него по одному.
+
+## План шага 1
+
+1. Добавить в `pkg/utils/namespace.go` методы snapshot для plain namespaces и namespaces with options.
+2. Перевести `pkg/utils/informer.go` на snapshot API.
+3. Перевести startup factory path в `pkg/executor/executor.go` на snapshot API.
+4. Добавить unit tests для snapshot behavior.
+5. Прогнать `go test ./pkg/utils/... ./pkg/executor/...`.
+
+## Ожидаемый эффект
+
+- меньше прямых чтений общей map;
+- появление базового API, через который дальше можно выносить единый NamespaceManager;
+- нулевое изменение внешнего поведения на этом шаге.
+
+## Что НЕ делаем на этом шаге
+
+- не исправляем watcher lifecycle;
+- не добавляем remove/delete semantics;
+- не трогаем router race и buildermgr dedup bug;
+- не меняем RBAC.

doc/thinking/2026-04-26-namespace-manager-step10.md

@@ -0,0 +1,22 @@
+# 2026-04-26 — NamespaceManager rewrite, step 10
+
+## Цель шага
+
+Научить skeleton manager выводить общую phase namespace-а из part states.
+
+## Что меняем
+
+1. Добавляем константы состояний частей:
+   - `registering`
+   - `active`
+   - `failed`
+2. После `MarkPartState()` manager пересчитывает общую phase namespace-а.
+3. Добавляем unit tests на переходы:
+   - registering -> active
+   - failed -> NamespacePhaseFailed
+
+## Что НЕ меняем
+
+- не запускаем реальный reconcile loop;
+- не вызываем subscriber-ов автоматически;
+- не подключаем manager к runtime.

doc/thinking/2026-04-26-namespace-manager-step11.md

@@ -0,0 +1,18 @@
+# 2026-04-26 — NamespaceManager rewrite, step 11
+
+## Цель шага
+
+Добавить bootstrap helper для массовой загрузки initial namespace set в manager.
+
+## Что меняем
+
+1. Добавляем `Bootstrap()` в manager interface и реализацию.
+2. Метод принимает список namespace-ов и `NamespaceSource`.
+3. Метод прогоняет namespaces через `Upsert()` как initial discovered set.
+4. Добавляем unit tests на bootstrap.
+
+## Что НЕ меняем
+
+- не подключаем bootstrap к runtime startup path;
+- не меняем watcher-ы;
+- не трогаем resolver/SA/runtime.

doc/thinking/2026-04-26-namespace-manager-step12.md

@@ -0,0 +1,17 @@
+# 2026-04-26 — NamespaceManager rewrite, step 12
+
+## Цель шага
+
+Добавить bridge helper между legacy `NamespaceResolver` и новым `NamespaceManager`.
+
+## Что меняем
+
+1. Добавляем helper `NewBootstrappedNamespaceManager()`.
+2. Helper берёт snapshot из resolver и bootstraps manager.
+3. Добавляем unit test на bootstrap from resolver.
+
+## Что НЕ меняем
+
+- не подключаем helper к production startup path;
+- не меняем watcher-ы;
+- не меняем runtime components.

doc/thinking/2026-04-26-namespace-manager-step13.md

@@ -0,0 +1,20 @@
+# 2026-04-26 — NamespaceManager rewrite, step 13
+
+## Цель шага
+
+Централизовать managed namespace label contract в `utils`.
+
+## Что меняем
+
+1. Добавляем в `utils`:
+   - `ManagedNamespaceLabelKey`
+   - `ManagedNamespaceLabelValue`
+   - `ManagedNamespaceLabelSelector()`
+   - `IsManagedNamespace()`
+2. Переводим watcher-ы executor/router/buildermgr на единый helper.
+
+## Что НЕ меняем
+
+- не подключаем новый manager к watcher-ам;
+- не меняем поведение onboarding;
+- не трогаем runtime reconcile.

