HANDOFF — Vauco OS

Sist oppdatert: 2026-06-28 20:58 CEST Skrevet av: Gemini (for Chris Christiansen) Status: Fase C — Emma lokal agent operativ. Gitea er primær Git. GitHub fasa ut.

⚠️ KRITISKE REGLER — les alltid først

Hovedapp: main.py i rot — IKKJE agents/core-logic/app.py
Dockerfile: agents/core-logic/Dockerfile — WORKDIR /app, CMD uvicorn main:app
Region: us-central1 | Service: osvauco-agent | Prosjekt: propane-will-491900-m5
ALDRI --audiences-flag med gcloud auth print-identity-token — det er for service accounts, ikke user accounts
IAP identity token: hentes fra GCE metadata server, IKKE fra gcloud CLI
Smoke-test: peker alltid på /health
Primær Git: http://34.59.131.162:3000/chris/OSVauco — GitHub er IKKJE lenger i bruk
Emma rapporterer til: Chris Christiansen chris.christiansen@vauco.no — ingen andre kan gi GO

✅ KJENT PROBLEM: IAP 401 fra VM — LØST

🎯 NESTE OPPGAVE

Cloud Build trigger ID — finn i Cloud Console: https://console.cloud.google.com/cloud-build/triggers?project=propane-will-491900-m5 Kopier ID til scripts/trigger-cloudbuild.sh linje TRIGGER_AGENT=""
Gitea post-receive hook — se scripts/gitea-post-receive.sh
Aktiver emma-alias permanent i ~/.bashrc

✅ Fullført i dag (2026-06-28)

Oppgave	Commit	Status
`emma/emma_seed.py` — LEARNINGS 001-016 + boot-minne	`6726da23`	✅
`emma/emma_guardrails.py` — 5-nivå risikoscoring	`6726da23`	✅
`emma/emma_opax.py` — OPAX-kobling med identity token	`6726da23`	✅
`emma/emma_identity.py` — identitet injisert i alle LLM-prompts	`31a405ad`	✅
`emma/emma_gitea.py` — direkte Gitea-tilgang	`31a405ad`	✅
`emma/setup.sh` — VM-bootstrap én kommando	`47ade3d5`	✅
`.gemini/GEMINI.md` — NO-SEARCH-blokk øverst, deduplisert	`87b2dced`	✅
`docs/HANDOFF.md` — IAP 401 diagnose dokumentert	denne	✅

✅ Fullført tidligere (2026-06-18) — IAP Auth fix for opax-mcp

Oppgave	Status
Identifisert rotårsak: feil IAP audience i identity token-kall	✅
Lagt til `roles/iap.httpsResourceAccessor` for `jason-vauger` SA	✅
Oppdatert `opax-mcp/server.py` — ny env var `OPAX_IAP_CLIENT_ID`	✅
Revisjon `opax-mcp-00020` aktiv med 100% trafikk	✅

🖥 Systemstatus

Komponent	URL / Referanse	Status
osvauco-agent (Cloud Run)	https://osvauco-agent-zjbgp3prqg-uc.a.run.app	✅ Live
opax-mcp (Cloud Run)	https://opax-mcp-357036551735.us-central1.run.app	✅ Live (rev 00020)
opax.vauco.no IAP	https://opax.vauco.no	✅ LØST 2026-06-28 (IAP role lagt til compute SA)
Jason (Vertex AI Agent)	Agent Engine, us-central1	✅ Live
Gitea (self-hosted)	http://34.59.131.162:3000	✅ Live (v1.22.6)
Emma på VM	`~/OSVauco/emma/`	✅ morphic.db 164K, 38 mønstre seedet
emma-alias		⏳ legg til i ~/.bashrc
GitHub (legacy)	https://github.com/vauco-saas/OSVauco	⚠️ Faset ut

🔑 Credentials

Gitea API-token: Secret Manager → gitea-api-token
MCP-Secret: Secret Manager → mcp-secret
Prosjekt: propane-will-491900-m5
IAP OAuth Client ID (opax backend): 357036551735-kq8nt7ld38hfqlcfb3n52ef7tala4meo.apps.googleusercontent.com
VM compute SA: 357036551735-compute@developer.gserviceaccount.com

🎯 Gjenstår (prioritert)

IAP 401-diagnose — kjør 4 diagnosesteg, gi IAP-rettighet til compute SA hvis mangler
Bootstrap Emma på VM — synk Gitea + kjør setup.sh
DNS/TLS for Gitea (git.vauco.no)
GPU VM-arbeid (planlagt)

🏗 Arkitektur

Bruker
  └─► Jason (Vertex AI Agent Engine, Gemini 2.5 Pro)
        └─► osvauco-agent (Cloud Run)
              └─► opax-mcp (Cloud Run)
                    └─► [IAP] opax.vauco.no

osvauco-dev-vm
  └─► Gemini CLI (denne agenten)
  └─► Emma (lokal MDP/MCoT-agent, ikke bootstrappt ennå)
        ├─► Morfisk minne (SQLite)
        ├─► Guardrails (5-nivå)
        ├─► OPAX-klient (identity token)
        └─► Gitea-klient

Auth-flyt VM → opax.vauco.no (IAP):

VM (Gemini CLI eller Emma)
  → curl metadata.google.internal → identity token (audience = IAP_CLIENT_ID)
  → curl https://opax.vauco.no -H "Authorization: Bearer $TOKEN"
  → IAP validerer token mot roles/iap.httpsResourceAccessor
  → HTTP 200 (eller 401 hvis SA mangler rollen)

NOTAT: gcloud auth print-identity-token virker KUN for user accounts mot Cloud Run.
       For IAP må du bruke metadata server (GCE) eller service account key.

📚 Relevante docs

Dok	Innhold
`docs/LEARNINGS.md`	Append-only lærdomslogg — LEARNING-001 til 016
`docs/AGENT_RULEBOOK.md`	Boot-protokoll, deploy-regler
`.gemini/GEMINI.md`	Instrukser til Gemini CLI på VM (dette er deg)
`emma/setup.sh`	VM-bootstrap — klon, venv, install, seed
`docs/DNS-OG-INFRASTRUKTUR.md`	DNS-kart, IAP-routing, forwarding rules

5.2 KiB Raw Blame History