feat(aw-rus): sync deploy stack, install kit, and health checks

2026-05-21 15:16:23 +03:00
parent 45f9907450
commit 99143b108b
67 changed files with 6449 additions and 681 deletions
@@ -14,6 +14,8 @@
 - `ansible/provision_proxmox_ct_matrix_and_deploy_aw.yml` — массовый полный playbook (несколько CT).
 - `ansible/deploy_aw_windows.yml` — WinRM playbook для развёртывания Windows/RDP collector'ов.
 - `ansible/deploy_aw_pfsense_poller.yml` — развёртывание pfSense poller'а.
+- `ansible/deploy_grafana_dashboards.yml` — импорт version-controlled Grafana dashboard'ов через HTTP API.
+- `ansible/deploy_tsj_guardian_bot_proxmox.yml` — развёртывание TSJ Guardian Telegram Bot на Proxmox host.
 - `ansible/install_full_stack.yml` — полный установочный playbook (оркестратор всех этапов).
 - `ansible/inventory.example.ini` — шаблон inventory.
 - `ansible/group_vars/*.example.yml` — шаблоны переменных.
@@ -31,6 +33,15 @@ cd ansible
 ansible-playbook -i inventory.ini deploy_aw_server.yml
 ```

+## Секреты (пароли) безопасно
+
+Рекомендуемый способ не хранить пароли в репозитории — перед запуском экспортировать их в переменные окружения:
+
+- Linux `aw_server` (SSH пароль root): `AW_SSH_PASSWORD`
+- Windows `aw_windows` (WinRM пароль): `AW_WINRM_PASSWORD`
+
+В `group_vars/aw_server.yml` и `group_vars/windows.yml` они читаются через `lookup('env', ...)`.
+
 ## Полный установочный playbook (всё за один запуск)

 Если нужно прогнать полный цикл одной командой:
@@ -45,7 +56,8 @@ ansible-playbook -i inventory.ini install_full_stack.yml
 - `provision_proxmox_ct_and_deploy_aw.yml` (если есть хосты в группе `[proxmox]`);
 - `deploy_aw_server.yml` (группа `[aw_server]`);
 - `deploy_aw_windows.yml` (группа `[aw_windows]`);
- `deploy_aw_pfsense_poller.yml` (группа `[aw_pfsense_pollers]`).
+- `deploy_aw_pfsense_poller.yml` (группа `[aw_pfsense_pollers]`);
+- `deploy_grafana_dashboards.yml` (группа `[grafana]`).

 Пустые группы в `inventory.ini` безопасны: соответствующий play будет пропущен.

@@ -87,18 +99,29 @@ ansible-playbook -i inventory.ini provision_proxmox_ct_matrix_and_deploy_aw.yml

 ```bash
 cd ansible
-ansible-playbook -i inventory.ini deploy_aw_windows.yml
+AW_WINRM_PASSWORD='...' bash ./run_deploy_aw_windows.sh
 ```

+`run_deploy_aw_windows.sh` автоматически:
+- очищает proxy env (`http_proxy/https_proxy/...`), чтобы WinRM не уходил в локальный прокси;
+- включает OpenSSL legacy provider, если на хосте отключён `MD4` (нужно для NTLM в pywinrm).
+- перезапускает `ansible-playbook` при временных WinRM/NTLM сбоях (по умолчанию 5 попыток, пауза 30 сек).
+
+Параметры retry:
+- `AW_DEPLOY_RETRIES` (по умолчанию `5`);
+- `AW_DEPLOY_RETRY_DELAY_SEC` (по умолчанию `30`).
+
 Playbook:

 - выгружает полный `windows/*` toolkit на целевой хост в InnoSetup-compatible каталог `C:\Program Files\AWatch-rus\windows`, включая DLP и `worktime-session-collector.ps1`;
 - если найден legacy config `C:\ProgramData\ActivityWatch-Phase2\deployment-config.json`, выполняет безопасную миграцию через `migrate-awatch-rus-paths.ps1`: backup, остановка задач, перенос данных, переписывание путей, пересоздание scheduled tasks и validation;
 - выполняет `deploy-ensemble.ps1` (deploy + hardening/recovery) с policy/rules из AWatch-rus toolkit;
 - после deploy принудительно запускает `ActivityWatch Recovery` и все `ActivityWatch Launch *` задачи;
- выполняет API smoke-check bucket `aw-watcher-afk_<COMPUTERNAME>` и ожидает свежие `not-afk` события;
+- включает (`Enable-ScheduledTask`) `ActivityWatch Recovery` и все `ActivityWatch Launch *` задачи перед запуском (иначе WebUI может показывать `Active time: 0s`);
+- выполняет API smoke-check bucket `aw-watcher-afk_<COMPUTERNAME>` и ожидает свежие события;
+- выполняет API smoke-check bucket `aw-watcher-window_<COMPUTERNAME>` и ожидает свежие события (по умолчанию включено);
 - запускает `validate-deployment.ps1`;
- забирает JSON-отчёт в локальную директорию (`/tmp/aw-rus-validation` по умолчанию).
+- забирает JSON-отчёт в локальную директорию (`/tmp/aw-rus-validation-<USER>` по умолчанию).