doc/thinking/2026-04-26-namespace-manager-step14.md

@@ -0,0 +1,19 @@
+# 2026-04-26 — NamespaceManager rewrite, step 14
+
+## Цель шага
+
+Добавить удобные helper-методы для part-state transitions.
+
+## Что меняем
+
+1. В manager interface добавляем:
+   - `MarkPartRegistering()`
+   - `MarkPartActive()`
+   - `MarkPartFailed()`
+2. Реализуем их поверх `MarkPartState()`.
+3. Добавляем unit tests.
+
+## Что НЕ меняем
+
+- не подключаем helpers к runtime reconcile;
+- не трогаем watcher-ы и runtime components.

doc/thinking/2026-04-26-namespace-manager-step15.md

@@ -0,0 +1,16 @@
+# 2026-04-26 — NamespaceManager rewrite, step 15
+
+## Цель шага
+
+Добавить utility helper-методы для построения `NamespaceEvent`.
+
+## Что меняем
+
+1. Добавляем `NewNamespaceEvent()`.
+2. Добавляем `ManagedNamespaceEvent()`.
+3. Добавляем unit tests.
+
+## Что НЕ меняем
+
+- не подключаем event helpers к watcher-ам;
+- не меняем runtime behavior.

doc/thinking/2026-04-26-namespace-manager-step16.md

@@ -0,0 +1,18 @@
+# 2026-04-26 — NamespaceManager rewrite, step 16
+
+## Цель шага
+
+Подготовить lifecycle subscriber contract для будущего reconcile path.
+
+## Что меняем
+
+1. Расширяем `NamespaceSubscriber` методами:
+   - `OnNamespaceAdd()`
+   - `OnNamespaceRemove()`
+   - `OnNamespaceResync()`
+2. Обновляем тестовую заглушку subscriber-а.
+
+## Что НЕ меняем
+
+- не вызываем subscriber-ов из manager;
+- не подключаем contract к runtime components.

doc/thinking/2026-04-26-namespace-manager-step17.md

@@ -0,0 +1,22 @@
+# 2026-04-26 — NamespaceManager rewrite, step 17
+
+## Цель шага
+
+Добавить dispatch helper для прогона namespace через subscriber-ов в add/resync path.
+
+## Что меняем
+
+1. В manager interface добавляем:
+   - `DispatchAdd()`
+   - `DispatchResync()`
+2. Manager вызывает subscriber-ов последовательно.
+3. Для каждого subscriber-а manager проставляет part state:
+   - `registering`
+   - `active` или `failed`
+4. Добавляем unit tests на success и failure path.
+
+## Что НЕ меняем
+
+- не подключаем dispatch к production watcher-ам;
+- не добавляем remove dispatch;
+- не меняем runtime components.

doc/thinking/2026-04-26-namespace-manager-step18.md

@@ -0,0 +1,15 @@
+# 2026-04-26 — NamespaceManager rewrite, step 18
+
+## Цель шага
+
+Подготовить watcher-friendly helper для преобразования Kubernetes Namespace в `NamespaceEvent`.
+
+## Что меняем
+
+1. Добавляем `NamespaceEventFromNamespace()`.
+2. Добавляем unit tests на перенос имени и labels.
+
+## Что НЕ меняем
+
+- не подключаем helper к watcher-ам;
+- не меняем runtime behavior.

doc/thinking/2026-04-26-namespace-manager-step19.md

@@ -0,0 +1,16 @@
+# 2026-04-26 — NamespaceManager rewrite, step 19
+
+## Цель шага
+
+Добавить functional adapter для `NamespaceSubscriber`.
+
+## Что меняем
+
+1. Добавляем `NamespaceSubscriberFuncs`.
+2. Добавляем `Name()/OnNamespaceAdd()/OnNamespaceRemove()/OnNamespaceResync()`.
+3. Добавляем unit tests.
+
+## Что НЕ меняем
+
+- не подключаем adapter к runtime;
+- не меняем production watcher-ы.

