docs(architecture): track orchestration map

chore(deps): update anyhow for cargo deny
docs(architecture): add module graph overview
2026-06-30 13:13:15 +03:00 · 2026-06-30 11:22:51 +03:00 · 2026-06-30 11:21:18 +03:00 · 2026-06-29 13:56:17 +03:00 · 2026-06-29 13:33:13 +03:00 · 2026-06-29 13:24:48 +03:00
21 changed files with 1549 additions and 58 deletions
@@ -198,6 +198,11 @@ Markdown-отчет собирает главный вывод, риски по
 extensions и future-направления без создания новых API или фиктивных
 collectors.
 Модульная схема комплекса с GitHub/Gitea-viewable Mermaid-графами:
 [docs/MODULE_ARCHITECTURE_GRAPH_RU.md](docs/MODULE_ARCHITECTURE_GRAPH_RU.md).
 Карта orchestration entrypoints:
 [docs/ORCHESTRATION_MAP_RU.md](docs/ORCHESTRATION_MAP_RU.md).
 ## Если дашборд пустой
 Обычно это значит одно из трех: выбран слишком узкий период времени, рабочий компьютер давно не присылал события или временно не обновилась витрина в Grafana. Начните с периода `Last 24 hours`, затем переходите к техническим разделам ниже.
@@ -359,6 +364,8 @@ collectors.
 - [Сторонние компоненты](THIRD_PARTY_COMPONENTS.md)
 - [Сторонние лицензии](THIRD_PARTY_LICENSES_RU.md)
 - [Архитектура](docs/ARCHITECTURE_RU.md)
 - [Модульная схема комплекса](docs/MODULE_ARCHITECTURE_GRAPH_RU.md)
 - [Карта оркестрации](docs/ORCHESTRATION_MAP_RU.md)
 - [Установка](docs/INSTALL_RU.md)
 - [Руководство администратора](docs/ADMIN_GUIDE_RU.md)
 - [Руководство оператора](docs/OPERATOR_GUIDE_RU.md)
@@ -122,9 +122,9 @@ dependencies = [
 [[package]]
 name = "anyhow"
-version = "1.0.102"
+version = "1.0.103"
 source = "registry+https://github.com/rust-lang/crates.io-index"
-checksum = "7f202df86484c868dbad7eaa557ef785d5c66295e41b460ef922eca0723b842c"
+checksum = "2a4385e2e34eb35d6b3efe798b9eb88096925d87726c0798709bf56d9ed84af3"
 [[package]]
 name = "arbitrary"
@@ -7,9 +7,9 @@ use clap::Parser;
 use reqwest::blocking::Client;
 use serde_json::Value;
-const DEFAULT_SERVER: &str = "http://192.0.2.13:5600";
+const DEFAULT_SERVER: &str = "http://10.10.10.13:5600";
-const DEFAULT_HOST: &str = "HOST-EXAMPLE";
+const DEFAULT_HOST: &str = "SHARKON2025";
-const DEFAULT_RDP_HOST: &str = "198.51.100.18";
+const DEFAULT_RDP_HOST: &str = "192.168.100.19";
 const BUCKETS: &[(&str, &str)] = &[
    ("aw-watcher-afk", "AFK watcher"),
    ("aw-watcher-window", "Window watcher"),
@@ -38,6 +38,9 @@ struct Cli {
    #[arg(long)]
    no_color: bool,
    #[arg(long, default_value_t = true)]
    dlp_enabled: bool,
 }
 #[derive(Debug, Clone)]
@@ -119,7 +122,37 @@ fn main() {
 }
 fn run() -> Result<i32> {
-    let cli = Cli::parse();
+    let mut cli = Cli::parse();
    if cli.server == DEFAULT_SERVER {
        if let Some(value) = env_nonempty("CHECK_AW_FULL_SERVER")
            .or_else(|| env_nonempty("AW_SMOKE_AW_SERVER"))
            .or_else(|| env_nonempty("AW_SERVER"))
        {
            cli.server = value;
        }
    }
    if cli.host == DEFAULT_HOST {
        if let Some(value) = env_nonempty("CHECK_AW_FULL_HOST")
            .or_else(|| env_nonempty("AW_SMOKE_SOURCE_HOSTNAME"))
            .or_else(|| env_nonempty("AW_LOGICAL_HOST_ID"))
            .or_else(|| env_nonempty("AW_MONITORED_WINDOWS_HOSTNAME"))
        {
            cli.host = value;
        }
    }
    if cli.rdp_host == DEFAULT_RDP_HOST {
        if let Some(value) = env_nonempty("CHECK_AW_FULL_RDP_HOST")
            .or_else(|| env_nonempty("AW_SMOKE_WINDOWS_HOST"))
            .or_else(|| env_nonempty("AW_WINDOWS_HOST"))
        {
            cli.rdp_host = value;
        }
    }
    if let Some(value) =
        env_nonempty("AW_DLP_ENABLED").or_else(|| env_nonempty("DETMIR_DLP_ENABLED"))
    {
        cli.dlp_enabled = parse_env_flag(&value);
    }
    let server = cli.server.trim_end_matches('/').to_string();
    let colors = Colors::new(!cli.no_color && std::env::var_os("NO_COLOR").is_none());
    let timeout = Duration::from_secs(cli.timeout_seconds.max(1));
@@ -182,7 +215,11 @@ fn run() -> Result<i32> {
    );
    let mut rows = Vec::new();
-    for (bucket, label) in BUCKETS {
+    for (bucket, label) in BUCKETS
        .iter()
        .copied()
        .filter(|(bucket, _)| cli.dlp_enabled || !bucket.starts_with("aw-dlp-"))
    {
        let row = read_bucket_row(&client, &server, &cli.host, bucket, label, now, &context);
        println!(
            "  {:<42} {:<8} {:<20} {}",
@@ -193,6 +230,15 @@ fn run() -> Result<i32> {
        );
        rows.push(row);
    }
    if !cli.dlp_enabled {
        println!(
            "  {:<42} {:<8} {:<20} {}",
            "DLP buckets",
            "-",
            "disabled",
            colors.paint(colors.cyan, "SKIPPED")
        );
    }
    println!();
    println!(
@@ -330,7 +376,12 @@ fn read_bucket_row(
            status: BucketStatus::Unknown,
        };
    };
-    let age_sec = (now - ts).num_seconds().max(0);
+    let effective_ts = if bucket == "aw-watcher-afk" {
        bucket_metadata_end(client, server, &bucket_full).unwrap_or(ts)
    } else {
        ts
    };
    let age_sec = (now - effective_ts).num_seconds().max(0);
    BucketRow {
        label,
        last_id,
@@ -407,6 +458,15 @@ fn latest_event(client: &Client, server: &str, bucket: &str) -> Result<Option<Va
    Ok(value.as_array().and_then(|items| items.first()).cloned())
 }
 fn bucket_metadata_end(client: &Client, server: &str, bucket: &str) -> Option<DateTime<Utc>> {
    let url = format!("{server}/api/0/buckets/{bucket}");
    let value = get_json(client, &url).ok()?;
    value
        .pointer("/metadata/end")
        .and_then(Value::as_str)
        .and_then(parse_ts)
 }
 fn get_json(client: &Client, url: &str) -> Result<Value> {
    client
        .get(url)
@@ -423,7 +483,7 @@ fn check_cors(client: &Client, server: &str) -> u16 {
    let url = format!("{server}/api/0/settings/");
    client
        .get(&url)
-        .header("Origin", "http://192.0.2.13:5600")
+        .header("Origin", server)
        .send()
        .map(|response| response.status().as_u16())
        .unwrap_or(0)
@@ -466,6 +526,17 @@ fn json_value_to_string(value: &Value) -> String {
    }
 }
 fn env_nonempty(name: &str) -> Option<String> {
    std::env::var(name).ok().filter(|value| !value.is_empty())
 }
 fn parse_env_flag(value: &str) -> bool {
    matches!(
        value.trim().to_ascii_lowercase().as_str(),
        "1" | "true" | "yes" | "on"
    )
 }
 #[cfg(test)]
 mod tests {
    use super::*;
@@ -7,6 +7,13 @@
 - централизованное развёртывание Windows/RDP collector'ов по WinRM;
 - развёртывание внешнего pfSense poller'а на Debian/Ubuntu utility VM.
 Актуальная карта связи playbooks, scripts, systemd timers, Windows Scheduled
 Tasks и модулей комплекса ведётся в
 [`docs/ORCHESTRATION_MAP_RU.md`](../docs/ORCHESTRATION_MAP_RU.md). При
 добавлении или переименовании orchestration entrypoint обновляйте карту и
 проверяйте её через `bash scripts/check_orchestration_map.sh` из корня
 репозитория.
 ## Файлы
 - `ansible/deploy_aw_server.yml` — основной playbook для уже существующего Debian/CT host.
@@ -1,7 +1,7 @@
 #!/bin/bash
 # check-aw-full.sh - Полная проверка ActivityWatch: сервер + RDP-хост
-# Сервер: 192.0.2.13:5600
+# Сервер: http://10.10.10.13:5600
-# RDP-хост: 198.51.100.18 (HOST-EXAMPLE)
+# RDP-хост: 192.168.100.19 (logical host id SHARKON2025)
 if [[ "${CHECK_AW_FULL_FORCE_LEGACY:-0}" != "1" ]]; then
  ROOT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
@@ -16,12 +16,17 @@ if [[ "${CHECK_AW_FULL_FORCE_LEGACY:-0}" != "1" ]]; then
  done
 fi
-SERVER="http://192.0.2.13:5600"
+SERVER="${CHECK_AW_FULL_SERVER:-${AW_SMOKE_AW_SERVER:-${AW_SERVER:-http://10.10.10.13:5600}}}"
-HOSTNAME_FILTER="HOST-EXAMPLE"
+HOSTNAME_FILTER="${CHECK_AW_FULL_HOST:-${AW_SMOKE_SOURCE_HOSTNAME:-${AW_LOGICAL_HOST_ID:-${AW_MONITORED_WINDOWS_HOSTNAME:-SHARKON2025}}}}"
-RDP_HOST="198.51.100.18"
+RDP_HOST="${CHECK_AW_FULL_RDP_HOST:-${AW_SMOKE_WINDOWS_HOST:-${AW_WINDOWS_HOST:-192.168.100.19}}}"
 NOW=$(date -u +%s)
 HOST_INACTIVE=false
 GUARD_HEALTHY=false
 DLP_ENABLED="${AW_DLP_ENABLED:-${DETMIR_DLP_ENABLED:-true}}"
 case "${DLP_ENABLED,,}" in
  0|false|no|off) DLP_ENABLED=false ;;
  *) DLP_ENABLED=true ;;
 esac
 classify_bucket_age() {
    local bucket="$1"
@@ -100,7 +105,7 @@ echo ""
 # 1. Проверка сервера
 echo -e "${CYAN}--- 1. AW Server ($SERVER) ---${NC}"
 echo -n "  Connectivity... "
-RESP=$(no_proxy=192.0.2.13 curl -s --connect-timeout 10 --max-time 15 "$SERVER/api/0/info" 2>&1)
+RESP=$(no_proxy='*' curl -s --connect-timeout 10 --max-time 15 "$SERVER/api/0/info" 2>&1)
 if [ $? -eq 0 ] && echo "$RESP" | jq -e '.version' > /dev/null 2>&1; then
    VERSION=$(echo "$RESP" | jq -r '.version')
    echo -e "  ${GREEN}OK${NC} (aw-server $VERSION)"
@@ -110,7 +115,7 @@ else
 fi
 echo -n "  CORS... "
-CORS_RESP=$(no_proxy=192.0.2.13 curl -s --connect-timeout 10 --max-time 15 -o /dev/null -w '%{http_code}' -H "Origin: http://192.0.2.13:5600" "$SERVER/api/0/settings/" 2>&1)
+CORS_RESP=$(no_proxy='*' curl -s --connect-timeout 10 --max-time 15 -o /dev/null -w '%{http_code}' -H "Origin: $SERVER" "$SERVER/api/0/settings/" 2>&1)
 if [ "$CORS_RESP" = "200" ]; then
    echo -e "${GREEN}OK${NC}"
 else
@@ -119,7 +124,7 @@ fi
 echo ""
 # 1b. Context for inactive/event-driven classification
-WORKTIME_EVENT_DATA=$(no_proxy=192.0.2.13 curl -s --connect-timeout 10 --max-time 15 "$SERVER/api/0/buckets/aw-worktime-sessions_$HOSTNAME_FILTER/events?limit=1" 2>&1)
+WORKTIME_EVENT_DATA=$(no_proxy='*' curl -s --connect-timeout 10 --max-time 15 "$SERVER/api/0/buckets/aw-worktime-sessions_$HOSTNAME_FILTER/events?limit=1" 2>&1)
 WORKTIME_TS=$(echo "$WORKTIME_EVENT_DATA" | jq -r '.[0].timestamp // ""' 2>/dev/null)
 WORKTIME_ACTIVE=$(echo "$WORKTIME_EVENT_DATA" | jq -r '.[0].data.active // false' 2>/dev/null)
 if [ -n "$WORKTIME_TS" ]; then
@@ -132,7 +137,7 @@ if [ -n "$WORKTIME_TS" ]; then
  fi
 fi
-GUARD_EVENT_DATA=$(no_proxy=192.0.2.13 curl -s --connect-timeout 10 --max-time 15 "$SERVER/api/0/buckets/aw-rus-collector-guard_$HOSTNAME_FILTER/events?limit=1" 2>&1)
+GUARD_EVENT_DATA=$(no_proxy='*' curl -s --connect-timeout 10 --max-time 15 "$SERVER/api/0/buckets/aw-rus-collector-guard_$HOSTNAME_FILTER/events?limit=1" 2>&1)
 GUARD_TS=$(echo "$GUARD_EVENT_DATA" | jq -r '.[0].timestamp // ""' 2>/dev/null)
 GUARD_STATUS=$(echo "$GUARD_EVENT_DATA" | jq -r '.[0].data.status // ""' 2>/dev/null)
 GUARD_PROBLEMS=$(echo "$GUARD_EVENT_DATA" | jq -r '([.[0].data.problems[]?] | length) // 0' 2>/dev/null)
@@ -165,9 +170,12 @@ BUCKETS=(
 for entry in "${BUCKETS[@]}"; do
  bucket="${entry%%|*}"
  label="${entry##*|}"
  if [ "$DLP_ENABLED" = "false" ] && [[ "$bucket" == aw-dlp-* ]]; then
    continue
  fi
  bucket_full="${bucket}_${HOSTNAME_FILTER}"
-  EVENT_DATA=$(no_proxy=192.0.2.13 curl -s --connect-timeout 10 --max-time 15 "$SERVER/api/0/buckets/$bucket_full/events?limit=1" 2>&1)
+  EVENT_DATA=$(no_proxy='*' curl -s --connect-timeout 10 --max-time 15 "$SERVER/api/0/buckets/$bucket_full/events?limit=1" 2>&1)
  LAST_ID=$(echo "$EVENT_DATA" | jq '.[0].id // 0')
  LAST_TS=$(echo "$EVENT_DATA" | jq -r '.[0].timestamp // "no events"')
@@ -200,6 +208,9 @@ for entry in "${BUCKETS[@]}"; do
  printf "  %-42s %-8s %-20s %b\n" "$label" "$LAST_ID" "$AGE" "$STATUS"
 done
 if [ "$DLP_ENABLED" = "false" ]; then
  printf "  %-42s %-8s %-20s %b\n" "DLP buckets" "-" "disabled" "${CYAN}SKIPPED${NC}"
 fi
 echo ""
 # 3. Проверка RDP-хоста
@@ -230,8 +241,11 @@ DEAD_COUNT=0
 for entry in "${BUCKETS[@]}"; do
  bucket="${entry%%|*}"
  if [ "$DLP_ENABLED" = "false" ] && [[ "$bucket" == aw-dlp-* ]]; then
    continue
  fi
  bucket_full="${bucket}_${HOSTNAME_FILTER}"
-  EVENT_DATA=$(no_proxy=192.0.2.13 curl -s --connect-timeout 10 --max-time 15 "$SERVER/api/0/buckets/$bucket_full/events?limit=1" 2>&1)
+  EVENT_DATA=$(no_proxy='*' curl -s --connect-timeout 10 --max-time 15 "$SERVER/api/0/buckets/$bucket_full/events?limit=1" 2>&1)
  LAST_TS=$(echo "$EVENT_DATA" | jq -r '.[0].timestamp // "no events"')
  if [ "$LAST_TS" != "no events" ] && [ -n "$LAST_TS" ]; then
@@ -0,0 +1,325 @@
 # DetMir/AWatch-rus: актуальное состояние и граница DLP-модуля
 Дата фиксации: 2026-06-25.