 Дополнительные флаги:

@@ -116,6 +139,9 @@ Playbook:
 - `aw_windows_migration_report_remote_path` — JSON-отчёт о миграции на Windows-хосте;
 - `aw_windows_package_version`, `aw_windows_package_url`, `aw_windows_package_zip_path` — версия и источник Windows-пакета ActivityWatch;
 - `aw_windows_api_smoke_check_bucket: ""` — автоматически использовать `aw-watcher-afk_<COMPUTERNAME>`;
+- `aw_windows_api_smoke_check_window_enabled: true` — включить дополнительный smoke-check `aw-watcher-window_<COMPUTERNAME>`;
+- `aw_windows_api_smoke_check_window_bucket: ""` — переопределить bucket для window smoke-check;
+- `aw_windows_api_smoke_check_min_events: 1` — минимум событий, ожидаемых в smoke-check;
 - `aw_windows_fail_on_validation_error: true` — завершать playbook ошибкой, если `validate-deployment.ps1` возвращает `overallOk=false`;
 - `aw_windows_skip_hardening: true` — пропустить `hardening-recovery.ps1` внутри ensemble-скрипта.

@@ -138,6 +164,68 @@ Playbook:
 - пишет `/etc/aw-pfsense/poller.json`;
 - поднимает `aw-pfsense-poller.service`.

+## Импорт Grafana dashboard'ов
+
+1. Подготовьте inventory и vars:
+   - `cp ansible/inventory.example.ini ansible/inventory.ini`
+   - `cp ansible/group_vars/grafana.example.yml ansible/group_vars/grafana.yml`
+2. Укажите в inventory группу `[grafana]` и переменную `grafana_url`.
+3. Экспортируйте пароль Grafana API:
+
+```bash
+export GRAFANA_ADMIN_PASSWORD='...'
+```
+
+4. Запустите:
+
+```bash
+cd ansible
+ansible-playbook -i inventory.ini deploy_grafana_dashboards.yml
+```
+
+Playbook:
+
+- проверяет `GET /api/health`;
+- создает или актуализирует folder `AWatch-rus` в Grafana;
+- импортирует dashboard JSON из каталога `grafana/`;
+- верифицирует доступность dashboard'ов по `uid` через Grafana API.
+
+По умолчанию импортируются:
+
+- `DetMir: Работа пользователей в RDP`
+- `DetMir: DLP и ИБ обзор`
+- `DetMir: ИБ сводка для руководства`
+- `AW-rus: DLP обзор`
+
+Подробная документация: `docs/GRAFANA_DASHBOARDS_RU.md`
+
+## Развёртывание TSJ Guardian Bot на Proxmox
+
+1. Подготовьте vars:
+   - `cp ansible/group_vars/proxmox-bot.example.yml ansible/group_vars/proxmox-bot.yml`
+2. Заполните минимум:
+   - `telegram_bot_token`
+   - `telegram_allowed_chat_ids`
+   - `tsj_bot_source_local_path`
+3. Убедитесь, что в inventory есть группа `[proxmox]`.
+   Для текущего контура AW-Rus bot ожидает Proxmox host `10.10.10.2`.
+   Рабочая модель для этого контура: `igor` + `sudo`, а не обязательный `root` login.
+4. При необходимости задайте recovery-команды для AW-Rus:
+   - `tsj_bot_aw_rus_worktime_heal_cmd`
+   - `tsj_bot_aw_rus_dlp_heal_cmd`
+5. Запустите:
+
+```bash
+cd ansible
+ansible-playbook -i inventory.ini deploy_tsj_guardian_bot_proxmox.yml
+```
+
+После актуального production hardening:
+
+- bot различает `worktime idle` и реальную деградацию;
+- bot поддерживает отдельный `AW_RUS_DLP_HEAL_CMD`;
+- redeploy не должен терять runtime env-ключи, связанные с proxy, FS checks и AI escalation.
+
 ## Результат

 - Установлен ActivityWatch Server.
@@ -149,3 +237,13 @@ Playbook:
 - Для полного сценария CT создаётся автоматически через `pct create`.
 - На Windows/RDP host развёрнуты AFK/window watchers, browser domain collector, DLP endpoint collector и worktime session collector.
 - Проверочный JSON-отчёт Windows playbook должен иметь `overallOk=true`.
+
+## Prod rollout одной командой
+
+Для ручного запуска с dry-run и логированием используйте:
+
+```bash
+bash scripts/prod_rollout.sh
+```
+
+Скрипт попросит `AW_SSH_PASSWORD` и `AW_WINRM_PASSWORD` интерактивно (ввод скрыт) и сложит логи в `.rollout-logs/`.
