Deploymentcenter BotandClaude Opus 5
c8f3e78635
Bisher gab es nur den Update-Weg: eine Anwendung musste bereits installiert und eingerichtet sein, damit sich etwas aktualisieren liess. Die Erstinstallation auf einem neuen System war Handarbeit - Paket kopieren, Konfiguration abtippen, Token besorgen. Setup-API (neu) - POST /api/setup/v1/login tauscht Benutzername und Passwort gegen ein Token mit 30 Minuten Gueltigkeit und ausschliesslich setup:install. Es wird nicht mitgeschrieben und lebt im Installer nur im Speicher. - GET /api/setup/v1/catalog zeigt nur, was zur Laufzeitkennung des anfragenden Systems passt. Ein Projekt mit ausschliesslich Windows-Paket taucht auf einem Linux-Rechner gar nicht erst auf. - POST /api/setup/v1/token stellt das Dauertoken der Anwendung aus. Welche Rechte vergeben werden, entscheidet der Server; die Anfrage kann nur einschraenken. Sonst waere der Umweg ueber ein kurzlebiges Token wirkungslos. Rollentrennung (Migration 012) - dc_users bekommt role, disabled und last_login_at. Die Rolle "installer" darf sich ueber den Setup-Weg anmelden und nicht am WebUI. Die Zugangsdaten werden auf jedem Zielsystem eingetippt; mit einem Administratorkonto verteilte man damit den Zugang zu Tokens, Lizenzen und Monitoren auf jeden Rechner, auf dem je etwas installiert wurde. - Auth::verifyCredentials() prueft sessionfrei, damit Setup- und WebUI-Login nicht zwei verschiedene Haertungsgrade haben (Drosselung, Timing-Angleichung, Rehash gelten fuer beide). - Konten mit hinterlegtem TOTP-Geheimnis werden am Setup-Weg mit 501 abgewiesen. Eine TOTP-Pruefung gibt es im Deploymentcenter noch nicht; sie stillschweigend zu uebergehen waere ein Rueckschritt. - Benutzerverwaltung im WebUI - es gab bisher gar keine, nur den einen von install_db.php angelegten Admin. Das letzte aktive Administratorkonto laesst sich weder deaktivieren noch loeschen. Installer - update-agent --action install fuehrt durch Anmeldung, Auswahl, Zielverzeichnis, Installation und Einrichtung. Die Dateien kommen ueber denselben Pfad wie ein Update - mit Pruefsumme, Signatur, Staging und Rollback. Ein zweiter Download-Weg waere ein zweiter Ort fuer dieselben Fehler. - --action configure holt die Einrichtung nachtraeglich. - setup.json im Paket beschreibt die benoetigten Werte. Bewusst im Paket und nicht zentral: so ist sie mit der Anwendung versioniert. - Gefragt wird nur, was uebrig bleibt: bereits gesetzt -> detect:... -> provision -> fragen. Platzhalter wie changeme oder <dein-wert> gelten dabei nicht als eingerichtet, sonst liefe die Anwendung mit der Vorlage los. - SetupWriter erhaelt vorhandene Inhalte. Eine appsettings.json fuehrt neben den abgefragten Werten meist Logging und anderes; sie neu zu erzeugen waere bequemer und verloere das - bei einer Neuinstallation ohne Backup. int und bool landen als JSON-Typ, nicht als Zeichenkette. Downloads - scripts/build_installer.ps1 baut selbstenthaltende Einzeldateien fuer win-x64, linux-x64 und linux-arm64 (rund 34 MB, .NET-Laufzeit inbegriffen). Ohne NativeAOT und ohne Trimming: Spectre.Console loest ueber Reflexion auf und braeche sonst erst beim Anwender. - scripts/upload_installer.py laedt sie nach /installer/. Getrennt von deploy.py, das client-dotnet bewusst ausklammert. - Bereich "Installer" auf der UpdateService-Seite mit Groessen, Pruefsummen und den wget-Befehlen; die Angaben stammen aus installer.json statt aus fest eingetragenem Text. - install.sh und install.ps1 laden, pruefen die Pruefsumme und legen ab - sie richten bewusst nichts selbst ein. Das Manifest wird BOM-frei geschrieben, sonst scheitert json_decode() daran. Enthaelt ausserdem die bislang nicht committete Arbeit an den RocketChat-Benachrichtigungen (Migrationen 010 und 011) sowie die Loesch- und Editierfunktion des UpdateService; die betroffenen Dateien liessen sich nicht getrennt stagen. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
81 lines
3.4 KiB
PHP
81 lines
3.4 KiB
PHP
<?php
|
||
/**
|
||
* Deploymentcenter Configuration – VORLAGE
|
||
*
|
||
* Diese Datei nach config/config.php kopieren und ausfüllen.
