644 lines
34 KiB
Markdown
644 lines
34 KiB
Markdown
# AWatch-rus: план развития на следующие 6-12 месяцев
|
||
|
||
Дата аудита: 2026-07-01.
|
||
|
||
Статус: development planning после анализа текущего репозитория. Документ не
|
||
добавляет новые продуктовые функции и не меняет runtime-поведение. Цель -
|
||
снизить эксплуатационные, release, security и maintainability риски без
|
||
нарушения обратной совместимости.
|
||
|
||
## Границы плана
|
||
|
||
- Production уже существует; текущий DetMir контур рассчитан примерно на 5 RDP
|
||
пользователей.
|
||
- Рабочие подсистемы не переписываются. Все изменения должны быть
|
||
инкрементальными, проверяемыми и откатываемыми.
|
||
- DLP runtime остается `core_only/disabled` по умолчанию; `light` включается
|
||
только вручную после resource preflight.
|
||
- Loki и always-on Velociraptor не включаются как часть этого плана.
|
||
- PowerShell fallback на Windows сохраняется до доказанной parity и burn-in
|
||
Rust-пути.
|
||
- GitHub остается public mirror validation; release evidence для российского
|
||
контура должен формироваться отдельно.
|
||
|
||
## Фактическое состояние репозитория
|
||
|
||
- Основной runtime слой стал Rust-first: `adk-rust/` содержит 58 workspace
|
||
crates; локальный `cargo metadata --locked` разрешает 349 пакетов.
|
||
- Rust dependency hygiene уже включен: `cargo audit --deny warnings`,
|
||
`cargo deny`, `cargo machete --with-metadata`, `cargo tree --duplicates` есть
|
||
в workflow или локальных gate. Текущий аудит: `cargo audit` и `cargo machete`
|
||
чистые, `cargo deny` проходит, но оставляет 36 `bans` warnings.
|
||
- CI уже покрывает Rust, docs/registry, smoke, operational maturity,
|
||
dependency hygiene, security scan и release binary build. Есть drift:
|
||
несколько workflows используют floating `stable`, хотя `rust-toolchain.toml`
|
||
закрепляет `1.94.0`.
|
||
- DetMir DLP resource guardrails реализованы: runtime disabled/core-only by
|
||
default, `detmir-dlp-load-guard`, documented rollback, skipped DLP buckets в
|
||
smoke считаются нормой.
|
||
- Security Finding Inbox, Hayabusa и Velociraptor оформлены как optional
|
||
findings/forensics sources и не являются hot-path зависимостью Workforce.
|
||
- Документация registry/governance сильная, но `docs/PROJECT_STATUS_RU.md` и
|
||
`docs/RESIDUAL_RISKS_RU.md` фиксируют открытые gaps: Gitea restore drill,
|
||
Russian build-runner, первый release evidence build, legal/rightsholder
|
||
package, external review evidence.
|
||
- Самые крупные maintainability hotspots:
|
||
`adk-rust/crates/detmir-portal/src/main.rs` - 14200 строк,
|
||
`adk-rust/crates/aw-windows-telemetry/src/main.rs` - 6411 строк,
|
||
`proxmox/tsj_guardian_bot.py` - 4610 строк,
|
||
`adk-rust/crates/worktime-api/src/main.rs` - 3988 строк,
|
||
`ansible/deploy_aw_server.yml` - 3099 строк.
|
||
- Найдены точные дубликаты скриптов:
|
||
`scripts/aw-contour-diag.sh` =
|
||
`scripts/detmir-full-diagnostics/aw-contour-diag.sh`;
|
||
`scripts/check_production_inventory_placeholders.sh` =
|
||
`scripts/detmir-full-diagnostics/check_production_inventory_placeholders.sh`.
|
||
- Найден security hygiene gap: ClickHouse/1C ops wrappers передают
|
||
`CLICKHOUSE_PASSWORD` через `--password`, что раскрывает секрет в process
|
||
argv на хосте.
|
||
|
||
## P0 - критично для production
|
||
|
||
### P0-1. Gate фактической свежести production Rust-бинарников
|
||
|
||
- Почему нужно: `scripts/check_detmir_rust_release_artifacts.sh` проверяет
|
||
наличие локальных release artifacts, но не доказывает, что production
|
||
service/timer/Windows task реально запускает тот же binary SHA256.
|
||
- Риск: stale бинарник в production может отличаться от проверенного кода,
|
||
усложнить rollback и скрыть регрессию в high-load контуре.
|
||
- Ожидаемый эффект: воспроизводимая цепочка `service/timer/task -> binary path
|
||
-> crate -> local artifact -> prod sha256 -> git sha`.
|
||
- Сложность: средняя.
|
||
- Объем работ: 3-5 инженерных дней.