@@ -4,6 +4,8 @@
  gather_facts: false

  vars:
+    ansible_winrm_operation_timeout_sec: 120
+    ansible_winrm_read_timeout_sec: 180
    aw_windows_repo_root: "{{ playbook_dir | dirname }}"
    aw_windows_deploy_root: "C:\\Program Files\\AWatch-rus"
    aw_windows_server_scheme: "http"
@@ -14,6 +16,7 @@
    aw_windows_package_zip_path: ""
    aw_windows_domain: "SHARKON2025"
    aw_windows_users:
+      - Администратор
      - user1
      - user2
      - user3
@@ -23,24 +26,35 @@
    aw_windows_users_effective: "{{ (aw_windows_users + aw_windows_extra_users) | unique }}"
    aw_windows_install_root: "C:\\Program Files\\AWatch-rus\\bin"
    aw_windows_state_root: "C:\\ProgramData\\AWatch-rus"
-    aw_windows_afk_enabled: true
-    aw_windows_window_enabled: true
+    aw_windows_policy_mode: "server"
+    aw_windows_policy_refresh_seconds: 300
+    aw_windows_policy_engine_enabled: true
+    aw_windows_policy_engine_host: "{{ aw_windows_server_host }}"
+    aw_windows_policy_engine_port: 5601
+    aw_windows_policy_engine_scheme: "http"
+    aw_windows_afk_enabled_default: true
+    aw_windows_window_enabled_default: true
+    aw_windows_file_ops_enabled: true
    aw_windows_local_agent_logs_enabled: false
    aw_windows_incident_capture_enabled: true
    aw_windows_incident_screenshot_enabled: true
    aw_windows_incident_artifacts_root: "{{ aw_windows_state_root }}\\incident-artifacts"
+    aw_windows_forensics_root: "{{ aw_windows_state_root }}\\forensics\\evtx-exports"
    aw_windows_logon_marker_enabled: true
    aw_windows_skip_hardening: false
    aw_windows_rules_path: "{{ aw_windows_deploy_root }}\\windows\\web-category-rules.example.json"
    aw_windows_policy_path: "{{ aw_windows_deploy_root }}\\windows\\dlp-policy.example.json"
    aw_windows_validation_remote_path: "{{ aw_windows_state_root }}\\aw_validate_ansible.json"
-    aw_windows_validation_local_dir: "/tmp/aw-rus-validation"
+    aw_windows_validation_local_dir: "/tmp/aw-rus-validation-{{ lookup('env','USER') | default('ansible', true) }}"
    aw_windows_launch_task_pattern: "ActivityWatch Launch *"
    aw_windows_recovery_task_name: "ActivityWatch Recovery"
    aw_windows_force_task_restart: true
    aw_windows_api_smoke_check_enabled: true
    aw_windows_api_smoke_check_bucket: ""
    aw_windows_api_smoke_check_limit: 10
+    aw_windows_api_smoke_check_window_enabled_default: true
+    aw_windows_api_smoke_check_window_bucket: ""
+    aw_windows_api_smoke_check_min_events: 1
    aw_windows_fail_on_validation_error: true
    aw_windows_migration_enabled: true
    aw_windows_legacy_install_root: "C:\\Program Files\\ActivityWatch-Phase2"
@@ -60,6 +74,12 @@
          - aw_windows_state_root is defined
        fail_msg: "Не заданы обязательные переменные Windows-развёртывания."

+    - name: Нормализовать effective флаги collector'ов и smoke-check
+      ansible.builtin.set_fact:
+        aw_windows_afk_enabled_effective: "{{ (aw_windows_afk_enabled | default(aw_windows_afk_enabled_default)) | bool }}"
+        aw_windows_window_enabled_effective: "{{ (aw_windows_window_enabled | default(aw_windows_window_enabled_default)) | bool }}"
+        aw_windows_api_smoke_check_window_enabled_effective: "{{ (aw_windows_api_smoke_check_window_enabled | default(aw_windows_api_smoke_check_window_enabled_default)) | bool }}"
+
    - name: Создать каталоги развёртывания
      ansible.windows.win_file:
        path: "{{ item }}"
@@ -77,16 +97,32 @@
        - ActivityWatch.Windows.Common.psm1
        - browser-domains-native-collector.ps1
        - dlp-endpoint-signals-collector.ps1
+        - dlp-policy-client.ps1
        - email-outbound-collector.ps1
+        - file-operations-collector.ps1
        - worktime-session-collector.ps1
+        - export-evtx-for-hayabusa.ps1
        - migrate-awatch-rus-paths.ps1
        - deploy-domain-users.ps1
        - deploy-ensemble.ps1
        - hardening-recovery.ps1
+        - rebuild-worktime-tasks.ps1
        - validate-deployment.ps1
        - web-category-rules.example.json
        - dlp-policy.example.json

+    - name: Нормализовать кодировку PowerShell файлов (UTF-8 BOM для Windows PowerShell)
+      ansible.windows.win_powershell:
+        script: |
+          $ErrorActionPreference = 'Stop'
+          $toolkitDir = "{{ aw_windows_deploy_root }}\windows"
+          $encIn = New-Object System.Text.UTF8Encoding($false)
+          $encOut = New-Object System.Text.UTF8Encoding($true)
+          Get-ChildItem -LiteralPath $toolkitDir -File -Include *.ps1,*.psm1,*.psd1 | ForEach-Object {
+            $text = [System.IO.File]::ReadAllText($_.FullName, $encIn)
+            [System.IO.File]::WriteAllText($_.FullName, $text, $encOut)
+          }
+
    - name: Загрузить список пользователей для доменного развёртывания
      ansible.windows.win_copy:
        dest: "{{ aw_windows_deploy_root }}\\windows\\users.txt"
@@ -129,13 +165,22 @@
            UserListPath = "{{ aw_windows_deploy_root }}\windows\users.txt"
            InstallRoot = "{{ aw_windows_install_root }}"
            StateRoot = "{{ aw_windows_state_root }}"
-            AfkEnabled = {{ '$true' if (aw_windows_afk_enabled | bool) else '$false' }}
-            WindowEnabled = {{ '$true' if (aw_windows_window_enabled | bool) else '$false' }}
+            AfkEnabled = {{ '$true' if (aw_windows_afk_enabled_effective | bool) else '$false' }}