doc/thinking/2026-04-26-namespace-manager-step2.md

@@ -0,0 +1,33 @@
+# 2026-04-26 — NamespaceManager rewrite, step 2
+
+## Цель шага
+
+Убрать еще один прямой проход по `FissionResourceNS` и закрыть конкретный баг в
+`pkg/utils/serviceaccount.go`.
+
+## Проблема
+
+`runSACheck()` сейчас:
+
+1. итерируется по `sa.nsResolver.FissionResourceNS` напрямую;
+2. переиспользует переменную `ns` внутри внутреннего цикла по permissions.
+
+Из-за этого код выглядит безобидно, но фактически смешивает два разных namespace path:
+
+- fetcher path через `GetFunctionNS()`;
+- builder path через `GetBuilderNS()`.
+
+Если `FunctionNamespace` и `BuilderNamespace` различаются, builder SA может начать
+резолвиться уже не от исходного namespace, а от результата предыдущего шага цикла.
+
+## Что меняем
+
+1. Берем base namespaces через thread-safe `Snapshot()`.
+2. Для каждого permission вычисляем `targetNS` из исходного `baseNS`, а не из мутированной переменной.
+3. Добавляем unit test на routing function/builder namespace.
+
+## Что НЕ меняем на этом шаге
+
+- не трогаем глобальные `fetcherCheck` / `builderCheck` структуры;
+- не меняем `LocalSubjectAccessReview` path;
+- не делаем большой refactor всего SA provisioning.

doc/thinking/2026-04-26-namespace-manager-step20.md

@@ -0,0 +1,21 @@
+# 2026-04-26 — NamespaceManager rewrite, step 20
+
+## Цель шага
+
+Сделать первый реальный runtime adapter для `NamespaceManager` в `buildermgr`.
+
+## Что меняем
+
+1. Добавляем buildermgr namespace subscriber.
+2. Adapter переиспользует существующие `envWatcher.AddNamespace()` и `packageWatcher.AddNamespace()`.
+3. `add/resync` path повторяет текущую логику watcher-а:
+   - добавить namespace в resolver;
+   - вызвать env watcher;
+   - вызвать package watcher.
+4. Добавляем unit test на вызов обоих watcher-ов.
+
+## Что НЕ меняем
+
+- не подключаем subscriber к `StartNSWatcher()`;
+- не меняем remove behavior;
+- не ломаем текущий production flow.

doc/thinking/2026-04-26-namespace-manager-step21.md

@@ -0,0 +1,15 @@
+# 2026-04-26 — NamespaceManager rewrite, step 21
+
+## Цель шага
+
+Свести текущий watcher flow и новый subscriber flow `buildermgr` к одному helper.
+
+## Что меняем
+
+1. `buildermgr/ns_watcher.go` больше не дублирует логику add/resync.
+2. Watcher вызывает `registerBuilderNamespace()`.
+
+## Что НЕ меняем
+
+- не меняем внешний API watcher-а;
+- не переключаем `StartNSWatcher()` на `NamespaceManager`.

doc/thinking/2026-04-26-namespace-manager-step22.md

@@ -0,0 +1,17 @@
+# 2026-04-26 — NamespaceManager rewrite, step 22
+
+## Цель шага
+
+Добавить первый runtime adapter для `router` по тому же шаблону, что и для `buildermgr`.
+
+## Что меняем
+
+1. Добавляем router namespace subscriber.
+2. Adapter переиспользует существующий `HTTPTriggerSet.AddNamespace()`.
+3. `add/resync` path прогоняется через общий helper.
+
+## Что НЕ меняем
+
+- не подключаем subscriber к `StartNSWatcher()`;
+- не меняем remove path;
+- не меняем текущий production flow.

doc/thinking/2026-04-26-namespace-manager-step23.md

@@ -0,0 +1,15 @@
+# 2026-04-26 — NamespaceManager rewrite, step 23
+
+## Цель шага
+
+Свести текущий watcher flow и новый subscriber flow `router` к одному helper.
+
+## Что меняем
+
+1. `router/ns_watcher.go` больше не дублирует add/resync логику.
+2. Watcher вызывает `registerRouterNamespace()`.
+
+## Что НЕ меняем
+
+- не переключаем `StartNSWatcher()` на `NamespaceManager`;
+- не меняем внешний API watcher-а.

