README.md 5.0 KB
康师傅企业工作坊独立授权辅助工具 r1
适用对象：fmode01 上的 agent-node-kangshifu，当前 hostname 为 6f03725e5d。企业编号 FKieRbIoGt，appId FKieRbIoGt_main。仅用于补齐这台已安装 r13 的数字人的独立业务授权。
本工具不包含服务令牌、私钥、masterKey、他人绑定或业务数据，也不改工作坊公开文件。当前生产回执证明研究 SSH 可用，但业务绑定不存在。此次先导出收件公钥；不能据此标记业务授权已完成。
当前执行：以 hermes 导出本容器收件公钥
通过现有受控 SSH 到 fmode01，再进入 agent-node-kangshifu。下载、解包和执行均以 hermes(uid 10000) 进行。使用本次发行的固定提交地址，先核 archive 大小和 SHA-256，再独立新目录解包。核 FILES.sha256 全部条目，检查没有重复路径、越界路径或链接。已有 r2 配置仓库与宿主企业映射不动。
先只读确认现有 /opt/data/ksf-key-receive-20261031-* 目录与本容器握手回执。如果已存在本容器自己生成的 RSA 收件密钥，使用其真实目录作为 --key-directory；目录 0700、recipient-private.pem 0600、属主 hermes，密钥至少 3072 位。不要复用旧数字人的目录或密钥。多个目录时依据本容器原握手回执定位，不猜测或删除。
在本辅助工具的独立解包目录执行下列命令；实际目录参数由上述只读检查确定：
node export-recipient.mjs --out /opt/data/ksf-enterprise-recipient-public/recipient.json --key-directory /opt/data/ksf-key-receive-20261031-实际本容器目录后缀
如果确认本容器没有可复用的 RSA 收件密钥，省略 --key-directory；工具会在本容器生成自己的密钥，私钥不离开容器：
node export-recipient.mjs --out /opt/data/ksf-enterprise-recipient-public/recipient.json
工具会先核当前企业配置、hostname、r13 入口和冻结安全脚本哈希。重复执行会核验同一公钥；未知已有输出停止，不覆盖。新建的文件为 0600、目录为 0700。
请回传两项：命令 JSON 回执，以及 recipient.json 的完整 JSON 正文。该文件只有公钥、指纹、企业标识、主机和目录路径，不含私钥或令牌。不要回传 recipient-private.pem、current.json、.env、任何完整配置目录或凭据。
本轮不安装业务绑定、不登记学员、不新建会话或成果、不修改 .env、不重启容器。企业机器人 853000 继续单独处理。
管理端签发与后续接收
管理端取得公钥后，为该容器新建独立 KsfServiceCredential；先创建禁用记录，完成加密交付后才启用并做授权正反校验。范围为 data:read、source:write、ingest:write；项目范围允许工作坊创建的项目，服务端仍检查会话与成果所有者；不授予 data:read-all 或正式报告发布范围。旧数字人的授权不变。
签发端脚本留在管理端，本公开包不读取管理凭据。令牌只在内存与加密信封中使用，交付文件不包含明文令牌或私钥。真正签发后另给 credentialId、scope、交付清单哈希与受控传输位置。加密信封与绑定也不上传公开仓库或企业配置仓库。
收到经受控通道提供的独立加密交付后，以 hermes 运行以下预检和安装；两处“实际…”参数届时以签发回执替换：
node install.mjs --bundle /实际加密交付目录 --sha256 实际FILES清单SHA256 --mode plan
node install.mjs --bundle /实际加密交付目录 --sha256 实际FILES清单SHA256 --mode apply
工具核对企业、当前主机、私钥匹配、四个交付文件、清单哈希及冻结 ksf-secure.mjs；先在内存解密，再安装新的独立绑定。已有未知绑定停止；相同交付可重放；中断后仅补齐相同字节。安装后经现有安全入口实测 workshop-contract，并验证匿名/错误令牌拒绝与新令牌读取授权。
decrypt-envelope.mjs 是既有经核验解密模块的逐字节副本，供 install.mjs 和冻结入口导入；不要单独执行它的历史 CLI。
接收通过后，再从 r2 安装回执确认 packageDirectory，以其 readiness.py 验证研究与业务两端，并按原规则持久注入 KSF_LIBRARY_CHANNEL。宿主重新读取环境、VOC 工具登记/真实调用、新任务实际加载与真实学员保存回读分别验收；本工具不将文件存在等同于这些项目通过。
本地验证与边界
validation.json 记录本地 50 项检查：授权与既有加密信封 23 项、Gogs 路由兼容 8 项、企业初始化回归 19 项。授权写入测试使用内存模拟服务和临时 RSA 密钥，不是目标容器生产验收。本轮未实际签发生产凭据。
Gogs 路由修正仍在本地源代码中，未改已封存 r2 或私有配置仓库。现网缺组织/团队读取路由时可查到组织存在，但不能代替 Owners 团队验证；写操作继续在无法核验 Owners 时停止。已由运维建立的组织和私有仓库保留，不因本次授权补齐而重做。