Replace GraphQL Unraid MCP with MUA

2026-08-23 22:08:31 +02:00
1 parent b723f820bf
commit a3297dbdd9
@@ -51,7 +51,6 @@ Das Skript nimmt ausschließlich auf:

 - `/etc/mike-ai` einschließlich aller Fach-MCP-Secrets,
 - `/root/mike-ai-install.env`,
- das lokale `runraid`-Binary, falls vorhanden,
 - das produktive Dokumentations-Overlay unter `/opt/mike-ai/stack/docs`,
 - Vorschläge, Sicherungen und Auditstatus des Platform Context MCP unter
  `/data/mike-ai-platform-context`,
@@ -15,7 +15,7 @@
 | Platform Context MCP | Athena-/MikeAI-Wissen, begrenzter Laufzeitsnapshot und kontrollierte Dokumentationspflege | eigener Container ohne Docker-Socket, Shell, Egress oder Secrets | Kern |
 | Athena Operator MCP | Entwicklung und vollständiger Betrieb der KI-Plattform mit gebundenen Freigaben | unprivilegierte MCP-Fassade plus rootseitiger strukturierter Executor; keine freie Shell | Kern |
 | Operator-Kontext | `docs/QWEN_OPERATOR_CONTEXT.md` plus `config/operator-system-prompt.txt` | versionierte Selbstbeschreibung und Sicherheitsregeln für Qwen | Kern |
-| Unraid-MCP | lokales `runraid`-Binary | eigener optionaler Container | optional |
+| Unraid/MUA | MUA-Plugin auf dem HomeServer, direkter MCP-Endpunkt | read-only Automatik plus bewusst aktivierte Verwaltung in Open WebUI | Kern |
 | Whisper | ggml-org/whisper.cpp | Service im Router-Deploy | optional |
 | XTTS-v2 | Coqui, offizielles CUDA-12.1-Image per Digest | RTX-3060-Container, Stimme `Annmarie Nele`, CPML | Kern |
 | TTS-Gateway | `platform/docker/tts-gateway/` | interne Queue, stabile deutsche Satzblöcke, automatische Erkennung rein englischer Texte und Piper-Fallback | Kern |
@@ -175,6 +175,11 @@ mit erweiterten Verwaltungsrechten bleibt von der Automatik ausgeschlossen;
 eine automatisch bereitgestellte Verbindung erteilt niemals Schreibrechte
 oder eine Änderungsfreigabe.

+Unraid ist ausschließlich über das MUA-Plugin angebunden. Die automatische
+Verbindung `mua-readonly-local` und die bewusst aktivierte Verbindung `mua`
+nutzen denselben MUA-Endpunkt. Der frühere GraphQL-basierte Unraid-MCP wurde
+entfernt und gehört weder zum Start noch zum Recovery.
+
 Der GitHub-Container läuft produktiv. Token-Datei, interner
 Streamable-HTTP-Handshake, fehlende Host-Portfreigabe und exakt vier
 read-only Werkzeuge wurden am 23. August 2026 verifiziert.
@@ -162,10 +162,14 @@ vorhanden ist:
 /etc/mike-ai/homeassistant-admin-mcp.env
 /etc/mike-ai/arr-mcp.env
 /etc/mike-ai/navidrome-mcp.env
-/etc/mike-ai/runraid/.env
-/usr/local/bin/runraid                  Version 0.4.2
+/etc/mike-ai/mua-mcp.env
 ```

+Die MUA-Datei wird nach `config/mua-mcp.env.example` angelegt und mit Modus
+`0600` geschützt. Sie verbindet Open WebUI direkt mit dem MUA-Plugin auf dem
+Unraid-HomeServer. Unraids GraphQL-API wird nicht benötigt und soll deaktiviert
+bleiben.
+
 Nach dem Nachreichen einer Datei genügt:

 ```bash
@@ -53,8 +53,7 @@ Das Skript prüft zuerst die Archiv-Hashes und übernimmt ausschließlich:
 - die persistente OpenWebUI-Datenbank samt Einstellungen und Uploads,
 - das zur Datenbank passende, gesicherte OpenWebUI-Container-Image,
 - den dazugehörigen WebUI- und Router-Schlüssel,
- die freigegebenen HA-, ARR- und Unraid-Secrets,
- `runraid`, dessen privaten Schlüssel, Zertifikat und Known-Hosts-Datei.
+- die freigegebenen HA-, ARR- und MUA-/Unraid-Secrets.