doc/thinking/2026-04-26-namespace-manager-step24.md

@@ -0,0 +1,16 @@
+# 2026-04-26 — NamespaceManager rewrite, step 24
+
+## Цель шага
+
+Подготовить `executor/multitenant` к subscriber adapter без смены текущего watcher behavior.
+
+## Что меняем
+
+1. Выделяем отдельный helper для прогона `AddNamespace()` по executor type-ам.
+2. Оставляем `EnsureNamespaceSA()` в текущем `registerNamespace()`.
+3. Добавляем unit test на успешный прогон и propagation ошибок.
+
+## Что НЕ меняем
+
+- не подключаем `NamespaceManager`;
+- не меняем внешний API watcher-а.

doc/thinking/2026-04-26-namespace-manager-step25.md

@@ -0,0 +1,17 @@
+# 2026-04-26 — NamespaceManager rewrite, step 25
+
+## Цель шага
+
+Добавить runtime adapter для `executor/multitenant` поверх уже выделенного helper-а.
+
+## Что меняем
+
+1. Добавляем executor namespace subscriber.
+2. `add/resync` path переиспользует `registerNamespace()`.
+3. Добавляем unit test на вызов executor type-ов.
+
+## Что НЕ меняем
+
+- не подключаем subscriber к watcher-у;
+- не меняем remove path;
+- не меняем внешний API watcher-а.

doc/thinking/2026-04-26-namespace-manager-step26.md

@@ -0,0 +1,17 @@
+# 2026-04-26 — NamespaceManager rewrite, step 26
+
+## Цель шага
+
+Добавить единый startup bridge для manager: bootstrap model + dispatch в subscriber-ы.
+
+## Что меняем
+
+1. В `NamespaceManager` добавляем `BootstrapAndDispatch()`.
+2. Helper сначала делает `Bootstrap()`, потом вызывает `DispatchAdd()` по каждому namespace.
+3. Ошибки агрегируются и не останавливают остальные namespace.
+4. Добавляем unit tests на success и partial-failure.
+
+## Что НЕ меняем
+
+- не подключаем helper к production startup path;
+- не меняем watcher behavior.

doc/thinking/2026-04-26-namespace-manager-step27.md

@@ -0,0 +1,20 @@
+# 2026-04-26 — NamespaceManager rewrite, step 27
+
+## Цель шага
+
+Сделать первый реальный runtime hook на `NamespaceManager` в `buildermgr` watcher.
+
+## Что меняем
+
+1. `buildermgr.StartNSWatcher()` поднимает локальный `NamespaceManager`.
+2. В manager заранее bootstrapped текущий snapshot resolver-а.
+3. Watcher `Add/Update` события прогоняет через:
+   - `Upsert()`
+   - `DispatchAdd()` или `DispatchResync()`
+4. Подписчиком manager-а становится уже существующий `buildermgr` subscriber adapter.
+
+## Что НЕ меняем
+
+- не меняем `registerBuilderNamespace()`;
+- не добавляем remove path;
+- не меняем остальные компоненты.

doc/thinking/2026-04-26-namespace-manager-step28.md

@@ -0,0 +1,19 @@
+# 2026-04-26 — NamespaceManager rewrite, step 28
+
+## Цель шага
+
+Сделать такой же runtime hook на `NamespaceManager` в `router` watcher.
+
+## Что меняем
+
+1. `router.StartNSWatcher()` поднимает локальный `NamespaceManager`.
+2. Manager bootstrapped из текущего resolver snapshot.
+3. Watcher `Add/Update` события прогоняет через:
+   - `Upsert()`
+   - `DispatchAdd()` или `DispatchResync()`
+4. Подписчиком manager-а становится router subscriber adapter.
+
+## Что НЕ меняем
+
+- не добавляем remove path;
+- не меняем `HTTPTriggerSet.AddNamespace()`.