 Обновление 2026-06-29 после восстановления RDP-сервера: фактический
 production IP Windows/RDP host теперь `192.168.100.19`; stable ActivityWatch
 logical host id остаётся `SHARKON2025`. Подробный post-restore baseline:
 `docs/DETMIR_RESTORE_BASELINE_2026-06-29_RU.md`.
 Документ фиксирует фактическое состояние DetMir/AWatch-rus и первую границу
 переработки горячего пути портала. Это не release evidence для реестра
 российского ПО, не заявление о сертификации и не claim замены DLP/SIEM/EDR.
 ## Runtime baseline
 - Контур: DetMir / AWatch-rus.
 - Stable Windows/RDP logical host id для ActivityWatch bucket-ов и отчетов:
  `SHARKON2025`. Это legacy logical id, а не обязательное физическое имя
  Windows-сервера. Правило rename-safe эксплуатации описано в
  `docs/WINDOWS_LOGICAL_HOST_ID_RU.md`.
 - Текущий физический RDP/WinRM target: `192.168.100.19`.
 - Portal host: `10.10.10.2`.
 - Portal service: `detmir-portal.service`.
 - Portal URL: `http://10.10.10.2:8720/`.
 - Задеплоенный binary hash:
  `653b22b0fbf29a22f7de42ade7b689490b1de16fa07e785e4e0efd3078e7a3bc`.
 - Бэкап предыдущего binary на сервере:
  `/usr/local/bin/detmir-portal.bak.20260625T045640Z`.
 - Runtime mode после phase 1 deploy:
  `DETMIR_PORTAL_DLP_MODULE_ENABLED=false`.
 - Server-side optional DLP runtime control:
  `AW_DLP_ENABLED=false|true` и `DETMIR_DLP_ENABLED=false|true`.
 - Runtime control/statistics script:
  `scripts/detmir_dlp_runtime_control.sh` / live
  `/usr/local/bin/detmir-dlp-runtime-control`.
 - Live DLP runtime state after 2026-06-25 controlled disable:
  `AW_DLP_ENABLED=false`, `AW_DLP_INFLUX_ENABLED=false`;
  active/enabled DLP units: `0/0`.
 - Reason: DLP runtime materially increases Proxmox VM/LXC, InfluxDB, Grafana,
  ClickHouse and AW server load. In production DetMir it is currently kept
  disabled, but remains a documented optional module that can be enabled later.
 - Health после деплоя: `/healthz` возвращал `status=ok`.
 - Readiness после деплоя: `/readyz` возвращал `status=ready`.
 ## Что исправлено в текущем baseline
 - Первичная загрузка портала больше не зависает в бесконечном `LOADING`.
 - При холодном старте тяжелый операторский срез не блокирует UI бесконечно.
 - Frontend показывает честное состояние `STALE / Первичный срез прогревается`.
 - При prewarm больше не смешиваются статусы `STALE` и ложное
  `Данные отсутствуют`.
 - Progress bar доходит до `100%` в fail-soft/prewarm состоянии.
 - Browser smoke после деплоя подтвердил:
  - `loadStatus=STALE`;
  - `progress=100%`;
  - `LOADING=false`;
  - `EMPTY=false`;
  - `ERROR=false`.
 ## Phase 1 live verification
 2026-06-25 после сборки `detmir-portal` и деплоя через
 `ansible/deploy_detmir_portal.yml --limit proxmox` подтверждено:
 - `/healthz`: `status=ok`;
 - `/readyz`: `status=ready`;
 - `/api/reports`: `ok=true`, `cache_status=warming`,
  `modules.dlp.enabled=false`, `modules.dlp.hot_path=false`;
 - `/api/operator`: `cache_status=warming`, `summary.severity=STALE`,
  `modules.dlp.status=disabled`, `incidents=0`;
 - server log для `/api/operator`: `status=200`, `latency_ms=49`.
 Это подтверждает, что первый operator/API screen больше не блокируется на
 холодной полной сборке. Полный snapshot строится в фоне и честно помечается как
 `warming`/`STALE`.
 ## Текущая проблема производительности
 Наблюдаемые признаки:
 - после restart полный тяжелый snapshot может уходить в prewarm/stale mode;
 - report cache и stale UI защищают пользователя от зависания, но не убирают
  саму стоимость тяжелых расчетов;
 - DLP evidence, screenshots, endpoint signals, case review и forensics
  enrichment требуют больше CPU/IO/сетевых операций, чем Workforce core.
 Вывод: DLP/evidence/forensics enrichment уже вынесен из обязательного hot path
 phase 1 через `DETMIR_PORTAL_DLP_MODULE_ENABLED=false`, но полная оптимизация
 тяжелого snapshot/prewarm остается отдельной инженерной задачей.
 ## Целевая граница после переработки
 Core hot path:
 - Workforce Operations;
 - worktime/activity;
 - загрузка, простои, перегруз;
 - дисциплина процесса;
 - качество и полнота данных;
 - легкие агрегаты для руководителя;
 - readiness/health без ожидания DLP.
 Optional DLP module:
 - DLP endpoint signals;
 - clipboard/USB/print/web/file operation incidents;
 - screenshots/evidence;
 - DLP/case review;
 - heavy security correlation;
 - forensics timelines and evidence packages;
 - Hayabusa enrichment where needed.
 Отключение optional DLP module не должно ломать:
 - `/healthz`;
 - `/readyz`;
 - первичную загрузку портала;
 - Workforce views;
 - management reports;
 - базовый operator dashboard.
 Отключение optional DLP module должно показывать честный статус:
 ```text
 DLP module disabled / not configured
 ```
 без заявления, что DLP-проверки выполнены.
 ## Рекомендуемые feature flags
 Минимальная целевая модель конфигурации:
 ```json
 {
  "modules": {
    "dlp": {
      "enabled": false,
      "evidence": false,
      "correlation": false,
      "screenshots": false,
      "hot_path": false
    }
  }
 }
 ```
 Первая реализованная runtime-граница:
 ```text
 --dlp-module-enabled
 DETMIR_PORTAL_DLP_MODULE_ENABLED=true|false
 AW_DLP_ENABLED=true|false
 DETMIR_DLP_ENABLED=true|false
 ```
 Default остается `true`, чтобы существующее поведение не менялось без явного
 решения администратора. Для ускоренного Workforce/operator режима допускается
 `DETMIR_PORTAL_DLP_MODULE_ENABLED=false`; в этом режиме портал:
 - не читает DLP incident/case/review/audit файлы в основном report/operator
  path;
 - отключает security-events backend внутри snapshot, не меняя сохраненные
  ClickHouse credentials;
 - возвращает disabled-state для DLP evidence API;
 - не считает отсутствие DLP ошибкой Workforce core.
 Ansible-параметр поставки:
 ```yaml
 detmir_portal_dlp_module_enabled_override: false
 ```
 Отдельный `detmir-portal-evidence` сервис не отключается этим флагом и остается
 самостоятельным контуром evidence/API при наличии отдельной конфигурации.
 Hayabusa/Velociraptor boundary:
 - Hayabusa/Sigma and Velociraptor are optional security findings / forensics
  sources, not Workforce hot path dependencies.
 - Heavy DLP runtime can remain disabled while Hayabusa/Velociraptor findings
  are imported into Security Finding Inbox / ClickHouse.
 - Velociraptor server/client mode must be enabled explicitly
  (`disabled|offline_collector|server_clients`) and must not be auto-started by
  routine production deploy on the small DetMir Proxmox contour.
 - Findings from Velociraptor/Hayabusa support `decide -> plan -> approve ->
  apply -> verify`, but do not imply automatic remediation without approval.
 Server-side optional DLP runtime описан отдельно:
 - [DLP_OPTIONAL_RUNTIME_RU.md](DLP_OPTIONAL_RUNTIME_RU.md).
 При `AW_DLP_ENABLED=false`:
 - `dlp-health-check` возвращает штатный `dlp:mode=disabled`;
 - `detmir-dlp` не выполняет SSH health probe;
 - `detmir-check`, `check-aw-full` и `check-aw-data` не считают DLP buckets
  обязательными;
 - `detmir-readiness` не требует DLP Influx write и DLP systemd units;
 - перед отключением и после отключения собираются JSON-срезы в
  `/var/lib/activitywatch/health/dlp-runtime-history/`, latest-срез остается в
  `/var/lib/activitywatch/health/dlp-runtime-state.json`.
 Live disable evidence 2026-06-25:
 - `dlp-health-check` returned `ok=true`, `dlp:mode=disabled`;
 - `detmir-dlp` returned `ok=true`, `dlp:mode=disabled`;
 - pre-disable active units:
  `aw-dlp-influx-exporter.timer`,
  `activitywatch-dlp-aggregator.timer`,
  `aw-dlp-report-scheduler.timer`,
  `aw-dlp-syslog-forwarder.timer`,
  `aw-dlp-webhook-sender.timer`,
  `aw-dlp-cef-exporter.timer`,
  `aw-dlp-ioc-refresh.timer`,
  `aw-dlp-policy-engine.service`,
  `aw-dlp-case-management.service`,
  `detmir-portal-evidence.service`;
 - post-disable active/enabled DLP units: `0/0`;
 - retained evidence files:
  `/var/lib/activitywatch/health/dlp-runtime-history/dlp-runtime-current-20260625T083619Z.json`,
  `/var/lib/activitywatch/health/dlp-runtime-history/dlp-runtime-pre_disable-20260625T083637Z.json`,
  `/var/lib/activitywatch/health/dlp-runtime-history/dlp-runtime-disabled-20260625T083700Z.json`;
 - `check-aw-full` with `AW_DLP_ENABLED=false` reports `DLP buckets ...
  SKIPPED`;
 - ActivityWatch core services remained active:
  `activitywatch-server`, `aw-worktime-api`.
 Separate live observations after DLP disable, before 2026-06-29 restore:
 - `aw-watcher-afk`, `aw-watcher-window` and `aw-worktime-sessions` were stale
  in the manual check and require separate RDP collector/session recovery;
 - WinRM from the server side to `192.168.100.18:5985` was unreachable during
  this check;
 - these are not treated as DLP disable regressions.
 Post-restore correction on 2026-06-29:
 - current physical RDP/WinRM target is `192.168.100.19`;
 - laptop route to `192.168.100.19` is through DetMir OpenVPN gateway
  `10.0.13.1`;
 - WinRM `5985` and RDP `3389` are reachable from the admin laptop;
 - stable ActivityWatch logical host id remains `SHARKON2025`.
 Fail-safe правила:
 - если DLP выключена, Security/Forensics views должны показывать disabled-state,
  а не падать;
 - если DLP включена, тяжелые DLP операции должны выполняться асинхронно или
  через cache, а не блокировать первый Workforce/operator screen;
 - readiness не должен заявлять DLP healthy, если модуль отключен или не
  проверен;
 - отсутствие DLP не является ошибкой Workforce core.
 ## Сетевое состояние
 Доступ к DetMir зависит от NetworkManager VPN profile
 `pfSense-gate-UDP4-1194-vpn_prog10-config`. Имя tun-интерфейса не является
 семантической идентичностью и должно проверяться по адресу `10.0.13.*`.
 Пример рабочего route:
 ```text
 10.10.10.2 via 10.0.13.1 dev <current-detmir-tun>
 ```
 Наблюдавшаяся нестабильность dataplane:
 - tun device может присутствовать в routing table, но gateway `10.0.13.1` не
  отвечает;
 - при этом SSH, `/healthz` и браузерная проверка DetMir недоступны;
 - после ручного поднятия NetworkManager-подключения
  `pfSense-gate-UDP4-1194-vpn_prog10-config` доступ восстанавливался.
 - 2026-06-25 после phase 1 deploy зафиксирован отдельный сбой:
  `nm-openvpn` для `178.178.98.83:1194` получил `TLS handshake failed` и
  `connect timeout exceeded`; повторная production-очистка старого systemd
  prewarm drop-in отложена до восстановления VPN handshake.
 Актуальная проверка 2026-06-29:
 ```text
 192.168.100.19 via 10.0.13.1 dev <current-detmir-tun>
 10.0.13.1 ping OK
 192.168.100.19:5985 OK
 192.168.100.19:3389 OK
 ```
 Команда восстановления:
 ```bash
 nmcli connection down 'pfSense-gate-UDP4-1194-vpn_prog10-config' || true
 sleep 2
 nmcli connection up 'pfSense-gate-UDP4-1194-vpn_prog10-config'
 ```
 Проверка:
 ```bash
 ping -c 2 -W 2 10.0.13.1
 ping -c 2 -W 2 10.10.10.2
 nc -vz -w 3 10.10.10.2 22
 curl -sS --max-time 5 http://10.10.10.2:8720/healthz
 ```
 ## Что не менять без отдельной задачи
 - Не удалять DLP collectors и warehouse ради ускорения портала.
 - Не включать heavy DLP или Velociraptor server runtime автоматически при
  обычном deploy без ресурсного решения.
 - Не менять UI/API несовместимо: новые поля должны быть additive.
 - Не заявлять completed DLP decoupling до live deploy и browser/API smoke.