|
||
- Затрагиваемые файлы:
|
||
`scripts/check_detmir_rust_release_artifacts.sh`,
|
||
`scripts/package_rust_release_binaries.py`,
|
||
`scripts/detmir-full-diagnostics/`,
|
||
`adk-rust/crates/detmir-readiness/`,
|
||
`windows/validate-deployment.ps1`,
|
||
`docs/DETMIR_CURRENT_STATE_RU.md`,
|
||
`docs/OPERATIONS_VALIDATION_RUNBOOK_RU.md`.
|
||
- Критерии приемки:
|
||
команда dry-run выводит все реально задействованные binaries на
|
||
`10.10.10.2`, `10.10.10.13` и Windows RDP host;
|
||
для каждого binary есть crate, role, unit/timer/task, prod SHA256 и local
|
||
release SHA256;
|
||
gate падает при missing/stale binary;
|
||
проверка не включает heavy DLP, Loki или always-on Velociraptor;
|
||
rollback path документирован и проверен на одном canary binary.
|
||
|
||
### P0-2. Bounded retention для state, evidence, queues и diagnostic output
|
||
|
||
- Почему нужно: DLP/evidence/backlog/diagnostic контуры уже имеют guardrails,
|
||
но retention/cleanup policy для исторических artifacts остается отдельной
|
||
future work; disk exhaustion на Proxmox/AW server является прямым outage
|
||
риском.
|
||
- Риск: накопление JSONL queues, screenshots, Hayabusa drops, diagnostic runs,
|
||
ClickHouse landing files или локальных state snapshots может забить диск и
|
||
остановить ingestion, portal или ActivityWatch.
|
||
- Ожидаемый эффект: предсказуемое потребление диска, безопасный dry-run cleanup,
|
||
понятный rollback через backup/hold rules.
|
||
- Сложность: средняя.
|
||
- Объем работ: 4-7 инженерных дней.
|
||
- Затрагиваемые файлы:
|
||
`adk-rust/crates/aw-prune-local-state/`,
|
||
`scripts/detmir-full-diagnostics/`,
|
||
`scripts/detmir_dlp_warehouse_sync.sh`,
|
||
`aw-server/logrotate.conf`,
|
||
`windows/validate-deployment.ps1`,
|
||
`adk-rust/crates/aw-windows-telemetry/`,
|
||
`docs/DLP_OPTIONAL_RUNTIME_RU.md`,
|
||
`docs/DLP_RESOURCE_PROFILES_RU.md`,
|
||
`docs/OPERATIONS_VALIDATION_RUNBOOK_RU.md`.
|
||
- Критерии приемки:
|
||
есть единая retention matrix по путям, владельцам, age/size limits и dry-run;
|
||
cleanup never follows untrusted paths and only touches allowlisted roots;
|
||
Windows queues имеют max-age/max-size validation;
|
||
skipped DLP buckets при `AW_DLP_ENABLED=false` не считаются ошибкой;
|
||
smoke показывает, что cleanup не удаляет active state и не требует downtime.
|
||
|
||
### P0-3. Убрать секреты ClickHouse/1C из process argv
|
||
|
||
- Почему нужно: `clickhouse-1c/ops/run_*.sh` передают пароль как
|
||
`--password "${CLICKHOUSE_PASSWORD}"`; этот аргумент виден через process list
|
||
локальному пользователю или диагностике.
|
||
- Риск: утечка ClickHouse credentials с возможностью чтения/изменения
|
||
production analytics data.
|
||
- Ожидаемый эффект: секреты передаются через env/config file descriptor или
|
||
другой non-argv канал; logs и error output остаются redacted.
|
||
- Сложность: низкая-средняя.
|
||
- Объем работ: 2-4 инженерных дня.
|
||
- Затрагиваемые файлы:
|
||
`clickhouse-1c/ops/run_ingest_cycle.sh`,
|
||
`clickhouse-1c/ops/run_manager_brief.sh`,
|
||
`clickhouse-1c/ops/run_recovery_brief.sh`,
|
||
`clickhouse-1c/ops/run_company_registry_bindings_refresh.sh`,
|
||
`clickhouse-1c/ops/run_company_intelligence_refresh.sh`,
|
||
`clickhouse-1c/ops/check_ingest_freshness.sh`,
|
||
`clickhouse-1c/ai/*.py`,
|
||
`clickhouse-1c/etl/*.py`,
|
||
`docs/OPERATIONS_VALIDATION_RUNBOOK_RU.md`.
|
||
- Критерии приемки:
|
||
`rg -- '--password \"\\$\\{CLICKHOUSE_PASSWORD\\}\"' clickhouse-1c` ничего не
|
||
находит в runtime wrappers;
|
||
smoke через `ps` доказывает отсутствие password в argv;
|
||
существующие env-based deployments остаются совместимыми;
|
||
failed auth logs не печатают password;
|
||
`bash -n clickhouse-1c/ops/*.sh` и affected Python smoke проходят.
