SergioandClaude Opus 5
4d77d232d3
Tres cosas, y las tres quitan vueltas. 1. NO HACE FALTA NINGUNA CREDENCIAL EN EL WORKER, Y TAMPOCO UN USUARIO NUEVO `tawasuyu/tawasuyu` y `sergio/takana` son repos PÚBLICOS en el gitea. Las 23 recetas que apuntaban a `gitea@git.tawasuyu.net` (SSH, que exige la clave que es el SSH de todo) pasan a `https://git.tawasuyu.net/…`. La URL es locator y NO entra en `hash_inputs` (ADR 0013): hecho con control antes/después, **ningún ArtifactHash se movió**. Medido en el worker: `git clone --mirror --filter=blob:none` + `git archive` extrae el árbol (155 M) **sin una sola credencial**. Un usuario propio en gitea sólo haría falta para un repo PRIVADO; hoy ninguna receta usa uno. Si mañana hace falta, es una cuenta de máquina con acceso al repo que toque — nunca la clave personal. De paso, tres recetas decían «HUB-ONLY: el worker secretless recibe Connection refused». Ya no es cierto y el comentario decía lo contrario de lo que pasa: corregido en las tres. 2. LA COPIA FUERA LA DA LA MUDANZA, NO GITHUB (decisión del usuario) El «paso 1: espejar los 26 repos» deja de ser el paso 1. En cuanto el gitea vive en la caja nueva, esos repos dejan de existir sólo en la máquina que se borra — que es lo que el paso pedía. El objetivo es dejar de pagar dos máquinas, no sumar una dependencia. `espejar-repos.sh` queda como herramienta disponible. 3. EL §9 REESCRITO: qué está hecho, qué falta y en qué orden Hecho y cerrado: la caja arranca takana puro · store/grafos/granja/respaldo · repo firmado · la imagen del perfil servidor con gitea sirviendo 200 supervisado por arje · `arjectl` · y el ensayo con los datos REALES de gioser corriendo sobre takana. Falta, en orden: actualizar la caja a la imagen nueva (`upgrade`, no `dd`) → mudar los datos del gitea (`.backup` + rsync, con el origen parado en el corte) → caddy con los 6 dominios vivos → DNS → verificar desde fuera con un clone real → el resto de servicios del censo → borrar gioser con las 8 puertas en verde. Bloqueantes con su tamaño: `git` sellado sin `remote-http` (afecta a clonar DESDE una caja takana, no al gitea que sirve; re-sella una raíz de `base`) y la puerta 5, que no bloquea la mudanza. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_016Tf9T4vGzsMoT7eS8YzMFn
57 lines
3.0 KiB
TOML
57 lines
3.0 KiB
TOML
# mirada-greeter — el greeter/login de mirada (ventana Llimphi: runtime Elm sobre winit + wgpu).
|
|
# Es el PRIMER consumidor del stack gráfico Mesa en el rootfs de producto tawasuyu: corre como
|
|
# cliente wayland/winit y usa EGL/GLES vía wgpu (backend GL, ya que Mesa 24.0.9 es iris GL-only, sin
|
|
# Vulkan). Ver docs/14-mesa-stack.md §«Lado tawasuyu».
|
|
#
|
|
# Receta Cargo (patrón arje-zero/mirada-ctl): fuente = monorepo tawasuyu al MISMO commit fijado
|
|
# 9a17fefc ⇒ reusa el árbol fetcheado y vendoreado (cargo vendor vendorea TODO el Cargo.lock del
|
|
# workspace, así que wgpu/winit/naga ya están). `-p mirada-greeter`, bin == package.
|
|
#
|
|
# link = DYNAMIC (a diferencia de arje-zero estático): wgpu/winit hacen dlopen de libEGL/libGLESv2/
|
|
# libwayland en runtime ⇒ el binario NO puede ser crt-static (necesita el loader musl + dlopen).
|
|
# `link=dynamic` apaga +crt-static. Deps gráficas (Mesa/wayland/libdrm + sus .pc) materializadas por
|
|
# si algún crate las enlaza/consulta en build-time; el resto se resuelve por dlopen en el rootfs.
|
|
name = "mirada-greeter"
|
|
version = "0.0.1"
|
|
license = "MIT"
|
|
|
|
[source]
|
|
repo = "https://git.tawasuyu.net/tawasuyu/tawasuyu.git"
|
|
commit = "9a17fefcbf63ba74f45cfabc4e608e391e397b17"
|
|
|
|
[build]
|
|
compiler = "zig-cc"
|
|
target = "x86_64-linux-musl"
|
|
link = "dynamic"
|
|
flags = ["-p", "mirada-greeter"]
|
|
|
|
# Fases Cargo EXPLÍCITAS (réplica de la auto-generada de takana) porque hace falta inyectar
|
|
# LOCKSTEP_XML_PATH antes del build: `accesskit_winit` → atspi → `zbus-lockstep-macros`, cuyo
|
|
# `#[validate]` escanea el dir `xml/` de atspi-common llamando `.extension().expect("File has no
|
|
# extension.")` en CADA entrada (zbus-lockstep-macros/src/lib.rs:147) ⇒ PANICA en el SUBDIR
|
|
# `xml/schemas/` (DBus.xsd/Types.xml/XMLSchema.xsd). Apuntando LOCKSTEP_XML_PATH a un dir con sólo
|
|
# los `.xml` se evita el panic. (Fix alternativo más limpio, a futuro: hacer accesskit OPCIONAL en
|
|
# llimphi-ui — el greeter no necesita a11y.) El resto del comando = wrapper zig-cc + RUSTFLAGS
|
|
# idénticos a la fase Cargo de takana (build NATIVO alpine-musl, link dinámico vía -crt-static).
|
|
[build.phases]
|
|
compile = '''
|
|
set -e
|
|
XMLDIR="$PWD/.atspi-lockstep-xml"
|
|
mkdir -p "$XMLDIR"
|
|
cp vendor/atspi-common/xml/*.xml "$XMLDIR"/
|
|
export LOCKSTEP_XML_PATH="$XMLDIR"
|
|
printf '%s\n' '#!/bin/sh' 'for a do' 'case "$a" in --target=*) a=--target=x86_64-linux-musl ;; esac' 'set -- "$@" "$a"' 'shift' 'done' 'exec zig cc -mcpu=baseline "$@"' > "$PWD/.hammer-zig-cc"
|
|
chmod +x "$PWD/.hammer-zig-cc"
|
|
RF="-C linker=$PWD/.hammer-zig-cc"
|
|
rustc -vV | grep -q 'host: .*-alpine-' || RF="$RF -C link-self-contained=no"
|
|
CC="$PWD/.hammer-zig-cc" RUSTFLAGS="$RF" cargo rustc --release --locked --offline -p mirada-greeter -- -C target-feature=-crt-static
|
|
'''
|
|
install = '''
|
|
set -e
|
|
install -Dm755 target/release/mirada-greeter /out/usr/bin/mirada-greeter
|
|
'''
|
|
|
|
[deps]
|
|
# linux-pam: auth-core → crate `pam` → `pam-sys` hace bindgen sobre `security/pam_appl.h` y enlaza libpam.
|
|
build = ["mesa", "wayland", "wayland-protocols", "libdrm", "expat", "zlib", "zstd", "libffi", "pkgconf", "linux-pam"]
|