 - Не позиционировать AWatch-rus как сертифицированную DLP/SIEM/EDR/СЗИ.
 ## Следующий инженерный шаг
 Закрыть оставшиеся production-hardening пункты:
 1. После восстановления DetMir VPN повторно прогнать
   `ansible/deploy_detmir_portal.yml`, чтобы удалить legacy drop-in
   `/etc/systemd/system/detmir-portal.service.d/30-prewarm-after-start.conf`.
 2. Подтвердить remote `sha256sum /usr/local/bin/detmir-portal` и отсутствие
   `ExecStartPost` prewarm в `systemctl cat detmir-portal`.
 3. Подтвердить browser smoke без зависания первичной загрузки.
 4. Добавить метрики и smoke для режимов `dlp.enabled=false` и
   `dlp.enabled=true`.
@@ -0,0 +1,83 @@
 # DetMir restore baseline 2026-06-29
 Дата фиксации: 2026-06-29.
 Документ фиксирует фактическое состояние восстановленного контура
 AWatch-rus/DetMir после возврата RDP-сервера `SHARKON2025`.
 ## Итог
 - AW server: `10.10.10.13:5600`, API отвечает, CORS OK.
 - Worktime API: `10.10.10.13:5610`, `/health` OK, report endpoints отвечают.
 - Portal/gateway: `https://dm.iri1968.dpdns.org/healthz` отвечает `200 ok`.
 - RDP host physical IP: `192.168.100.19`.
 - Stable ActivityWatch logical host id: `SHARKON2025`.
 - Старый IP `192.168.100.18` не считать текущим production target.
 ## Выполненные исправления
 - На ноутбуке добавлен постоянный маршрут к `192.168.100.19/32` через DetMir
  VPN gateway `10.0.13.1`.
 - `ansible/inventory.ini` переведен на `rdp-prod ansible_host=192.168.100.19`.
 - Диагностические скрипты больше не жёстко привязаны к `192.168.100.18`.
 - `/etc/activitywatch/aw-server.env` на AW server обновлен:
  `AW_MONITORED_WINDOWS_HOST=192.168.100.19`.
 - На RDP host добавлены узкие Windows Firewall allow-правила для
  `10.10.10.13 -> 5985/3389`; промежуточный firewall всё ещё блокирует этот
  server-side TCP path.
 - Guard restart-budget quarantine очищен через backup и reset runtime state.
 - ClickHouse Security Finding Inbox schema применена:
  `security_findings`, `security_finding_workflow_events`,
  `security_finding_inbox`.
 - `check-aw-full` обновлен: env-aware RDP host, корректный CORS origin,
  AFK freshness через `bucket.metadata.end`.
 - DLP runtime зафиксирован как optional disabled contour: отключён для снижения
  нагрузки на Proxmox/InfluxDB/Grafana/ClickHouse/AW server, но оставлен
  подключаемым через documented enable flow.
 - Hayabusa/Velociraptor зафиксированы как optional security findings /
  forensics layer, отдельный от DLP runtime и Workforce hot path.
 ## Проверенный статус по 7 пунктам
 1. AW-server/portal/API: доступны; `check-aw-data.sh` OK, public `/healthz` OK.
 2. RDP host: `192.168.100.19`, `COMPUTERNAME=SHARKON2025`,
   WinRM/RDP/SSH доступны с админского ноутбука; guard service running.
 3. ActivityWatch buckets: worktime, session, AFK, DLP endpoint signals fresh;
   window bucket корректно классифицируется как inactive при отсутствии
   интерактивной активности.
 4. ClickHouse/filter/security findings: ClickHouse healthy, Security Finding
   Inbox schema создана; portal endpoint защищен auth и без авторизации
   возвращает `401`.
 5. InfluxDB/Grafana: InfluxDB health `pass`, Grafana DB health `ok`,
   Influx datasource health OK. Loki log contour intentionally disabled to
   reduce resource usage.
 6. Hayabusa/Velociraptor layer: Hayabusa doctor OK, drop.path active,
   incoming/drop backlog empty, latest intake `2026-06-29T09:00:23Z`,
   bad zip сохранен только в quarantine как evidence. Velociraptor integration
   is treated as optional findings source; no always-on Velociraptor runtime is
   required for Workforce/AW core.
 7. Baseline зафиксирован в этом документе и связан с operational docs/skills.
 ## Остаточные риски
 - `aw-rus-healthd.service` на AW server всё ещё видит TCP timeout до
  `192.168.100.19:5985/3389` через gateway `10.10.10.1`, хотя ICMP проходит и
  доступ с админского ноутбука есть. Это network policy gap на промежуточном
  firewall/ACL, не SQLite/datastore failure.
 - Grafana Loki datasource `10.10.10.12:3100` intentionally disabled: Proxmox
  LXC `202 loki-logs` is stopped, active config has `onboot: 0`, and TCP
  `10.10.10.12:3100` is closed. This is an operator decision to save resources
  and does not break core AW/worktime/ClickHouse.
 - DLP runtime is intentionally disabled for the current production profile and
  must not be auto-enabled by routine deploys. Re-enable only after resource
  budget check and explicit operator decision.
 ## Проверки
 - `AW_MONITORED_WINDOWS_HOSTNAME=SHARKON2025 ./check-aw-data.sh` - OK.
 - `AW_SMOKE_AW_SERVER=http://10.10.10.13:5600
  AW_SMOKE_SOURCE_HOSTNAME=SHARKON2025
  AW_SMOKE_WINDOWS_HOST=192.168.100.19 ./check-aw-full.sh --no-color` - OK.
 - `cargo test -p check-aw-full` - 4 passed.
 - `bash -n` для изменённых shell scripts - OK.
 - `AW_SMOKE_LOKI_ENABLED=0` is the current default for local smoke checks.
@@ -55,7 +55,7 @@ DETMIR_SUPPORT_PVE_HOST=10.10.10.2
 DETMIR_SUPPORT_AW_HOST=10.10.10.13
 DETMIR_SUPPORT_WEB_HOST=10.10.10.2
 DETMIR_SUPPORT_WEB_TLS_HOST=10.10.10.2
-DETMIR_SUPPORT_WINDOWS_HOST=192.168.100.18
+DETMIR_SUPPORT_WINDOWS_HOST=192.168.100.19
 DETMIR_SUPPORT_SURICATA_HOST=10.10.10.2
 DETMIR_SUPPORT_SSH_USER=igor
@@ -79,6 +79,7 @@ DETMIR_SUPPORT_PVE_BACKUP_DIRS=/var/lib/pve/local-btrfs/dump
 - операторский gateway находится на `10.10.10.2`, а не на историческом
  `10.10.10.11`;
 - текущий Windows/RDP target после восстановления: `192.168.100.19`;
 - web health endpoint: `https://10.10.10.2/healthz`, ожидаемый ответ `200`;
 - защищенный корень gateway `https://10.10.10.2/` штатно отвечает `401`;
 - AW API health проверяется через
@@ -0,0 +1,200 @@
 # Optional DLP runtime for DetMir
 Цель: DLP-контур должен отключаться управляемо, без ложных аварий в health/readiness и без автоматического подъема heavy-пайплайна, когда задача контура - снизить нагрузку на InfluxDB, Grafana и ClickHouse.
 ## Что отключается
 Штатный runtime off включает:
 - `AW_DLP_ENABLED=false` на AW server;
 - `DETMIR_DLP_ENABLED=false` в управляющем DetMir contour check;
 - `DETMIR_PORTAL_DLP_MODULE_ENABLED=false` для portal UI/API DLP-модуля;
 - остановку DLP timers/services:
  - `aw-dlp-influx-exporter.timer`;
  - `activitywatch-dlp-aggregator.timer`;
  - `aw-dlp-report-scheduler.timer`;
  - `aw-dlp-syslog-forwarder.timer`;
  - `aw-dlp-webhook-sender.timer`;
  - `aw-dlp-cef-exporter.timer`;
  - `aw-dlp-ioc-refresh.timer`;
  - `aw-dlp-policy-engine.service`;
  - `aw-dlp-case-management.service`;
  - `detmir-portal-evidence.service`, если DLP evidence upload больше не нужен.
 Worktime, ActivityWatch server, browser/window/AFK collection, Hayabusa,
 Velociraptor findings ingest и 1C/ClickHouse core не считаются DLP runtime и
 отдельно не отключаются.
 Важно: отключение DLP runtime не удаляет DLP-контур из проекта. Это
 эксплуатационный режим `disabled`, выбранный для production DetMir из-за
 существенной нагрузки на виртуальную среду Proxmox, InfluxDB, Grafana,
 ClickHouse и AW server. DLP должен оставаться подключаемым обратно через
 описанный ниже enable-процесс, без переустановки продукта и без потери
 исторических артефактов до отдельной retention/cleanup процедуры.
 ## Статистика перед отключением
 На AW server:
 ```bash
 sudo bash /usr/local/bin/detmir-dlp-runtime-control stats
 sudo cat /var/lib/activitywatch/health/dlp-runtime-state.json
 ```
 Из репозитория до деплоя:
 ```bash
 sudo bash scripts/detmir_dlp_runtime_control.sh stats
 ```
 JSON фиксирует:
 - generated timestamp;
 - effective mode;
 - DLP unit `active/enabled/load` state;
 - последние timestamps по DLP buckets для текущего host;
 - причину отключения.
 Каждый запуск дополнительно сохраняет неизменяемый снимок в
 `/var/lib/activitywatch/health/dlp-runtime-history/`. При `disable` остаются
 как минимум два снимка: `pre_disable` до остановки units и `disabled` после
 остановки/disable/reset-failed.
 ## Отключение
 На AW server:
 ```bash
 sudo install -o root -g root -m 0755 scripts/detmir_dlp_runtime_control.sh /usr/local/bin/detmir-dlp-runtime-control
 sudo sed -i \
  -e 's/^AW_DLP_ENABLED=.*/AW_DLP_ENABLED=false/' \
  -e 's/^AW_DLP_DISABLED_REASON=.*/AW_DLP_DISABLED_REASON=operator_disabled_to_reduce_influx_grafana_clickhouse_load/' \
  /etc/activitywatch/aw-server.env
 sudo /usr/local/bin/detmir-dlp-runtime-control disable
 sudo systemctl restart aw-worktime-api.service || true
 ```
 Для portal:
 ```bash
 sudo sed -i 's/^DETMIR_PORTAL_DLP_MODULE_ENABLED=.*/DETMIR_PORTAL_DLP_MODULE_ENABLED=false/' /etc/detmir-portal.env
 sudo systemctl restart detmir-portal.service
 ```
 Если переменной нет, добавьте ее в соответствующий env-файл отдельной строкой.
 ## Проверка после отключения
 ```bash
 AW_DLP_ENABLED=false DETMIR_DLP_ENABLED=false /usr/local/bin/dlp-health-check --json
 DETMIR_DLP_ENABLED=false detmir-dlp
 DETMIR_DLP_ENABLED=false detmir-check --json
 AW_DLP_ENABLED=false check-aw-full
 ```
 Ожидаемое поведение:
 - `dlp-health-check` возвращает `ok=true` и `dlp:mode=disabled`;
 - `detmir-dlp` не открывает SSH health probe и возвращает disabled payload;
 - `detmir-check` не проверяет DLP buckets;
 - `check-aw-full` показывает DLP buckets как `SKIPPED`;
 - DLP units остаются stopped/disabled;
 - worktime/core проверки продолжают работать.
 ## Live evidence 2026-06-25
 На DetMir/AW server выполнен controlled disable:
 - `AW_DLP_ENABLED=false`;
 - `AW_DLP_INFLUX_ENABLED=false`;
 - `AW_DLP_DISABLED_REASON=operator_disabled_to_reduce_influx_grafana_clickhouse_load`;
 - `AW_DLP_DISABLED_SINCE=2026-06-25`.
 Зафиксированы evidence-снимки:
 ```text
 /var/lib/activitywatch/health/dlp-runtime-history/dlp-runtime-current-20260625T083619Z.json
 /var/lib/activitywatch/health/dlp-runtime-history/dlp-runtime-pre_disable-20260625T083637Z.json
 /var/lib/activitywatch/health/dlp-runtime-history/dlp-runtime-disabled-20260625T083700Z.json
 ```
 Результат:
 - pre-disable active units included DLP Influx exporter, aggregator, report,
  integration, policy/case and evidence units;
 - post-disable active/enabled DLP units: `0/0`;
 - `dlp-health-check` returned `ok=true`, `dlp:mode=disabled`;
 - `detmir-dlp` returned `ok=true`, `dlp:mode=disabled`;
 - `check-aw-full` returned `DLP buckets ... SKIPPED`.
 Отдельные non-DLP findings того же ручного прогона, до восстановления
 `192.168.100.19`:
 - AFK/window/worktime buckets were stale and require RDP collector/session
  recovery;
 - WinRM from server side to `192.168.100.18:5985` was unreachable;
 - these findings are outside the DLP runtime disable boundary.
 ## Возврат DLP
 ```bash
 sudo sed -i 's/^AW_DLP_ENABLED=.*/AW_DLP_ENABLED=true/' /etc/activitywatch/aw-server.env
 sudo /usr/local/bin/detmir-dlp-runtime-control enable
 sudo systemctl restart aw-worktime-api.service || true
 ```
 Для portal:
 ```bash
 sudo sed -i 's/^DETMIR_PORTAL_DLP_MODULE_ENABLED=.*/DETMIR_PORTAL_DLP_MODULE_ENABLED=true/' /etc/detmir-portal.env
 sudo systemctl restart detmir-portal.service
 ```
 После включения выполнить:
 ```bash
 /usr/local/bin/dlp-health-check --json
 detmir-dlp
 detmir-check --json
 ```
 Перед возвратом DLP в production обязательно проверить ресурсный бюджет
 Proxmox/InfluxDB/Grafana/ClickHouse. Не включайте DLP timers/services
 автоматически вместе с обычным deploy, если текущая цель - сохранить лёгкий
 Workforce/AW контур.
 ## Hayabusa/Velociraptor при выключенном DLP
 Hayabusa/Sigma и Velociraptor относятся к optional security findings /
 forensics layer, а не к тяжёлому DLP runtime:
 - Hayabusa drop/autoprocess может продолжать работать при выключенном DLP;
 - Velociraptor findings ingest может использоваться в offline/server mode, если
  администратор явно включил соответствующий режим;
 - результаты должны попадать в Security Finding Inbox / ClickHouse как
  контролируемые findings, а не запускать автоматическую блокировку без
  approve/apply workflow;
 - portal/workforce first screen не должен ждать Velociraptor или DLP;
 - disabled DLP mode не должен превращаться в FAIL только из-за отсутствия DLP
  buckets.
 Velociraptor server/client runtime не должен стартовать автоматически в
 production DetMir без отдельного ресурсного решения. Для малой виртуальной
 среды предпочтителен `disabled` или `offline_collector` режим.