|
||
|
||
## P1 - желательно выполнить до следующего релиза
|
||
|
||
### P1-1. Выровнять Rust toolchain во всех CI workflows
|
||
|
||
- Почему нужно: `rust-toolchain.toml` закрепляет `1.94.0`, но
|
||
`.github/workflows/ci.yml`, `security.yml`, `coverage.yml`,
|
||
`dependency-hygiene.yml` и `release-assets.yml` используют floating
|
||
`dtolnay/rust-toolchain@stable`.
|
||
- Риск: CI и release runner могут собирать разные версии компилятора, что
|
||
снижает воспроизводимость и усложняет анализ regressions.
|
||
- Ожидаемый эффект: единый compiler baseline для local, GitHub mirror и
|
||
будущего российского build-runner.
|
||
- Сложность: низкая.
|
||
- Объем работ: 1-2 инженерных дня.
|
||
- Затрагиваемые файлы:
|
||
`rust-toolchain.toml`,
|
||
`.github/workflows/ci.yml`,
|
||
`.github/workflows/security.yml`,
|
||
`.github/workflows/coverage.yml`,
|
||
`.github/workflows/dependency-hygiene.yml`,
|
||
`.github/workflows/release-assets.yml`,
|
||
`.github/workflows/rust-binary-build.yml`,
|
||
`.github/workflows/rust-workspace.yml`,
|
||
`docs/QUALITY_STATUS_RU.md`.
|
||
- Критерии приемки:
|
||
все blocking Rust jobs используют `rust-toolchain.toml` или тот же explicit
|
||
channel;
|
||
nightly остается только для advisory `cargo udeps`;
|
||
CI check names не меняются;
|
||
локально и в CI проходят `cargo fmt`, `cargo test`, `cargo clippy -D warnings`.
|
||
|
||
### P1-2. Staged triage для duplicate/deprecated Rust dependencies
|
||
|
||
- Почему нужно: `cargo deny` проходит, но `cargo tree --duplicates` показывает
|
||
дубли `bitflags`, `getrandom`, `hashbrown`, `mio`, `zip`, `windows-*`;
|
||
`serde_yaml 0.9.34+deprecated` уже зафиксирован как средний риск.
|
||
- Риск: supply-chain surface и binary size растут, а устаревшие crates могут
|
||
стать будущим vulnerability blocker.
|
||
- Ожидаемый эффект: baseline по допустимым дублям, запрет новых необоснованных
|
||
дублей, replacement path для deprecated crates.
|
||
- Сложность: средняя.
|
||
- Объем работ: 4-8 инженерных дней.
|
||
- Затрагиваемые файлы:
|
||
`adk-rust/Cargo.toml`,
|
||
`adk-rust/Cargo.lock`,
|
||
`deny.toml`,
|
||
`.github/workflows/dependency-hygiene.yml`,
|
||
crates using `serde_yaml`, `calamine`, `notify`, `zip`, `windows-sys`,
|
||
`docs/THIRD_PARTY_LICENSES_RU.md`,
|
||
`docs/QUALITY_STATUS_RU.md`.
|
||
- Критерии приемки:
|
||
для каждого duplicate family есть decision: keep with reason, update, or
|
||
remove;
|
||
`cargo audit --deny warnings` и `cargo deny ...` проходят;
|
||
новые duplicates без allowlist/обоснования блокируются;
|
||
replacement plan для `serde_yaml` не ломает существующие YAML configs;
|
||
изменения dependency graph идут отдельными PR, не смешиваются с runtime
|
||
features.
|
||
|
||
### P1-3. Load regression harness для portal/worktime/report hot paths
|
||
|
||
- Почему нужно: `docs/PROJECT_STATUS_RU.md` прямо фиксирует residual risk:
|
||
full report/snapshot prewarm может быть CPU/IO дорогим. Сейчас production
|
||
малый, но расширение users/events без бюджета нагрузки рискованно.
|
||
- Риск: рост RDP users или history window приводит к slow portal, stale cache,
|
||
ClickHouse/AW amplification или datastore lock pressure.
|
||
- Ожидаемый эффект: измеримые budgets для p95 latency, memory, query count,
|
||
cache hit/stale behavior и degradation semantics.
|
||
- Сложность: средняя-высокая.
|
||
- Объем работ: 1-2 недели.
|
||
- Затрагиваемые файлы:
|
||
`scripts/operational-maturity-check.mjs`,
|
||
`scripts/awatch-production-hardening-smoke.mjs`,
|
||
`adk-rust/crates/detmir-portal/`,
|
||
`adk-rust/crates/worktime-api/`,
|
||
`adk-rust/crates/worktime-prewarm/`,
|
||
`adk-rust/crates/aw-contour-smoke/`,
|
||
`docs/OPERATIONS_VALIDATION_RUNBOOK_RU.md`,
|
||
`docs/QUALITY_STATUS_RU.md`.