 Es übernimmt bewusst **keine** alten Compose-Dateien, Routerprofile,
 Experimentdienste oder `.before-*`-Altstände. Vor dem Ersetzen des frischen
@@ -71,6 +71,9 @@ erzeugt nicht ungefragt eine zweite Deemix-Instanz.
 Automatische Unraid-Abfragen verwenden einen eigenen MUA-Read-only-Zugang, der
 in Open WebUI ausschließlich Diagnosewerkzeuge sichtbar macht. Der vollständige
 MUA-Verwaltungszugang bleibt davon getrennt und muss bewusst gewählt werden.
+Beide Verbindungen sprechen denselben MCP-Endpunkt des MUA-Plugins auf dem
+HomeServer an. Athena betreibt keinen zusätzlichen Unraid-GraphQL-MCP; die
+GraphQL-API von Unraid darf deaktiviert bleiben.

 Open WebUI und Router veröffentlichen keinen normalen Host-Port. Der
 WireGuard-Gateway-Container stellt nur die vorgesehenen VPN-Endpunkte bereit.
@@ -239,7 +239,7 @@ Netzzugriff. Kein MCP-Port wird am Host veröffentlicht.
 | Home Assistant | Zustände, Historie, Diagnose, begrenzte YAML-Abläufe | Lesen; Schreiben nur Preview/Approval |
 | ARR | Sonarr/Radarr, Indexersuche, kontrollierte Grabs | Lesen; Schreiben nur Preview/Approval |
 | Navidrome | Bibliothek, Empfehlungen, Playlists/Favoriten | eigener Benutzer; gezielt aktivieren |
-| Unraid | Host-, Docker-, Array-, Netzwerk- und Logdiagnose | read-only Standard |
+| MUA read-only | Host-, Docker-, Array-, Netzwerk- und Logdiagnose | automatischer Standard |
 | MUA/Admin | eng definierte Unraid-Verwaltung | bewusst aktivieren |

 Für automatische Unraid-Diagnose existiert in Open WebUI zusätzlich
@@ -247,6 +247,8 @@ Für automatische Unraid-Diagnose existiert in Open WebUI zusätzlich
 blendet aber Start/Stop, Installation, Änderungen und die freie Root-Shell
 serverseitig in Open WebUI aus. Die vollständige Verbindung `mua` wird niemals
 automatisch bereitgestellt.
+Es gibt keinen zweiten GraphQL-basierten Unraid-MCP. Schlägt MUA fehl, darf
+nicht auf GraphQL ausgewichen oder dessen API eigenmächtig aktiviert werden.

 Der vorhandene Deemix-Dienst läuft auf Unraid und ist als externe Abhängigkeit
 im Diensteverzeichnis eingetragen. Für ein Deemix-MCP wird standardmäßig nur
@@ -56,8 +56,8 @@ Im Repository gesichert sind inzwischen:
 Noch extern zu beschaffen und exakt festzuhalten sind:

 - Home-Assistant-MCP
- `runraid` 0.4.2 für den read-only Unraid-MCP
- gegebenenfalls eigener Unraid-Administrations-MCP
+- MUA-Plugin auf dem Unraid-HomeServer sowie die root-only gesicherte
+  `/etc/mike-ai/mua-mcp.env`
 - LLama-GUI, falls sie erhalten bleibt

 Jede noch externe Komponente bekommt zusätzlich: