42 lines
3.7 KiB
Markdown
42 lines
3.7 KiB
Markdown
# D-004. Dev и prod на одном сервере под разными пользователями
|
|
|
|
Статус: принято, 21.10.2026.
|
|
|
|
## Контекст
|
|
|
|
Dev и prod живут на одном сервере без Docker. Редактор и сессии Claude работают в dev и не должны иметь доступа к prod.
|
|
|
|
## Решение
|
|
|
|
| | dev | prod |
|
|
|---|---|---|
|
|
| Пользователь ОС | vx_dev | vx_prod |
|
|
| Папка | `/home/vx_dev/veilix_dev` | `/home/vx_prod/veilix` |
|
|
| База и роль | `veilix_dev`, роль `vx_dev` | `veilix_prod`, роль `vx_prod` |
|
|
| Порт | 3100 | 3000 |
|
|
| Домены | `dev.veilix.app`, `dev.my.veilix.app`, `dev.tg.veilix.app`, так же для veilixvpn.com; `dev.plc.veilix.cc` | основные; `plc.veilix.cc` |
|
|
|
|
1. vx — личный пользователь администратора, к проекту отношения не имеет.
|
|
2. Вся разработка — под vx_dev: VSCode (Remote-SSH), Claude Code и другие ИИ-агенты запускаются только под этим пользователем.
|
|
3. Под vx_prod — только prod:
|
|
a. редактора и ИИ-агентов нет, VSCode Remote под vx_prod не подключаем: при подключении VSCode ставит на сервер свою серверную часть и может подтянуть туда расширения, в том числе ИИ-агентов;
|
|
b. своего SSH-входа нет, под vx_prod заходят из root (`sudo -iu vx_prod`).
|
|
4. Оба окружения запускаются одинаково — systemd user-юнитами, каждый у своего пользователя.
|
|
5. Домашние папки — `750`, владелец — сам пользователь: секреты, файлы и логи prod сессиям Claude недоступны.
|
|
6. В базу каждый пользователь ОС входит только своей ролью (`peer` через Unix-сокет), паролей нет; чужие базы закрыты `REVOKE CONNECT … FROM PUBLIC`.
|
|
7. Код попадает в prod только через Gitea: из dev публикуется тег, vx_prod забирает его ключом только на чтение и собирает релиз.
|
|
8. Выкладку запускает пользователь под vx_prod. По желанию — sudo-правило, разрешающее vx_dev запускать от имени vx_prod только команду выкладки (Q-18).
|
|
9. Домены хранятся в базе, поэтому у dev просто свои записи в своей базе.
|
|
|
|
## Рассмотренные варианты
|
|
|
|
1. Один пользователь для обоих окружений — проще, но сессии Claude и любой процесс dev технически достают до секретов и базы prod.
|
|
2. Prod под личным пользователем vx — под ним работают редактор и ИИ-агенты, защита держалась бы только на дисциплине.
|
|
3. Docker-контейнеры для изоляции — пользователь не хочет Docker.
|
|
|
|
## Последствия
|
|
|
|
1. Ошибки prod сессии Claude не видят напрямую: логи присылает пользователь.
|
|
2. Отдельные deny-правила Claude Code для prod не нужны.
|
|
3. Переезд разработки на vx_dev — задача R-00 ([09-infrastructure.md](../09-infrastructure.md), раздел 8).
|