Fill out OSVauco docs for OPAX-MCP project using ported content from earlier Vauco OS files, with OSVauco/main as canonical.
This commit is contained in:
parent
358e403e0b
commit
5a34aaa1d2
|
|
@ -1,78 +1,124 @@
|
||||||
---
|
# VAUCO OS — AGENTRLEBOOK.md
|
||||||
TITLE Godkjent av Chris Christiansen - AGENT RULEBOOK v1.1
|
# Eier: OPS-Computer-Hub
|
||||||
---
|
# Sist oppdatert: 2026-05-18 2026-05-18 CEST
|
||||||
|
# Godkjent av: Chris Christiansen
|
||||||
Hensikt: Definere ufravikelige rammer for OS-Vauco-tråder (OPS, EXEC, PLAN, AUDIT) og peke på gjeldende «grønn» infrastruktur.
|
|
||||||
|
|
||||||
---
|
|
||||||
TITLE Godkjent av Chris Christiansen - PARAMETRE
|
|
||||||
---
|
---
|
||||||
|
|
||||||
| Parameter | Verdi |
|
## Hensikt
|
||||||
|-------------------|--------------------------------|
|
Immutable regler for alle 4 tråder. Ingen tråd kan overstyre disse.
|
||||||
| GCP Account | chris.christiansen@vauco.no |
|
Endringer krever eksplisitt godkjenning fra Chris.
|
||||||
| GCP Project | propane-will-491900-m5 |
|
|
||||||
| Org | vauco.no (155051211891) |
|
|
||||||
| Region | us-central1 |
|
|
||||||
| GitHub user | chrischristiansen-glitch |
|
|
||||||
| Canonical repo | OSVauco |
|
|
||||||
| Canonical branch | main |
|
|
||||||
|
|
||||||
Forbudte kontoer: tinius.vauger, ccv, jason.vauger.
|
|
||||||
ALDRI bruk region us-west1. ALDRI bruk `vertexai.generativemodels` – kun `from google import genai` er tillatt SDK.
|
|
||||||
|
|
||||||
---
|
|
||||||
TITLE Godkjent av Chris Christiansen - LOCK LIST
|
|
||||||
---
|
---
|
||||||
|
|
||||||
1. DEPLOY GODKJENT – før deploy til Cloud Run.
|
## LOCK LIST — ALDRI ENDRE
|
||||||
2. MERGE APPROVED – før merge til main.
|
|
||||||
3. DEEP DREAM GODKJENT – før strategisk vokabular eksponeres.
|
| Parameter | Verdi |
|
||||||
4. COST GODKJENT – før endringer som påvirker billing.
|
|-------------------|-----------------------------------------------------------------------|
|
||||||
5. IAM GODKJENT – før IAM-endringer / ny service account.
|
| GCP Account | chris.christiansen@vauco.no |
|
||||||
6. NEWREPO – før opprettelse av nye repoer.
|
| Forbudte kontoer | tinius.vauger, ccv, jason.vauger |
|
||||||
|
| GCP Project | propane-will-491900-m5 (Jason-v1) |
|
||||||
|
| Billing | 0171F6-057E6B-A260BA |
|
||||||
|
| Org | vauco.no / 155051211891 |
|
||||||
|
| Region | us-central1 — ALDRI us-west1 |
|
||||||
|
| SDK | `from google import genai` — ALDRI `vertexai.generative_models` |
|
||||||
|
| Agent-rammeverk | Google ADK (tillatt) — andre må eksplisitt `ADK_GODKJENT` av Chris |
|
||||||
|
| GitHub user | chrischristiansen-glitch |
|
||||||
|
| Canonical repo | OSVauco |
|
||||||
|
| Canonical branch | main |
|
||||||
|
|
||||||
---
|
|
||||||
TITLE Godkjent av Chris Christiansen - BOOT-PROTOKOLL
|
|
||||||
---
|
---
|
||||||
|
|
||||||
Alle tråder følger denne rekkefølgen ved oppstart:
|
## HITL-GATES — STOPP OG SPØR ALLTID
|
||||||
|
|
||||||
1. Branch-discovery: list alle branches i canonical repo, finn den som er mest aktiv foran default. Hvis én branch er ≥10 commits foran default: STOPP og spør Chris.
