- CT 101 kennt NFS nicht mehr: samba_nfs-Rolle und Ganesha-Artefakte entfernt,
kein Podman, keine 2049-Firewall-Regel, kein seccomp-Sondereintrag; live
restlos bereinigt und deckungsgleich mit dem Playbook (verify ok=47,
Idempotenz changed=0). Dafür neue SMB-Freigabe [Encoding] (Export-Root) für
die Kontrolle von anderen Geräten als ghostnet-ki.
- Grund: Weder kernel-nfsd noch Ganesha (VFS-FSAL) laufen in einem
unprivileged LXC — open_by_handle_at braucht CAP_DAC_READ_SEARCH in der
init-userns und liefert dort immer EPERM (verifiziert auf Kernel
7.0.14-14-pve; Web-Recherche: NFS direkt auf dem PVE-Host ist gängige Praxis
und anerkannte Ausnahme vom Host-Grundsatz).
- Neuer Account ansible-deploy (UID 1001) auf dem PVE-Host 10.0.0.2 nach
LXC-Muster: gelocktes Passwort, source-restrictierter passphrase-loser Key
(nur pub im Repo), NOPASSWD-Sudoers; Host-Key-Fingerprint verifiziert.
- Neues Host-Projekt proxmox/pve-host/ansible (Schema wie die CT-Projekte):
preflight/site.yml/verify-production + Rollen pve_nfs_export (Kernel-NFS,
/etc/exports nur 10.0.0.90/32, NFSv4-only, Export-Root 100000:970 2775,
nft 2049 nur von 10.0.0.90) und pve_lxc_conf (seccomp-Leerzeile aus
101.conf entfernt). Auf dem Host grün: check changed=0, verify ok=15,
Idempotenz changed=0.
- Abnahme bestanden: NFSv4.2-Mount von ghostnet-ki gegen
10.0.0.2:/media/datenhdd3/Encoding (Export-Root 100000:970 2775 sichtbar),
sauberer Unmount. CT 101 nach Reboot: Seccomp 2, keine failed units, 17
Shares, 10 CIFS-Mounts der Workstation hängen.
- Doku aktualisiert: GNAI-017 §4.1 und GNAI-019 E2/E3/§15 revidiert,
Bereichsindex ergänzt, READMEs angepasst; PVE-Lifecycle-Skripte ohne
seccomp-Ausnahme (Hashes aktualisiert).
Generated by Mistral Vibe.
Co-Authored-By: Mistral Vibe <vibe@mistral.ai>
- Mount von ghostnet-ki schlug mit EPERM fehl: Export hatte "0 defined
clients" (kein clients-Parameter -> Zugriffspruefung schlaegt fehl)
- Ganesha 6.5: CLIENT-Block mit kleingeschriebenem `clients`, Block MUSS vor
dem EXPORT stehen (Parser ist reihenfolgeempfindlich); gegen den 6.5-Parser
verifiziert. EXPORT auf Access_Type = None (deny-by-default), CLIENT gewaehrt
10.0.0.90 RW; nftables deckelt zusaetzlich auf 2049 nur von 10.0.0.90
Generated by Mistral Vibe.
Co-Authored-By: Mistral Vibe <vibe@mistral.ai>
- ghost-Workstation-Key rotiert (Passphrase nicht mehr erinnerlich): neues
Paar id_ed25519_ghostnet_ct101_ghost, samba-ghost.pub aktualisiert und auf
CT 101 installiert; GNAI-017 Befund (f) dokumentiert die Rotation
29.10.2026; altes Paar lokal gelöscht
- pdbedit-Pfad korrigiert: /usr/sbin/pdbedit -> /usr/bin/pdbedit (Debian),
5 Stellen in audit-production/backup/verify-production/samba_smb
- passdb-Subset-Asserts parsen user:uid:gecos jetzt korrekt per
regex_replace (audit/verify/samba_smb)
- is-active-Leseproben mit failed_when: false, damit die Asserts die
klaren Fehlermeldungen liefern (audit/preflight/verify/samba_smb)
- samba_lxc_baseline enabled+startet unattended-upgrades.service nach dem
Paket-Install (CT-100/102-Konvention), README ergänzt
Generated by Mistral Vibe.
Co-Authored-By: Mistral Vibe <vibe@mistral.ai>
- GNAI-017/GNAI-019: Cleanup als erledigt markiert (smbpasswd -x dark2devil
+ userdel -r; passdb danach nur noch ghost/daidalaw/debugofen; Konto war
gelockt, Shell /bin/false, keine Dateien außerhalb des Home)
- Inventar-Kommentare aktualisiert (UID 1002 wieder frei; ansible-deploy-UID
1005 erlaeutert); alle drei Inventare byte-identisch
- samba_access-Kommentar angepasst (dark2devil nicht mehr unter den
produktiven Accounts)
Generated by Mistral Vibe.
Co-Authored-By: Mistral Vibe <vibe@mistral.ai>
- dark2devil (UID 1002) aus der gesamten deklarierten State entfernt:
derselbe Benutzer wie debugofen (Betreiberklärung 2026-10-28); GNAI-019
Entscheidung 11 revidiert, gn-media-Mitgliedschaft nur ghost
- Share-ACLs im Inventar an die live smb.conf angeglichen (GNAI-018 R4):
admin users auf elf Shares ergänzt, write list Dokumente/Extern ergänzt,
Serien2 ohne force user/group; Template [printers] um browseable=no ergänzt
- passdb-Asserts und Audit-Loops auf die drei deklarierten Medien-User
umgestellt; Platzhalterzahl 11; provision-Script-Hash aktualisiert
- AGENTS.md (Repo-Root) um Grundwissen für Agenten ergänzt:
ghost-agent-Convention, Account-Landscape/Inventory-Pfade,
Operator-Run-Steps, LXC-Konventionen, Repo-Konventionen
Generated by Mistral Vibe.
Co-Authored-By: Mistral Vibe <vibe@mistral.ai>
- 5 template/file-Lookups verwendeten relative Pfade (roles/..., files/...),
die sich aus playbooks/ nicht auflösen; auf playbook_dir ~ '/../...' umgestellt
- dns_pihole_container_name, dns_pihole_data_directory und dns_pihole_quadlet_path
aus den Rollen-Defaults in alle 3 Inventories gespiegelt (self-contained inventory)
- Verifiziert: gerendertes Quadlet byte-identisch mit Live-Datei, nftables weicht
nur um die Managed-Kennung ab, 18/18 Syntax-Checks
Generated by Mistral Vibe.
Co-Authored-By: Mistral Vibe <vibe@mistral.ai>
Grundkonfiguration des Servers liegt nun unter llm-server/host/ansible/
(vorher llm-server/ansible/), der LLM-Stack-Platzhalter unter llm-server/llm/
und der Encoding-Workload unter llm-server/encoding/. Dokumentation und
Pfadverweise (ansible.cfg roles_path, .venv-Tiefe, Markdown-Links) angepasst;
Linkvalidator meldet broken_local_links=0.
Generated by Mistral Vibe.
Co-Authored-By: Mistral Vibe <vibe@mistral.ai>
spektr