Rebuild profile router as secure recoverable v2

2026-08-20 13:41:00 +02:00
parent bdd6c08643
commit fd4a3055e8
18 changed files with 1162 additions and 129 deletions
@@ -65,6 +65,17 @@ Das bestehende `deploy/install.sh` installiert Router, Vision/Bild-Worker,
 Whisper und XTTS. Vor produktiver Verwendung müssen Modellpfade in der
 systemd-Datei gegen das lokale Manifest geprüft werden.

+Der Installer erzeugt `/etc/mike-ai/router-api-key` (0600), installiert das
+Profilregister und legt die atomare Zustandsablage an. Danach wird der Key
+einmal manuell in die Secret-Stores der erlaubten Clients übernommen. Er darf
+nicht im Terminal-Log, in Screenshots oder in Git dokumentiert werden.
+
+Der Router läuft aktuell als gehärteter Root-Dienst, weil er den
+llama.cpp-Systemdienst und temporäre GPU-Worker kontrolliert. Das ist eine
+bewusste Restabweichung. Ein späterer V3-Schritt soll den HTTP-Proxy als eigenen
+Benutzer ausführen und nur Profil-/Hotswap-Befehle an einen fest
+parametrisierten Root-Helper delegieren.
+
 ## 8. Websuche

 TinySearch und SearXNG bleiben als einziges Docker-Teilsystem isoliert. Die