Add encrypted configuration backup and planned restore

deploy/setup_docker_helper.py

@@ -1,6 +1,7 @@
 #!/usr/bin/env python3
 """Provision Deck's fixed Unix-socket helper; does not install Docker itself."""
 import argparse
+import json
 import os
 from pathlib import Path
 import shutil
@@ -9,7 +10,7 @@ import subprocess
 MARKER='# Athena Deck Docker helper — managed by setup_docker_helper.py'
 
 def main():
- p=argparse.ArgumentParser();p.add_argument('--client-uid',type=int,required=True);p.add_argument('--client-gid',type=int,required=True);p.add_argument('--allow-install',action='store_true',help='Erlaubt Erstinstallation über die authentifizierte Deck-GUI auf einem unbenutzten Debian-Host.');args=p.parse_args()
+ p=argparse.ArgumentParser();p.add_argument('--client-uid',type=int,required=True);p.add_argument('--client-gid',type=int,required=True);p.add_argument('--allow-install',action='store_true',help='Erlaubt Erstinstallation über die authentifizierte Deck-GUI auf einem unbenutzten Debian-Host.');p.add_argument('--deck-state');args=p.parse_args()
  if os.geteuid()!=0 or not Path('/run/systemd/system').is_dir():raise SystemExit('Als root auf dem Debian-Zielserver mit systemd ausführen.')
  if args.client_uid<1 or args.client_gid<1:raise SystemExit('Eigene unprivilegierte Deck-UID und GID erforderlich.')
  base=Path('/opt/athena-deck-docker-helper');unit=Path('/etc/systemd/system/athena-deck-docker-helper.service')
@@ -20,6 +21,15 @@ def main():
  target=base/'docker_helper.py'
  if target.is_symlink():raise SystemExit('Symlink-Ziel nicht zulässig.')
  shutil.copyfile(Path(__file__).with_name('docker_helper.py'),target);os.chown(target,0,0);target.chmod(0o644);(base/'managed-by-deck').touch()
+ shutil.copyfile(Path(__file__).with_name('docker_backup.py'),base/'docker_backup.py')
+ (base/'swarm-ui').mkdir(exist_ok=True)
+ for name in ('Dockerfile','patch-source.py','proxy.py','entrypoint.py'):
+  shutil.copyfile(Path(__file__).parent/'swarm-ui'/name,base/'swarm-ui'/name)
+ if args.deck_state:
+  registered=Path(args.deck_state).resolve()
+  if not registered.is_dir():raise SystemExit('Deck-Zustandsverzeichnis fehlt.')
+  state=Path('/var/lib/athena-deck-docker');state.mkdir(exist_ok=True)
+  config=state/'backup-policy.json';config.write_text(json.dumps({'deck_state':str(registered)}));config.chmod(0o600)
  command=f'/usr/bin/python3 {target} --client-uid {args.client_uid} --client-gid {args.client_gid}'+(' --allow-install' if args.allow_install else '')
  unit.write_text(MARKER+f'''
 [Unit]
@@ -38,6 +48,7 @@ NoNewPrivileges=true
 ProtectHome=true
 PrivateTmp=true
 ProtectSystem={'false' if args.allow_install else 'strict'}
+ReadWritePaths=-{args.deck_state or '/var/lib/athena-deck'}
 [Install]
 WantedBy=multi-user.target
 ''')
@@ -45,5 +56,5 @@ WantedBy=multi-user.target
  subprocess.run(['/usr/bin/systemctl','daemon-reload'],check=True)
  subprocess.run(['/usr/bin/systemctl','enable','athena-deck-docker-helper.service'],check=True,capture_output=True)
  subprocess.run(['/usr/bin/systemctl','restart','athena-deck-docker-helper.service'],check=True)
- print('Deck-Docker-Helfer eingerichtet. Installationsrecht: '+('Erstinstallation erlaubt' if args.allow_install else 'nur lesender Bestand'))
+ print('Deck-Docker-Helfer eingerichtet. Installationsrecht: '+('Erstinstallation erlaubt' if args.allow_install else 'Bestand und begrenzter Backup-Restore; keine Paketinstallation'))
 if __name__=='__main__':main()