|
1. `DEPLOY GODKJENT` — før deploy til Cloud Run
|
||||||
2. Les eid fil `MASTERHANDOFFv2`/`SYSTEMSTATEAGENTBOOT` fra riktig branch.
|
2. `MERGE APPROVED` — før merge til main
|
||||||
3. Bekreft i én linje: `Boot OK – repo OSVauco, branch main, oppgave Z`.
|
3. `DEEP DREAM GODKJENT` — før strategisk vokabular eksponeres
|
||||||
|
4. `COST GODKJENT` — før endringer som påvirker billing
|
||||||
Boot-script skal skrive fersk state-fil ved hver tråd-oppstart.
|
5. `IAM_GODKJENT` — før IAM-endringer eller ny service account
|
||||||
|
6. `NEWREPO` — før opprettelse av ny repo
|
||||||
|
|
||||||
---
|
|
||||||
TITLE Godkjent av Chris Christiansen - VOCABULARY FIREWALL (kortversjon)
|
|
||||||
---
|
---
|
||||||
|
|
||||||
- Strategiske begreper (Deep Dream, Vauco-arv osv.) brukes kun internt og i egne mapper.
|
## BOOT-PROTOKOLL — kjøres av ALLE tråder ved oppstart
|
||||||
- 3-dagers hard cap per tråd.
|
|
||||||
- Gemini 2.5 Flash for enkle steg, Pro for komplekse.
|
1. Branch-discovery: list alle branches, finn mest aktiv (ahead av default)
|
||||||
- ALDRI rekursive modell-loops.
|
- Hvis 1+ branch er 10+ commits ahead: STOPP og spør Chris
|
||||||
|
- Standard: OSVauco/main er canonical for dette prosjektet
|
||||||
|
2. Les eid fil + MASTER_HANDOFF_v2 + ROADMAP fra riktig branch
|
||||||
|
3. Bekreft i én linje: `Boot OK — branch X, HEAD Y, oppgave Z`
|
||||||
|
|
||||||
---
|
|
||||||
TITLE Godkjent av Chris Christiansen - EIERSKAP-MATRISE
|
|
||||||
---
|
---
|
||||||
|
|
||||||
Regel: én fil, én eier. Andre foreslår via PR; eier merger.
|
## VOCABULARY FIREWALL
|
||||||
|
|
||||||
| Fil | Eier | Andre kan |
|
| Type | Ord | Regel |
|
||||||
|------------------------------|-------|------------------------|
|
|---|---|---|
|
||||||
| docs/AGENT_RULEBOOK.md | OPS | lese |
|
| Offentlig (OK overalt) | Token Ledger, VVN, Provenance, File signature, Client identity record, Cognitive contribution, The system | Fritt bruk |
|
||||||
| docs/ARCHITECTURE.md | PLAN | lese, foreslå PR |
|
| Strategisk (KUN internt) | Pregeverdi, Deep Dream, Vauco-arv, Pregesignatur, T-konto, Work of Living, Pregeverk | KUN i `deep-dream/`-mappe |
|
||||||
| docs/LEARNINGS.md | OPS | lese, foreslå append |
|
|
||||||
| docs/RISKREGISTER.md | AUDIT | lese |
|
|
||||||
| docs/PLANBOARD.md | AUDIT | lese |
|
|
||||||
| SYSTEMSTATEAGENTBOOT.md | EXEC | lese |
|
|
||||||
| TODO.md | EXEC | lese |
|
|
||||||
|
|
||||||
Ground truth wins always:
|
|
||||||
1. Innrøm direkte i én setning når noe er feil.
|
|
||||||
2. Oppdater eid fil med korreksjon.
|
|
||||||
3. Fortsett – aldri forsvar gamle posisjoner.
|
|
||||||
|
|
||||||
---
|
---
|
||||||
EOF v1.1 2026-05-21 OPS-Computer-Hub
|
|
||||||
|
## KOST-DISIPLIN
|
||||||
|
|
||||||
|
- $3/dag hard cap per tråd
|
||||||
|
- `gemini-2.5-flash` for enkle steg, `pro` for komplekse
|
||||||
|
- ALDRI rekursive modell-loops
|
||||||
|
- Hvis tråden bruker $1 på én oppgave: STOPP, rapporter, spør
|
||||||
|
- 80%/95%/100% quota stops aktive
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## FRICTION-REGLER (kodifisert lærdom)
|
||||||
|
|
||||||
|
### TASK-FRICTION-001: Branch-discovery-before-read
|
||||||
|
Preflight må advare hvis non-default branch er 10+ commits ahead.