 ## Ansible
 В inventory/group vars:
 ```yaml
 aw_dlp_enabled: false
 aw_dlp_disabled_reason: "operator_disabled_to_reduce_influx_grafana_clickhouse_load"
 aw_dlp_disabled_since: "2026-06-25"
 detmir_portal_dlp_module_enabled_override: false
 ```
 При `aw_dlp_enabled: false` playbook пишет `AW_DLP_ENABLED=false`, не включает DLP service/timer runtime и не должен возвращать DLP Influx exporter/aggregator в active state.
 ## Ограничения
 Это не удаление DLP-функциональности и не заявление, что DLP заменен другим средством. Это штатный режим временного/постоянного отключения тяжелого DLP runtime для стабилизации производительности. Исторические DLP buckets и артефакты могут оставаться на диске и в ActivityWatch до отдельной retention/cleanup процедуры.
@@ -0,0 +1,287 @@
 # AWatch-rus / DetMir: модульная схема комплекса
 Статус: операторская архитектурная карта для просмотра прямо в GitHub/Gitea.
 Документ описывает, как связаны основные модули AWatch-rus / DetMir, где
 проходят данные и где администратор видит результат. Диаграммы выполнены в
 Mermaid: GitHub и Gitea отображают их непосредственно на странице Markdown.
 ## 1. Границы и честные утверждения
 - AWatch-rus / DetMir не заявляется как сертифицированная СЗИ, DLP, SIEM, EDR
  или XDR.
 - GitHub Actions и GitHub issues используются как публичная инженерная
  видимость и mirror validation, а не как evidence российского release-контура.
 - Основной российский контур поставки и контроля: private Gitea плюс
  планируемый российский build-runner.
 - Текущий production-профиль DetMir держит тяжелый DLP runtime отключенным для
  снижения нагрузки на Proxmox, InfluxDB, Grafana, ClickHouse и AW server.
  DLP-модуль не удален и может быть подключен отдельно после решения оператора.
 - Hayabusa/Sigma и Velociraptor используются как слой findings/forensics. Они не
  входят в горячий путь расчета рабочего времени и не должны запускать
  блокировку рабочих станций без явного approval.
 ## 2. Карта модулей верхнего уровня
 ```mermaid
 flowchart LR
  subgraph endpoints["Рабочие места и RDP"]
    RDP["RDP host<br/>192.168.100.19<br/>logical host SHARKON2025"]
    WinCollectors["Windows collectors<br/>window, AFK, browser, worktime"]
    File1C["File1C upload task<br/>каждые 15 минут"]
    OptionalDlpEndpoint["Optional DLP endpoint sync<br/>обычно disabled"]
  end
  subgraph awserver["AW server 10.10.10.13"]
    AwServer["ActivityWatch server<br/>порт 5600"]
    AwBuckets["AW buckets<br/>SQLite datastore"]
    WorktimeApi["aw-worktime-api<br/>порт 5610"]
    InfluxExporter["worktime Influx exporter"]
    Healthd["aw-rus-healthd<br/>readiness and checks"]
  end
  subgraph analytics["Analytics and dashboards"]
    Influx["InfluxDB<br/>10.10.10.10:8086"]
    Grafana["Grafana<br/>10.10.10.11:3000"]
    ClickHouse["ClickHouse<br/>10.10.10.2:8123"]
    Portal["DetMir portal and gateway<br/>10.10.10.2:8720<br/>/portal"]
  end
  subgraph security["Security findings and containment"]
    Hayabusa["Hayabusa / Sigma<br/>EVTX and rule findings"]
    Velociraptor["Velociraptor<br/>offline collector or explicit server mode"]
    Inbox["Security Finding Inbox<br/>ClickHouse-backed"]
    Executor["Containment executor<br/>plan / apply / verify / rollback"]
  end
  subgraph governance["Governance and delivery"]
    GitHub["GitHub public mirror<br/>PR checks and ruleset"]
    Gitea["Russian Gitea<br/>primary private contour"]
    BuildRunner["Russian build-runner<br/>planned registry evidence"]
  end
  RDP --> WinCollectors
  WinCollectors --> AwServer
  AwServer --> AwBuckets
  AwBuckets --> WorktimeApi
  WorktimeApi --> Portal
  WorktimeApi --> InfluxExporter
  InfluxExporter --> Influx
  Influx --> Grafana
  Grafana --> Portal
  File1C --> ClickHouse
  ClickHouse --> Portal
  ClickHouse --> Grafana
  Healthd --> Portal
  Hayabusa --> Inbox
  Velociraptor --> Inbox
  OptionalDlpEndpoint -. optional .-> Inbox
  Inbox --> Portal
  Portal --> Executor
  Executor --> Inbox
  GitHub --> Gitea
  Gitea --> BuildRunner
 ```
 ## 3. Основные модули
 | Модуль | Где работает | Что делает | Куда пишет/отдает |
 |---|---|---|---|
 | Windows collectors | RDP/Windows hosts | Собирают окна, AFK, браузерные домены, рабочие сессии | ActivityWatch API |
 | ActivityWatch server | `10.10.10.13:5600` | Принимает события и хранит buckets | SQLite datastore, HTTP API |
 | Worktime API | `10.10.10.13:5610` | Строит отчеты рабочего времени и management-срез | Portal, Influx exporter |
 | Influx exporter | AW server | Перекладывает рабочие метрики во временные ряды | InfluxDB |
 | InfluxDB | `10.10.10.10:8086` | Хранит time-series для Grafana | Grafana |
 | Grafana | `10.10.10.11:3000` | Показывает dashboards по активности, дисциплине и состоянию | Администратор, portal links |
 | DetMir portal | `10.10.10.2:8720/portal` | Единая витрина: статус, workforce, security inbox, ссылки | Browser UI/API |
 | ClickHouse File1C | `10.10.10.2:8123` | Хранит 1C/file telemetry и security findings | Portal, Grafana, manager API |
 | Security Finding Inbox | ClickHouse + Rust CLI/API | Нормализует подозрительные станции и workflow | Portal, executor, audit |
 | Hayabusa/Sigma | AW server / security host | Разбирает Windows EVTX и Sigma-compatible findings | Inbox |
 | Velociraptor | Optional mode | Собирает endpoint forensics/artifacts | Inbox/importers |
 | DLP runtime | Optional mode | Тяжелый evidence/DLP слой, в production сейчас disabled | Inbox/AW/ClickHouse when enabled |
 | Containment executor | Отдельный процесс | Выполняет только approved plan/apply/verify/rollback | Workflow events в ClickHouse |
 | readiness/healthd | AW server and gateway | Проверяет живость сервисов, freshness, деградации | Portal/status/logs |
 ## 4. Горячий путь рабочего времени
 Этот путь должен оставаться быстрым и независимым от тяжелых security-модулей.
 DLP, Velociraptor и Hayabusa не должны тормозить расчет рабочих отчетов.
 ```mermaid
 flowchart LR
  Session["RDP user session"] --> Collectors["Collectors<br/>window / AFK / browser / worktime"]
  Collectors --> AwHttp["ActivityWatch HTTP API"]
  AwHttp --> Buckets["AW buckets<br/>host suffix SHARKON2025"]
  Buckets --> Worktime["aw-worktime-api"]
  Worktime --> Cache["stale-safe report cache"]
  Worktime --> PortalWorkforce["Portal<br/>workforce view"]
  Worktime --> Exporter["Influx exporter"]
  Exporter --> Influx["InfluxDB"]
  Influx --> Grafana["Grafana dashboards"]
  Grafana --> Admin["Администратор<br/>проверяет графики"]
 ```
 Ключевой принцип: физическое имя или IP RDP-сервера может измениться, но
 логический host id для buckets и витрин остается стабильным, пока оператор
 явно не проводит миграцию идентификаторов.
 ## 5. Отбор и категоризация ресурсов
 Браузерные события идут в общий поток ActivityWatch, затем интерпретируются
 политикой рабочих/нерабочих ресурсов. Категории должны храниться как
 управляемая конфигурация, а не как зашитые в код одиночные домены.
 ```mermaid
 flowchart TD
  BrowserEvent["Browser event<br/>URL/domain/title"] --> Normalizer["Domain normalizer"]
  Normalizer --> CategoryRules["Category rules<br/>work / non-work / neutral / unknown"]
  CategoryRules --> WorktimeApi["Worktime API scoring"]
  WorktimeApi --> Portal["Portal recommendations"]
  WorktimeApi --> Grafana["Grafana panels"]
  CategoryRules --> AdminConfig["Admin-owned config<br/>review and update"]
 ```
 Администратор должен видеть не только итоговые минуты, но и объяснение:
 какой домен, какая категория, сколько времени, почему это считается рабочим
 или нерабочим.
 ## 6. ClickHouse / File1C / управленческая аналитика
 ```mermaid
 flowchart LR
  FileSource["RDP/Windows File1C telemetry"] --> UploadTask["Windows scheduled task<br/>File1C Upload"]
  UploadTask --> Landing["ClickHouse landing directory"]
  Landing --> Ingest["aw-1c-ingest-rust<br/>systemd timer"]
  Ingest --> CHRaw["ClickHouse raw tables"]
  CHRaw --> CHViews["Materialized views<br/>manager and workforce slices"]
  CHViews --> Portal1C["Portal / 1C manager brief"]
  CHViews --> Grafana1C["Grafana 1C dashboards"]
  Ingest --> Health["ClickHouse health timers"]
  Health --> PortalStatus["Portal status"]
 ```
 Этот контур нужен для управленческой аналитики и файловых/1C-срезов. Он не
 заменяет ActivityWatch hot path и не должен блокировать портал при временной
 деградации ClickHouse.
 ## 7. Security Finding Inbox и управляемое containment
 ```mermaid
 flowchart LR
  HayabusaFindings["Hayabusa/Sigma findings"] --> Adapter["Finding adapters"]
  VelociraptorFindings["Velociraptor exports"] --> Adapter
  ManualFinding["Manual operator finding"] --> Adapter
  OptionalDlp["Optional DLP evidence<br/>disabled by default"] -.-> Adapter
  Adapter --> Inbox["Security Finding Inbox<br/>ClickHouse"]
  Inbox --> Suspicious["Portal page<br/>Подозрительные станции"]
  Suspicious --> Decide["decide"]
  Decide --> Plan["plan"]
  Plan --> Approve["approve<br/>human gate"]
  Approve --> Apply["executor apply"]
  Apply --> Verify["verify"]
  Verify --> Closed["workflow event<br/>closed or escalated"]
  Verify --> Rollback["rollback<br/>when verification fails"]
  Rollback --> Inbox
  Closed --> Inbox
 ```
 ```mermaid
 stateDiagram-v2
  [*] --> FindingReceived
  FindingReceived --> Planned: decide and plan
  Planned --> ApprovalRequired: action is risky
  ApprovalRequired --> Applied: approved
  ApprovalRequired --> Rejected: rejected
  Applied --> Verified: verify passed
  Applied --> RollbackRequired: verify failed
  RollbackRequired --> RolledBack: rollback completed
  Verified --> Closed
  Rejected --> Closed
  RolledBack --> Escalated
 ```
 Запрет: findings не должны автоматически блокировать рабочую станцию. Исполнение
 возможно только после явного approval и через отдельный executor, который
 пишет результат обратно в workflow-аудит.
 ## 8. Операционный контроль и recovery
 ```mermaid
 flowchart TD
  DailyCheck["daily / weekly contour checks"] --> Healthd["aw-rus-healthd"]
  Orchestration["Ansible and scripts<br/>deploy / validate / support"] --> DailyCheck
  Healthd --> AwCheck["AW server and bucket freshness"]
  Healthd --> WorktimeCheck["Worktime API health"]
  Healthd --> ClickHouseCheck["ClickHouse health"]
  Healthd --> GrafanaCheck["Grafana dashboard smoke"]
  AwCheck --> Status["Portal status"]
  WorktimeCheck --> Status
  ClickHouseCheck --> Status
  GrafanaCheck --> Status
  Status --> Operator["Operator decision<br/>restart, repair, or escalate"]
  Operator --> Runbooks["Docs and runbooks"]
 ```
 Важное разделение: routine checks не должны автоматически включать тяжелый DLP
 runtime и не должны менять сетевые маршруты. Любое изменение маршрутизации,
 firewall или containment выполняется как отдельное управляемое действие.
 ## 9. Governance, GitHub и Gitea
 ```mermaid
 flowchart LR
  DevBranch["Feature/docs branch"] --> PR["GitHub PR<br/>public mirror validation"]
  PR --> Checks["Required checks<br/>rust, docs, security, smoke"]
  Checks --> Review["CODEOWNERS review"]
  Review --> Main["main branch"]
  Main --> Gitea["Russian Gitea mirror<br/>primary private contour"]
  Gitea --> Runner["Russian build-runner<br/>planned release evidence"]
  PR -. not registry evidence .-> Note["Public transparency only"]
 ```
 GitHub полезен для публичной проверяемости: PR, issues, checks, branch ruleset.
 Но для российского реестрового release evidence нужен отдельный российский
 контур сборки и хранения артефактов.
 ## 10. Оркестрация и поддержание актуальности
 Оркестрационные entrypoints отдельно зафиксированы в
 [docs/ORCHESTRATION_MAP_RU.md](ORCHESTRATION_MAP_RU.md). Этот документ
 связывает архитектурные модули с Ansible playbooks, systemd timers, Windows
 Scheduled Tasks и read-only check scripts.
 В репозитории есть guard:
 ```bash
 bash scripts/check_orchestration_map.sh
 ```
 Он не ходит в production и не меняет runtime. Его задача - проверить, что
 карта оркестрации ссылается на реальные playbooks/scripts и содержит
 обязательные safety-маркеры: DLP optional mode, Hayabusa/Velociraptor boundary,
 approval gate для containment и разделение GitHub/Gitea release контуров.
