3.7 KiB
3.7 KiB
D-004. Dev и prod на одном сервере под разными пользователями
Статус: принято, 21.10.2026.
Контекст
Dev и prod живут на одном сервере без Docker. Редактор и сессии Claude работают в dev и не должны иметь доступа к prod.
Решение
| dev | prod | |
|---|---|---|
| Пользователь ОС | vx_dev | vx_prod |
| Папка | /home/vx_dev/veilix_dev |
/home/vx_prod/veilix |
| База и роль | veilix_dev, роль vx_dev |
veilix_prod, роль vx_prod |
| Порт | 3100 | 3000 |
| Домены | dev.veilix.app, dev.my.veilix.app, dev.tg.veilix.app, так же для veilixvpn.com; dev.plc.veilix.cc |
основные; plc.veilix.cc |
- vx — личный пользователь администратора, к проекту отношения не имеет.
- Вся разработка — под vx_dev: VSCode (Remote-SSH), Claude Code и другие ИИ-агенты запускаются только под этим пользователем.
- Под vx_prod — только prod:
a. редактора и ИИ-агентов нет, VSCode Remote под vx_prod не подключаем: при подключении VSCode ставит на сервер свою серверную часть и может подтянуть туда расширения, в том числе ИИ-агентов;
b. своего SSH-входа нет, под vx_prod заходят из root (
sudo -iu vx_prod). - Оба окружения запускаются одинаково — systemd user-юнитами, каждый у своего пользователя.
- Домашние папки —
750, владелец — сам пользователь: секреты, файлы и логи prod сессиям Claude недоступны. - В базу каждый пользователь ОС входит только своей ролью (
peerчерез Unix-сокет), паролей нет; чужие базы закрытыREVOKE CONNECT … FROM PUBLIC. - Код попадает в prod только через Gitea: из dev публикуется тег, vx_prod забирает его ключом только на чтение и собирает релиз.
- Выкладку запускает пользователь под vx_prod. По желанию — sudo-правило, разрешающее vx_dev запускать от имени vx_prod только команду выкладки (Q-18).
- Домены хранятся в базе, поэтому у dev просто свои записи в своей базе.
Рассмотренные варианты
- Один пользователь для обоих окружений — проще, но сессии Claude и любой процесс dev технически достают до секретов и базы prod.
- Prod под личным пользователем vx — под ним работают редактор и ИИ-агенты, защита держалась бы только на дисциплине.
- Docker-контейнеры для изоляции — пользователь не хочет Docker.
Последствия
- Ошибки prod сессии Claude не видят напрямую: логи присылает пользователь.
- Отдельные deny-правила Claude Code для prod не нужны.
- Переезд разработки на vx_dev — задача R-00 (09-infrastructure.md, раздел 8).