overmind: OVERMIND-01 GitLab-Registry aktivieren, Images nach Konsument sortieren

hosts/overmind.md

@@ -29,8 +29,39 @@ threadnet-call, thread-net-git, threadnet-operating, axion1337.chat-gitops) —
 nach rohana/Gitea, direkte Gitea-Pushes tabu. Gitea bleibt: Flux-Source (via Mirror
 beliefert), Registry, Packages, Issues, Backlogs (dieses Repo, ungespiegelt).
 
-## Offene Punkte
+## OVERMIND-01 — GitLab-Container-Registry aktivieren, Images nach Konsument sortieren
 
-Aktuell keine eigenen offenen IDs — CI-Betriebsthemen laufen über die Projekt-Issues
-(ThreadNet-Web#5 Windows-Strecke, threadnet-call#1 npm-Ziel) und CFGMON-11
-(Gitea-CI-Rückbau). Bei künftigen Overmind-spezifischen Punkten: Präfix `OVERMIND-`.
+**Status:** in Arbeit (2026-07-31)
+
+Die eingebaute GitLab-Registry ist aus (kein `registry_external_url` im Omnibus-Config).
+Folge: lab-interne Build-Images (`windows-vm`, `element-desktop-build`) machen den Umweg
+Lab-CI → rohana (Prod, Internet) → zurück ins Lab — koppelt Lab-Infrastruktur unnötig an
+die Verfügbarkeit des Prod-Hosts.
+
+**Ziel-Sortierung nach Konsument:**
+- **rohana (Gitea) behält**: `sorb/threadnet-web` (App-Image — Flux/Prod pullt es),
+  npm-Packages
+- **Lab-Registry (`registry.git.lab`) bekommt**: `windows-vm`,
+  `element-desktop-build` — beides konsumiert nur das Lab selbst
+
+**Umsetzung** (TLS terminiert wie bei `git.lab` der Dokploy-Proxy):
+1. Omnibus-Config: `registry_external_url 'https://registry.git.lab'`,
+   `registry_nginx['listen_port'] = 5050`, `registry_nginx['listen_https'] = false`;
+   Port 5050 in der Compose exposen
+2. Lab-DNS: `registry.git.lab` → `10.58.73.17`
+3. Dokploy: Domain `registry.git.lab` → GitLab-Service Port 5050 (Zertifikat von der
+   aXionLabs-CA wie gehabt)
+4. Docker-Daemon-Trust auf Overmind: CA-Kette nach
+   `/etc/docker/certs.d/registry.git.lab/ca.crt` (Datei liegt schon als
+   `/tmp/git.lab.crt` vom Runner-Setup — kopieren reicht; kein Daemon-Restart nötig)
+5. CI-Umstellung: `vendor/windows` pusht nach `registry.git.lab` (Bonus: GitLabs
+   eingebaute `$CI_REGISTRY`/`$CI_JOB_TOKEN`-Auth statt Gruppen-Secrets),
+   `desktop_image`/`desktop_linux` in ThreadNet-Web folgen; Registry-Speicher liegt im
+   `gitlab_data`-Volume (278 G frei)
+
+**Nächster Schritt:** Punkte 1–4 (User via Dokploy/DNS), danach CI-Umstellung (Punkt 5).
+
+---
+
+Weitere CI-Betriebsthemen laufen über die Projekt-Issues (ThreadNet-Web#5
+Windows-Strecke, threadnet-call#1 npm-Ziel) und CFGMON-11 (Gitea-CI-Rückbau).