Document NetworkPolicies rollout (issue #10), incidents, OOM fix, identity cleanup

00-TASKS.md

@@ -189,6 +189,19 @@ umgesetzt und deployed — 1440p/60fps-Defaults, siehe [Element-Customization.md
 Kapitel 4. Dabei ein kurzer Live-Incident (erzwungenes VP9 hat Calls komplett kaputt gemacht,
 sofort zurückgerollt, ohne Codec-Zwang funktioniert's). Release `m6-element-call-fork-complete`.
 
+**Update 2026-07-28 (später)**: **NetworkPolicies** (Issue #10) umgesetzt — Default-Deny Ingress
+für `matrix` und `authentik` Namespaces, siehe `apps/authentik/networkpolicy.yaml` und
+`apps/production/networkpolicy.yaml`. Zwei kurze Live-Incidents beim Rollout, beide binnen
+Minuten gepatcht: authentik-server-Regel erlaubte den falschen (Service- statt Container-)Port,
+und die MAS-Regel erlaubte Synapse nur Port 8081 statt des tatsächlich genutzten 8080 (jede
+authentifizierte Anfrage inkl. `/sync` schlug fehl, alle Clients zeigten "Verbindung
+unterbrochen"). Nebenbei gefunden und gefixt: `matrixRTC`-Authorisation-Service hatte ein
+20Mi-Memory-Limit und wurde nach ~74 Tagen Uptime OOM-gekillt — auf 64Mi/128Mi angehoben.
+Außerdem: `sorB`s OIDC-Verknüpfung zeigte durch einen alten Username-Rename fest auf
+`@akadmin:axion1337.chat` statt `@sorb` — umgehängt. Neue Identität `elbojoloco` (verknüpft mit
+`akadmin`) angelegt; ein leeres `@bojeledoggo:axion1337.chat` (Tippfehler-Artefakt) bleibt noch
+zum Aufräumen offen.
+
 ### Authentik Stage 2 – MAS Integration (⏳ Depends on Manual Config) — historisch, siehe Update oben
 **Beschreibung**: Authentik OIDC Provider muss manuell im Authentik Admin UI konfiguriert werden, bevor Stage 2 Deployment möglich ist.
 

Home.md

@@ -68,9 +68,9 @@ PostgreSQL + TURN (turn.axion1337.chat)
 
 | Category | Count | Status |
 |----------|-------|--------|
-| **Completed** | 9 | ✅ K3S, Flux, ESS, Themes, Desktop, Monitoring, TURN, Authentik (Enrollment/Recovery/2FA), coturn-Fix, Element Call Fork |
+| **Completed** | 10 | ✅ K3S, Flux, ESS, Themes, Desktop, Monitoring, TURN, Authentik (Enrollment/Recovery/2FA), coturn-Fix, Element Call Fork, NetworkPolicies |
 | **In Progress** | 0 | — |
-| **Backlog** | 13+ | 📋 DB Backups, NetworkPolicies, MAS custom-template account link, VP9-Retry, etc. |
+| **Backlog** | 12+ | 📋 DB Backups, PostgreSQL Migration, MAS custom-template account link, VP9-Retry, etc. |
 | **Security** | 10 | 🔒 Firewall, SSH, auditd, Kernel hardening, CrowdSec, Falco |
 
 ---