|
||
- Критерии приемки:
|
||
synthetic dataset проверяет минимум 5/20/50 users without prod data;
|
||
harness фиксирует p95 latency, max RSS, query count and stale-cache decisions;
|
||
disconnected RDP sessions and event-driven buckets не дают false-fail;
|
||
`AW_DLP_ENABLED=false` profile respected;
|
||
heavy job остается scheduled/advisory, blocking smoke остается быстрым.
|
||
|
||
### P1-4. Windows Rust validation parity before reducing PowerShell runtime
|
||
|
||
- Почему нужно: `docs/POWERSHELL_SCRIPT_STATUS_MATRIX_RU.md` показывает, что
|
||
Rust overlay уже основной для части collectors, но `validate-deployment.ps1`,
|
||
Hayabusa upload и некоторые recovery paths остаются fallback/runtime.
|
||
- Риск: преждевременное удаление PowerShell fallback ухудшит recovery на
|
||
Windows Server 2019 и localized RDP sessions.
|
||
- Ожидаемый эффект: доказанная parity Rust validation, safe fallback policy и
|
||
меньше runtime drift.
|
||
- Сложность: средняя.
|
||
- Объем работ: 1-2 недели.
|
||
- Затрагиваемые файлы:
|
||
`adk-rust/crates/aw-windows-telemetry/`,
|
||
`windows/validate-deployment.ps1`,
|
||
`windows/export-upload-hayabusa-to-aw-server.ps1`,
|
||
`windows/ActivityWatch.Windows.Common.psm1`,
|
||
`ansible/deploy_aw_windows.yml`,
|
||
`docs/POWERSHELL_SCRIPT_STATUS_MATRIX_RU.md`,
|
||
`docs/POWERSHELL_TO_RUST_ROADMAP_RU.md`.
|
||
- Критерии приемки:
|
||
Rust `validate-deployment` покрывает все 7 секций PowerShell validation;
|
||
CP866/localized user handling covered by tests;
|
||
canary run сравнивает Rust и PowerShell reports на одном RDP host;
|
||
PowerShell fallback остается documented rollback;
|
||
no removal before burn-in evidence.
|
||
|
||
### P1-5. Российский build-runner и первый release evidence build
|
||
|
||
- Почему нужно: `ROADMAP.md`, `docs/PROJECT_STATUS_RU.md` и
|
||
`docs/RESIDUAL_RISKS_RU.md` фиксируют, что `awatch-build-01` planned, а
|
||
первый release evidence build pending.
|
||
- Риск: registry/release package cannot be claimed reproducible in target
|
||
Russian contour.
|
||
- Ожидаемый эффект: проверяемый release package: source archive, binaries,
|
||
SBOM, SHA256SUMS, cargo metadata/tree, logs, manifest.
|
||
- Сложность: средняя.
|
||
- Объем работ: 3-6 инженерных дней плюс инфраструктурное окно.
|
||
- Затрагиваемые файлы:
|
||
`scripts/build_release_evidence.sh`,
|
||
`scripts/check_release_evidence.sh`,
|
||
`scripts/verify_release_assets.sh`,
|
||
`docs/registry/RU_BUILD_RUNNER_READINESS_RU.md`,
|
||
`docs/registry/BUILD_RUNNER_SETUP_RUNBOOK_RU.md`,
|
||
`docs/registry/RELEASE_EVIDENCE_RUNBOOK_RU.md`,
|
||
`docs/registry/registry-evidence-manifest.json`.
|
||
- Критерии приемки:
|
||
build-runner имеет documented OS/toolchain;
|
||
release evidence build выполнен не на GitHub runner;
|
||
`scripts/check_release_evidence.sh` проходит;
|
||
artifacts имеют SHA256 и manifest;
|
||
public docs не заявляют registry completion раньше legal approval.
|
||
|
||
### P1-6. Gitea backup restore drill
|
||
|
||
- Почему нужно: backup и SHA256 documented, но `restore_tested=false` остается
|
||
открытым residual risk.
|
||
- Риск: disaster recovery process может оказаться неполным только во время
|
||
инцидента.
|
||
- Ожидаемый эффект: доказанный restore на отдельном хосте и понятный RTO/RPO
|
||
baseline.
|
||
- Сложность: средняя.
|
||
- Объем работ: 2-4 инженерных дня.
|
||
- Затрагиваемые файлы:
|
||
`docs/registry/GITEA_BACKUP_AND_RESTORE_RUNBOOK_RU.md`,
|
||
`docs/registry/registry-evidence-manifest.json`,
|
||
`scripts/registry_readiness_check.sh`,
|
||
`docs/PROJECT_STATUS_RU.md`,
|
||
`docs/RESIDUAL_RISKS_RU.md`.
|
||
- Критерии приемки:
|
||
restore выполнен на отдельном сервере;
|
||
checksums, logs, repository accessibility и rollback notes сохранены;
|
||
manifest обновлен с `restore_tested=true`;
|
||
recovery evidence не содержит секреты.