 ## 11. Где смотреть руками
 | Что проверить | Где смотреть |
 |---|---|
 | Единый портал DetMir | `/portal` на gateway |
 | Рабочая активность и рекомендации | Portal workforce pages, Worktime API |
 | Графики по сотрудникам и приложениям | Grafana dashboards `detmir-aw-main`, `detmir-rdp-user-activity` и связанные panels |
 | Состояние AW buckets | ActivityWatch API и readiness/status в portal |
 | 1C/File analytics | Portal 1C manager views, ClickHouse dashboards |
 | Подозрительные станции | Portal security view / Security Finding Inbox |
 | Hayabusa/Velociraptor findings | Inbox import status, security dashboards, runbooks |
 | Runtime checks | `aw-rus-healthd`, contour check scripts, portal status |
 | Код и evidence процесса | GitHub PR/issues, private Gitea mirror |
 ## 12. Связанные документы
 - [docs/ARCHITECTURE_RU.md](ARCHITECTURE_RU.md)
 - [docs/UNIFIED_OPERATING_MODEL_RU.md](UNIFIED_OPERATING_MODEL_RU.md)
 - [docs/ORCHESTRATION_MAP_RU.md](ORCHESTRATION_MAP_RU.md)
 - [docs/GRAFANA_DASHBOARDS_RU.md](GRAFANA_DASHBOARDS_RU.md)
 - [docs/DLP_OPTIONAL_RUNTIME_RU.md](DLP_OPTIONAL_RUNTIME_RU.md)
 - [docs/PRODUCTION_READINESS_RU.md](PRODUCTION_READINESS_RU.md)
@@ -94,11 +94,26 @@ Browser smoke не заменяет API/CLI проверки. Он подтве
 ```bash
 cd /mnt/usb_hdd2/Projects/ActivityWatch-Russian
-NO_PROXY=localhost,127.0.0.1,10.10.10.13,10.10.10.2,192.168.100.18,10.10.10.0/24 \
+NO_PROXY=localhost,127.0.0.1,10.10.10.13,10.10.10.2,192.168.100.19,10.10.10.0/24 \
-no_proxy=localhost,127.0.0.1,10.10.10.13,10.10.10.2,192.168.100.18,10.10.10.0/24 \
+no_proxy=localhost,127.0.0.1,10.10.10.13,10.10.10.2,192.168.100.19,10.10.10.0/24 \
 AW_SMOKE_WINDOWS_HOST=192.168.100.19 \
 AW_SMOKE_SOURCE_HOSTNAME=SHARKON2025 \
 ./check-aw-full.sh
 ```
 Для DetMir production при проверке после rename RDP-сервера явно фиксируйте
 stable logical host id:
 ```bash
 AW_MONITORED_WINDOWS_HOSTNAME=SHARKON2025 ./check-aw-data.sh
 AW_SMOKE_WINDOWS_HOST=192.168.100.19 \
 AW_SMOKE_SOURCE_HOSTNAME=SHARKON2025 \
 ./scripts/aw-contour-smoke-local.sh --skip-winrm
 ```
 `SHARKON2025` в этих командах - исторический ActivityWatch logical id, не
 физическое имя Windows-сервера.
 Для workforce ClickHouse дополнительно проверить quality views:
 ```sql
@@ -0,0 +1,131 @@
 # AWatch-rus / DetMir: карта оркестрации
 Статус: актуальная карта deploy/check orchestration для просмотра в
 GitHub/Gitea.
 Документ фиксирует, какие playbooks, systemd units и scripts управляют
 модулями комплекса. Это не инструкция выполнять production deploy без окна
 работ: большинство playbooks меняют сервисы, scheduled tasks или dashboards.
 ## 1. Общий порядок оркестрации
 ```mermaid
 flowchart TD
  Inventory["inventory.ini<br/>group_vars/*.yml<br/>private env vars"] --> Full["install_full_stack.yml"]
  Full --> Server["deploy_aw_server.yml<br/>AW server and Rust services"]
  Full --> Windows["deploy_aw_windows.yml<br/>RDP/Windows collectors"]
  Full --> Gateway["deploy_proxmox_web_gateway.yml<br/>operator gateway"]
  Full --> Grafana["deploy_grafana_dashboards.yml<br/>Grafana dashboards"]
  Full --> Checks["deploy_grafana_check.yml<br/>dashboard/data freshness check"]
  Server --> Portal["deploy_detmir_portal.yml<br/>portal and evidence API"]
  Server --> Worktime["worktime API<br/>Influx exporter<br/>healthd"]
  Windows --> Tasks["Windows Scheduled Tasks<br/>Launch / Recovery / File1C / Hayabusa"]
  Gateway --> PublicEntry["/portal and /d/... routes"]
  Grafana --> Dashboards["detmir dashboards"]
  Checks --> Contour["run_awatch_contour_check.sh"]
  Contour --> Daily["awatch-contour-daily-check.timer"]
  Contour --> Weekly["awatch-contour-weekly-check.timer"]
 ```
 ## 2. Оркестрационные entrypoints
 | Зона | Entrypoint | Тип действия | Что поддерживает |
 |---|---|---|---|
 | Полный контур | `ansible/install_full_stack.yml` | deploy orchestrator | Последовательный запуск основных playbooks по группам inventory |
 | AW server | `ansible/deploy_aw_server.yml` | deploy | ActivityWatch server, Rust binaries, server-side units |
 | Windows/RDP | `ansible/deploy_aw_windows.yml` | deploy | Collectors, guard service, recovery task, File1C/Hayabusa scheduled tasks |
 | Post-validate Windows | `ansible/post_validate_aw_windows.yml` | validation | Read-only-ish validation after Windows rollout |
 | DetMir portal | `ansible/deploy_detmir_portal.yml` | deploy | Portal, evidence API, portal env, systemd services |
 | Gateway | `ansible/deploy_proxmox_web_gateway.yml` | deploy | Nginx gateway, `/portal`, Grafana routes, operator index |
 | Grafana dashboards | `ansible/deploy_grafana_dashboards.yml` | deploy | Version-controlled dashboards import |
 | Grafana checker | `ansible/deploy_grafana_check.yml` | deploy/check | Dashboard and datasource health checks |
 | File1C analytics | `ansible/deploy_file_1c_analytics.yml` | deploy | ClickHouse/File1C analytics server side |
 | File1C Windows upload | `ansible/deploy_file_1c_windows_telemetry.yml` | deploy | Windows scheduled upload task |
 | Optional DLP evidence | `ansible/deploy_dlp_evidence_sync.yml` | opt-in deploy | Evidence sync task only when DLP is explicitly enabled |
 | pfSense poller | `ansible/deploy_aw_pfsense_poller.yml` | optional deploy | Network telemetry helper, outside workforce hot path |
 | Daily/weekly checks | `scripts/run_awatch_contour_check.sh` | read-only check | Contour health bundle and optional smoke checks |
 | Daily check timer | `ops/systemd/awatch-contour-daily-check.timer` | systemd timer | Scheduled daily run of contour check |
 | Weekly check timer | `ops/systemd/awatch-contour-weekly-check.timer` | systemd timer | Scheduled weekly run of contour check |
 | Support bundle | `scripts/detmir-support-daily.sh` and related scripts | read-only/support | Operator diagnostics and support artifacts |
 | Orchestration guard | `scripts/check_orchestration_map.sh` | repository check | Ensures this map references live playbooks/scripts |
 ## 3. Runtime boundaries
 ```mermaid
 flowchart LR
  Deploy["Deploy orchestration<br/>Ansible"] --> Runtime["Runtime services<br/>systemd and Windows tasks"]
  Runtime --> Check["Read-only checks<br/>detmir-check, contour check, smoke"]
  Check --> Evidence["Logs and summaries<br/>operator review"]
  OptionalDlp["Optional DLP runtime"] -. explicit operator decision .-> Runtime
  Hayabusa["Hayabusa upload task"] --> Findings["Security findings import"]
  Velociraptor["Velociraptor mode"] -. disabled/offline/server explicit .-> Findings
  Findings --> Portal["Portal security view"]
  Portal -. approval required .-> Executor["Separate executor<br/>plan/apply/verify/rollback"]
 ```
 Правила:
 - routine deploy/recovery не должен сам включать тяжелый DLP runtime;
 - Hayabusa/Velociraptor findings не являются заменой SIEM/DLP/EDR;
 - блокировка рабочих станций возможна только через отдельный executor и явное
  approval;
 - GitHub CI остается public mirror validation, а не registry release evidence;
 - Gitea и российский build-runner остаются основным release/evidence контуром.
 ## 4. Windows/RDP task orchestration
 ```mermaid
 flowchart TD
  DeployWin["deploy_aw_windows.yml"] --> Toolkit["C:\\Program Files\\AWatch-rus\\windows"]
  Toolkit --> Ensemble["deploy-ensemble.ps1"]
  Ensemble --> Recovery["ActivityWatch Recovery<br/>Scheduled Task"]
  Ensemble --> Launch["ActivityWatch Launch [HOST_user]<br/>per-user tasks"]
  Ensemble --> Guard["AWatchRusCollectorGuard<br/>Windows service"]
  Ensemble --> File1C["ActivityWatch File1C Upload<br/>Scheduled Task"]
  Ensemble --> Hayabusa["ActivityWatch Hayabusa Upload<br/>Scheduled Task"]
  Guard --> Worktime["worktime-session collector"]
  Launch --> AFK["aw-watcher-afk"]
  Launch --> Window["aw-watcher-window"]
  Launch --> Browser["browser category collector"]
  File1C --> ClickHouse["ClickHouse landing"]
  Hayabusa --> AWServer["AW server Hayabusa drop"]
 ```
 Production DetMir использует стабильный logical host id `SHARKON2025` для
 bucket-ов и витрин. Смена физического имени/IP RDP-сервера не должна
 автоматически менять bucket suffix или Grafana variables.
 ## 5. Read-only checks and quality gates
 | Проверка | Команда | Назначение |
 |---|---|---|
 | Orchestration map check | `bash scripts/check_orchestration_map.sh` | Проверяет, что карта оркестрации ссылается на реальные entrypoints |
 | Repository quality gate | `bash scripts/quality-gate.sh` | Включает orchestration map check, shell/node/pwsh/ansible guards |
 | Secret scan | `python3 scripts/public_secret_pattern_check.py` | Не допускает публичные секреты |
 | Contour check | `bash scripts/run_awatch_contour_check.sh` | Read-only production contour check через env вне репозитория |
 | Browser smoke | `scripts/aw-webui-browser-smoke.sh` | Проверяет operator/browser surface |
 | Portal contract sync | `node scripts/check_portal_contract_sync.mjs` | Проверяет согласованность portal API/static contracts |
 ## 6. Что не делаем автоматически
 - Не запускаем `deploy_dlp_full_stack.yml` как часть routine checks.
 - Не включаем DLP timers/services без отдельного решения оператора.
 - Не стартуем Velociraptor server/client contour автоматически на малом
  production Proxmox.
 - Не меняем маршрутизацию, firewall или workstation containment из checks.
 - Не публикуем credentials, tokens, passwords или customer identifiers в Git.
 ## 7. Связанные документы
 - [MODULE_ARCHITECTURE_GRAPH_RU.md](MODULE_ARCHITECTURE_GRAPH_RU.md)
 - [ARCHITECTURE_RU.md](ARCHITECTURE_RU.md)
 - [UNIFIED_OPERATING_MODEL_RU.md](UNIFIED_OPERATING_MODEL_RU.md)
 - [DLP_OPTIONAL_RUNTIME_RU.md](DLP_OPTIONAL_RUNTIME_RU.md)
 - [PRODUCTION_READINESS_RU.md](PRODUCTION_READINESS_RU.md)
 - [OPERATIONS_VALIDATION_RUNBOOK_RU.md](OPERATIONS_VALIDATION_RUNBOOK_RU.md)
 - [GRAFANA_DASHBOARDS_RU.md](GRAFANA_DASHBOARDS_RU.md)
 - [../ansible/README.md](../ansible/README.md)
@@ -60,6 +60,70 @@ backup, registry-readiness документации, плана российск
 - First protected PR workflow: PR #50 opened; required checks passed;
  review/merge still `pending_review_required`.
 - First reviewed PR evidence: pending.
 - DetMir portal live baseline on 2026-06-25:
  `docs/DETMIR_CURRENT_STATE_RU.md`.
 - DetMir portal deployed binary:
  `653b22b0fbf29a22f7de42ade7b689490b1de16fa07e785e4e0efd3078e7a3bc`.
 - DetMir portal cold-start UI hang: mitigated. During cold/prewarm state the UI
  now shows `STALE / Первичный срез прогревается`, not endless loading.
 - DetMir DLP hot-path boundary: phase 1 deployed on the portal service with
  `DETMIR_PORTAL_DLP_MODULE_ENABLED=false`.
 - DetMir optional DLP runtime controls: implemented in code/docs through
  `AW_DLP_ENABLED`, `DETMIR_DLP_ENABLED`,
  `scripts/detmir_dlp_runtime_control.sh` and
  `docs/DLP_OPTIONAL_RUNTIME_RU.md`.
 - DetMir optional DLP runtime live state: disabled on 2026-06-25 to reduce
  InfluxDB/Grafana/ClickHouse/AW server load. Evidence:
  `dlp-health-check=dlp:mode disabled`, `detmir-dlp=dlp:mode disabled`,
  active/enabled DLP units `0/0`, history snapshots under
  `/var/lib/activitywatch/health/dlp-runtime-history/`.
 - DetMir DLP contour status: disabled for the current production resource
  profile, not removed. It remains a documented optional module and must only be
  re-enabled after explicit operator decision and Proxmox/InfluxDB/Grafana/
  ClickHouse capacity check.
 - DetMir DLP buckets in manual full check: `SKIPPED` under
  `AW_DLP_ENABLED=false`, not reported as dead.
 - DetMir RDP collector freshness after 2026-06-29 restore: physical RDP target
  is `192.168.100.19`, stable AW logical host id remains `SHARKON2025`.
  Buckets are fresh/inactive as expected, collector guard quarantine was reset,
  and `check-aw-full` was updated to use env-driven RDP target and AFK
  `metadata.end` freshness. Admin laptop route to `192.168.100.19` goes through
  DetMir OpenVPN gateway `10.0.13.1`; WinRM `5985` and RDP `3389` are reachable
  from the admin laptop.
 - Low-cost containment pack: first safe control-plane layer implemented as
  Rust `containment-engine`, example policy/finding fixtures, Ansible/env
  disabled-by-default configuration, and operator/policy runbooks. Current
  engine is decision/shadow only and does not mutate firewall, pfSense, AD,
  VLAN or routes.
 - Security Finding Inbox: ClickHouse schema, DetMir Portal view/API,
  Hayabusa/Velociraptor ingest adapters and separate
  `security-finding-inbox executor` are implemented. Portal records workflow
  events only; approved `apply_requested` can be processed by the fail-closed
  executor through `containment-engine` `decide -> plan -> apply -> verify`
  with rollback on apply failure.
 - Velociraptor/Hayabusa status: implemented as optional findings/forensics
  sources. They are not required for Workforce hot path, do not replace DLP or
  SIEM, and must not start heavy always-on runtime in DetMir production unless
  `offline_collector` or `server_clients` mode is explicitly selected.
 - Security Finding Inbox live schema: applied on ClickHouse 2026-06-29
  (`security_findings`, `security_finding_workflow_events`,
  `security_finding_inbox`).
 - DetMir Loki log contour: intentionally disabled by operator to reduce
  resource usage. Proxmox LXC `202 loki-logs` is stopped, active config has
  `onboot: 0`, and smoke checks skip Loki by default unless
  `AW_SMOKE_LOKI_ENABLED=1` is set.
 - DetMir restore baseline 2026-06-29:
  `docs/DETMIR_RESTORE_BASELINE_2026-06-29_RU.md`.
 - DetMir API smoke after phase 1: `/healthz` and `/readyz` OK;
  `/api/reports` returned `cache_status=warming` with
  `modules.dlp.enabled=false`; `/api/operator` returned bounded
  `cache_status=warming` / `summary.severity=STALE` without waiting for the
  full cold snapshot.