|
||||||
|
Implementer i: `scripts/preflight-check.sh`
|
||||||
|
|
||||||
|
### TASK-FRICTION-002: SYSTEM_STATE_AGENT_BOOT autogenerering
|
||||||
|
Boot-script skriver fersk state-fil ved hver tråd-oppstart.
|
||||||
|
Implementer i: `scripts/boot-state.sh` (EXEC eier)
|
||||||
|
|
||||||
|
### TASK-FRICTION-003: Eierskap-matrise håndhevet i pre-commit
|
||||||
|
Pre-commit hook avviser commit hvis fil endres av feil tråd.
|
||||||
|
Implementer i: `.githooks/pre-commit` (OPS eier)
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## KORREKSJONS-REGEL
|
||||||
|
|
||||||
|
Ground truth wins always.
|
||||||
|
1. Innrøm direkte i én setning
|
||||||
|
2. Oppdater eid fil med korreksjon
|
||||||
|
3. Fortsett
|
||||||
|
ALDRI forsvar gamle posisjoner.
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## KOMMUNIKASJON MELLOM TRÅDER
|
||||||
|
|
||||||
|
- ML-TRÅD: Chris kopierer melding over
|
||||||
|
- Filer flyter via GitHub (`OSVauco` + tjeneste-repoer)
|
||||||
|
- Aldri direkte tråd-til-tråd — alt via committed MD eller Chris
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## EIERSKAP-MATRISE
|
||||||
|
|
||||||
|
| Fil | Eier | Andre kan |
|
||||||
|
|---|---|---|
|
||||||
|
| VAUCO_OS_MASTER_HANDOFF_v2.md | OPS | lese |
|
||||||
|
| VAUCO_OS_ROADMAP.md | PLAN | lese, foreslå patch via PR |
|
||||||
|
| SYSTEM_STATE_AGENT_BOOT.md | EXEC | lese |
|
||||||
|
| docs/AGENTRLEBOOK.md | OPS | lese |
|
||||||
|
| docs/ARCHITECTURE.md | PLAN | lese, foreslå patch via PR |
|
||||||
|
| docs/LEARNINGS.md | OPS | lese, foreslå append |
|
||||||
|
| docs/RISKREGISTER.md | AUDIT | lese |
|
||||||
|
| docs/PLANBOARD.md | AUDIT | lese |
|
||||||
|
| CHANGELOG.md | OPS | lese |
|
||||||
|
| TODO.md | EXEC | lese |
|
||||||
|
|
||||||
|
Regel: én fil — én eier. Andre foreslår via PR, eier merger.
|
||||||
|
|
||||||
|
---
|
||||||
|
EOF v1.0 — 2026-05-18 — OPS-Computer-Hub
|
||||||
|
|
|
||||||
|
|
@ -1,5 +1,100 @@
|
||||||
---
|
# VAUCO OS — ARCHITECTURE.md
|
||||||
TITLE ARCHITECTURE (stub)
|
# Eier: PLAN-Claude-Architect
|
||||||
|
# Sist oppdatert: 2026-05-18 — OPS-Computer-Hub (bootstrap, tom fil)
|
||||||
|
# Status: STUB — PLAN-Claude-Architect fyller ut ved første boot
|
||||||
|
|
||||||
---
|
---
|
||||||
|
|
||||||
Se lokal kopi i Cloud Shell for full versjon.
|
## Hensikt
|
||||||
|
Single source of truth for systemarkitektur, komponent-diagram og design-kontrakter.
|
||||||
|
Ingen andre tråder skriver denne filen. Andre tråder kan foreslå patcher via PR.
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Komponent-diagram (ASCII)
|
||||||
|
|
||||||
|
```
|
||||||
|
[Chris / Operatør]
|
||||||
|
|
|
||||||
|
-----+------+----------+----------+
|
||||||
|
| | | |
|
||||||
|
OPS EXEC PLAN AUDIT
|
||||||
|
Perplexity Gemini Claude Nemotron
|
||||||
|
Computer 2.5 Pro Sonnet/ (NMT)
|
||||||
|
Opus
|
||||||
|
| | | |
|
||||||
|
+-----+-----+----------+----------+
|
||||||
|
|
|
||||||
|
[GitHub]
|
||||||
|
OSVauco (main)
|
||||||
|
vauco-bootstrap (main)
|
||||||
|
|
|
||||||
|
[GCP / Cloud Run]
|
||||||
|
project: propane-will-491900-m5
|
||||||
|
region: us-central1
|
||||||
|
|
|
||||||
|
[Gemini API]
|
||||||
|
SDK: from google import genai
|
||||||
|
```
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Tråd-kontrakter
|
||||||
|
|
||||||
|
| Tråd | Modell | Eid fil | Konnektor |
|
||||||
|
|---|---|---|---|
|
||||||
|
| OPS-Computer-Hub | Perplexity Computer | AGENTRLEBOOK.md, LEARNINGS.md, CHANGELOG.md | GitHub web, search |
|
||||||
|
| EXEC-Gemini-Workstation | Gemini 2.5 Pro | SYSTEM_STATE_AGENT_BOOT.md, TODO.md | shell, gcloud, git |
|
||||||
|
| PLAN-Claude-Architect | Claude Sonnet/Opus | ARCHITECTURE.md (denne), ROADMAP.md | GitHub UI/API |
|
||||||
|
| AUDIT-NMT-Critic | Nemotron | RISKREGISTER.md, PLANBOARD.md | read-only alle filer |
|
||||||
|
|
||||||
|
Regel: En fil — én eier. Andre tråder foreslår via PR, eier merger.
