128 lines
7.1 KiB
Markdown
128 lines
7.1 KiB
Markdown
# Матрица проверки контура AWatch-rus
|
|
|
|
Дата фиксации: 2026-06-21.
|
|
|
|
Документ описывает ежедневную и еженедельную проверку эксплуатационного контура
|
|
AWatch-rus. Он не является заявлением о сертификации, не подменяет юридическую
|
|
экспертизу и не описывает GitHub Actions как основной контур выпуска.
|
|
|
|
## Цель
|
|
|
|
Ежедневная проверка должна отвечать на один вопрос: можно ли оператору считать
|
|
контур AWatch-rus пригодным для работы сегодня без ручного обхода всех
|
|
компонентов.
|
|
|
|
Еженедельная проверка расширяет ежедневную: добавляет portal smoke, registry
|
|
docs check и доказательные артефакты для последующего release/readiness пакета.
|
|
|
|
## Канонический запуск
|
|
|
|
Основной запускной скрипт:
|
|
|
|
```bash
|
|
scripts/run_awatch_contour_check.sh
|
|
```
|
|
|
|
## Локальный запуск с ноутбука
|
|
|
|
Для ручной проверки на ноутбуке удобно явно указать env-файл и корень артефактов:
|
|
|
|
```bash
|
|
export CONTOUR_CHECK_ENV_FILE=~/path/to/your/contour-check.env
|
|
export CONTOUR_CHECK_OUTPUT_ROOT=~/tmp/contour-check-runs
|
|
export CONTOUR_CHECK_STREAM=1
|
|
scripts/run_awatch_contour_check.sh
|
|
```
|
|
|
|
Во время выполнения можно наблюдать прогресс отдельным окном:
|
|
|
|
```bash
|
|
ls -dt ~/tmp/contour-check-runs/* | head -n 1 | xargs -r -I{} tail -f {}/logs/detmir-check-json.log
|
|
```
|
|
|
|
`CONTOUR_CHECK_STREAM=1` полезен для локального запуска, если кажется, что скрипт «завис» на `== detmir-check-json ==`; фактически это длительный шаг в `detmir-check` с таймаутами по каждому endpoint.
|
|
|
|
Рекомендуемые systemd units для российского/internal контура:
|
|
|
|
```text
|
|
ops/systemd/awatch-contour-daily-check.service
|
|
ops/systemd/awatch-contour-daily-check.timer
|
|
ops/systemd/awatch-contour-weekly-check.service
|
|
ops/systemd/awatch-contour-weekly-check.timer
|
|
```
|
|
|
|
Live endpoints, hostnames, tokens and passwords must be supplied through
|
|
`/etc/detmir/detmir-check.env` (systemd units) or another private environment
|
|
file outside the public repository.
|
|
|
|
## Текущий планировщик Proxmox, проверено 2026-06-21
|
|
|
|
На Proxmox уже присутствуют следующие регулярные проверки:
|
|
|
|
| Timer | Частота | Роль |
|
|
|---|---:|---|
|
|
| `detmir-auto.timer` | каждые 30 минут | общий read-only check, AI report и safe recovery |
|
|
| `detmir-readiness-sync.timer` | каждые 10 минут | синхронизация readiness bundle |
|
|
| `detmir-portal-prewarm.timer` | каждые 30 минут | прогрев portal report cache |
|
|
| `aw-1c-clickhouse-health.timer` | каждые 5 минут | здоровье ClickHouse/1C layer |
|
|
| `aw-1c-ingest.timer` | каждые 15 минут | ingest cycle 1C/file layer |
|
|
| `aw-1c-proofcheck.timer` | каждые 6 часов | freshness proof check |
|
|
| `aw-1c-manager-brief.timer` | каждые 6 часов | manager brief |
|
|
| `aw-1c-recovery-brief.timer` | каждые 6 часов | recovery brief |
|
|
| `aw-1c-weekly-digest.timer` | понедельник 08:20 | weekly executive digest |
|
|
| `proxmox-lxc-critical-updates-check.timer` | ежедневно 03:00 | critical/important updates check |
|
|
|
|
Наблюдение: отдельный ежедневный полный gate по всей матрице AWatch-rus
|
|
отсутствует. Его роль должен закрыть `awatch-contour-daily-check.timer`.
|
|
|
|
Наблюдение: последняя проверка `detmir-portal-prewarm.service` на момент осмотра
|
|
имела `Result=exit-code` и `ExecMainStatus=28`. Это не надо маскировать:
|
|
канонический check должен показывать такой сбой как fail/warn в зависимости от
|
|
политики эксплуатации.
|
|
|
|
## Матрица требований и проверок
|
|
|
|
| Область | Что проверяется | Исполнитель | Ежедневно | Еженедельно |
|
|
|---|---|---|---:|---:|
|
|
| ActivityWatch API | `/api/0/info`, доступность API | `detmir-check` | да | да |
|
|
| Worktime API | `/reports/worktime/today` | `detmir-check` | да | да |
|
|
| 1C API | `/api/health` | `detmir-check` | да | да |
|
|
| Gateway | `/healthz` | `detmir-check` | да | да |
|
|
| Portal hardening | `/healthz`, `/readyz`, `/version`, `/metrics` | `detmir-check` | да | да |
|
|
| Windows/RDP | TCP 5985 и 22 | `detmir-check` | да | да |
|
|
| ActivityWatch buckets | AFK/window/worktime/session events | `detmir-check` | да | да |
|
|
| AWatch DLP buckets | endpoint signals/incidents/review/rules | `detmir-check` | да | да |
|
|
| AWatch DLP health | remote `dlp-health-check --json` через `detmir-dlp` | `detmir-check` | да | да |
|
|
| Grafana evidence | свежий JSON артефакт Grafana check | `detmir-check` | да | да |
|
|
| Security events backend | ClickHouse events, если включено | `detmir-check` | да | да |
|
|
| Portal contract | role/API smoke | `scripts/awatch-production-hardening-smoke.mjs` | нет | да |
|
|
| Pilot contract | demo/API smoke | `scripts/detmir-pilot-demo-smoke.mjs` | нет | да |
|
|
| Registry/readiness docs | registry readiness check | `scripts/registry_readiness_check.sh` | опционально | да |
|
|
|
|
## Fail-closed политика
|
|
|
|
Ежедневный check должен завершаться non-zero, если падает обязательная область:
|
|
|
|
- ActivityWatch API;
|
|
- Worktime API;
|
|
- Gateway/Portal health;
|
|
- RDP/Windows reachability;
|
|
- свежесть обязательных bucket streams;
|
|
- AWatch DLP health;
|
|
- Grafana evidence freshness.
|
|
|
|
Event-driven buckets не должны считаться stale только из-за отсутствия новых
|
|
инцидентов. Для них фиксируется статус `EVENT-DRIVEN`.
|
|
|
|
## Что ещё требуется довести
|
|
|
|
- Развернуть `awatch-contour-daily-check.timer` на Proxmox после установки
|
|
обновленного `detmir-check`.
|
|
- Развернуть `awatch-contour-weekly-check.timer` для расширенного smoke/docs
|
|
контроля.
|
|
- Заполнить `/etc/awatch-rus/contour-check.env` live значениями без записи
|
|
секретов в репозиторий.
|
|
- Настроить retention для `.ops/contour-check-runs` или серверного output path.
|
|
- После первого успешного недельного запуска приложить summary к
|
|
registry/readiness evidence пакету.
|