|
||
|
||
### P1-7. Hayabusa upload path: Rust helper parity and operational proof
|
||
|
||
- Почему нужно: матрица PowerShell-to-Rust помечает
|
||
`windows/export-upload-hayabusa-to-aw-server.ps1` как P1 runtime wrapper.
|
||
Hayabusa is optional, but it is a security evidence path.
|
||
- Риск: Windows PowerShell encoding, task principal или SSH wrapper drift
|
||
ломает forensics upload без явной compile-time проверки.
|
||
- Ожидаемый эффект: Rust helper covers upload, sidecar metadata, checksum and
|
||
server drop-zone contract; PowerShell remains fallback.
|
||
- Сложность: средняя.
|
||
- Объем работ: 5-8 инженерных дней.
|
||
- Затрагиваемые файлы:
|
||
`adk-rust/crates/aw-windows-telemetry/`,
|
||
`adk-rust/crates/hayabusa-tools/`,
|
||
`windows/export-upload-hayabusa-to-aw-server.ps1`,
|
||
`aw-server/hayabusa/aw-hayabusa.sh`,
|
||
`ansible/deploy_aw_windows.yml`,
|
||
`docs/POWERSHELL_SCRIPT_STATUS_MATRIX_RU.md`,
|
||
`docs/POWERSHELL_TO_RUST_ROADMAP_RU.md`.
|
||
- Критерии приемки:
|
||
helper creates identical server-side intake result on fixture;
|
||
BOM/backslash/path traversal tests preserved;
|
||
task principal remains interactive Administrator where required;
|
||
server `aw-hayabusa-drop.path` processing stays optional and fail-closed;
|
||
no automatic remediation is introduced.
|
||
|
||
## P2 - улучшения архитектуры и сопровождаемости
|
||
|
||
### P2-1. Инкрементальная декомпозиция крупных runtime modules
|
||
|
||
- Почему нужно: несколько production-critical files слишком крупные для
|
||
надежного review и локального reasoning, особенно `detmir-portal/main.rs` и
|
||
`aw-windows-telemetry/main.rs`.
|
||
- Риск: высокий change-coupling, труднее делать точечные fixes и находить
|
||
regressions.
|
||
- Ожидаемый эффект: smaller modules by domain, faster review, focused tests.
|
||
- Сложность: средняя-высокая.
|
||
- Объем работ: 2-4 недели несколькими малыми PR.
|
||
- Затрагиваемые файлы:
|
||
`adk-rust/crates/detmir-portal/src/main.rs`,
|
||
`adk-rust/crates/detmir-portal/src/*`,
|
||
`adk-rust/crates/aw-windows-telemetry/src/main.rs`,
|
||
`adk-rust/crates/worktime-api/src/main.rs`,
|
||
`proxmox/tsj_guardian_bot.py`,
|
||
`clickhouse-1c/ai/company_intelligence_api.py`.
|
||
- Критерии приемки:
|
||
каждый PR только moves/extracts one bounded domain;
|
||
public API, config names, systemd units and task names unchanged;
|
||
tests before/after identical;
|
||
no new dependencies without written justification;
|
||
line count decreases in target `main.rs` files without behavioral rewrite.
|
||
|
||
### P2-2. Consolidate exact duplicate diagnostic scripts
|
||
|
||
- Почему нужно: две пары скриптов имеют identical SHA256, что создает риск
|
||
будущего drift при исправлениях.
|
||
- Риск: one copy fixed, bundled copy stale; diagnostics disagree.
|
||
- Ожидаемый эффект: single source of truth while preserving existing paths.
|
||
- Сложность: низкая.
|
||
- Объем работ: 1-2 инженерных дня.
|
||
- Затрагиваемые файлы:
|
||
`scripts/aw-contour-diag.sh`,
|
||
`scripts/detmir-full-diagnostics/aw-contour-diag.sh`,
|
||
`scripts/check_production_inventory_placeholders.sh`,
|
||
`scripts/detmir-full-diagnostics/check_production_inventory_placeholders.sh`,
|
||
`scripts/detmir-full-diagnostics/detmir-full-diagnostics.sh`,
|
||
`docs/OPERATIONS_VALIDATION_RUNBOOK_RU.md`.
|
||
- Критерии приемки:
|
||
оба старых paths продолжают работать;
|
||
есть один canonical implementation или generated copy check;
|
||
CI/quality gate ловит future drift;
|
||
shellcheck/bash syntax pass.
|
||
|
||
### P2-3. Split oversized Ansible deployment playbook without behavior change
|
||
|
||
- Почему нужно: `ansible/deploy_aw_server.yml` имеет 3099 строк; это усложняет
|
||
review и безопасные partial changes.
|
||
- Риск: accidental deploy behavior changes in unrelated task blocks.
