Secrets, Telegram-Bot und Vorprüfungen für den Rollout (Inhaber) #29

New Issue

2026-10-16T05:58:33Z

Nick.Rosenloecher commented

2026-10-16 05:58:33 +00:00

Ziel

Alle Geheimnisse und Vorprüfungen, die das neue Image und die Worker-Rolle zum Start brauchen, sind erledigt, bevor Runbook-Schritt 3 läuft.

Offen

bash deploy/k8s/scripts/ensure-secrets.sh --dry-run, danach ohne --dry-run: ergänzt fehlende MFA_ENCRYPTION_KEY, WEBHOOK_ENCRYPTION_KEY, BACKUP_ENCRYPTION_KEY (zufällig), OPEN_METEO_API_KEY (leer) und TELEGRAM_BOT_TOKEN (Platzhalter) – vorhandene Werte bleiben unverändert
Die neuen Schlüssel sicher außerhalb des Clusters aufbewahren (ohne sie sind MFA, Webhook-Secrets und Backups nicht mehr lesbar)
Ein vorhandenes BACKUP_ENCRYPTION_KEY nicht ändern
Vorprüfung (ohne Werte auszugeben): kein Wert in apicore-backend-secret beginnt mit change-me, besonders JWT_REFRESH_SECRET
Vorprüfung: SHOW TIME ZONE; auf der Live-DB und DATABASE_URL ohne options=
Telegram: Bot bei BotFather anlegen (Gruppen aus mit /setjoingroups, kein Webhook), Token ins Secret apicore-telegram, Benutzernamen als TELEGRAM_BOT_USERNAME in deploy/k8s/overlays/encry/configmap-backend.yaml

Abhängigkeiten / Blocker

Secrets legt nur der Inhaber an. Danach geht es in #28 weiter.

Grundlage

Rückgrat-Runbook Schritt 3, deploy/k8s/scripts/ensure-secrets.sh, ARCHITECTURE.md Abschnitt 7 „Telegram-Secret“ und Abschnitt 9 „Umgebungsvariablen seit T4b/T4c“.

Status

Code: ja (Skript) · Geprüft: nein · Gemergt: ja · Produktiv: nein
Stand: 2026-10-16 (Quelle: git origin/main b48fb157, Cluster-Abfrage 2026-10-16, Session-Status vs-code-ff, Memory)

## Ziel Alle Geheimnisse und Vorprüfungen, die das neue Image und die Worker-Rolle zum Start brauchen, sind erledigt, bevor Runbook-Schritt 3 läuft. ## Offen - [ ] `bash deploy/k8s/scripts/ensure-secrets.sh --dry-run`, danach ohne `--dry-run`: ergänzt fehlende `MFA_ENCRYPTION_KEY`, `WEBHOOK_ENCRYPTION_KEY`, `BACKUP_ENCRYPTION_KEY` (zufällig), `OPEN_METEO_API_KEY` (leer) und `TELEGRAM_BOT_TOKEN` (Platzhalter) – vorhandene Werte bleiben unverändert - [ ] Die neuen Schlüssel sicher außerhalb des Clusters aufbewahren (ohne sie sind MFA, Webhook-Secrets und Backups nicht mehr lesbar) - [ ] Ein vorhandenes `BACKUP_ENCRYPTION_KEY` nicht ändern - [ ] Vorprüfung (ohne Werte auszugeben): kein Wert in `apicore-backend-secret` beginnt mit `change-me`, besonders `JWT_REFRESH_SECRET` - [ ] Vorprüfung: `SHOW TIME ZONE;` auf der Live-DB und `DATABASE_URL` ohne `options=` - [ ] Telegram: Bot bei BotFather anlegen (Gruppen aus mit `/setjoingroups`, kein Webhook), Token ins Secret `apicore-telegram`, Benutzernamen als `TELEGRAM_BOT_USERNAME` in `deploy/k8s/overlays/encry/configmap-backend.yaml` ## Abhängigkeiten / Blocker Secrets legt nur der Inhaber an. Danach geht es in #28 weiter. ## Grundlage Rückgrat-Runbook Schritt 3, `deploy/k8s/scripts/ensure-secrets.sh`, `ARCHITECTURE.md` Abschnitt 7 „Telegram-Secret“ und Abschnitt 9 „Umgebungsvariablen seit T4b/T4c“. ## Status Code: ja (Skript) · Geprüft: nein · Gemergt: ja · Produktiv: nein Stand: 2026-10-16 (Quelle: git origin/main b48fb157, Cluster-Abfrage 2026-10-16, Session-Status vs-code-ff, Memory)