feat(ausrollen): Public Keys mit Trockenlauf und Backup ausrollen (#016)

Zuweisungen von Public Keys an Hosts oder Hostgruppen, ein Trockenlauf mit Diff je Ziel und das Ausrollen genau dieses Plans. Hat sich die Datei oder das Soll seit dem Trockenlauf geaendert, bricht das Ziel ab: es wird nie etwas anderes geschrieben, als jemand gesehen hat. Auf dem Host geschieht alles als Zielbenutzer, mit Sicherung, Temp- Datei, mv und 0700/0600; der Hash wird dort erneut geprueft. Der Deployment-Key gehoert immer zum Soll des Anmeldebenutzers. Integrationstests gegen echtes sshd, die Oberflaechenbausteine folgen mit der Schluesselseite aus #012. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-10-12 10:17:35 +02:00
parent 1358055e40
commit f66d87ad11
13 changed files with 1339 additions and 3 deletions
@@ -0,0 +1,60 @@
+import { mkdtempSync, rmSync, writeFileSync } from "node:fs";
+import { randomBytes } from "node:crypto";
+import { tmpdir } from "node:os";
+import path from "node:path";
+import { prisma } from "@/lib/db";
+import { verschluesseln } from "@/lib/geheimnisse";
+import { vorgangAusfuehren } from "@/worker/ausfuehren";
+import { masterKeyVergessen } from "@/worker/geheimnisse";
+import { HANDLER } from "@/worker/handler";
+import { rootPasswort, type Ziel } from "./ziele";
+
+/** Gemeinsame Vorbereitung fuer Integrationstests: Master-Key, Host mit Bootstrap (#016). */
+
+export function masterKeyAnlegen(): () => void {
+  const verzeichnis = mkdtempSync(path.join(tmpdir(), "sshkv-master-"));
+  const datei = path.join(verzeichnis, "master.key");
+  writeFileSync(datei, randomBytes(32), { mode: 0o600 });
+  process.env["SSHKV_MASTER_KEY_FILE"] = datei;
+  masterKeyVergessen();
+  return () => rmSync(verzeichnis, { recursive: true, force: true });
+}
+
+export async function vorgangLaufen(
+  art: "HOSTKEY_ABRUFEN" | "BOOTSTRAP" | "TROCKENLAUF" | "AUSROLLEN",
+  daten: {
+    hostId?: string;
+    eingabe?: object;
+    geheim?: string;
+    angefordertVonId?: string;
+  },
+) {
+  const vorgang = await prisma.vorgang.create({
+    data: {
+      art,
+      hostId: daten.hostId ?? null,
+      eingabe: daten.eingabe ?? {},
+      angefordertVonId: daten.angefordertVonId ?? null,
+    },
+  });
+  await vorgangAusfuehren(vorgang.id, HANDLER, daten.geheim);
+  return prisma.vorgang.findUniqueOrThrow({ where: { id: vorgang.id } });
+}
+
+/** Host anlegen, Host-Key vertrauen, Bootstrap per root-Passwort. */
+export async function eingerichteterHost(
+  ziel: Ziel,
+  name: string,
+  anmeldeart: "DIENSTBENUTZER" | "ROOT" = "DIENSTBENUTZER",
+) {
+  const host = await prisma.host.create({ data: { name, adresse: ziel.host, port: ziel.port, anmeldeart } });
+  await vorgangLaufen("HOSTKEY_ABRUFEN", { hostId: host.id });
+  await prisma.hostSchluessel.updateMany({ where: { hostId: host.id }, data: { status: "VERTRAUT" } });
+  const bootstrap = await vorgangLaufen("BOOTSTRAP", {
+    hostId: host.id,
+    eingabe: { modus: "passwort", benutzer: "root" },
+    geheim: verschluesseln(rootPasswort()),
+  });
+  if (bootstrap.status !== "ERLEDIGT") throw new Error(`Bootstrap fehlgeschlagen: ${bootstrap.fehler}`);
+  return prisma.host.findUniqueOrThrow({ where: { id: host.id } });
+}