|
||
- Ожидаемый эффект: role/include structure with same task order and clearer
|
||
ownership.
|
||
- Сложность: средняя.
|
||
- Объем работ: 1-2 недели.
|
||
- Затрагиваемые файлы:
|
||
`ansible/deploy_aw_server.yml`,
|
||
`ansible/roles/`,
|
||
`ansible/group_vars/`,
|
||
`docs/OPERATIONS_VALIDATION_RUNBOOK_RU.md`.
|
||
- Критерии приемки:
|
||
`ansible-playbook --syntax-check` passes;
|
||
`--list-tasks` before/after is reviewed for ordering parity;
|
||
no default vars changed;
|
||
rollback is reverting includes to previous single playbook.
|
||
|
||
### P2-4. Bound 1C ingest memory and file processing profile
|
||
|
||
- Почему нужно: `adk-rust/crates/aw-1c-ingest/src/main.rs` currently reads rows
|
||
into `Vec` and builds large JSON batches; acceptable for pilot, but risky for
|
||
larger exports.
|
||
- Риск: memory spikes, long transaction windows, ClickHouse insert amplification
|
||
on larger 1C files.
|
||
- Ожидаемый эффект: chunked processing where practical, explicit limits and
|
||
predictable failure mode for oversized files.
|
||
- Сложность: средняя-высокая.
|
||
- Объем работ: 1-2 недели.
|
||
- Затрагиваемые файлы:
|
||
`adk-rust/crates/aw-1c-ingest/src/main.rs`,
|
||
`clickhouse-1c/etl/config.yml`,
|
||
`clickhouse-1c/etl/config.example.yml`,
|
||
`clickhouse-1c/sql/`,
|
||
`docs/OPERATIONS_VALIDATION_RUNBOOK_RU.md`,
|
||
`docs/QUALITY_STATUS_RU.md`.
|
||
- Критерии приемки:
|
||
synthetic large CSV/XLSX fixture documents max RSS and runtime;
|
||
oversized input fails closed with clear diagnostic;
|
||
existing small DetMir files produce identical rows;
|
||
ClickHouse insert batch size is configurable and bounded.
|
||
|
||
### P2-5. Systematic command execution boundary audit
|
||
|
||
- Почему нужно: `detmir-portal` already validates shell probe commands and
|
||
kills process groups on timeout, but other operational binaries also execute
|
||
shell/commands (`aw-slo-monitor`, `diag-and-manual-restart`, quality tooling).
|
||
- Риск: future config drift can reintroduce command injection, secrets in argv
|
||
or incomplete timeout cleanup.
|
||
- Ожидаемый эффект: documented command execution policy and shared tests for
|
||
allowlisted commands, timeouts, redaction and process-group cleanup.
|
||
- Сложность: средняя.
|
||
- Объем работ: 4-7 инженерных дней.
|
||
- Затрагиваемые файлы:
|
||
`adk-rust/crates/detmir-portal/src/main.rs`,
|
||
`adk-rust/crates/detmir-portal/src/production/limits.rs`,
|
||
`adk-rust/crates/aw-slo-monitor/src/main.rs`,
|
||
`adk-rust/crates/diag-and-manual-restart/src/main.rs`,
|
||
`adk-rust/crates/quality-gate/src/main.rs`,
|
||
`docs/SECURITY_OPERATIONS_RUNBOOK_RU.md`.
|
||
- Критерии приемки:
|
||
every runtime command source is classified as constant, allowlisted config or
|
||
operator-only diagnostic;
|
||
tests reject shell control operators where config-driven;
|
||
timeout tests verify child/grandchild cleanup;
|
||
logs never include secrets from env or args.
|
||
|
||
### P2-6. Install kit artifact reproducibility and stale payload checks
|
||
|
||
- Почему нужно: install kit is critical for Windows deployment, includes large
|
||
LFS artifacts, and must not silently ship stale payloads.
|
||
- Риск: Windows production receives an older collector or mismatched config
|
||
while repo checks pass.
|
||
- Ожидаемый эффект: deterministic installer evidence and stronger
|
||
install-kit-vs-repo validation.
|
||
- Сложность: средняя.
|
||
- Объем работ: 5-8 инженерных дней.
|
||
- Затрагиваемые файлы:
|
||
`windows/installkit/innosetup/`,
|
||
`adk-rust/crates/check-install-kit-vs-repo/`,
|
||
`adk-rust/crates/rebuild-install-kit/`,
|
||
`adk-rust/crates/validate-install-kit/`,
|
||
`adk-rust/crates/verify-innosetup-installer/`,
|
||
`scripts/rebuild_install_kit.sh`,
|
||
`docs/INSTALL_KIT_RUNBOOK_RU.md`.
|
||
- Критерии приемки:
|
||
installer manifest lists exact source commit and payload SHA256;
|
||
validation fails on stale collector payload;
|
||
generated artifacts are not confused with source files;
|
||
Windows task names and config schema remain backward compatible.