+            WindowEnabled = {{ '$true' if (aw_windows_window_enabled_effective | bool) else '$false' }}
+            FileOpsEnabled = {{ '$true' if (aw_windows_file_ops_enabled | bool) else '$false' }}
            LocalAgentLogsEnabled = {{ '$true' if (aw_windows_local_agent_logs_enabled | bool) else '$false' }}
            IncidentCaptureEnabled = {{ '$true' if (aw_windows_incident_capture_enabled | bool) else '$false' }}
            IncidentScreenshotEnabled = {{ '$true' if (aw_windows_incident_screenshot_enabled | bool) else '$false' }}
            IncidentArtifactsRoot = "{{ aw_windows_incident_artifacts_root }}"
+            EvtxExportRoot = "{{ aw_windows_forensics_root }}"
+            EvtxRetentionDays = {{ aw_windows_evtx_retention_days | int }}
            LogonMarkerEnabled = {{ '$true' if (aw_windows_logon_marker_enabled | bool) else '$false' }}
+            PolicyMode = "{{ aw_windows_policy_mode }}"
+            PolicyEngineEnabled = {{ '$true' if (aw_windows_policy_engine_enabled | bool) else '$false' }}
+            PolicyEngineHost = "{{ aw_windows_policy_engine_host }}"
+            PolicyEnginePort = {{ aw_windows_policy_engine_port }}
+            PolicyEngineScheme = "{{ aw_windows_policy_engine_scheme }}"
+            PolicyRefreshSeconds = {{ aw_windows_policy_refresh_seconds }}
            CustomRulesPath = "{{ aw_windows_rules_path }}"
            CustomPolicyPath = "{{ aw_windows_policy_path }}"
          }
@@ -145,89 +190,230 @@
          {% if (aw_windows_package_zip_path | default('') | string | length) > 0 %}
          $params.PackageZipPath = "{{ aw_windows_package_zip_path }}"
          {% endif %}
+          {% if (aw_windows_evtx_channels | default([]) | length) > 0 %}
+          $params.EvtxChannels = @(
+          {% for channel in aw_windows_evtx_channels %}
+            "{{ channel }}"{% if not loop.last %},{% endif %}
+          {% endfor %}
+          )
+          {% endif %}
+          {% if (aw_windows_hostname_override | default('') | string | length) > 0 %}
+          $params.AwHostname = "{{ aw_windows_hostname_override }}"
+          {% endif %}
          {% if aw_windows_skip_hardening | bool %}
          $params.SkipHardening = $true
          {% endif %}
+          {% if aw_windows_integration_test_enabled | bool %}
+          $params.IntegrationTestEnabled = $true
+          {% endif %}
          & "{{ aw_windows_deploy_root }}\windows\deploy-ensemble.ps1" @params

+    - name: Удалить лишние ActivityWatch Launch tasks вне текущего deployment-config
+      ansible.windows.win_powershell:
+        script: |
+          $ErrorActionPreference = 'Stop'
+          $config = Get-Content -Raw -LiteralPath "{{ aw_windows_state_root }}\deployment-config.json" | ConvertFrom-Json
+          $desired = @($config.userTasks | ForEach-Object { [string]$_.LaunchTaskName })
+          foreach ($task in @(Get-ScheduledTask | Where-Object { $_.TaskName -like 'ActivityWatch Launch *' })) {
+            if ($desired -notcontains [string]$task.TaskName) {
+              Unregister-ScheduledTask -TaskName $task.TaskName -Confirm:$false -ErrorAction SilentlyContinue
+              & cmd.exe /c "schtasks /Delete /TN `"$($task.TaskName)`" /F >nul 2>&1" | Out-Null
+            }
+          }
+
    - name: Принудительно запустить ActivityWatch recovery и launch tasks
      when: aw_windows_force_task_restart | bool
      ansible.windows.win_powershell:
        script: |
          $ErrorActionPreference = 'Stop'
-          Start-ScheduledTask -TaskName "{{ aw_windows_recovery_task_name }}"
-          Get-ScheduledTask |
-            Where-Object TaskName -like "{{ aw_windows_launch_task_pattern }}" |
-            ForEach-Object { Start-ScheduledTask -TaskName $_.TaskName }
+
+          function Get-CollectorKey {
+            param([string]$CommandLine)
+            if (-not $CommandLine) { return $null }
+            $cl = $CommandLine.ToLowerInvariant()
+            if ($cl -like '*browser-domains-native-collector.ps1*') { return 'browser' }
+            if ($cl -like '*file-operations-collector.ps1*') { return 'fileops' }
+            if ($cl -like '*dlp-endpoint-signals-collector.ps1*') { return 'endpoint' }
+            if ($cl -like '*email-outbound-collector.ps1*') { return 'email' }
+            if ($cl -like '*worktime-session-collector.ps1*') { return 'worktime' }
+            return $null
+          }
+
+          $collectorProcs = Get-CimInstance Win32_Process |
+            Where-Object { $_.Name -eq 'powershell.exe' -and $_.CommandLine } |
+            ForEach-Object {
+              $key = Get-CollectorKey -CommandLine $_.CommandLine
+              if ($key) {
+                $groupKey = if ($key -eq 'worktime') { 'worktime::global' } else { '{0}::{1}' -f $key, ([int]$_.SessionId) }
+                [pscustomobject]@{
+                  ProcessId    = [int]$_.ProcessId
+                  SessionId    = [int]$_.SessionId
+                  CreationDate = $_.CreationDate
+                  CollectorKey = $key
+                  GroupKey     = $groupKey
+                }
+              }
+            } |
+            Where-Object { $_ -ne $null }
+
+          # Keep only one process per collector scope: worktime collector is global, others stay per-session.