doc/thinking/2026-04-26-namespace-manager-step29.md

@@ -0,0 +1,19 @@
+# 2026-04-26 — NamespaceManager rewrite, step 29
+
+## Цель шага
+
+Перевести `executor/multitenant` watcher на тот же manager flow, что уже используется в `buildermgr` и `router`.
+
+## Что меняем
+
+1. `StartNSWatcher()` поднимает локальный `NamespaceManager`.
+2. Manager bootstrapped из resolver snapshot.
+3. Watcher `Add/Update` события прогоняет через:
+   - `Upsert()`
+   - `DispatchAdd()` или `DispatchResync()`
+4. Подписчиком manager-а становится executor subscriber adapter.
+
+## Что НЕ меняем
+
+- не добавляем remove path;
+- не меняем `registerNamespace()` и низкоуровневый executor registration helper.

doc/thinking/2026-04-26-namespace-manager-step3.md

@@ -0,0 +1,28 @@
+# 2026-04-26 — NamespaceManager rewrite, step 3
+
+## Цель шага
+
+Срезать еще один слой прямых чтений `DefaultNSResolver().FissionResourceNS` в runtime code path.
+
+## Почему это отдельный шаг
+
+После step 1 snapshot API уже существует, но runtime loops в executor и storagesvc все еще
+читают общую mutable map напрямую. Это не архитектурный rewrite, а чистый safety refactor:
+
+- `container.AdoptExistingResources()`
+- `newdeploy.AdoptExistingResources()`
+- `newdeploy.doIdleObjectReaper()`
+- `poolmgr.AdoptExistingResources()`
+- `poolmgr.doIdleObjectReaper()`
+- `storagesvc.ArchivePruner.getOrphanArchives()`
+
+## Что меняем
+
+В этих местах цикл переводится на `DefaultNSResolver().Snapshot()`.
+
+## Что НЕ меняем
+
+- не меняем семантику cleanup;
+- не меняем behavior watcher-ов;
+- не добавляем remove semantics;
+- не исправляем router race и buildermgr dedup на этом шаге.

doc/thinking/2026-04-26-namespace-manager-step30.md

@@ -0,0 +1,15 @@
+# 2026-04-26 — NamespaceManager rewrite, step 30
+
+## Цель шага
+
+Закрыть startup gap в `buildermgr`: manager должен отражать и существующие namespace-ы, а не только новые события watcher-а.
+
+## Что меняем
+
+1. `buildermgr.StartNSWatcher()` создаёт пустой `NamespaceManager`.
+2. После `Subscribe()` выполняется `BootstrapAndDispatch()` по текущему snapshot resolver-а.
+
+## Что НЕ меняем
+
+- не меняем low-level registration helper;
+- не меняем remove path.

doc/thinking/2026-04-26-namespace-manager-step31.md

@@ -0,0 +1,15 @@
+# 2026-04-26 — NamespaceManager rewrite, step 31
+
+## Цель шага
+
+Закрыть startup gap в `router`: локальный manager должен отражать существующие namespace-ы уже на старте.
+
+## Что меняем
+
+1. `router.StartNSWatcher()` создаёт пустой `NamespaceManager`.
+2. После `Subscribe()` выполняется `BootstrapAndDispatch()` по snapshot resolver-а.
+
+## Что НЕ меняем
+
+- не меняем `HTTPTriggerSet.AddNamespace()`;
+- не добавляем remove path.

doc/thinking/2026-04-26-namespace-manager-step32.md

@@ -0,0 +1,15 @@
+# 2026-04-26 — NamespaceManager rewrite, step 32
+
+## Цель шага
+
+Закрыть startup gap в `executor/multitenant`: manager должен отражать стартовые namespace-ы и прогонять их через тот же subscriber path.
+
+## Что меняем
+
+1. `StartNSWatcher()` создаёт пустой `NamespaceManager`.
+2. После `Subscribe()` выполняется `BootstrapAndDispatch()` по snapshot resolver-а.
+
+## Что НЕ меняем
+
+- не меняем `registerNamespace()`;
+- не добавляем remove path.