|
||
|
||
### P2-7. Standardize operational metrics contract across Rust daemons
|
||
|
||
- Почему нужно: individual services expose useful fields, but there is no
|
||
consistent minimal metrics/diagnostics contract for every long-running Rust
|
||
daemon.
|
||
- Риск: incident response depends on service-specific knowledge; regressions in
|
||
one daemon are harder to compare with another.
|
||
- Ожидаемый эффект: consistent `/health`, structured log fields and optional
|
||
metrics snapshots for status, cache, queue, retry, timeout and resource
|
||
pressure.
|
||
- Сложность: средняя.
|
||
- Объем работ: 2-3 недели staged by service.
|
||
- Затрагиваемые файлы:
|
||
`adk-rust/crates/aw-rus-healthd/`,
|
||
`adk-rust/crates/worktime-api/`,
|
||
`adk-rust/crates/detmir-portal/`,
|
||
`adk-rust/crates/dlp-*`,
|
||
`adk-rust/crates/aw-1c-ingest/`,
|
||
`docs/OPERATIONS_VALIDATION_RUNBOOK_RU.md`,
|
||
`grafana/`.
|
||
- Критерии приемки:
|
||
minimal contract documented;
|
||
each daemon reports version/build, config profile, degraded reason and queue
|
||
pressure where applicable;
|
||
existing endpoints remain backward compatible;
|
||
Grafana/dashboard changes are additive.
|
||
|
||
## P3 - долгосрочные улучшения
|
||
|
||
### P3-1. Coverage thresholds after baseline review
|
||
|
||
- Почему нужно: coverage workflow exists, but roadmap explicitly says threshold
|
||
should be added after baseline review.
|
||
- Риск: coverage can silently decline while CI remains green.
|
||
- Ожидаемый эффект: gradual coverage floor without slowing blocking jobs.
|
||
- Сложность: средняя.
|
||
- Объем работ: 1-2 недели.
|
||
- Затрагиваемые файлы:
|
||
`.github/workflows/coverage.yml`,
|
||
`adk-rust/`,
|
||
`docs/QUALITY_STATUS_RU.md`,
|
||
`docs/REVIEW_CHECKLIST_RU.md`.
|
||
- Критерии приемки:
|
||
initial threshold is based on measured baseline, not arbitrary target;
|
||
critical crates get stricter per-crate goals;
|
||
generated/fixture code excluded consistently;
|
||
threshold moves from advisory to blocking only after stable history.
|
||
|
||
### P3-2. Russian OS compatibility matrix
|
||
|
||
- Почему нужно: roadmap keeps Russian OS compatibility as planned validation.
|
||
- Риск: deployment assumptions can fail on target OS variants only after a
|
||
customer deployment attempt.
|
||
- Ожидаемый эффект: explicit supported/unsupported OS matrix and installation
|
||
evidence.
|
||
- Сложность: средняя-высокая.
|
||
- Объем работ: 2-4 недели depending on available test hosts.
|
||
- Затрагиваемые файлы:
|
||
`docs/registry/`,
|
||
`docs/INSTALLATION.md`,
|
||
`docs/OPERATIONS_VALIDATION_RUNBOOK_RU.md`,
|
||
`ansible/`,
|
||
`windows/`,
|
||
`windows/installkit/`.
|
||
- Критерии приемки:
|
||
matrix lists OS version, role, test date, result and limitations;
|
||
unsupported combinations are documented explicitly;
|
||
no production defaults are changed only for compatibility claims.
|
||
|
||
### P3-3. Reduce single-maintainer operational risk
|
||
|
||
- Почему нужно: `docs/RESIDUAL_RISKS_RU.md` identifies one-main-developer risk
|
||
and pending reviewed PR evidence.
|
||
- Риск: incident response and release continuity depend too much on one person.
|
||
- Ожидаемый эффект: documented ownership, review evidence and handoff paths.
|
||
- Сложность: организационная, средняя.
|
||
- Объем работ: 1-3 месяца part-time.
|
||
- Затрагиваемые файлы:
|
||
`.github/CODEOWNERS`,
|
||
`.github/pull_request_template.md`,
|
||
`docs/PR_REVIEW_WORKFLOW_RU.md`,
|
||
`docs/PR_REVIEW_EVIDENCE_RU.md`,
|
||
`docs/REVIEW_CHECKLIST_RU.md`,
|
||
`docs/RESIDUAL_RISKS_RU.md`.
|
||
- Критерии приемки:
|
||
at least one reviewed PR merged without bypass;
|
||
release branch review policy documented;
|
||
emergency maintainer handoff checklist exists;
|
||
residual risk status updated only with real evidence.
|
||
|
||
### P3-4. Historical docs and naming hygiene
|
||
|
||
- Почему нужно: older docs still reference staged statuses, older check names
|
||
or public-readiness context; this increases cognitive load for maintainers.