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Dataflyt
|
||||||
|
|
||||||
|
```
|
||||||
|
OPS --[MD-patch PR]--> PLAN merger
|
||||||
|
EXEC --[SYSTEM_STATE]--> alle leser
|
||||||
|
PLAN --[arch-spec PR]--> EXEC implementerer
|
||||||
|
AUDIT--[PLANBOARD]--> Chris prioriterer
|
||||||
|
|
||||||
|
Filer flyter via: GitHub commits på OSVauco/main
|
||||||
|
Aldri: direkte tråd-til-tråd
|
||||||
|
```
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Avhengigheter
|
||||||
|
|
||||||
|
- `OSVauco/main` er canonical branch for dette prosjektet
|
||||||
|
- Cloud Run avhenger av `vauco-gemini-tui-bridge` og OPAX-MCP-tjenesten
|
||||||
|
- Bridge avhenger av `bridge/`-kode + GCP service account `vauco-dev`
|
||||||
|
- Token economy avhenger av `scripts/token_economy.py` (planlagt)
|
||||||
|
- Pre-commit hook v2 avhenger av `.githooks/pre-commit` (planlagt)
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Åpne spørsmål (max 3)
|
||||||
|
|
||||||
|
1. **Langsiktig repo-struktur?**
|
||||||
|
- A: Behold OSVauco + tjeneste-repoer (nåværende)
|
||||||
|
- B: Slå sammen til monorepo
|
||||||
|
- C: Splitt ytterligere per tjeneste
|
||||||
|
|
||||||
|
2. **Cloud Run min-instances=0 eller 1?**
|
||||||
|
- A: 0 — kutter idle-kostnad (anbefalt H0)
|
||||||
|
- B: 1 — ingen cold start latency
|
||||||
|
- C: Autoscaling med schedule
|
||||||
|
|
||||||
|
3. **IAM: vauco-dev service account scope?**
|
||||||
|
- A: Minimal — kun Vertex AI + Firestore
|
||||||
|
- B: Bred — alle GCP tjenester i prosjektet
|
||||||
|
- C: Per-skill separate accounts
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## STUB-NOTAT
|
||||||
|
Denne filen er opprettet av OPS-Computer-Hub 2026-05-18 som oppstart for dette prosjektet.
|
||||||
|
PLAN-Claude-Architect skal senere erstatte innholdet med komplett draft når Claude-tråden starter. Se `plan_claude_architect_prompt.md`.
|
||||||
|
|
|
||||||
|
|
@ -1,5 +1,92 @@
|
||||||
---
|
# Google Cloud IAP Setup Guide
|
||||||
TITLE IAP-SETUP (stub)
|
|
||||||
---
|
|
||||||
|
|
||||||
Se lokal kopi i Cloud Shell for full versjon.
|
This guide provides the `gcloud` commands to configure Identity-Aware Proxy (IAP) for the Vauco TUI Bridge, securing it so that only `user:chris.christiansen@vauco.no` can access it.
|
||||||
|
|
||||||
|
## 1. Enable Required APIs
|
||||||
|
|
||||||
|
First, enable the IAP API for your project.
|
||||||
|
|
||||||
|
```bash
|
||||||
|
gcloud services enable iap.googleapis.com
|
||||||
|
```
|
||||||
|
|
||||||
|
## 2. Deploy the Service and Create a Load Balancer
|
||||||
|
|
||||||
|
Deploy your Cloud Run service (if you haven't already using the `deploy_cloudrun.sh` script) and then set up a global external HTTPS load balancer that points to it.
