feat(security): 新增主機服務配置只讀清冊
This commit is contained in:
Your Name
@@ -1,3 +1,42 @@
|
||||
## 2026-06-11｜IwoooS P1-1 Docker / systemd repo-only 清冊
|
||||
|
||||
**背景**：統帥要求所有重要配置都要被資安控管，且 Nginx 之外的 Docker Compose、systemd、repair-bot、Ansible service role 與 host config backup 也不能落在鬆散口頭規範。本段延續「先建立框架、只讀證據、低摩擦流程，再階段性收攏」原則，只做 repo-only 清冊，不碰 live host。
|
||||
|
||||
**完成**：
|
||||
|
||||
- 新增 `host_service_config_inventory_v1` 產生器、schema、snapshot 與人讀文件，納入 `9` 個 repo-only surface。
|
||||
- 清冊覆蓋 `5` 個 host scope：`local_dev_only`、`192.168.0.110`、`192.168.0.188`、`110_188_120_121_cluster`、`multi_host`。
|
||||
- Docker Compose / reference surface `5`、repair-bot whitelist `2`、systemd restart surface `1`、write-capable surface `3`。
|
||||
- 所有 surface 均固定 owner response required；owner response received / accepted、live evidence、restart window、rollback owner、runtime gate 與 action button 全部仍為 `0`。
|
||||
- 高價值配置覆蓋矩陣的 `docker_compose_systemd_host_config` 從 `42%` 推進到 `50%`；此進度只代表 repo-only 清冊完成，不代表主機已驗證、可重啟或可執行。
|
||||
- IwoooS posture projection snapshot / schema、`security-mirror-progress-guard.py`、高價值配置文件、配置控管總清冊與前端高價值配置卡已同步新口徑。
|
||||
- `/zh-TW/iwooos` 的 P1-1 卡由 `42%` 更新為 `50%`，並新增 `docker_compose_action_authorized=false`、`systemctl_action_authorized=false`、`repair_bot_execution_authorized=false`、`ansible_apply_authorized=false` 等前台邊界標記；仍無任何操作按鈕。
|
||||
|
||||
**本地驗證**：
|
||||
|
||||
- `python3 scripts/security/host-service-config-inventory.py --root . --generated-at 2026-06-11T23:20:00+08:00 --output docs/security/host-service-config-inventory.snapshot.json`：`HOST_SERVICE_CONFIG_INVENTORY_OK surfaces=9 hosts=5 write_capable=3 runtime_gate=0`。
|
||||
- `python3 scripts/security/high-value-config-control-coverage.py --root . --generated-at 2026-06-11T23:21:00+08:00 --output docs/security/high-value-config-control-coverage.snapshot.json`：`HIGH_VALUE_CONFIG_CONTROL_COVERAGE_OK categories=14 c0=8 avg=64 runtime_gate=0`。
|
||||
- `python3 scripts/security/security-mirror-progress-guard.py --root .`：`SECURITY_MIRROR_PROGRESS_GUARD_OK`。
|
||||
- `python3 scripts/security/source-control-owner-response-guard.py --root .`：`SOURCE_CONTROL_OWNER_RESPONSE_GUARD_OK`。
|
||||
- `python3 -m py_compile scripts/security/host-service-config-inventory.py scripts/security/high-value-config-control-coverage.py scripts/security/security-mirror-progress-guard.py`：通過。
|
||||
- JSON parse：host-service snapshot / schema、高價值覆蓋 snapshot、IwoooS posture projection snapshot / schema、`zh-TW.json`、`en.json` 通過。
|
||||
- `cmp -s apps/web/messages/zh-TW.json apps/web/messages/en.json`：通過。
|
||||
- `python3 scripts/ops/doc-secrets-sanity-check.py docs .gitea`：`DOC_SECRET_SANITY_OK scanned_files=679`。
|
||||
- `git diff --check`：通過。
|
||||
- 目標敏感片語掃描：IwoooS page、`zh-TW.json`、`en.json` 與本輪 security docs 未命中 `工作視窗` / `內部對話` / `對話內容` / `批准！繼續` / `In app browser` / `My request for Codex`。
|
||||
|
||||
**完成度同步**：
|
||||
|
||||
- P1-1 repo-only surface 註冊：`100%`。
|
||||
- source existence / SHA256 hash：`100%`。
|
||||
- Docker / systemd 高價值配置成熟度：`42% -> 50%`。
|
||||
- owner response 收件 / 接受：`0%`。
|
||||
- live evidence collection：`0%`。
|
||||
- restart / apply / repair-bot / Ansible gate：`0%`。
|
||||
- IwoooS 整體仍維持 `64%`；active runtime gate 仍 `0`。
|
||||
|
||||
**邊界**：本段未 SSH、未讀 live host、未執行 `docker compose`、未執行 `systemctl`、未跑 repair-bot、未跑 Ansible apply、未更新套件、未重啟、未 active scan、未收 secret value、未改主機與未新增任何前端執行按鈕。
|
||||
|
||||
## 2026-06-11｜P2-403C 前端紅線語彙收斂 Hotfix
|
||||
|
||||
**背景**：P2-403C 已完成 Redis Dry-run Gate 與正式部署驗證；正式治理頁再檢查時，service health failure-only 通知合約的 redaction 說明仍使用過於貼近內部工作流程的詞彙。這些文字不是實際內容外露，也沒有可點執行按鈕，但前端治理頁應只顯示產品化的抽象邊界。
|
||||
|
||||
Reference in New Issue
Block a user