+          foreach ($group in ($collectorProcs | Group-Object GroupKey)) {
+            $ordered = @($group.Group | Sort-Object CreationDate -Descending)
+            if ($ordered.Count -le 1) { continue }
+            foreach ($dup in $ordered | Select-Object -Skip 1) {
+              Stop-Process -Id $dup.ProcessId -Force -ErrorAction SilentlyContinue
+            }
+          }
+
+          # Force managed collectors/watchers to reload the freshly deployed scripts.
+          Get-CimInstance Win32_Process -ErrorAction SilentlyContinue |
+            Where-Object {
+              (
+                ($_.Name -ieq 'powershell.exe' -or $_.Name -ieq 'pwsh.exe') -and
+                $_.CommandLine -match 'C:\\ProgramData\\AWatch-rus\\' -and
+                $_.CommandLine -match '(collector|launch-watchers|recovery-loop)\.ps1'
+              ) -or
+              ($_.Name -ieq 'aw-watcher-afk.exe') -or
+              ($_.Name -ieq 'aw-watcher-window.exe')
+            } |
+            ForEach-Object {
+              Stop-Process -Id $_.ProcessId -Force -ErrorAction SilentlyContinue
+            }
+
+          Start-Sleep -Seconds 2
+
+          # Ensure tasks are enabled (some environments keep them disabled, causing "0s" in WebUI).
+          try {
+            Enable-ScheduledTask -TaskName "{{ aw_windows_recovery_task_name }}" -ErrorAction SilentlyContinue | Out-Null
+          } catch {}
+
+          $config = Get-Content -Raw -LiteralPath "{{ aw_windows_state_root }}\deployment-config.json" | ConvertFrom-Json
+          foreach ($taskDef in @($config.userTasks)) {
+            try { Enable-ScheduledTask -TaskName ([string]$taskDef.launchTaskName) -ErrorAction SilentlyContinue | Out-Null } catch {}
+          }
+
+          $recoveryTask = Get-ScheduledTask -TaskName "{{ aw_windows_recovery_task_name }}" -ErrorAction SilentlyContinue
+          if ($recoveryTask -and $recoveryTask.State -notin @('Running', 'Queued')) {
+            Start-ScheduledTask -TaskName "{{ aw_windows_recovery_task_name }}"
+          }
+          foreach ($taskDef in @($config.userTasks)) {
+            $launchTask = Get-ScheduledTask -TaskName ([string]$taskDef.launchTaskName) -ErrorAction SilentlyContinue
+            if ($launchTask -and $launchTask.State -notin @('Running', 'Queued')) {
+              Start-ScheduledTask -TaskName ([string]$taskDef.launchTaskName) -ErrorAction SilentlyContinue
+            }
+          }

    - name: Получить Windows hostname для AW smoke-check bucket
      when:
        - aw_windows_api_smoke_check_enabled | bool
-        - aw_windows_afk_enabled | bool
      ansible.windows.win_command: powershell.exe -NoProfile -Command "$env:COMPUTERNAME"
      register: aw_windows_hostname_result
      changed_when: false

-    - name: Вычислить AW AFK smoke-check bucket
+    - name: Вычислить AW worktime smoke-check bucket
      when:
        - aw_windows_api_smoke_check_enabled | bool
-        - aw_windows_afk_enabled | bool
+        - aw_windows_hostname_result.stdout is defined
      ansible.builtin.set_fact:
        aw_windows_api_smoke_check_bucket_effective: >-
          {{
            aw_windows_api_smoke_check_bucket
            if (aw_windows_api_smoke_check_bucket | default('') | string | length) > 0
-            else 'aw-watcher-afk_' ~ (aw_windows_hostname_result.stdout | trim)
+            else 'aw-worktime-sessions_' ~ (aw_windows_hostname_result.stdout | trim)
          }}

-    - name: Дождаться свежих AFK событий на AW server
+    - name: Вычислить AW Window smoke-check bucket
+      when:
+        - aw_windows_api_smoke_check_enabled | bool
+        - aw_windows_api_smoke_check_window_enabled_effective | bool
+        - aw_windows_window_enabled_effective | bool
+        - aw_windows_hostname_result.stdout is defined
+      ansible.builtin.set_fact:
+        aw_windows_api_smoke_check_window_bucket_effective: >-
+          {{
+            aw_windows_api_smoke_check_window_bucket
+            if (aw_windows_api_smoke_check_window_bucket | default('') | string | length) > 0
+            else 'aw-watcher-window_' ~ (aw_windows_hostname_result.stdout | trim)
+          }}
+
+    - name: Выполнить AW API smoke-check (worktime bucket должен получать события)