|
||
- Риск: operators follow outdated docs or confuse GitHub public mirror checks
|
||
with Russian release evidence.
|
||
- Ожидаемый эффект: clearer current-state docs and archived historical records.
|
||
- Сложность: низкая-средняя.
|
||
- Объем работ: 3-6 инженерных дней.
|
||
- Затрагиваемые файлы:
|
||
`docs/PROJECT_STATUS_RU.md`,
|
||
`docs/ROADMAP_CONFORMANCE_AUDIT_RU.md`,
|
||
`docs/QUALITY_STATUS_RU.md`,
|
||
`docs/registry/`,
|
||
`README.md`,
|
||
`ROADMAP.md`.
|
||
- Критерии приемки:
|
||
current-state docs contain current required check names;
|
||
historical docs are marked historical and not operational runbooks;
|
||
no product claims are strengthened without evidence;
|
||
broken/stale links are corrected.
|
||
|
||
### P3-5. Long-horizon capacity sizing guide
|
||
|
||
- Почему нужно: current DetMir production is small; future deployments need
|
||
sizing guidance for AW SQLite, ClickHouse, Influx/Grafana, DLP light profile
|
||
and Windows collector load.
|
||
- Риск: deployments scale by guesswork and overload the small-Proxmox pattern.
|
||
- Ожидаемый эффект: sizing table by users/events/day, retention, disk, CPU/RAM
|
||
and optional security contours.
|
||
- Сложность: средняя.
|
||
- Объем работ: 2-4 недели after P1 load harness data exists.
|
||
- Затрагиваемые файлы:
|
||
`docs/DLP_RESOURCE_PROFILES_RU.md`,
|
||
`docs/OPERATIONS_VALIDATION_RUNBOOK_RU.md`,
|
||
`docs/DETMIR_CURRENT_STATE_RU.md`,
|
||
`grafana/`,
|
||
`scripts/operational-maturity-check.mjs`.
|
||
- Критерии приемки:
|
||
guide is based on measured data, not estimates only;
|
||
separate profiles exist for 5, 20, 50 and 100 users;
|
||
optional DLP/Hayabusa/Velociraptor resource costs are explicit;
|
||
default production profile remains conservative.
|
||
|
||
## Не включено, потому что уже реализовано
|
||
|
||
- Включение dependency hygiene automation: `cargo machete`, `cargo deny`,
|
||
`cargo audit`, `cargo tree --duplicates`, advisory `cargo udeps` уже есть в
|
||
workflow.
|
||
- Удаление текущих unused Rust dependencies: текущий `cargo machete
|
||
--with-metadata` не нашел unused dependencies.
|
||
- DetMir DLP light/core-only guardrails: runtime control, resource profiles,
|
||
load guard and skipped-bucket semantics already implemented.
|
||
- Security Finding Inbox and optional Hayabusa/Velociraptor findings path:
|
||
schema, portal/API and fail-closed executor path already documented as
|
||
optional and approval-driven.
|
||
- Operational maturity smoke workflow: already exists and explicitly avoids
|
||
heavy DLP/Loki/always-on Velociraptor.
|
||
- Branch protection/CODEOWNERS/PR checklist basics: already documented; the
|
||
remaining work is evidence and regular use, not creating the mechanism.
|
||
|
||
## Проверки, использованные для аудита
|
||
|
||
```bash
|
||
cd /mnt/usb_hdd2/Projects/ActivityWatch-Russian/adk-rust
|
||
export CARGO_TARGET_DIR=/home/igor/.cache/detmir-adk-rust-target
|
||
cargo metadata --locked --format-version 1
|
||
cargo tree --duplicates --locked
|
||
cargo audit --deny warnings
|
||
cargo deny --manifest-path Cargo.toml check --config ../deny.toml --hide-inclusion-graph --show-stats
|
||
cargo machete --with-metadata
|
||
|
||
cd /mnt/usb_hdd2/Projects/ActivityWatch-Russian
|
||
rg -n "dtolnay/rust-toolchain@(stable|[0-9])|rust-toolchain" .github/workflows rust-toolchain.toml
|
||
rg -n "CLICKHOUSE_PASSWORD|--password" clickhouse-1c/ops clickhouse-1c/ai clickhouse-1c/etl
|
||
sha256sum scripts/aw-contour-diag.sh scripts/detmir-full-diagnostics/aw-contour-diag.sh
|
||
sha256sum scripts/check_production_inventory_placeholders.sh scripts/detmir-full-diagnostics/check_production_inventory_placeholders.sh
|
||
wc -l adk-rust/crates/detmir-portal/src/main.rs adk-rust/crates/aw-windows-telemetry/src/main.rs proxmox/tsj_guardian_bot.py adk-rust/crates/worktime-api/src/main.rs ansible/deploy_aw_server.yml
|
||
```
|