 - DetMir remaining heavy path risk: full report/snapshot prewarm can still be
  CPU/IO expensive; deeper optimization remains pending.
 - DetMir VPN access rule: do not identify the contour by `tun0`/`tun1`; verify
  by NetworkManager profile, `10.0.13.*` address, route via `10.0.13.1` and live
  reachability.
 ## Что готово
@@ -133,6 +197,11 @@ backup, registry-readiness документации, плана российск
 - External peer review remains pending.
 - Community adoption remains low until external contributors, public reviews
  and sustained third-party activity appear.
 - DetMir DLP runtime disable is complete for the current live contour; deeper
  long-term DLP product modularization and retention/cleanup policy remain
  separate future work.
 - DetMir RDP collector/session recovery after 2026-06-29 restore is verified by
  live smoke: `check-aw-full` reports `FRESH=8 STALE=0 DEAD=0`.
 ## Честные ограничения
@@ -170,3 +239,4 @@ backup, registry-readiness документации, плана российск
 - `docs/public-issues/public-issues-manifest.json`
 - `docs/BRANCH_PROTECTION_POLICY_RU.md`
 - `docs/BRANCH_PROTECTION_EVIDENCE_RU.md`
 - `docs/DETMIR_CURRENT_STATE_RU.md`
@@ -0,0 +1,133 @@
 # Stable logical host id для Windows/RDP контура
 Дата фиксации: 2026-06-27.
 Обновление 2026-06-29: восстановленный production RDP host доступен как
 `192.168.100.19`, но logical host id остаётся `SHARKON2025`.
 Этот документ описывает правило, которое защищает AWatch-rus/DetMir от поломки
 при переименовании Windows/RDP сервера.
 ## Правило
 В AWatch-rus есть два разных идентификатора:
 | Поле | Назначение | Можно менять при rename Windows |
 | --- | --- | --- |
 | physical Windows name / `COMPUTERNAME` | имя ОС, локальный домен учеток, WinRM/администрирование | да |
 | `awHostname` / logical host id | суффикс ActivityWatch bucket, Grafana переменные, ClickHouse workforce keys, worktime reports | нет, только через плановую миграцию |
 Для DetMir production текущий stable logical host id:
 ```text
 SHARKON2025
 ```
 Это legacy logical id для сохранения истории bucket-ов и дашбордов. Он больше
 не должен трактоваться как обязательное физическое имя Windows-сервера.
 Физический IP/адрес администрирования задаётся отдельно в inventory/env:
 ```text
 rdp-prod ansible_host=192.168.100.19
 AW_MONITORED_WINDOWS_HOST=192.168.100.19
 ```
 ## Где задается
 Windows deploy:
 ```yaml
 aw_windows_logical_host_id: "SHARKON2025"
 aw_windows_hostname_override: "{{ aw_windows_logical_host_id }}"
 ```
 Файл:
 ```text
 ansible/host_vars/rdp-prod.yml
 ```
 Server-side reports:
 ```text
 AW_WORKTIME_HOST=<logical_host_id>
 AW_MONITORED_WINDOWS_HOSTNAME=<logical_host_id>
 AW_WORKTIME_INFLUX_HOSTS=<logical_host_id>
 AW_DLP_INFLUX_HOSTS=<logical_host_id>
 ```
 Windows runtime config:
 ```text
 C:\ProgramData\AWatch-rus\deployment-config.json
 ```
 Ключ:
 ```json
 {
  "awHostname": "SHARKON2025"
 }
 ```
 ## Что делать при переименовании RDP сервера
 1. Не менять `awHostname`, если нет отдельного плана миграции исторических
   bucket-ов, Grafana и ClickHouse.
 2. Windows account domain / local logon prefix можно задать явно:
 ```yaml
 aw_windows_domain: "<new_windows_computer_or_domain_name>"
 ```
 Если `aw_windows_domain` пустой или оставлен как `HOST-EXAMPLE`, playbook
 прочитает текущий `$env:COMPUTERNAME` через WinRM и использует его только для
 Windows-учёток. Это не меняет `awHostname`.
 3. Повторно применить Windows deploy после восстановления WinRM:
 ```bash
 cd ansible
 ansible-playbook -i inventory.ini deploy_aw_windows.yml --limit rdp-prod
 ```
 4. Проверить на Windows:
 ```powershell
 Get-Content -Raw 'C:\ProgramData\AWatch-rus\deployment-config.json' |
  ConvertFrom-Json |
  Select-Object awHostname,userTasks
 ```
 5. Проверить ActivityWatch buckets:
 ```bash
 AW_MONITORED_WINDOWS_HOSTNAME=SHARKON2025 ./check-aw-data.sh
 ```
 ## Что ломается, если использовать `COMPUTERNAME` как bucket id
 - появляются новые пустые bucket-и после rename;
 - старые dashboards продолжают смотреть на старый host;
 - `aw-worktime-api` считает источники stale/missing;
 - ClickHouse workforce catalog перестает связывать пользователей с событиями;
 - guard/recovery может искать неправильные launch tasks.
 ## Миграция на новый logical id
 Переход с `SHARKON2025` на нейтральный id вроде `DETMIR-RDP-01` допустим только
 как отдельная planned migration:
 - остановить Windows collectors;
 - создать mapping старого и нового logical id;
 - обновить Grafana dashboards;
 - обновить ClickHouse workforce catalog;
 - решить, переносить ли исторические ActivityWatch bucket-и или оставить их
  read-only;
 - обновить `AW_WORKTIME_HOST`, `AW_MONITORED_WINDOWS_HOSTNAME`,
  `AW_WORKTIME_INFLUX_HOSTS`, `AW_DLP_INFLUX_HOSTS`;
 - перезапустить server-side services;
 - выполнить smoke-check и ручную проверку портала.
 Без этих шагов менять logical id в production нельзя.
@@ -23,9 +23,14 @@ PROXMOX_HOST="10.10.10.2"
 AW_HOST="10.10.10.13"
 GRAFANA_HOST="10.10.10.11"
 INFLUXDB_HOST="10.10.10.10"
-WINDOWS_HOST="192.168.100.18"
+WINDOWS_HOST="${AW_WINDOWS_HOST:-${AW_SMOKE_WINDOWS_HOST:-192.168.100.19}}"
 CLICKHOUSE_HOST="10.10.10.2"
-SOURCE_HOSTNAME="SHARKON2025"
+SOURCE_HOSTNAME="${AW_LOGICAL_HOST_ID:-${AW_MONITORED_WINDOWS_HOSTNAME:-${AW_SMOKE_SOURCE_HOSTNAME:-SHARKON2025}}}"
 DLP_ENABLED="${AW_DLP_ENABLED:-${DETMIR_DLP_ENABLED:-true}}"
 case "${DLP_ENABLED,,}" in
  0|false|no|off) DLP_ENABLED=false ;;
  *) DLP_ENABLED=true ;;
 esac
 QUICK_MODE=0
 SKIP_WINDOWS=0
@@ -102,7 +107,7 @@ check_http_json_key() {
 check_bucket_freshness() {
  local bucket="$1" label="$2" remediation="$3"
  local bucket_id="${bucket}_${SOURCE_HOSTNAME}"
-  local tmp last_ts event_epoch now age_sec
+  local tmp last_ts event_epoch now age_sec meta_ts
  tmp="$(mktemp)"
  if ! curl -fsS --connect-timeout 5 --max-time 15 "$AW_SERVER/api/0/buckets/$bucket_id/events?limit=1" -o "$tmp" 2>"$tmp.err"; then
    fail "bucket $label ($bucket_id) — запрос не удался"
@@ -113,6 +118,12 @@ check_bucket_freshness() {
  fi
  last_ts="$(jq -r '.[0].timestamp // empty' "$tmp" 2>/dev/null)"
  rm -f "$tmp"
  if [ "$bucket" = "aw-watcher-afk" ]; then
    meta_ts="$(curl -fsS --connect-timeout 5 --max-time 15 "$AW_SERVER/api/0/buckets/$bucket_id" 2>/dev/null | jq -r '.metadata.end // empty' 2>/dev/null || true)"
    if [ -n "$meta_ts" ]; then
      last_ts="$meta_ts"
    fi
  fi
  if [ -z "$last_ts" ]; then
    warn "bucket $label ($bucket_id) — нет событий"
    echo "       REMEDIATION: $remediation"
@@ -268,11 +279,11 @@ if [ "$QUICK_MODE" = "1" ]; then
  section "4. Buckets (быстрый режим)"
  for entry in \
-    "aw-watcher-afk|AFK watcher|Запустите на RDP: schtasks /Run /TN \"ActivityWatch Recovery\" или schtasks /Run /TN \"ActivityWatch Launch [SHARKON2025_Администратор]\"" \
+    "aw-watcher-afk|AFK watcher|Запустите на RDP: schtasks /Run /TN \"ActivityWatch Recovery\" или launch task для logical host $SOURCE_HOSTNAME" \
    "aw-watcher-window|Window watcher|Запустите через ansible: ansible aw_windows -i $INVENTORY -m win_shell -a 'Start-Process -FilePath \"C:\\Program Files\\AWatch-rus\\bin\\aw-watcher-window\\aw-watcher-window.exe\" -ArgumentList @(\"--host\", \"10.10.10.13\", \"--port\", \"5600\") -WindowStyle Hidden'" \
    "aw-worktime-sessions|Worktime sessions|Проверьте работу worktime-api: systemctl status aw-worktime-api на AW сервере" \
    "aw-session-events|Session events|Проверьте collector-guard и aw-session-events-collector на RDP" \
-    "aw-dlp-endpoint-signals|DLP signals|Запустите: ansible aw_windows -i $INVENTORY -m win_shell -a 'schtasks /Run /TN \"ActivityWatch Launch [SHARKON2025_Администратор]\"; Start-Sleep 30'" \
+    "aw-dlp-endpoint-signals|DLP signals|Запустите: ansible aw_windows -i $INVENTORY -m win_shell -a 'schtasks /Run /TN \"ActivityWatch Recovery\"; Start-Sleep 30'" \
    "aw-dlp-incidents|DLP incidents|Проверьте aw-detmir-dlp-collector.ps1 на RDP (логи: C:\\ProgramData\\AWatch-rus\\logs\\)" \
  ; do
    bucket="${entry%%|*}"; rest="${entry#*|}"
@@ -302,10 +313,10 @@ section "4. Buckets (свежесть данных)"
 # ============================================================
 for entry in \
  "aw-watcher-afk|AFK watcher|Запустите на RDP: ansible aw_windows -i $INVENTORY -m win_shell -a 'schtasks /Run /TN \"ActivityWatch Recovery\"'" \
-  "aw-watcher-window|Window watcher|Запустите: ansible aw_windows -i $INVENTORY -m win_shell -a 'schtasks /Run /TN \"ActivityWatch Launch [SHARKON2025_Администратор]\"; Start-Process -FilePath \"C:\\Program Files\\AWatch-rus\\bin\\aw-watcher-window\\aw-watcher-window.exe\" -ArgumentList @(\"--host\", \"10.10.10.13\", \"--port\", \"5600\") -WindowStyle Hidden'" \
+  "aw-watcher-window|Window watcher|Запустите: ansible aw_windows -i $INVENTORY -m win_shell -a 'schtasks /Run /TN \"ActivityWatch Recovery\"; Start-Sleep 60'" \
  "aw-worktime-sessions|Worktime sessions|Проверьте: ssh igor@$AW_HOST 'systemctl status aw-worktime-api && journalctl -u aw-worktime-api -n 20'" \
  "aw-session-events|Session events|Проверьте collector-guard на RDP: ansible aw_windows -i $INVENTORY -m win_shell -a 'Get-Process -Name aw-session-events-* -ErrorAction SilentlyContinue'" \
-  "aw-dlp-endpoint-signals|DLP endpoint signals|Запустите: ansible aw_windows -i $INVENTORY -m win_shell -a 'schtasks /Run /TN \"ActivityWatch Launch [SHARKON2025_Администратор]\"; Start-Sleep 60'" \
+  "aw-dlp-endpoint-signals|DLP endpoint signals|Запустите: ansible aw_windows -i $INVENTORY -m win_shell -a 'schtasks /Run /TN \"ActivityWatch Recovery\"; Start-Sleep 60'" \
  "aw-dlp-incidents|DLP incidents|Проверьте: ansible aw_windows -i $INVENTORY -m win_shell -a \"Get-Content 'C:\\ProgramData\\AWatch-rus\\logs\\dlp-*.log' -Tail 20\"" \
  "aw-dlp-review|DLP review|Проверьте: ssh igor@$AW_HOST 'journalctl -u aw-dlp-policy-engine.service -n 20 --no-pager'" \
  "aw-dlp-rules|DLP rules|Проверьте: ssh igor@$AW_HOST 'journalctl -u aw-dlp-ioc-refresh.service -n 20 --no-pager'" \
@@ -389,6 +400,9 @@ check_service_remote "Nginx service" "$PROXMOX_HOST" "nginx.service" \
 # ============================================================
 section "10. DLP Pipeline (10.10.10.13)"
 # ============================================================
 if [ "$DLP_ENABLED" = "false" ]; then
  skip "DLP Pipeline disabled by AW_DLP_ENABLED/DETMIR_DLP_ENABLED=false"
 else
 # DLP Policy Engine — должен быть active (running)
 check_service_remote "DLP Policy Engine" "$AW_HOST" "aw-dlp-policy-engine.service" \
  "Проверьте: ssh igor@$AW_HOST 'sudo journalctl -u aw-dlp-policy-engine.service -n 30 --no-pager'"
@@ -434,6 +448,7 @@ check_service_remote "DLP Webhook Sender timer" "$AW_HOST" "aw-dlp-webhook-sende
 # DLP Report Scheduler
 check_service_remote "DLP Report Scheduler timer" "$AW_HOST" "aw-dlp-report-scheduler.timer" \
  "ssh igor@$AW_HOST 'sudo systemctl enable --now aw-dlp-report-scheduler.timer'"
 fi
 # Worktime Influx Exporter
 check_service_remote "Worktime Influx Exporter timer" "$AW_HOST" "aw-worktime-influx-exporter.timer" \
@@ -443,7 +458,7 @@ check_service_remote "Worktime Influx Exporter timer" "$AW_HOST" "aw-worktime-in
 if [ "$SKIP_WINDOWS" = "1" ]; then