      when:
        - aw_windows_api_smoke_check_enabled | bool
-        - aw_windows_afk_enabled | bool
-      delegate_to: localhost
      ansible.builtin.uri:
        url: "{{ aw_windows_server_scheme }}://{{ aw_windows_server_host }}:{{ aw_windows_server_port }}/api/0/buckets/{{ aw_windows_api_smoke_check_bucket_effective }}/events?limit={{ aw_windows_api_smoke_check_limit }}"
        method: GET
+        status_code: 200
        return_content: true
-      register: aw_windows_api_smoke
-      until: >
-        aw_windows_api_smoke.status == 200 and
-        (aw_windows_api_smoke.json | length) > 0 and
-        (
-          aw_windows_api_smoke.json
-          | selectattr('data.status', 'equalto', 'not-afk')
+      register: aw_windows_api_smoke_result
+      failed_when: false
+      until: >-
+        (aw_windows_api_smoke_result.status | default(0)) == 200
+        and ((aw_windows_api_smoke_result.json | default([])) | length) >= aw_windows_api_smoke_check_min_events
+        and (
+          (aw_windows_api_smoke_result.json | default([]))
+          | selectattr('data.source', 'equalto', 'worktime-session-collector')
          | list
          | length
        ) > 0
-      retries: 10
-      delay: 6
+      retries: 12
+      delay: 5
+      ignore_errors: "{{ (not aw_windows_fail_on_validation_error | bool) }}"
+      delegate_to: localhost
+      changed_when: false

-    - name: Выполнить валидацию и сохранить отчёт на целевом Windows host
+    - name: Выполнить AW API smoke-check (Window bucket должен получать события)
+      when:
+        - aw_windows_api_smoke_check_enabled | bool
+        - aw_windows_api_smoke_check_window_enabled_effective | bool
+        - aw_windows_window_enabled_effective | bool
+      ansible.builtin.uri:
+        url: "{{ aw_windows_server_scheme }}://{{ aw_windows_server_host }}:{{ aw_windows_server_port }}/api/0/buckets/{{ aw_windows_api_smoke_check_window_bucket_effective }}/events?limit={{ aw_windows_api_smoke_check_limit }}"
+        method: GET
+        status_code: 200
+        return_content: true
+      register: aw_windows_api_smoke_window_result
+      failed_when: false
+      until: >-
+        (aw_windows_api_smoke_window_result.status | default(0)) == 200
+        and ((aw_windows_api_smoke_window_result.json | default([])) | length) >= aw_windows_api_smoke_check_min_events
+      retries: 12
+      delay: 5
+      ignore_errors: "{{ (not aw_windows_fail_on_validation_error | bool) }}"
+      delegate_to: localhost
+      changed_when: false
+
+    - name: Валидировать развёртывание на эндпоинте
      ansible.windows.win_powershell:
        script: |
          $ErrorActionPreference = 'Stop'
-          $report = & "{{ aw_windows_deploy_root }}\windows\validate-deployment.ps1" `
+          $result = & "{{ aw_windows_deploy_root }}\windows\validate-deployment.ps1" `
            -ConfigPath "{{ aw_windows_state_root }}\deployment-config.json"
-          $report | ConvertTo-Json -Depth 12 | Out-File -FilePath "{{ aw_windows_validation_remote_path }}" -Encoding utf8
-          if ({{ '$true' if (aw_windows_fail_on_validation_error | bool) else '$false' }} -and -not [bool]$report.overallOk) {
-            throw "Проверка развёртывания ActivityWatch завершилась ошибкой. Отчёт: {{ aw_windows_validation_remote_path }}"
-          }
+          $result | ConvertTo-Json -Depth 12 | Out-File -FilePath "{{ aw_windows_validation_remote_path }}" -Encoding utf8
+          return $result

-    - name: Создать локальный каталог для validation reports
+    - name: Создать локальную директорию для отчётов валидации
      ansible.builtin.file:
        path: "{{ aw_windows_validation_local_dir }}"
        state: directory
        mode: "0755"
      delegate_to: localhost

-    - name: Забрать validation report
+    - name: Стянуть отчёт валидации с эндпоинта
      ansible.builtin.fetch:
        src: "{{ aw_windows_validation_remote_path }}"
        dest: "{{ aw_windows_validation_local_dir }}/{{ inventory_hostname }}-aw_validate_ansible.json"
        flat: true

-    - name: Показать путь к отчёту
-      ansible.builtin.debug:
-        msg:
-          - "Windows/RDP развёртывание завершено на {{ inventory_hostname }}."