doc/thinking/2026-04-26-namespace-manager-step33.md

@@ -0,0 +1,17 @@
+# 2026-04-26 — NamespaceManager rewrite, step 33
+
+## Цель шага
+
+Убрать несоответствие между contract и manager implementation: `OnNamespaceRemove()` уже есть, а `DispatchRemove()` ещё нет.
+
+## Что меняем
+
+1. В `NamespaceManager` добавляем `DispatchRemove()`.
+2. Manager вызывает `OnNamespaceRemove()` у всех subscriber-ов.
+3. После dispatch namespace переводится в `removed` через `NamespaceEventRemove`.
+4. Добавляем unit tests на success и failure path.
+
+## Что НЕ меняем
+
+- не подключаем remove events в watcher-ы;
+- не реализуем physical cleanup в runtime components.

doc/thinking/2026-04-26-namespace-manager-step34.md

@@ -0,0 +1,19 @@
+# 2026-04-26 — NamespaceManager rewrite, step 34
+
+## Цель шага
+
+Подготовить безопасный helper для delete/tombstone событий Namespace informer-а.
+
+## Что меняем
+
+1. Добавляем `NamespaceFromObject()`.
+2. Helper поддерживает:
+   - `*corev1.Namespace`
+   - `cache.DeletedFinalStateUnknown`
+3. Добавляем `NamespaceEventFromObject()`.
+4. Добавляем unit tests.
+
+## Что НЕ меняем
+
+- не подключаем delete handling в watcher-ы на этом шаге;
+- не меняем runtime behavior.

doc/thinking/2026-04-26-namespace-manager-step35.md

@@ -0,0 +1,20 @@
+# 2026-04-26 — NamespaceManager rewrite, step 35
+
+## Цель шага
+
+Научить watcher-ы фиксировать label-drop/delete в локальном `NamespaceManager`, не трогая реальные runtime регистрации.
+
+## Что меняем
+
+1. Во все три namespace watcher-а добавляем:
+   - `DeleteFunc`
+   - обработку `managed -> unmanaged` в `UpdateFunc`
+2. При таком событии watcher:
+   - создаёт `NamespaceEventRemove`
+   - записывает его в manager через `Upsert()`
+   - пишет явный log, что runtime cleanup НЕ выполняется
+
+## Что НЕ меняем
+
+- не вызываем `DispatchRemove()` из watcher-ов;
+- не удаляем informer-ы, resolver state или runtime registrations.

doc/thinking/2026-04-26-namespace-manager-step36.md

@@ -0,0 +1,18 @@
+# 2026-04-26 — NamespaceManager rewrite, step 36
+
+## Цель шага
+
+Убрать мёртвый код после перевода watcher-ов на `NamespaceManager` flow.
+
+## Что меняем
+
+1. Удаляем неиспользуемые helper-ы:
+   - `builderNSName()`
+   - `routerNSName()`
+   - `namespaceName()`
+2. Убираем ставшие неиспользуемыми imports.
+
+## Что НЕ меняем
+
+- не меняем runtime behavior;
+- не меняем watcher logic.

doc/thinking/2026-04-26-namespace-manager-step37.md

@@ -0,0 +1,19 @@
+# 2026-04-26 — NamespaceManager rewrite, step 37
+
+## Цель шага
+
+Убрать дублирование startup manager flow в трёх namespace watcher-ах.
+
+## Что меняем
+
+1. В `utils` добавляем helper `NewWatcherNamespaceManager()`.
+2. Helper:
+   - создаёт `NamespaceManager`
+   - подписывает subscriber-ов
+   - выполняет `BootstrapAndDispatch()`
+3. `buildermgr`, `router`, `executor/multitenant` используют новый helper.
+
+## Что НЕ меняем
+
+- не меняем semantics dispatch;
+- не меняем runtime cleanup policy.

doc/thinking/2026-04-26-namespace-manager-step38.md

@@ -0,0 +1,19 @@
+# 2026-04-26 — NamespaceManager rewrite, step 38
+
+## Цель шага
+
+Убрать повторяющуюся lifecycle логiku namespace watcher-ов.
+
+## Что меняем
+
+1. В `utils` добавляем helpers:
+   - `NamespaceBecameUnmanaged()`
+   - `DispatchNamespaceAdd()`
+   - `DispatchNamespaceResync()`
+   - `RecordNamespaceRemoval()`
+2. `buildermgr`, `router`, `executor/multitenant` используют эти helpers.
+
+## Что НЕ меняем
+
+- не меняем runtime semantics;
+- remove по-прежнему только bookkeeping, без cleanup.