|
||||||
|
|
||||||
|
### Create a Serverless NEG
|
||||||
|
```bash
|
||||||
|
gcloud compute network-endpoint-groups create vauco-tui-bridge-neg
|
||||||
|
--region=europe-west1
|
||||||
|
--network-endpoint-type=serverless
|
||||||
|
--cloud-run-service=vauco-tui-bridge
|
||||||
|
```
|
||||||
|
|
||||||
|
### Create a Backend Service
|
||||||
|
```bash
|
||||||
|
gcloud compute backend-services create vauco-tui-bridge-backend
|
||||||
|
--global
|
||||||
|
```
|
||||||
|
|
||||||
|
### Add the NEG to the Backend Service
|
||||||
|
```bash
|
||||||
|
gcloud compute backend-services add-backend vauco-tui-bridge-backend
|
||||||
|
--global
|
||||||
|
--network-endpoint-group=vauco-tui-bridge-neg
|
||||||
|
--network-endpoint-group-region=europe-west1
|
||||||
|
```
|
||||||
|
|
||||||
|
### Create a URL Map
|
||||||
|
```bash
|
||||||
|
gcloud compute url-maps create vauco-tui-bridge-url-map
|
||||||
|
--default-service vauco-tui-bridge-backend
|
||||||
|
```
|
||||||
|
|
||||||
|
### Create a Target HTTPS Proxy
|
||||||
|
```bash
|
||||||
|
# You will need a managed SSL certificate for this step
|
||||||
|
gcloud compute ssl-certificates create vauco-tui-bridge-cert
|
||||||
|
--domains=your-domain.com # Replace with your actual domain
|
||||||
|
|
||||||
|
gcloud compute target-https-proxies create vauco-tui-bridge-https-proxy
|
||||||
|
--url-map=vauco-tui-bridge-url-map
|
||||||
|
--ssl-certificates=vauco-tui-bridge-cert
|
||||||
|
```
|
||||||
|
|
||||||
|
### Create a Global Forwarding Rule (This creates the Load Balancer)
|
||||||
|
```bash
|
||||||
|
gcloud compute forwarding-rules create vauco-tui-bridge-forwarding-rule
|
||||||
|
--global
|
||||||
|
--target-https-proxy=vauco-tui-bridge-https-proxy
|
||||||
|
--ports=443
|
||||||
|
```
|
||||||
|
|
||||||
|
## 3. Enable IAP on the Backend Service
|
||||||
|
|
||||||
|
Now, enable IAP for the backend service you created. You will need your OAuth2 client ID and secret, which can be created in the Google Cloud Console under "APIs & Services" -> "Credentials".
|
||||||
|
|
||||||
|
### Get the Backend Service ID
|
||||||
|
```bash
|
||||||
|
BACKEND_SERVICE_ID=$(gcloud compute backend-services describe vauco-tui-bridge-backend --global --format="value(id)")
|
||||||
|
```
|
||||||
|
|
||||||
|
### Enable IAP
|
||||||
|
```bash
|
||||||
|
gcloud iap web enable --resource-type=backend-service --service=vauco-tui-bridge-backend
|
||||||
|
```
|
||||||
|
|
||||||
|
## 4. Grant Access to the User
|
||||||
|
|
||||||
|
Grant the `IAP-secured Web App User` role to `chris.christiansen@vauco.no`.
|
||||||
|
|
||||||
|
```bash
|
||||||
|
gcloud projects add-iam-policy-binding <YOUR_PROJECT_ID>
|
||||||
|
--member="user:chris.christiansen@vauco.no"
|
||||||
|
--role="roles/iap.httpsResourceAccessor"
|
||||||
|
```
|
||||||
|
|
||||||
|
## 5. Verify Access
|
||||||
|
|
||||||
|
- **Verify access for `chris.christiansen@vauco.no`**: Open a browser where you are logged in as `chris.christiansen@vauco.no` and navigate to the HTTPS URL of the load balancer. You should be able to access the bridge's root endpoint.
|
||||||
|
|
||||||
|
- **Verify access is denied for other accounts**: Open an incognito browser window or a browser where you are logged in with a different Google account. Navigate to the same URL. You should see a "You don't have access" message from Google, not the application.
|
||||||
|
|
|
||||||
|
|
@ -1,5 +1,80 @@
|
||||||
---
|
# VAUCO OS — LEARNINGS.md
|
||||||
TITLE LEARNINGS (stub)
|
# Eier: OPS-Computer-Hub
|
||||||
|
# Format: APPEND-ONLY. Aldri slett, aldri endre eksisterende entries.
|
||||||
|
# Sist oppdatert: 2026-05-18 CEST
|
||||||
|
|
||||||
---
|
---
|
||||||
|
|
||||||
Se lokal kopi i Cloud Shell for full versjon.
|
## Hensikt
|
||||||
|
Kodifisert lærdom fra alle sesjoner. Overlever på tvers av tråder og modellbytter.
|
||||||
|
Andre tråder kan foreslå append via PR — OPS merger.