  skip "Проверки RDP хоста пропущены (--skip-windows)"
 else
-  section "11. RDP хост (192.168.100.18)"
+  section "11. RDP хост ($WINDOWS_HOST)"
  if have ansible && [ -f "$INVENTORY" ]; then
    check_ansible_module "WinRM ping" aw_windows win_ping
@@ -459,7 +474,7 @@ else
      'schtasks /Query /TN "ActivityWatch Recovery" /FO LIST /V | Select-String "Status|Run|Next"'
    check_ansible_win_shell "Scheduled tasks (Launch Admin)" \
-      'schtasks /Query /TN "ActivityWatch Launch [SHARKON2025_Администратор]" /FO LIST /V | Select-String "Status|Run|Next"'
+      'Get-Content -Raw "C:\ProgramData\AWatch-rus\deployment-config.json" | ConvertFrom-Json | Select-Object -ExpandProperty userTasks | Select-Object LaunchTaskName,UserId | Format-Table -AutoSize'
  else
    skip "Ansible или inventory не найдены"
  fi
@@ -469,7 +484,7 @@ fi
 section "12. Systemd health (AW server)"
 # ============================================================
 check_ansible_shell "AW server core units" aw_server \
-  'systemctl is-active activitywatch-server aw-worktime-api aw-dlp-policy-engine aw-dlp-case-management aw-worktime-influx-exporter.timer aw-dlp-influx-exporter.timer activitywatch-dlp-aggregator.timer aw-clickhouse-network-health.timer | paste -sd,'
+  'if [ "${AW_DLP_ENABLED:-true}" = "false" ] || [ "${DETMIR_DLP_ENABLED:-true}" = "false" ]; then systemctl is-active activitywatch-server aw-worktime-api aw-worktime-influx-exporter.timer aw-clickhouse-network-health.timer | paste -sd,; else systemctl is-active activitywatch-server aw-worktime-api aw-dlp-policy-engine aw-dlp-case-management aw-worktime-influx-exporter.timer aw-dlp-influx-exporter.timer activitywatch-dlp-aggregator.timer aw-clickhouse-network-health.timer | paste -sd,; fi'
 check_ansible_shell "AW server — нет failed units" aw_server \
  'failed=$(systemctl --failed --no-legend | awk "{print \$1}" | grep -E "activitywatch|aw-|dlp" || true); test -z "$failed" && echo "no AW-related failed units" || { echo "$failed"; exit 1; }'
@@ -40,12 +40,13 @@ GRAFANA_PASSWORD="${GRAFANA_PASSWORD:-}"
 PROXMOX_HOST="${AW_SMOKE_PROXMOX_HOST:-10.10.10.2}"
 AW_HOST="${AW_SMOKE_AW_HOST:-10.10.10.13}"
 GRAFANA_HOST="${AW_SMOKE_GRAFANA_HOST:-10.10.10.11}"
-WINDOWS_HOST="${AW_SMOKE_WINDOWS_HOST:-192.168.100.18}"
+WINDOWS_HOST="${AW_SMOKE_WINDOWS_HOST:-${AW_WINDOWS_HOST:-192.168.100.19}}"
-AW_SOURCE_HOSTNAME="${AW_SMOKE_SOURCE_HOSTNAME:-SHARKON2025}"
+AW_SOURCE_HOSTNAME="${AW_SMOKE_SOURCE_HOSTNAME:-${AW_LOGICAL_HOST_ID:-${AW_MONITORED_WINDOWS_HOSTNAME:-SHARKON2025}}}"
 LOG_DIR="${AW_SMOKE_LOG_DIR:-$REPO_ROOT/output/smoke}"
 RUN_REMOTE="${AW_SMOKE_RUN_REMOTE:-1}"
 RUN_WINRM="${AW_SMOKE_RUN_WINRM:-1}"
 RUN_SERVER_SYSTEMD="${AW_SMOKE_RUN_SERVER_SYSTEMD:-1}"
 LOKI_ENABLED="${AW_SMOKE_LOKI_ENABLED:-0}"
 NO_PROXY_REQUIRED="localhost,127.0.0.1,$PROXMOX_HOST,$AW_HOST,$GRAFANA_HOST,$WINDOWS_HOST,10.10.10.0/24,192.168.100.0/24"
 if [ -n "${no_proxy:-}" ]; then
@@ -87,6 +88,7 @@ Environment overrides:
  AW_SMOKE_WORKTIME_API=http://10.10.10.13:5610
  AW_SMOKE_GRAFANA_URL=http://10.10.10.11:3000
  AW_SMOKE_SOURCE_HOSTNAME=SHARKON2025
  AW_SMOKE_LOKI_ENABLED=0|1
  AW_SMOKE_ENV_FILE=$HOME/.config/aw-contour-smoke.env
  AW_SMOKE_LOG_DIR=$REPO_ROOT/output/smoke
  GRAFANA_USER/GRAFANA_PASSWORD via env or a local env file
@@ -219,6 +221,10 @@ check_http_code_basic_auth() {
 check_grafana_loki_proxy() {
  local name="Grafana Loki datasource proxy"
  local tmp uid code body
  if [ "$LOKI_ENABLED" != "1" ]; then
    skip "$name skipped: Loki is intentionally disabled for the current DetMir resource profile"
    return
  fi
  tmp="$(mktemp)"
  if ! curl -k -fsS -u "$GRAFANA_USER:$GRAFANA_PASSWORD" --connect-timeout 5 --max-time 20 "$GRAFANA_URL/api/datasources" -o "$tmp" 2>"$tmp.err"; then
    fail "$name cannot list datasources"
@@ -416,7 +422,7 @@ classify_bucket_age() {
 check_bucket_freshness() {
  local bucket="$1"
  local bucket_id="${bucket}_${AW_SOURCE_HOSTNAME}"
-  local tmp last_ts last_id event_epoch now age_sec status
+  local tmp last_ts last_id event_epoch now age_sec status meta_ts
  tmp="$(mktemp)"
  if ! curl -fsS --connect-timeout 5 --max-time 20 "$AW_SERVER/api/0/buckets/$bucket_id/events?limit=1" -o "$tmp" 2>"$tmp.err"; then
    fail "bucket $bucket_id query failed"
@@ -428,6 +434,12 @@ check_bucket_freshness() {
  last_ts="$(jq -r '.[0].timestamp // empty' "$tmp" 2>/dev/null)"
  last_id="$(jq -r '.[0].id // 0' "$tmp" 2>/dev/null)"
  rm -f "$tmp" "$tmp.err"
  if [ "$bucket" = "aw-watcher-afk" ]; then
    meta_ts="$(curl -fsS --connect-timeout 5 --max-time 20 "$AW_SERVER/api/0/buckets/$bucket_id" 2>/dev/null | jq -r '.metadata.end // empty' 2>/dev/null || true)"
    if [ -n "$meta_ts" ]; then
      last_ts="$meta_ts"
    fi
  fi
  if [ -z "$last_ts" ]; then
    case "$bucket" in
@@ -611,7 +623,7 @@ if [ "$RUN_WINRM" = "1" ] && have ansible; then
  check_ansible_module "Windows win_ping" aw_windows win_ping
  check_ansible_win_shell "Windows sessions" aw_windows '$psi = [System.Diagnostics.ProcessStartInfo]::new(); $psi.FileName = "$env:SystemRoot\System32\query.exe"; $psi.Arguments = "user"; $psi.UseShellExecute = $false; $psi.RedirectStandardOutput = $true; $psi.RedirectStandardError = $true; $psi.StandardOutputEncoding = [System.Text.Encoding]::GetEncoding(866); $psi.StandardErrorEncoding = [System.Text.Encoding]::GetEncoding(866); $p = [System.Diagnostics.Process]::Start($psi); $out = $p.StandardOutput.ReadToEnd(); $err = $p.StandardError.ReadToEnd(); $p.WaitForExit(); [Console]::OutputEncoding = [System.Text.UTF8Encoding]::new($false); $out; if ($err) { $err }; if ($out -match "USERNAME|ПОЛЬЗОВАТЕЛЬ|администратор|Администратор") { exit 0 } else { exit $p.ExitCode }'
  check_ansible_win_shell_warn "Windows collector processes" aw_windows '$p = Get-Process aw-watcher-afk,aw-watcher-window -ErrorAction SilentlyContinue; if ($p) { $p | Select-Object Name,Id,SessionId,StartTime | Format-Table -AutoSize } else { "no aw-watcher-afk/window process visible to this WinRM session" }'
-  check_ansible_win_shell "Windows ActivityWatch tasks" aw_windows 'schtasks /Query /TN "ActivityWatch Recovery" /FO LIST /V; schtasks /Query /TN "ActivityWatch Launch [SHARKON2025_Администратор]" /FO LIST /V'
+  check_ansible_win_shell "Windows ActivityWatch tasks" aw_windows 'schtasks /Query /TN "ActivityWatch Recovery" /FO LIST /V; Get-Content -Raw "C:\ProgramData\AWatch-rus\deployment-config.json" | ConvertFrom-Json | Select-Object -ExpandProperty userTasks | Select-Object LaunchTaskName,UserId | Format-Table -AutoSize'
 else
  skip "Windows WinRM checks skipped"
 fi
@@ -625,7 +637,7 @@ else
  skip "check-aw-data.sh missing"
 fi
 if [ -x "$REPO_ROOT/check-aw-full.sh" ]; then
-  if "$REPO_ROOT/check-aw-full.sh"; then pass "check-aw-full.sh completed"; else fail "check-aw-full.sh failed"; fi
+  if AW_SMOKE_AW_SERVER="$AW_SERVER" AW_SMOKE_SOURCE_HOSTNAME="$AW_SOURCE_HOSTNAME" AW_SMOKE_WINDOWS_HOST="$WINDOWS_HOST" "$REPO_ROOT/check-aw-full.sh"; then pass "check-aw-full.sh completed"; else fail "check-aw-full.sh failed"; fi
 else
  skip "check-aw-full.sh missing"
 fi
@@ -0,0 +1,98 @@
 #!/usr/bin/env bash
 set -euo pipefail
 ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
 DOC="$ROOT/docs/ORCHESTRATION_MAP_RU.md"
 failures=()
 fail() {
  failures+=("$1")
 }
 require_file() {
  local path="$1"
  if [[ ! -s "$ROOT/$path" ]]; then
    fail "missing_or_empty:$path"
  fi
 }
 require_marker() {
  local marker="$1"
  local path="$2"
  if ! grep -Fq "$marker" "$ROOT/$path"; then
    fail "missing_marker:$path:$marker"
  fi
 }
 require_absent() {
  local marker="$1"
  local path="$2"
  if grep -Fq "$marker" "$ROOT/$path"; then
    fail "forbidden_marker:$path:$marker"
  fi
 }
 require_file "docs/ORCHESTRATION_MAP_RU.md"
 require_file "docs/MODULE_ARCHITECTURE_GRAPH_RU.md"
 require_file "ansible/README.md"
 require_file "README.md"
 entrypoints=(
  "ansible/install_full_stack.yml"
  "ansible/deploy_aw_server.yml"
  "ansible/deploy_aw_windows.yml"
  "ansible/post_validate_aw_windows.yml"
  "ansible/deploy_detmir_portal.yml"
  "ansible/deploy_proxmox_web_gateway.yml"
  "ansible/deploy_grafana_dashboards.yml"
  "ansible/deploy_grafana_check.yml"
  "ansible/deploy_file_1c_analytics.yml"
  "ansible/deploy_file_1c_windows_telemetry.yml"
  "ansible/deploy_dlp_evidence_sync.yml"
  "ansible/deploy_aw_pfsense_poller.yml"
  "scripts/run_awatch_contour_check.sh"
  "scripts/detmir-support-daily.sh"
  "scripts/check_orchestration_map.sh"
  "ops/systemd/awatch-contour-daily-check.timer"
  "ops/systemd/awatch-contour-weekly-check.timer"
 )
 for path in "${entrypoints[@]}"; do
  require_file "$path"
  require_marker "$path" "docs/ORCHESTRATION_MAP_RU.md"
 done
 doc_markers=(
  "GitHub/Gitea"
  "DLP runtime"
  "Hayabusa"
  "Velociraptor"
  "Security findings"
  "approval"
  "SHARKON2025"
  "logical host id"
  "quality-gate.sh"
  "public mirror validation"
  "российский build-runner"
 )
 for marker in "${doc_markers[@]}"; do
  require_marker "$marker" "docs/ORCHESTRATION_MAP_RU.md"
 done
 require_marker "docs/ORCHESTRATION_MAP_RU.md" "docs/MODULE_ARCHITECTURE_GRAPH_RU.md"
 require_marker "docs/ORCHESTRATION_MAP_RU.md" "README.md"
 require_marker "docs/ORCHESTRATION_MAP_RU.md" "ansible/README.md"
 require_absent "FSTEC certified" "docs/ORCHESTRATION_MAP_RU.md"
 require_absent "ФСТЭК сертифицирован" "docs/ORCHESTRATION_MAP_RU.md"
 require_absent "automatic remediation" "docs/ORCHESTRATION_MAP_RU.md"
 require_absent "registry submission completed" "docs/ORCHESTRATION_MAP_RU.md"
 if (( ${#failures[@]} > 0 )); then
  printf 'orchestration_map_check=fail\n' >&2
  printf '%s\n' "${failures[@]}" >&2
  exit 1
 fi
 printf 'orchestration_map_check=ok\n'
@@ -23,9 +23,14 @@ PROXMOX_HOST="10.10.10.2"
 AW_HOST="10.10.10.13"
 GRAFANA_HOST="10.10.10.11"
 INFLUXDB_HOST="10.10.10.10"
-WINDOWS_HOST="192.168.100.18"
+WINDOWS_HOST="${AW_WINDOWS_HOST:-${AW_SMOKE_WINDOWS_HOST:-192.168.100.19}}"
 CLICKHOUSE_HOST="10.10.10.2"
-SOURCE_HOSTNAME="SHARKON2025"
+SOURCE_HOSTNAME="${AW_LOGICAL_HOST_ID:-${AW_MONITORED_WINDOWS_HOSTNAME:-${AW_SMOKE_SOURCE_HOSTNAME:-SHARKON2025}}}"
 DLP_ENABLED="${AW_DLP_ENABLED:-${DETMIR_DLP_ENABLED:-true}}"
 case "${DLP_ENABLED,,}" in
  0|false|no|off) DLP_ENABLED=false ;;
  *) DLP_ENABLED=true ;;
 esac
 QUICK_MODE=0
 SKIP_WINDOWS=0
@@ -102,7 +107,7 @@ check_http_json_key() {
 check_bucket_freshness() {
  local bucket="$1" label="$2" remediation="$3"
  local bucket_id="${bucket}_${SOURCE_HOSTNAME}"
-  local tmp last_ts event_epoch now age_sec
+  local tmp last_ts event_epoch now age_sec meta_ts
  tmp="$(mktemp)"
  if ! curl -fsS --connect-timeout 5 --max-time 15 "$AW_SERVER/api/0/buckets/$bucket_id/events?limit=1" -o "$tmp" 2>"$tmp.err"; then
    fail "bucket $label ($bucket_id) — запрос не удался"
@@ -113,6 +118,12 @@ check_bucket_freshness() {
  fi
  last_ts="$(jq -r '.[0].timestamp // empty' "$tmp" 2>/dev/null)"
  rm -f "$tmp"
  if [ "$bucket" = "aw-watcher-afk" ]; then
    meta_ts="$(curl -fsS --connect-timeout 5 --max-time 15 "$AW_SERVER/api/0/buckets/$bucket_id" 2>/dev/null | jq -r '.metadata.end // empty' 2>/dev/null || true)"
    if [ -n "$meta_ts" ]; then
      last_ts="$meta_ts"