-          - "Отчёт проверки: {{ aw_windows_validation_local_dir }}/{{ inventory_hostname }}-aw_validate_ansible.json"
+    - name: Проверить статус валидации
+      ansible.builtin.shell: |
+        python3 - <<'PY'
+        import json, sys
+        with open('{{ aw_windows_validation_local_dir }}/{{ inventory_hostname }}-aw_validate_ansible.json', 'r', encoding='utf-8-sig') as f:
+            data = json.load(f)
+        if not data.get('overallOk', False):
+            failed = ", ".join(data.get("summary", {}).get("failedSections", [])) or "unknown"
+            print(f"Validation failed for {{ inventory_hostname }}: {failed}")
+            sys.exit(1)
+        PY
+      delegate_to: localhost
+      when: aw_windows_fail_on_validation_error | bool
@@ -4,23 +4,69 @@ aw_server_bind_host: "0.0.0.0"
 aw_server_port: 5600
 aw_server_webui_dir: "/opt/activitywatch/webui-ru"
 aw_server_data_dir: "/var/lib/activitywatch"
+aw_server_db_path: "/var/lib/activitywatch/.local/share/activitywatch/aw-server-rust/sqlite.db"
 aw_server_log_dir: "/var/log/activitywatch"
 aw_server_user: "activitywatch"
 aw_server_group: "activitywatch"
 aw_worktime_report_base: "http://10.10.10.13:5610"
 aw_worktime_timezone: "Europe/Moscow"
+aw_worktime_influx_enabled: false
+aw_worktime_influx_url: "http://10.10.10.10:8086"
+aw_worktime_influx_org: "proxmox"
+aw_worktime_influx_bucket: "aw_metrics"
+aw_worktime_influx_hosts: "SHARKON2025"
+aw_worktime_influx_days: "today,yesterday"
+aw_worktime_influx_token: ""
+aw_dlp_influx_enabled: false
+aw_dlp_influx_url: "http://10.10.10.10:8086"
+aw_dlp_influx_org: "proxmox"
+aw_dlp_influx_bucket: "aw_metrics"
+aw_dlp_influx_hosts: "SHARKON2025"
+aw_dlp_influx_lookback_days: 30
+aw_dlp_influx_event_limit: 2000
+aw_dlp_influx_token: ""
+aw_monitored_windows_host: "192.168.100.18"
+aw_monitored_windows_hostname: "SHARKON2025"
+aw_rus_health_state_dir: "{{ aw_server_data_dir }}/health"
+aw_rus_health_validation_dir: "{{ aw_rus_health_state_dir }}/windows-validation"

 aw_repo_root: "{{ playbook_dir | dirname }}"

-# Опционально: применить базовые категории и views для рабочего времени через AW settings API.
-# Внимание: это перезаписывает существующие server-side settings/classes/views.
-aw_apply_worktime_settings: false
+# Применить базовые категории и views для рабочего времени через AW settings API.
+# При прод-обновлениях это нужно оставлять включённым, иначе UI остаётся без views/classes.
+aw_apply_worktime_settings: true
+
+# Дополнительные origin для aw-server-rust CORS.
+# Обязательно включите тот origin, с которого реально открывается Web UI.
+aw_server_cors_origins:
+  - "http://127.0.0.1:5600"
+  - "http://localhost:5600"
+  - "http://10.10.10.13:5600"
+  - "http://aw-server:5600"

 # Опциональные значения периода рабочего времени в Web UI.
 # startOfDay задаёт границу дня и стартовое время окна отчёта.
 # durationDefault задаёт диапазон по умолчанию в секундах.
 #
 # Рекомендуется явно задать рабочий интервал и дать playbook вычислить duration.
-aw_worktime_from: "08:00"
+aw_worktime_from: "00:00"
 aw_worktime_to: "17:00"
 aw_worktime_start_of_day: "{{ aw_worktime_from }}"
+aw_server_always_active_pattern: "aw-watcher-window"
+aw_server_landingpage: "/activity/SHARKON2025/view/"
+aw_health_strict_fileops: 0
+
+aw_dlp_policy_engine_enabled: true
+aw_dlp_policy_engine_bind_host: "0.0.0.0"
+aw_dlp_policy_engine_port: 5601
+aw_dlp_policy_engine_db_path: "{{ aw_server_data_dir }}/dlp-policy-engine.sqlite"
+aw_dlp_content_analysis_enabled: true
+aw_dlp_integrations_enabled: true
+aw_dlp_case_management_enabled: true
+aw_dlp_case_bind_host: "0.0.0.0"
+aw_dlp_case_port: 5602
+aw_dlp_case_db_path: "/opt/activitywatch/dlp-case-management/cases.db"
+aw_dlp_compliance_enabled: true
+aw_dlp_compliance_report_dir: "/opt/activitywatch/dlp-compliance/reports"
+aw_dlp_compliance_template_path: "/opt/activitywatch/dlp-compliance/templates/152-fz-report.html"
+aw_server_post_deploy_health_check_enabled: true
@@ -8,6 +8,7 @@ aw_windows_package_url: "https://github.com/ActivityWatch/activitywatch/releases
 aw_windows_package_zip_path: ""
 aw_windows_domain: "SHARKON2025"
 aw_windows_users:
+  - Администратор
  - user1
  - user2
  - user3
@@ -21,12 +22,23 @@ aw_windows_extra_users: []