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## FORMAT PER ENTRY
|
||||||
|
```
|
||||||
|
### LEARNING-NNN: Kort tittel
|
||||||
|
Dato: YYYY-MM-DD
|
||||||
|
Kontekst: Hva skjedde
|
||||||
|
Lærdom: Hva som er sant
|
||||||
|
Regel: Hva som alltid gjøres nå
|
||||||
|
Implementert i: [fil/script/gate]
|
||||||
|
```
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
### LEARNING-001: Branch-blindness koster $0.50+/feil
|
||||||
|
Dato: 2026-05-18
|
||||||
|
Kontekst: Phase A scratchpad sjekket kun `main`-branch i vauco-os. `autoflow-lag-1` var canonical med full operativ kode. Hele Phase A-analysen ble feil, og Phase B-planen ble bygget på feil premiss.
|
||||||
|
Lærdom: Default branch er ALDRI automatisk canonical. Alltid sjekk alle branches og finn den med mest aktive commits.
|
||||||
|
Regel: Boot-protokoll starter ALLTID med branch-discovery. Hvis 1+ branch er 10+ commits ahead av default: STOPP og spør Chris.
|
||||||
|
Implementert i: `docs/AGENTRLEBOOK.md` — BOOT-PROTOKOLL steg 1
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
### LEARNING-002: Handoff-MD er ferskvare — utdatert på 13 timer
|
||||||
|
Dato: 2026-05-18
|
||||||
|
Kontekst: VAUCO_BOOTSTRAP_HANDOFF_NEMOTRON.md ble utdatert samme dag den ble skrevet. MASTER_HANDOFF_v2 måtte lages for å reconcile motstridende info.
|
||||||
|
Lærdom: Statiske handoff-filer divergerer fort fra live state. SYSTEM_STATE_AGENT_BOOT.md (EXEC eier) må regenereres ved hver tråd-boot for å være autoritet på hva som er sant nå.
|
||||||
|
Regel: EXEC-tråden kjører `scripts/boot-state.sh` ved hver sesjon og skriver fersk SYSTEM_STATE_AGENT_BOOT.md.
|
||||||
|
Implementert i: TASK-FRICTION-002 — `scripts/boot-state.sh` (Day 2)
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
### LEARNING-003: 40% av Phase B var nyttig — resten død/avfeilet
|
||||||
|
Dato: 2026-05-18
|
||||||
|
Kontekst: Phase B-plan var bygget på feil premiss (tom remote repo), men inneholdt gode design-elementer: task manager, dev-orchestrate.sh, doc-consolidation layout.
|
||||||
|
Lærdom: Selv feil-premiss-planer kan inneholde nyttige sub-komponenter. Skill økten mellom premiss-validering og løsnings-design.
|
||||||
|
Regel: Før ny plan: verifiser alle premisser eksplisitt. Ground truth wins always. Innrøm direkte, oppdater eid fil, fortsett.
|
||||||
|
Implementert i: `docs/AGENTRLEBOOK.md` — KORREKSJONS-REGEL
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
### LEARNING-004: Pre-commit hook kan ikke skille regel-definisjon fra regelbrudd
|
||||||
|
Dato: 2026-05-18
|
||||||
|
Kontekst: `.githooks/pre-commit` bruker innholdsbasert regex-gate. Fanger `vertexai.generative_models` overalt — inkludert i NEVER-lister og kommentarer.
|
||||||
|
Lærdom: Semantisk korrekt bypass (`--no-verify` eller `git config --unset core.hooksPath`) er riktig for commits som inneholder regel-definisjoner, ikke regelbrudd.
|
||||||
|
Regel: Hook v2 må implementere Argument C: kun match uncommented lines i .py/.sh, og kun utenfor NEVER/blocked/forbid-kontekst i .md.
