Thore Cimbal
f3417a4b24
Externalises what this session held that the migrated repo did not: - vision/threadnet.md: the three capabilities that justify the forks beyond rebranding (AV scanning into encrypted rooms, call-quality defaults with a client-side-only privacy line, expiring guest access via @concierge). - issue 0043 (M5): case-insensitive uniqueness in the matrix-invitation prompt stage — the open residual of ADR-0011. - issue 0044 (M5): auto-restart consumers on SOPS values-secret change — the footgun behind the on_conflict fix sitting inactive until a manual restart. - issue 0045 (M1): report_event.admin_message_md unset — content reports dead-end with no contact path (verified still open against live config). - sources/protokolle: the raw apo-call diagnosis history, including the four ruled-out hypotheses and the harmful DB write, as the source behind the AAR. STATUS.md regenerated (M5 appears for the first time). validate, gen_status --check, upstream_drift and pruefe_prosa all green in the CI image.
1.7 KiB
type, id, status, created, milestone, priority, area, related
| type | id | status | created | milestone | priority | area | related | |
|---|---|---|---|---|---|---|---|---|
| issue | 0044 | open | 2026-08-11 | M5 | low | infrastructure |
|
SOPS-Values-Secret-Änderung startet den konsumierenden Dienst nicht neu
Problem / Motivation
Beim Ausrollen des on_conflict: fail-Fixes (ADR-0011) trat ein Footgun zutage:
Flux aktualisierte das SOPS-verwaltete Secret ess-mas-values-secret, aber der
laufende MAS-Pod war älter als die Änderung und behielt die alte Config im
Speicher — MAS liest seine Config nur beim Start. Der Sicherheits-Fix stand auf
der Platte, war im Prozess aber nicht aktiv, bis ein manueller
kubectl rollout restart folgte. „committet ≠ deployed ≠ aktiv."
Das betrifft nicht nur MAS: jeder Dienst, der ein von Flux/SOPS gepflegtes Values-Secret nur beim Start liest, hat dieselbe stille Lücke. Aktuell ist die einzige Absicherung die in ADR-0011 festgeschriebene manuelle Restart-und- Verifikations-Regel — leicht zu vergessen.
Acceptance
- Änderungen an einem konsumierten Values-Secret lösen automatisch einen Rollout
des abhängigen Deployments aus (z. B. Checksum-/Hash-Annotation auf dem
Pod-Template, ein Reloader wie stakater/Reloader, oder ein
configMapGenerator/secretGenerator-Namenshash in kustomize). - Verifiziert an MAS: Änderung am Secret → neuer Pod ohne Handeingriff, jünger als die Änderung.
- Mindestens MAS abgedeckt; idealerweise als wiederverwendbares Muster für weitere von SOPS-Secrets gespeiste Dienste.
Notes
Automatisiert nur den bereits in ADR-0011 vorgeschriebenen manuellen Schritt —
daher priority: low. M5, weil die Fähigkeit (Auto-Reload) neu ist, nicht kaputt.