 # Единые Windows/RDP пути: те же, что использует InnoSetup.
 aw_windows_install_root: "C:\\Program Files\\AWatch-rus\\bin"
 aw_windows_state_root: "C:\\ProgramData\\AWatch-rus"
+aw_windows_hostname_override: ""  # Например: SHARKON2025
 aw_windows_afk_enabled: true
 aw_windows_window_enabled: true
+aw_windows_file_ops_enabled: true
 aw_windows_local_agent_logs_enabled: false
 aw_windows_incident_capture_enabled: true
 aw_windows_incident_screenshot_enabled: true
 aw_windows_incident_artifacts_root: "{{ aw_windows_state_root }}\\incident-artifacts"
+aw_windows_forensics_root: "{{ aw_windows_state_root }}\\forensics\\evtx-exports"
+aw_windows_evtx_retention_days: 14
+aw_windows_evtx_channels:
+  - Security
+  - System
+  - Application
+  - Microsoft-Windows-PowerShell/Operational
+  - Microsoft-Windows-TerminalServices-LocalSessionManager/Operational
+  - Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational
 aw_windows_logon_marker_enabled: true
 aw_windows_skip_hardening: false

@@ -34,7 +46,7 @@ aw_windows_rules_path: "{{ aw_windows_deploy_root }}\\windows\\web-category-rule
 aw_windows_policy_path: "{{ aw_windows_deploy_root }}\\windows\\dlp-policy.example.json"

 aw_windows_validation_remote_path: "{{ aw_windows_state_root }}\\aw_validate_ansible.json"
-aw_windows_validation_local_dir: "/tmp/aw-rus-validation"
+aw_windows_validation_local_dir: "/tmp/aw-rus-validation-{{ lookup('env','USER') | default('ansible', true) }}"
 aw_windows_fail_on_validation_error: true

 # Безопасная миграция текущего прода со старых путей в единый профиль AWatch-rus.
@@ -5,6 +5,7 @@
 # 2) развёртывание AW server на хостах [aw_server]
 # 3) развёртывание Windows/RDP collector'ов на [aw_windows]
 # 4) развёртывание pfSense poller'а на [aw_pfsense_pollers]
+# 5) импорт Grafana dashboard'ов на [grafana]
 #
 # Примечания:
 # - Заполняйте только нужные группы inventory для своего окружения.
@@ -14,3 +15,4 @@
 - import_playbook: deploy_aw_server.yml
 - import_playbook: deploy_aw_windows.yml
 - import_playbook: deploy_aw_pfsense_poller.yml
+- import_playbook: deploy_grafana_dashboards.yml
@@ -6,7 +6,12 @@ aw-ct ansible_host=10.20.30.13 ansible_user=root ansible_port=22

 [aw_windows]
 # Примечание: в русифицированных Windows часто нужен "Администратор", а не "Administrator".
-win-node1 ansible_host=192.168.100.21 ansible_user=Администратор ansible_password=CHANGE_ME ansible_connection=winrm ansible_winrm_transport=ntlm ansible_port=5985 ansible_winrm_server_cert_validation=ignore
+win-node1 ansible_host=192.168.100.18 ansible_user=Администратор ansible_password=CHANGE_ME ansible_connection=winrm ansible_winrm_transport=ntlm ansible_port=5985 ansible_winrm_server_cert_validation=ignore

 [aw_pfsense_pollers]
 # pfsense-poller1 ansible_host=192.168.100.30 ansible_user=root ansible_port=22
+
+[grafana]
+# Для API-import playbook достаточно указать grafana_url.
+# SSH-подключение не требуется: playbook работает через HTTP API с control host.
+grafana-main grafana_url=http://10.20.30.11:3000
@@ -11,6 +11,9 @@
      - activitywatch-server.service
      - aw-worktime-api.py
      - aw-worktime-api.service
+      - aw-worktime-ui-bridge.py
+      - aw-worktime-ui-bridge.service
+      - aw-worktime-ui-bridge.timer
      - aw-worktime-panel.js
      - aw-server.env.example
      - aw-ru-patch.js
@@ -11,6 +11,9 @@
      - activitywatch-server.service
      - aw-worktime-api.py
      - aw-worktime-api.service
+      - aw-worktime-ui-bridge.py
+      - aw-worktime-ui-bridge.service
+      - aw-worktime-ui-bridge.timer
      - aw-worktime-panel.js
      - aw-server.env.example
      - aw-ru-patch.js
@@ -159,6 +159,7 @@
      AW_SERVER_LOG_DIR={{ aw_server_log_dir }}
      AW_SERVER_USER={{ aw_server_user }}
      AW_SERVER_GROUP={{ aw_server_group }}
+      AW_SERVER_URL=http://127.0.0.1:{{ aw_server_port }}
      AW_WORKTIME_REPORT_BASE={{ aw_worktime_report_base }}
      AW_WORKTIME_TZ={{ aw_worktime_timezone }}
  no_log: true