|
||||||
|
Implementert i: TASK-FRICTION-003 — hook v2 (Day 2)
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
### LEARNING-005: Verdivurdering før commit — tråden kan absorbere korreksjon raskt
|
||||||
|
Dato: 2026-05-18
|
||||||
|
Kontekst: Doc-konsolidering ble nødvendig (LEARNINGS.md, AGENTRLEBOOK.md). Ground-truth-vinner-alltid-prinsippet fungerte raskt i praksis.
|
||||||
|
Lærdom: Kjør verdivurdering ved slutten av hver økt: hva produserte vi, hva er nyttig vs dødt, hvilken læring overlever?
|
||||||
|
Regel: Før tråd-økt avsluttes: oppdater LEARNINGS.md (append), og friction → TASK-FRICTION-NNN i ROADMAP.
|
||||||
|
Implementert i: `docs/AGENTRLEBOOK.md` — FRICTION-REGLER
|
||||||
|
|
||||||
|
---
|
||||||
|
EOF — append videre under denne linjen
|
||||||
|
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
### LEARNING-006: gcloud-CLI deler quota med system-prosesser (32555940559)
|
||||||
|
Dato: 2026-05-18
|
||||||
|
Kontekst: gcloud CLI bruker shared project 32555940559 for cloudresourcemanager API. Loop-scripts trigget 2400 RPM cap. Årsak: boot-script eller watch-prosess listet prosjekter/billing i loop.
|
||||||
|
Lærdom: Quota-hit på shared gcloud-prosjekt er ikke-fatal, forsvinner etter 60s. Sjekk alltid ps aux for spam-prosesser før loop-operasjoner.
|
||||||
|
Regel: 1) Skriv Y ved quota-prompt → 2) vent 60s → 3) kjør preflight.sh på nytt. Ved 429: `ps aux | grep -E "(gcloud|gemini|watch)" | grep -v grep` → kill -9 <PID> ved looping prosess.
|
||||||
|
Implementert i: `scripts/preflight.sh` — kandidat for quota-check i v1.2 (TF-004)
|
||||||
|
|
|
||||||
|
|
@ -1,5 +1,110 @@
|
||||||
---
|
# Google Cloud Secret Manager Setup Guide
|
||||||
TITLE SECRETS-SETUP (stub)
|
|
||||||
---
|
|
||||||
|
|
||||||
Se lokal kopi i Cloud Shell for full versjon.
|
This guide provides the `gcloud` commands to set up secrets in Google Cloud Secret Manager and configure the Cloud Run service to use them.
|
||||||
|
|
||||||
|
## 1. Create Secrets in Secret Manager
|
||||||
|
|
||||||
|
First, create the `CHAT_WEBHOOK_URL` and `GOOGLE_API_KEY` secrets.
|
||||||
|
|
||||||
|
```bash
|
||||||
|
# Create CHAT_WEBHOOK_URL secret
|
||||||
|
echo -n "your-chat-webhook-url" | gcloud secrets create CHAT_WEBHOOK_URL --data-file=-
|
||||||
|
|
||||||
|
# Create GOOGLE_API_KEY secret
|
||||||
|
echo -n "your-google-api-key" | gcloud secrets create GOOGLE_API_KEY --data-file=-
|
||||||
|
```
|
||||||
|
Replace `"your-chat-webhook-url"` and `"your-google-api-key"` with your actual secret values.
|
||||||
|
|
||||||
|
## 2. Grant Secret Accessor Role
|
||||||
|
|
||||||
|
Grant the `Secret Manager Secret Accessor` role to the service account that your Cloud Run service uses. By default, this is the default compute service account.
|
||||||
|
|
||||||
|
```bash
|
||||||
|
# Get your project number
|
||||||
|
PROJECT_NUMBER=$(gcloud projects describe <YOUR_PROJECT_ID> --format="value(projectNumber)")
|
||||||
|
|
||||||
|
# Construct the service account email
|
||||||
|
SERVICE_ACCOUNT_EMAIL="${PROJECT_NUMBER}-compute@developer.gserviceaccount.com"
|
||||||
|
|
||||||
|
# Grant access to CHAT_WEBHOOK_URL
|
||||||
|
gcloud secrets add-iam-policy-binding CHAT_WEBHOOK_URL
|
||||||
|
--member="serviceAccount:${SERVICE_ACCOUNT_EMAIL}"
|
||||||
|
--role="roles/secretmanager.secretAccessor"
|
||||||
|
|
||||||
|
# Grant access to GOOGLE_API_KEY
|
||||||
|
gcloud secrets add-iam-policy-binding GOOGLE_API_KEY
|
||||||
|
--member="serviceAccount:${SERVICE_ACCOUNT_EMAIL}"
|
||||||
|
--role="roles/secretmanager.secretAccessor"
|
||||||
|
```
|
||||||
|
Replace `<YOUR_PROJECT_ID>` with your Google Cloud project ID.
