From bdee5e97e1633792d5afb630b780843ba36d4a53 Mon Sep 17 00:00:00 2001 From: Your Name Date: Sat, 27 Jun 2026 13:32:26 +0800 Subject: [PATCH] docs(iwooos): record config control production readback [skip ci] --- docs/LOGBOOK.md | 54 +++++++++++++++++++++++++++++++++++++++++++++++++ 1 file changed, 54 insertions(+) diff --git a/docs/LOGBOOK.md b/docs/LOGBOOK.md index 0b2cc9b65..fb4e490ac 100644 --- a/docs/LOGBOOK.md +++ b/docs/LOGBOOK.md @@ -46874,3 +46874,57 @@ production browser smoke: **下一步**： - commit / push 後等待 Gitea CD；CD 完成後驗證正式 API schema、Nginx 第一優先、前台桌機 / 手機無水平溢出、禁止字串不出現。 - 下一個 P0 仍是 owner-provided redacted evidence intake、Wazuh manager registry accepted、Nginx live diff evidence gate 與 controlled apply 前置 verifier。 + +## 2026-06-27 — 13:31 IwoooS 高價值配置控管正式讀回完成 + +**時間與來源**： +- 2026-06-27 13:14-13:31 Asia/Taipei。 +- 來源：Gitea main、CD status API、production `GET /api/v1/iwooos/high-value-config-control-coverage`、production `GET /api/v1/health`、in-app browser desktop / mobile smoke。 + +**版本與 runs**： +- IwoooS 高價值配置控管 code commit：`121e5b886 feat(iwooos): expose high-value config control coverage`。 +- 最新 runtime bundle commit：`d48fcfbde fix(api): enqueue repair candidates for ansible check mode`，包含 `121e5b886`。 +- deploy marker：`4d3389edf chore(cd): deploy d48fcfb [skip ci]`。 +- CD run：`3592`，tests `success in 1m40s`、build-and-deploy `success in 6m32s`、post-deploy-checks `success in 1m38s`。 +- code-review run：`3593`，`success in 14s`。 +- Ansible validate run：`3591` 當時仍為 waiting，屬另一條 workflow；本輪未操作 runner、未取消 run、未 workflow dispatch。 + +**production API readback**： +- `GET /api/v1/iwooos/high-value-config-control-coverage`：`200`。 +- schema：`iwooos_high_value_config_control_coverage_v1`。 +- status：`coverage_matrix_ready_no_runtime_action`。 +- summary：`category_count=14`、`c0_category_count=8`、`average_coverage_percent=73`、`runtime_gate_count=0`、`action_button_count=0`。 +- 第一優先 lane：`nginx_public_gateway`，label `Nginx / 公開入口 / 反向代理`。 +- 禁止字串掃描：`工作視窗`、`批准！繼續`、`source_thread_id`、個人 repo namespace、內網位址片段、raw Wazuh payload 均未出現。 +- 既有 `GET /api/v1/iwooos/security-control-coverage` 與 `GET /api/v1/iwooos/runtime-security-readback` 仍為 `200`。 + +**production browser smoke**： +- Desktop `1366x900`，URL `https://awoooi.wooo.work/zh-TW/iwooos?_v=4d3389edf-config-control-desktop`。 + - markers present：`高價值配置覆蓋矩陣`、`只讀 API 已接上`、`Nginx / 公開入口 / 反向代理`、`DNS / TLS / 憑證續期`、`K8s / ArgoCD / 正式環境宣告`、`配置覆蓋矩陣邊界`。 + - forbidden hits：`0`。 + - console errors：`0`。 + - page overflow：`-6`，無整頁水平溢出。 +- Mobile `390x844`，URL `https://awoooi.wooo.work/zh-TW/iwooos?_v=4d3389edf-config-control-mobile`。 + - markers present：同 desktop。 + - forbidden hits：`0`。 + - console errors：`0`。 + - page overflow：`-6`，無整頁水平溢出。 + +**完成度與同步狀態**： +- 本段「高價值配置控管 API 化 / 前台動態讀回」：`100%`，已完成 commit、push、CD、production API readback、desktop / mobile browser smoke。 +- 高價值配置控管框架：`94% -> 95%`，Nginx / DNS / K8s / secret / runner / runtime config 的只讀前台讀回已進正式站。 +- IwoooS 整體：保守維持約 `65%`。此段提高重要配置可見度與防誤讀能力，但 owner evidence、Wazuh registry acceptance、controlled apply verifier 與 runtime gate 尚未完成。 + +**仍維持 0 / false**： +- `owner_response_received_count=0`、`owner_response_accepted_count=0`、`runtime_gate_count=0`、`action_button_count=0`。 +- `runtime_execution_authorized=false`、`host_write_authorized=false`、`nginx_reload_authorized=false`、`public_gateway_reload_authorized=false`、`dns_tls_change_authorized=false`、`certbot_renew_authorized=false`、`argocd_sync_authorized=false`、`kubectl_action_authorized=false`、`workflow_modification_authorized=false`、`runner_change_authorized=false`、`secret_value_collection_allowed=false`、`backup_run_authorized=false`、`restore_run_authorized=false`、`active_scan_authorized=false`、`agent_bounty_runtime_authorized=false`、`payout_or_withdrawal_authorized=false`。 + +**做過的命令類型**： +- 寫入：repo code / test / frontend / guard / LOGBOOK，以及正常 Gitea push。 +- 只讀：Gitea status API、production API readback、production browser smoke。 +- 未做：沒有 host / Docker / systemd / Nginx / firewall / K8s / DB / Wazuh runtime 寫操作；沒有讀 secret 明文；沒有 Nginx reload；沒有 ArgoCD sync；沒有 workflow 修改；沒有 Wazuh active response；沒有 Kali active scan；沒有 force push。 + +**下一個 P0**： +- `P0-01` owner-provided redacted evidence intake：把 Nginx / DNS / K8s / secret / runner / Wazuh registry 的 owner response 收件與拒收規則接到同一條只讀預檢。 +- `P0-02` Wazuh manager registry accepted：只讀交叉驗收所有 expected host / product / agent scope，不把 dashboard 可開或 API 200 當作全主機納管恢復。 +- `P0-03` Nginx live diff evidence gate：收 owner-provided redacted live evidence、rendered diff、`nginx -t` result ref、route smoke ref、rollback owner；未完成前 reload gate 維持 0。