|
||
* config/config.php ist per .gitignore vom Repository ausgeschlossen.
|
||
*
|
||
* Jeder Wert kann alternativ über eine Umgebungsvariable gesetzt werden
|
||
* (siehe dc_env() unten). Die Umgebungsvariable hat immer Vorrang.
|
||
*/
|
||
|
||
if (!function_exists('dc_env')) {
|
||
/**
|
||
* Liest eine Umgebungsvariable, fällt sonst auf den Standardwert zurück.
|
||
*/
|
||
function dc_env(string $key, $default = null)
|
||
{
|
||
$val = getenv($key);
|
||
if ($val === false || $val === '') {
|
||
return $default;
|
||
}
|
||
return $val;
|
||
}
|
||
}
|
||
|
||
return [
|
||
'app' => [
|
||
'name' => 'Deploymentcenter',
|
||
'version' => '2.0.0',
|
||
'url' => dc_env('DC_APP_URL', 'https://dc.example.com'),
|
||
'timezone' => 'Europe/Berlin',
|
||
// Bei true werden Exception-Texte in API-Antworten ausgegeben.
|
||
// Auf Produktivsystemen zwingend false lassen.
|
||
'debug' => (bool)dc_env('DC_DEBUG', false),
|
||
],
|
||
'db' => [
|
||
'host' => dc_env('DC_DB_HOST', 'localhost'),
|
||
'dbname' => dc_env('DC_DB_NAME', 'deploymentcenter'),
|
||
'username' => dc_env('DC_DB_USER', 'root'),
|
||
'password' => dc_env('DC_DB_PASS', ''),
|
||
'charset' => 'utf8mb4',
|
||
],
|
||
'security' => [
|
||
// Master-Key für Server-zu-Server-Aufrufe (Evaluator-Cron, Deactivate, Migration).
|
||
// Mit `openssl rand -hex 32` erzeugen.
|
||
'shared_key' => dc_env('DC_SHARED_KEY', ''),
|
||
'session_name' => 'DC_SESSION_ID',
|
||
// Signaturschlüssel für ausgehende Webhooks (HMAC-SHA256).
|
||
'webhook_key' => dc_env('DC_WEBHOOK_KEY', ''),
|
||
// Signaturschlüssel für Offline-Lizenzdateien (.lic).
|
||
'license_key' => dc_env('DC_LICENSE_SIGNING_KEY', ''),
|
||
// Privater RSA-Schlüssel, mit dem Releases signiert werden. Entweder
|
||
// das PEM selbst oder ein Pfad zur Schlüsseldatei.
|
||
// openssl genrsa -out /etc/dc/release-signing.pem 2048
|
||
// chmod 600 /etc/dc/release-signing.pem
|
||
// Leer lassen schaltet das Signieren ab; Releases bleiben dann
|
||
// installierbar, der Agent weist aber bei jedem Update darauf hin.
|
||
// Bewusst asymmetrisch: geprüft wird auf fremden Systemen, dort darf
|
||
// der Signierschlüssel nicht liegen.
|
||
'release_private_key' => dc_env('DC_RELEASE_SIGNING_KEY', ''),
|
||
],
|
||
'bugtracker' => [
|
||
// Projekt-Slug, unter dem das Deploymentcenter eigene Fehler meldet.
|
||
'self_project' => 'deploymentcenter',
|
||
// Reports pro IP und Minute am öffentlichen Ingest-Endpunkt.
|
||
'report_rate' => 60,
|
||
// Wie lange ein Agent ein Item exklusiv beansprucht (Minuten).
|
||
'lease_minutes' => 30,
|
||
],
|
||
'rocketchat' => [
|
||
'enabled' => (bool)dc_env('DC_RC_ENABLED', true),
|
||
'url' => dc_env('DC_RC_URL', 'https://chat.wh1.mhdf.de'),
|
||
'username' => dc_env('DC_RC_USER', 'deploymentcenter'),
|
||
'password' => dc_env('DC_RC_PASS', 'cNt.m.KcWHrb8_X9Tv8-'),
|
||
'status_channel' => dc_env('DC_RC_STATUS_CHANNEL', '#DC-Systemstatus'),
|
||
'alert_channel' => dc_env('DC_RC_ALERT_CHANNEL', '#DC-Alerts'),
|
||
'verify_ssl' => (bool)dc_env('DC_RC_VERIFY_SSL', false),
|
||
'report_interval' => (int)dc_env('DC_RC_REPORT_INTERVAL', 43200),
|
||
],
|
||
];
|