doc/thinking/2026-04-26-namespace-manager-step39.md

@@ -0,0 +1,43 @@
+# 2026-04-26 — NamespaceManager rewrite, step 39
+
+## Цель шага
+
+Свести три namespace watcher-а к одинаковому lifecycle поведению через общие handlers в `utils`.
+
+## Что меняем
+
+1. Добавляем helpers:
+   - `HandleWatcherNamespaceAdd()`
+   - `HandleWatcherNamespaceUpdate()`
+   - `HandleWatcherNamespaceDelete()`
+2. Helpers централизуют:
+   - dispatch add/resync;
+   - remove bookkeeping;
+   - стандартное logging-сообщение.
+3. `buildermgr`, `router`, `executor/multitenant` переходят на эти helpers.
+
+## Что НЕ меняем
+
+- не меняем runtime cleanup policy;
+- не меняем manager state model.# 2026-04-26 — NamespaceManager rewrite, step 39
+
+## Цель шага
+
+Свести три namespace watcher-а к одинаковому lifecycle поведению через общие handlers в `utils`.
+
+## Что меняем
+
+1. Добавляем helpers:
+   - `HandleWatcherNamespaceAdd()`
+   - `HandleWatcherNamespaceUpdate()`
+   - `HandleWatcherNamespaceDelete()`
+2. Helpers централизуют:
+   - dispatch add/resync;
+   - remove bookkeeping;
+   - стандартное logging-сообщение.
+3. `buildermgr`, `router`, `executor/multitenant` переходят на эти helpers.
+
+## Что НЕ меняем
+
+- не меняем runtime cleanup policy;
+- не меняем manager state model.

doc/thinking/2026-04-26-namespace-manager-step4.md

@@ -0,0 +1,32 @@
+# 2026-04-26 — NamespaceManager rewrite, step 4
+
+## Цель шага
+
+Исправить реальный functional bug в dynamic onboarding buildermgr.
+
+## Дефект
+
+`buildermgr.StartNSWatcher()` вызывает:
+
+1. `envw.AddNamespace()`
+2. `pkgw.AddNamespace()`
+
+Но оба watcher-а используют один и тот же глобальный `nsResolver.AddNamespace()` для dedup.
+Из-за этого первый вызов добавляет namespace, а второй считает его уже обработанным и
+выходит раньше времени. В результате у динамического tenant namespace может подняться только
+Environment informer без Package informer.
+
+## Исправление
+
+1. Глобальный resolver обновляется один раз в `buildermgr/ns_watcher.go`.
+2. `environmentWatcher` dedup делает только по своей map `envWatchInformer`.
+3. `packageWatcher` dedup делает только по своим map `pkgInformer` / `podInformer`.
+
+Так buildermgr становится симметричнее executor path: общий registry обновляется один раз,
+а конкретные компоненты сами решают, подписаны ли они уже на namespace.
+
+## Что НЕ меняем
+
+- не добавляем cleanup/remove semantics;
+- не меняем router;
+- не трогаем newdeploy parity gap на этом шаге.

doc/thinking/2026-04-26-namespace-manager-step40.md

@@ -0,0 +1,20 @@
+# 2026-04-26 — NamespaceManager rewrite, step 40
+
+## Цель шага
+
+Зафиксировать lifecycle policy для namespace removal в коде явно, а не только комментариями и log-сообщениями.
+
+## Что меняем
+
+1. Добавляем `NamespaceRemovalStrategy`.
+2. Поддерживаем два режима:
+   - `track-only`
+   - `dispatch-remove`
+3. Общие watcher handlers принимают strategy.
+4. Текущий production flow использует `track-only`.
+5. Добавляем unit tests на оба режима.
+
+## Что НЕ меняем
+
+- не включаем реальный remove dispatch в watcher-ах;
+- не меняем runtime cleanup policy по умолчанию.