44 lines
2.2 KiB
Markdown
44 lines
2.2 KiB
Markdown
|
---
|
||
|
|
okf: "0.1"
|
||
|
|
type: decision
|
||
|
|
visibility: private
|
||
|
|
status: active
|
||
|
|
updated: 2026-08-03
|
||
|
|
links:
|
||
|
|
- ../phases/backlog.md
|
||
|
|
---
|
||
|
|
|
||
|
|
## Tech-debt: globalny porządek uid/gid/uprawnień we flocie (2026-07-10)
|
||
|
|
|
||
|
|
**Diagnoza.** Flota NIE ma spójnej mapy uid/gid. "oskar" ma różne uid per host
|
||
|
|
(PIHA: 1004, inne hosty: prawdopodobnie 1000/inne). Kontenery agentów zakładają
|
||
|
|
uid 1000 (user "homelab"). Bind-mounty przenoszą SUROWE uid (nie nazwy) między
|
||
|
|
hostem a kontenerem → gdy uid hosta ≠ uid zakładany przez kontener, pliki stają
|
||
|
|
się "cudze" i wybucha cicha awaria (klucz nieczytelny, rsync nie tworzy plików,
|
||
|
|
socket permission denied). To NIE są przypadki — to systemowy brak kanonicznej
|
||
|
|
mapy uid/gid.
|
||
|
|
|
||
|
|
**Historia incydentów (dowód że systemowe):**
|
||
|
|
- 2026-07-10: node-agent PIHA (uid 1000 homelab) montował /home/oskar/.ssh (pliki
|
||
|
|
uid 1004) → "Load key id_rsa: Permission denied" → rsync padał → 21 dni bez
|
||
|
|
eventów (wykryte przez shadow-read). Fix: dedykowany /opt/homelab/agent-ssh
|
||
|
|
chown 1000.
|
||
|
|
- Wcześniej: oskar spoza grupy `aerbot` na VPS → rsync push nie tworzył plików →
|
||
|
|
brak cleanup → 8-dniowa cicha awaria floty. Fix: usermod -aG aerbot oskar.
|
||
|
|
- 2026-07-10 (świeże, PENDING): node-agent PIHA "Docker unavailable: PermissionError(13)"
|
||
|
|
po recreate — agent nie czyta /var/run/docker.sock (grupa docker/uid). Osobny od
|
||
|
|
shippingu (nie blokuje eventów), ale ten sam rodzaj problemu — do naprawy
|
||
|
|
(grupa docker w kontenerze / gid socketu).
|
||
|
|
- LUSTRO uid pi=1000 vs PIHA oskar=1004 — różne uid "pierwszego usera" per host.
|
||
|
|
|
||
|
|
**Kierunek naprawy (do rozważenia, osobny projekt):**
|
||
|
|
- Ustalić KANONICZNE uid/gid per rola: agent=1000 wszędzie; dedykowane grupy dla
|
||
|
|
współdzielonych zasobów (aerbot dla events/rsync-sink na VPS, docker dla socketu).
|
||
|
|
- Audyt `id <user>` na KAŻDYM hoście floty (saturn/solaria/piha/vps/lustro) —
|
||
|
|
zmapować realne uid/gid, udokumentować rozjazdy.
|
||
|
|
- Rozważyć deklaratywny zapis oczekiwanych uid/gid w hosts/*/host.yaml lub
|
||
|
|
capabilities.yaml (żeby deploy mógł weryfikować/wymuszać spójność).
|
||
|
|
- Agenci NIE powinni montować prywatnego .ssh użytkownika — zawsze dedykowany
|
||
|
|
katalog z własnym kluczem pod właściwym uid (wzorzec z fixa 2026-07-10).
|
||
|
|
|