diff --git a/docs/backlog/README.md b/docs/backlog/README.md index 6a78bcf..8e78528 100644 --- a/docs/backlog/README.md +++ b/docs/backlog/README.md @@ -36,8 +36,7 @@ _(sec-ревью)_ — три независимых security-ревью на м - [Уведомления о размере приложений и заполнении диска](disk-usage-alerts.md) — алерты на заполнение диска и аномальный рост data-томов; сервер ресурсно ограничен _(tududi)_ - [Handlers рестарта для оставшихся приложений](handlers-remaining-apps.md) — apprise/dashboard/transcriber/miniflux монтируют конфиг в контейнер, но рестарта нет вовсе; правка конфига не подхватывается - [Composable-роль `backup`](ansible-backup-role.md) — бэкап — самый чистый шов для extraction (одинаков у всех, различается только список targets) _(ансибл-ревью)_ -- [Локальная сборка образов вместо Yandex Container Registry](local-image-build.md) — все три приложения переведены на роль `app_image`; осталось вычистить `yc_*`-переменные из vault и прогнать деплой -- [Вывести из оборота секреты с широкими правами](narrow-secret-scopes.md) — один `yc_oauth_token` открывает весь аккаунт Yandex Cloud; после инцидента 24 июля цена утечки одной переменной должна быть ограничена одним сервисом +- [Вывести из оборота секреты с широкими правами](narrow-secret-scopes.md) — `yc_oauth_token` (весь аккаунт Yandex Cloud) уже выведен; осталось проставить радиус остальным переменным vault и сузить широкие - [outline: секреты из файлов](secrets-file-outline.md) — умеет generic `_FILE` для всех пяти секретов; единственное приложение, где выносится вообще всё, включая пароль БД - [wakapi: секреты из файлов](secrets-file-wakapi.md) — salt, SMTP и OIDC выносятся либо через generic `_FILE`, либо через `config.yml`; для OIDC второй путь надёжнее из-за бага с `=` в значении - [authelia: секреты из файлов](secrets-file-authelia.md) — пять полей закрывает `_FILE`, jwks-ключ и client secret — только template-фильтр; заодно четыре client secret можно перевести в хэш и перестать считать секретами diff --git a/docs/backlog/container-hardening-nits.md b/docs/backlog/container-hardening-nits.md index 923cbeb..4968767 100644 --- a/docs/backlog/container-hardening-nits.md +++ b/docs/backlog/container-hardening-nits.md @@ -9,9 +9,9 @@ `/root/.gramps`), rssbridge, dozzle, homepage и valkey/postgres-сайдкары gramps. Дотянуть там, где образ позволяет (rssbridge, valkey) — продолжение уже принятой в проекте практики. -- ~~**homepage на `:latest`**~~ — **снято**: переход на роль `app_image` - ([local-image-build](local-image-build.md)) дал каждому деплою уникальный тег - из `BUILD_ID`, плавающего `latest` больше нет ни у homepage, ни у остальных. +- ~~**homepage на `:latest`**~~ — **снято**: переход на роль `app_image` дал + каждому деплою уникальный тег из `BUILD_ID`, плавающего `latest` больше нет + ни у homepage, ни у остальных. - **Соглашение о портах**: зафиксировать в AGENTS.md, что новые `ports:` — только с `127.0.0.1:`. Docker публикует порты мимо UFW, поэтому дисциплина localhost-биндинга — единственный контроль (сейчас соблюдается: apprise, wanderer). diff --git a/docs/backlog/local-image-build.md b/docs/backlog/local-image-build.md deleted file mode 100644 index ab5484d..0000000 --- a/docs/backlog/local-image-build.md +++ /dev/null @@ -1,60 +0,0 @@ -# Локальная сборка образов вместо Yandex Container Registry - -**Приоритет:** Средний - -Три приложения деплоятся через Yandex Container Registry: homepage, transcriber, -remembos. Схема одинаковая — образ собирается локально и пушится в -`cr.yandex/...` (`playbook-homepage-registry.yml`, -`playbook-transcriber-registry.yml`), плейбук деплоя делает `docker_login` с -`yc_oauth_token`, compose тянет образ по registry-пути с зашитым в git тегом -(`transcriber:2fc5a56-1761210134`, `remembos:v0.2.0`, `homepage-nginx:latest`). -У remembos registry-плейбука нет вовсе — образ пушится руками. - -Роль `app_image` (канон в `~/projects/private/ansible-roles`) делает то же самое -без registry: собирает образ на control-хосте командой самого приложения -(контракт — `task image`, получает `BUILD_ID` через окружение), везёт его на -сервер через `docker save`/`load` и отдаёт факт `app_image_tag` для compose. -Обкатана в umbar на jellybit и trackers. - -Что станет иначе: из деплоя уходят внешний реестр и OAuth-токен, тег образа -перестаёт быть константой в git, а `inv pl -- homepage` становится полным -деплоем — сейчас сборка живёт в `task deploy` репозитория homepage, который сам -зовёт `ansible-playbook`. - -Шаги: - -- ~~завендорить роль `app_image`~~ — **сделано**: подписка в `SYNCED_ROLES`, - копия в `roles/app_image`; механика переноса — [shared-roles-sync](shared-roles-sync.md) -- ~~homepage: завести в Taskfile таск `image` с тегом из `$BUILD_ID`, перевести - плейбук на роль, удалить `playbook-homepage-registry.yml` и registry-переменные - из `vars/homepage.yml`~~ — **сделано**: таск `image` собирает node-образ, сайт - и nginx-образ одной командой; `task deploy`/`deploy-with-ansible` удалены, - деплой целиком — `inv pl -- homepage` -- ~~remembos: контракта сборки нет (есть Dockerfile, нет Taskfile) — завести таск - `image`, убрать зашитый тег из compose~~ — **сделано**: в репозитории remembos - появился `Taskfile.yml` с таском `image`, плейбук зовёт роль, compose тянет - `remembos:{{ app_image_tag }}` с `pull_policy: never`; `docker_login` из - плейбука убран -- ~~transcriber: исходников на этой машине нет~~ — **сделано**: репозиторий - нашёлся (`~/projects/private/transcriber`), Taskfile сведён к таску `image`, - плейбук переведён на роль; `vars/transcriber.images.yml` с зашитым тегом - удалён вместе с ритуалом «yq + коммит тега» из старого `task deploy` -- осталось: убрать `yc_oauth_token` и `yc_container_registry` из vault — на них - больше никто не ссылается; дальше по [narrow-secret-scopes](narrow-secret-scopes.md) - -Готово, когда ни один плейбук не делает `docker_login`, `cr.yandex` не -встречается в репозитории, а все три приложения деплоятся одним -`inv pl -- `. Осталось только вычистить vault и прогнать деплой каждого -приложения. - -Цена размена: дедупликации по слоям больше нет — каждый деплой везёт полный -образ, и для сборки нужен локальный docker с тулчейном. Для ручного нечастого -деплоя это осознанный выбор (так решено в самой роли). Замеры архивов -(`docker save`): homepage — 61 МБ, transcriber — 73 МБ, remembos — 21 МБ. - -Пересекается с [gitea-runner-on-demand](gitea-runner-on-demand.md): если сборки -уедут в CI, доставка образа на сервер снова становится отдельным вопросом. - -Связано: playbook-homepage.yml, playbook-transcriber.yml, playbook-remembos.yml, -vars/homepage.yml, vars/transcriber.yml, roles/app_image, -files/{homepage,transcriber,remembos}/docker-compose.template.yml. diff --git a/docs/backlog/narrow-secret-scopes.md b/docs/backlog/narrow-secret-scopes.md index bda4b3a..47d9d6f 100644 --- a/docs/backlog/narrow-secret-scopes.md +++ b/docs/backlog/narrow-secret-scopes.md @@ -2,11 +2,12 @@ **Приоритет:** Средний -`yc_oauth_token` в vault — OAuth-токен аккаунта Yandex Cloud: реестр, виртуалки, -биллинг. Нужен он ради одной операции — `docker login` в плейбуках homepage, -transcriber и remembos. Радиус прав несопоставим с задачей, и 24 июля он вместе -с ещё 52 переменными ушёл открытым текстом в транскрипт: цена одной такой утечки -— весь аккаунт, а не один сервис. +Показательный случай — `yc_oauth_token`: OAuth-токен всего аккаунта Yandex Cloud +(реестр, виртуалки, биллинг) ради одной операции, `docker login` в плейбуках +homepage, transcriber и remembos. 24 июля он вместе с ещё 52 переменными ушёл +открытым текстом в транскрипт: цена одной такой утечки — весь аккаунт, а не один +сервис. Из этого репозитория он уже выведен (см. ниже), но такой перекос радиуса +надо найти и снять у остальных переменных. Принцип, к которому идём: секрет даёт доступ ровно к тому, ради чего заведён. Всё, что шире, — либо заменяется на скоупированный доступ (сервисный аккаунт с @@ -14,10 +15,9 @@ transcriber и remembos. Радиус прав несопоставим с за общего), либо выводится из оборота совсем, либо риск принимается явно и записывается. -Ядро задачи закрывается сборкой без реестра: после -[local-image-build](local-image-build.md) `yc_oauth_token` не нужен ни в одном -плейбуке и удаляется из vault. До неё эта задача не начинается — иначе деплой -трёх приложений просто ляжет. +Ядро задачи уже закрыто: homepage, transcriber и remembos собирают образы +локально ролью `app_image`, `docker_login` из плейбуков ушёл, а `yc_oauth_token` +вместе с `yc_container_registry*` удалён из vault (коммит `6a0d786`). Дальше — ревизия остального: пройти по `group_vars/all/secrets.yml` и проставить каждой переменной радиус («один сервис» / «весь аккаунт у провайдера» / «все diff --git a/docs/backlog/no-secrets-in-playbook-output.md b/docs/backlog/no-secrets-in-playbook-output.md index 53315c6..5fbf84c 100644 --- a/docs/backlog/no-secrets-in-playbook-output.md +++ b/docs/backlog/no-secrets-in-playbook-output.md @@ -33,10 +33,9 @@ miniflux деплоится молча, а остальные — нет. Чисто: miniflux (образец), memos, calibre, tuwunel, dashboard, caddy, netdata, dozzle, goaccess, rssbridge, homepage. -Отдельным пунктом — `docker_login` в homepage, transcriber и remembos: -`yc_oauth_token` идёт параметром модуля. По умолчанию аргументы не печатаются, но -всплывают при `-v` и в отчёте о падении. Закрывается тем же `no_log`, а совсем -уходит после [local-image-build](local-image-build.md). +`docker_login` в homepage, transcriber и remembos с `yc_oauth_token` в аргументах +модуля — снят: приложения собирают образы локально ролью `app_image`, реестра и +токена в плейбуках больше нет. ## Рычаги и их цена