    fi
  fi
  if [ -z "$last_ts" ]; then
    warn "bucket $label ($bucket_id) — нет событий"
    echo "       REMEDIATION: $remediation"
@@ -268,11 +279,11 @@ if [ "$QUICK_MODE" = "1" ]; then
  section "4. Buckets (быстрый режим)"
  for entry in \
-    "aw-watcher-afk|AFK watcher|Запустите на RDP: schtasks /Run /TN \"ActivityWatch Recovery\" или schtasks /Run /TN \"ActivityWatch Launch [SHARKON2025_Администратор]\"" \
+    "aw-watcher-afk|AFK watcher|Запустите на RDP: schtasks /Run /TN \"ActivityWatch Recovery\" или launch task для logical host $SOURCE_HOSTNAME" \
    "aw-watcher-window|Window watcher|Запустите через ansible: ansible aw_windows -i $INVENTORY -m win_shell -a 'Start-Process -FilePath \"C:\\Program Files\\AWatch-rus\\bin\\aw-watcher-window\\aw-watcher-window.exe\" -ArgumentList @(\"--host\", \"10.10.10.13\", \"--port\", \"5600\") -WindowStyle Hidden'" \
    "aw-worktime-sessions|Worktime sessions|Проверьте работу worktime-api: systemctl status aw-worktime-api на AW сервере" \
    "aw-session-events|Session events|Проверьте collector-guard и aw-session-events-collector на RDP" \
-    "aw-dlp-endpoint-signals|DLP signals|Запустите: ansible aw_windows -i $INVENTORY -m win_shell -a 'schtasks /Run /TN \"ActivityWatch Launch [SHARKON2025_Администратор]\"; Start-Sleep 30'" \
+    "aw-dlp-endpoint-signals|DLP signals|Запустите: ansible aw_windows -i $INVENTORY -m win_shell -a 'schtasks /Run /TN \"ActivityWatch Recovery\"; Start-Sleep 30'" \
    "aw-dlp-incidents|DLP incidents|Проверьте aw-detmir-dlp-collector.ps1 на RDP (логи: C:\\ProgramData\\AWatch-rus\\logs\\)" \
  ; do
    bucket="${entry%%|*}"; rest="${entry#*|}"
@@ -302,10 +313,10 @@ section "4. Buckets (свежесть данных)"
 # ============================================================
 for entry in \
  "aw-watcher-afk|AFK watcher|Запустите на RDP: ansible aw_windows -i $INVENTORY -m win_shell -a 'schtasks /Run /TN \"ActivityWatch Recovery\"'" \
-  "aw-watcher-window|Window watcher|Запустите: ansible aw_windows -i $INVENTORY -m win_shell -a 'schtasks /Run /TN \"ActivityWatch Launch [SHARKON2025_Администратор]\"; Start-Process -FilePath \"C:\\Program Files\\AWatch-rus\\bin\\aw-watcher-window\\aw-watcher-window.exe\" -ArgumentList @(\"--host\", \"10.10.10.13\", \"--port\", \"5600\") -WindowStyle Hidden'" \
+  "aw-watcher-window|Window watcher|Запустите: ansible aw_windows -i $INVENTORY -m win_shell -a 'schtasks /Run /TN \"ActivityWatch Recovery\"; Start-Sleep 60'" \
  "aw-worktime-sessions|Worktime sessions|Проверьте: ssh igor@$AW_HOST 'systemctl status aw-worktime-api && journalctl -u aw-worktime-api -n 20'" \
  "aw-session-events|Session events|Проверьте collector-guard на RDP: ansible aw_windows -i $INVENTORY -m win_shell -a 'Get-Process -Name aw-session-events-* -ErrorAction SilentlyContinue'" \
-  "aw-dlp-endpoint-signals|DLP endpoint signals|Запустите: ansible aw_windows -i $INVENTORY -m win_shell -a 'schtasks /Run /TN \"ActivityWatch Launch [SHARKON2025_Администратор]\"; Start-Sleep 60'" \
+  "aw-dlp-endpoint-signals|DLP endpoint signals|Запустите: ansible aw_windows -i $INVENTORY -m win_shell -a 'schtasks /Run /TN \"ActivityWatch Recovery\"; Start-Sleep 60'" \
  "aw-dlp-incidents|DLP incidents|Проверьте: ansible aw_windows -i $INVENTORY -m win_shell -a \"Get-Content 'C:\\ProgramData\\AWatch-rus\\logs\\dlp-*.log' -Tail 20\"" \
  "aw-dlp-review|DLP review|Проверьте: ssh igor@$AW_HOST 'journalctl -u aw-dlp-policy-engine.service -n 20 --no-pager'" \
  "aw-dlp-rules|DLP rules|Проверьте: ssh igor@$AW_HOST 'journalctl -u aw-dlp-ioc-refresh.service -n 20 --no-pager'" \
@@ -389,6 +400,9 @@ check_service_remote "Nginx service" "$PROXMOX_HOST" "nginx.service" \
 # ============================================================
 section "10. DLP Pipeline (10.10.10.13)"
 # ============================================================
 if [ "$DLP_ENABLED" = "false" ]; then
  skip "DLP Pipeline disabled by AW_DLP_ENABLED/DETMIR_DLP_ENABLED=false"
 else
 # DLP Policy Engine — должен быть active (running)
 check_service_remote "DLP Policy Engine" "$AW_HOST" "aw-dlp-policy-engine.service" \
  "Проверьте: ssh igor@$AW_HOST 'sudo journalctl -u aw-dlp-policy-engine.service -n 30 --no-pager'"
@@ -434,6 +448,7 @@ check_service_remote "DLP Webhook Sender timer" "$AW_HOST" "aw-dlp-webhook-sende
 # DLP Report Scheduler
 check_service_remote "DLP Report Scheduler timer" "$AW_HOST" "aw-dlp-report-scheduler.timer" \
  "ssh igor@$AW_HOST 'sudo systemctl enable --now aw-dlp-report-scheduler.timer'"
 fi
 # Worktime Influx Exporter
 check_service_remote "Worktime Influx Exporter timer" "$AW_HOST" "aw-worktime-influx-exporter.timer" \
@@ -443,7 +458,7 @@ check_service_remote "Worktime Influx Exporter timer" "$AW_HOST" "aw-worktime-in
 if [ "$SKIP_WINDOWS" = "1" ]; then
  skip "Проверки RDP хоста пропущены (--skip-windows)"
 else
-  section "11. RDP хост (192.168.100.18)"
+  section "11. RDP хост ($WINDOWS_HOST)"
  if have ansible && [ -f "$INVENTORY" ]; then
    check_ansible_module "WinRM ping" aw_windows win_ping
@@ -459,7 +474,7 @@ else
      'schtasks /Query /TN "ActivityWatch Recovery" /FO LIST /V | Select-String "Status|Run|Next"'
    check_ansible_win_shell "Scheduled tasks (Launch Admin)" \
-      'schtasks /Query /TN "ActivityWatch Launch [SHARKON2025_Администратор]" /FO LIST /V | Select-String "Status|Run|Next"'
+      'Get-Content -Raw "C:\ProgramData\AWatch-rus\deployment-config.json" | ConvertFrom-Json | Select-Object -ExpandProperty userTasks | Select-Object LaunchTaskName,UserId | Format-Table -AutoSize'
  else
    skip "Ansible или inventory не найдены"
  fi
@@ -469,7 +484,7 @@ fi
 section "12. Systemd health (AW server)"
 # ============================================================
 check_ansible_shell "AW server core units" aw_server \
-  'systemctl is-active activitywatch-server aw-worktime-api aw-dlp-policy-engine aw-dlp-case-management aw-worktime-influx-exporter.timer aw-dlp-influx-exporter.timer activitywatch-dlp-aggregator.timer aw-clickhouse-network-health.timer | paste -sd,'
+  'if [ "${AW_DLP_ENABLED:-true}" = "false" ] || [ "${DETMIR_DLP_ENABLED:-true}" = "false" ]; then systemctl is-active activitywatch-server aw-worktime-api aw-worktime-influx-exporter.timer aw-clickhouse-network-health.timer | paste -sd,; else systemctl is-active activitywatch-server aw-worktime-api aw-dlp-policy-engine aw-dlp-case-management aw-worktime-influx-exporter.timer aw-dlp-influx-exporter.timer activitywatch-dlp-aggregator.timer aw-clickhouse-network-health.timer | paste -sd,; fi'
 check_ansible_shell "AW server — нет failed units" aw_server \
  'failed=$(systemctl --failed --no-legend | awk "{print \$1}" | grep -E "activitywatch|aw-|dlp" || true); test -z "$failed" && echo "no AW-related failed units" || { echo "$failed"; exit 1; }'
@@ -79,7 +79,7 @@ fi
 DETMIR_SUPPORT_PVE_HOST="${DETMIR_SUPPORT_PVE_HOST:-10.10.10.2}"
 DETMIR_SUPPORT_AW_HOST="${DETMIR_SUPPORT_AW_HOST:-10.10.10.13}"
 DETMIR_SUPPORT_WEB_HOST="${DETMIR_SUPPORT_WEB_HOST:-$DETMIR_SUPPORT_PVE_HOST}"
-DETMIR_SUPPORT_WINDOWS_HOST="${DETMIR_SUPPORT_WINDOWS_HOST:-192.168.100.18}"
+DETMIR_SUPPORT_WINDOWS_HOST="${DETMIR_SUPPORT_WINDOWS_HOST:-192.168.100.19}"
 DETMIR_SUPPORT_PFSENSE_HOST="${DETMIR_SUPPORT_PFSENSE_HOST:-}"
 DETMIR_SUPPORT_PFSENSE_URL="${DETMIR_SUPPORT_PFSENSE_URL:-}"
 DETMIR_SUPPORT_OPENVPN_HOST="${DETMIR_SUPPORT_OPENVPN_HOST:-}"
@@ -2,7 +2,7 @@
 DETMIR_SUPPORT_PVE_HOST=10.10.10.2
 DETMIR_SUPPORT_AW_HOST=10.10.10.13
 DETMIR_SUPPORT_WEB_HOST=10.10.10.2
-DETMIR_SUPPORT_WINDOWS_HOST=192.168.100.18
+DETMIR_SUPPORT_WINDOWS_HOST=192.168.100.19
 ## Сетевые компоненты
 DETMIR_SUPPORT_PFSENSE_HOST=10.0.0.1
@@ -17,18 +17,25 @@ else
  echo "node not found, skipping portal contract sync guard."
 fi
 echo "[preflight] Orchestration map guard"
 bash scripts/check_orchestration_map.sh
 rust_candidates=()
 if [[ -n "$RUST_BIN" ]]; then
  rust_candidates+=("$RUST_BIN")
 fi
-if [[ -n "${AW_RUS_CARGO_TARGET_DIR:-}" ]]; then
+if [[ "${QUALITY_GATE_USE_RUST:-0}" == "1" ]]; then
-  rust_candidates+=("$AW_RUS_CARGO_TARGET_DIR/release/quality-gate")
+  if [[ -n "${AW_RUS_CARGO_TARGET_DIR:-}" ]]; then
    rust_candidates+=("$AW_RUS_CARGO_TARGET_DIR/release/quality-gate")
  fi
  rust_candidates+=(
    "$TARGET_ROOT/release/quality-gate"
    "$ROOT_DIR/adk-rust/target/release/quality-gate"
  )
 fi
 if [[ "${QUALITY_GATE_ALLOW_SYSTEM:-0}" == "1" ]]; then
  rust_candidates+=("/usr/local/bin/quality-gate")
 fi
 rust_candidates+=(
  "$TARGET_ROOT/release/quality-gate"
  "$ROOT_DIR/adk-rust/target/release/quality-gate"
  "/usr/local/bin/quality-gate"
 )
 for candidate in "${rust_candidates[@]}"; do
  if [[ -x "$candidate" ]]; then
@@ -96,7 +103,7 @@ fi
 violations=()
 for path in "${tracked_py[@]}"; do
  case "$path" in
-    aw-server/dlp-content-analysis/*|clickhouse-1c/ai/*|clickhouse-1c/etl/*|detmir-mcp/main.py|grafana-1c/*|pfsense/*|proxmox/tsj_guardian_bot.py|proxmox/test_tsj_guardian_bot.py|scripts/package_rust_release_binaries.py)
+    aw-server/dlp-content-analysis/*|clickhouse-1c/ai/*|clickhouse-1c/etl/*|detmir-mcp/main.py|grafana-1c/*|pfsense/*|proxmox/tsj_guardian_bot.py|proxmox/test_tsj_guardian_bot.py|scripts/package_rust_release_binaries.py|scripts/public_secret_pattern_check.py)
      continue
      ;;
  esac
Author	SHA1	Message	Date
igor04091968	81e927bf42	docs(architecture): track orchestration map CI / Rust checks (push) Canceled after 0s Details CI / Docs and registry checks (push) Canceled after 0s Details CI / Smoke checks (push) Canceled after 0s Details Coverage / Coverage baseline (push) Canceled after 0s Details Security / Cargo audit (push) Canceled after 0s Details Security / Cargo deny (push) Canceled after 0s Details Security / Secret pattern check (push) Canceled after 0s Details Security / Dependency review (push) Canceled after 0s Details	2026-06-30 13:13:15 +03:00
igor04091968	b73730a5e9	chore(deps): update anyhow for cargo deny	2026-06-30 11:22:51 +03:00
igor04091968	9d11d20ecd	docs(architecture): add module graph overview	2026-06-30 11:21:18 +03:00
IgorRachkovandGitHub	5ac7b694c6	Merge pull request #51 from igor04091968/docs/detmir-production-baseline-20260629 release-assets / sbom-and-release-assets (push) Canceled after 0s Details rust-workspace / rust-workspace (push) Canceled after 0s Details CI / Rust checks (push) Canceled after 0s Details CI / Docs and registry checks (push) Canceled after 0s Details CI / Smoke checks (push) Canceled after 0s Details Coverage / Coverage baseline (push) Canceled after 0s Details Security / Cargo audit (push) Canceled after 0s Details Security / Cargo deny (push) Canceled after 0s Details Security / Secret pattern check (push) Canceled after 0s Details Security / Dependency review (push) Canceled after 0s Details docs(detmir): record production restore baseline	2026-06-29 13:56:17 +03:00
igor04091968	c1e470ce4d	docs(detmir): clarify optional dlp and velociraptor boundaries	2026-06-29 13:33:13 +03:00
igor04091968	f4bdcee459	fix(detmir): format check-aw-full defaults	2026-06-29 13:24:48 +03:00
igor04091968	583cfe7003	docs(detmir): record production restore baseline	2026-06-29 13:20:54 +03:00