m3ta-chiron
0cc0b5064d
Tiefen-Validierung via 'nix build .#nixosConfigurations.AZ-TC-NN.config.
system.build.toplevel' hat mehrere reale Bugs gefunden, die 'nix flake
check' nicht sah. Alle drei Pilot-Hosts bauen jetzt sauber durch.
Gefixst:
- freerdp3 → freerdp (umbenannt in nixpkgs-unstable)
- SDDM Theme.Logo will INI-Atom (string), nicht Nix-path → '${path}'
- security.pam.mount.extraVolumes will list-of-string, nicht ein String
- sudoers: 'domain admins' muss als 'domain\ admins' escaped werden
- agenix file-Pfade: ../../secrets/ → ../../../secrets/ (Tiefe korrigiert)
- snapper: config.services.snapper.package gibt es nicht → pkgs.snapper
- samba4Full entfernt (blockiert durch ceph-common python metadata issue
in nixpkgs-unstable; Thin Clients brauchen es nicht — cifs-utils reicht)
- corp-wifi-ca.pem durch gültiges Dummy-PEM ersetzt (openssl-generiert,
mit明显 REPLACE-MARKER; build kann PEM parsen)
Functional gemacht:
- Alloy: echtes River-Config mit loki.source.journal + loki.write statt
barem logging-stub. Journal-Logs mit host/unit/severity-Labels nach
Loki.
- Snipe-IT: echte Check-in-Logik via curl + jq. Lookup by asset_tag,
PATCH falls exists, POST falls neu. startAt täglich 03:30. API-Token
via agenix (snipeit-api-token.age).
- node_exporter push: realer curl-Push alle 60s mit retry on failure.
Safety:
- Placeholder-Assertions in roles/thin-client/default.nix: build schlägt
fehl, wenn wifi.ssid/hotline/company noch Placeholder sind (außer
site='staging'). Pilot-Hosts haben site='staging' bis echte Werte da.
- assets/corp-wifi-ca.pem hat deutlich sichtbaren REPLACE-Hinweis.
Neue Options:
- az.tc.monitoring.snipeItUrl (default: snipeit.az-group.local)
Neue Secrets (Placeholder .age-Files zum Ausfüllen):
- snipeit-api-token.age (fleet-wide shared)
41 lines
1.1 KiB
Nix
41 lines
1.1 KiB
Nix
# roles/thin-client/deployment/snapper.nix
|
|
#
|
|
# BTRFS snapshots for the root subvolume via snapper. Snapshots taken
|
|
# before and after each `nixos-rebuild switch`, plus hourly/daily.
|
|
#
|
|
# Q18 decision: Generation-Picker + BTRFS-Snapshot.
|
|
{config, lib, pkgs, ...}: let
|
|
inherit (lib) mkIf;
|
|
cfg = config.az.tc;
|
|
in {
|
|
config = mkIf cfg.enable {
|
|
services.snapper = {
|
|
snapshotRootOnBoot = true;
|
|
configs = {
|
|
root = {
|
|
SUBVOLUME = "/";
|
|
ALLOW_USERS = ["root"];
|
|
TIMELINE_CREATE = true;
|
|
TIMELINE_CLEANUP = true;
|
|
TIMELINE_LIMIT_HOURLY = "12";
|
|
TIMELINE_LIMIT_DAILY = "7";
|
|
TIMELINE_LIMIT_WEEKLY = "4";
|
|
TIMELINE_LIMIT_MONTHLY = "0";
|
|
};
|
|
};
|
|
};
|
|
|
|
# Take a snapshot before any nixos-rebuild switch — hooks into the
|
|
# toplevel system path activation.
|
|
system.activationScripts.snapperPreSwitch = {
|
|
deps = [];
|
|
text = ''
|
|
if [ -d /.snapshots ]; then
|
|
${pkgs.snapper}/bin/snapper -c root create \
|
|
-d "pre-switch $(date +%Y-%m-%d-%H%M)" || true
|
|
fi
|
|
'';
|
|
};
|
|
};
|
|
}
|