|
||||||
|
|
||||||
|
## 3. Update `bridge/server.py` to Use Secrets
|
||||||
|
|
||||||
|
Modify `bridge/server.py` to read secrets from Secret Manager when it's not running in a local development environment.
|
||||||
|
|
||||||
|
Here is the code patch to apply to `bridge/server.py`. This patch adds a function to retrieve secrets and modifies the `post_to_chat` function to use it.
|
||||||
|
|
||||||
|
```python
|
||||||
|
# Add this import at the top of bridge/server.py
|
||||||
|
from google.cloud import secretmanager
|
||||||
|
|
||||||
|
# Add this function to bridge/server.py
|
||||||
|
def get_secret(secret_id: str, project_id: str, version_id: str = "latest") -> str:
|
||||||
|
"""
|
||||||
|
Get a secret from Google Cloud Secret Manager.
|
||||||
|
"""
|
||||||
|
try:
|
||||||
|
client = secretmanager.SecretManagerServiceClient()
|
||||||
|
name = f"projects/{project_id}/secrets/{secret_id}/versions/{version_id}"
|
||||||
|
response = client.access_secret_version(name=name)
|
||||||
|
return response.payload.data.decode("UTF-8")
|
||||||
|
except Exception as e:
|
||||||
|
print(f"Error accessing secret {secret_id}: {e}")
|
||||||
|
return None
|
||||||
|
|
||||||
|
# The following is a patch for the lifespan context manager in bridge/server.py
|
||||||
|
# --- old
|
||||||
|
# from dotenv import load_dotenv
|
||||||
|
# load_dotenv()
|
||||||
|
# --- new
|
||||||
|
from dotenv import load_dotenv
|
||||||
|
from google.cloud import secretmanager
|
||||||
|
|
||||||
|
load_dotenv()
|
||||||
|
|
||||||
|
def get_secret(secret_id: str, project_id: str, version_id: str = "latest") -> str:
|
||||||
|
"""
|
||||||
|
Get a secret from Google Cloud Secret Manager.
|
||||||
|
"""
|
||||||
|
try:
|
||||||
|
client = secretmanager.SecretManagerServiceClient()
|
||||||
|
name = f"projects/{project_id}/secrets/{secret_id}/versions/{version_id}"
|
||||||
|
response = client.access_secret_version(name=name)
|
||||||
|
return response.payload.data.decode("UTF-8")
|
||||||
|
except Exception as e:
|
||||||
|
print(f"Error accessing secret {secret_id}: {e}")
|
||||||
|
return None
|
||||||
|
|
||||||
|
@asynccontextmanager
|
||||||
|
async def lifespan(app: FastAPI):
|
||||||
|
# Startup
|
||||||
|
if os.getenv("GAE_ENV", "").startswith("standard"):
|
||||||
|
project_id = os.getenv("GOOGLE_CLOUD_PROJECT")
|
||||||
|
if project_id:
|
||||||
|
os.environ["CHAT_WEBHOOK_URL"] = get_secret("CHAT_WEBHOOK_URL", project_id)
|
||||||
|
os.environ["GOOGLE_API_KEY"] = get_secret("GOOGLE_API_KEY", project_id)
|
||||||
|
|
||||||
|
if not os.path.exists(STATE_DIR):
|
||||||
|
os.makedirs(STATE_DIR)
|
||||||
|
|
||||||
|
watcher_task = asyncio.create_task(state_watcher_with_approval_check())
|
||||||
|
print("Bridge server started, watcher with approval check is running.")
|
||||||
|
yield
|
||||||
|
# Shutdown
|
||||||
|
watcher_task.cancel()
|
||||||
|
try:
|
||||||
|
await watcher_task
|
||||||
|
except asyncio.CancelledError:
|
||||||
|
print("Watcher task cancelled.")
|
||||||
|
```
|
||||||
|
Apply this patch to your `bridge/server.py` file. This code checks for the `GAE_ENV` environment variable, which is set in App Engine and Cloud Run environments. If it's present, it fetches the secrets from Secret Manager and sets them as environment variables for the application to use.
|
||||||
|
|
|
||||||
Loading…
Reference in New Issue
Block a user