Announcer skal kjøre standalone på klienten som er koblet til anlegget, i
Docker – aldri på utviklingsmaskina. install.sh installerte nativt med apt
og uv, og det passer ikke lenger.
- install.sh er nå en Docker-bootstrap: installerer Docker om den mangler,
lager .env med riktig bruker-ID og portbinding, oppretter data/, bygger,
starter, og setter ufw. Den rydder også bort gamle native enheter, både
announcer.service og sg-announcer.service.
- Dockerfile kopierer koden inn istedenfor å låne den fra et bind-mount, så
det som kjører i drift er uavhengig av hva som ligger i mappa.
- Alt som skal overleve en ny container ligger i data/ på verten. Bind-mount
og ikke navngitt volum, med vilje: da kan man lese
data/logs/announcements.jsonl og slippe egne jingler i data/chimes/ uten å
gå inn i containeren, og eierskapet følger brukeren istedenfor root.
- Testriggen er flyttet til compose.test.yaml, med eget prosjektnavn, så den
ikke kan forveksles med eller forstyrre drift.
Lyden ut av containeren krever tre ting, og de er dokumentert i AGENTS.md:
hele XDG_RUNTIME_DIR montert inn (ikke bare pipewire-socketen – PulseAudio
trenger pulse/native og en cookie i samme mappe, og da virker begge
lydservere), user: PUID:PGID lik eieren av socketen, og en innlogget grafisk
økt. Containeren starter ved boot, altså før innlogging, så avspilling feiler
til noen logger inn – det retter seg selv, siden player_cmd() slås opp per
melding. Verifisert: lyden spiller fra driftscontaineren.
Brannmuren er den viktige endringen fra nativ tid. Dockers publiserte porter
settes opp i nat-tabellen, før ufws regler, så en ufw-regel på porten gjør
ingenting. Tilgangen styres nå av BIND_IP i .env, og install.sh setter den til
NetBird-adressen når wt0 finnes. ufw settes fortsatt for ssh, men er ikke
involvert i tilgangen til announcer.
Testriggen bindes nå til 127.0.0.1. Den sto med PIN 1234 publisert på
0.0.0.0, og gikk altså forbi ufw ut på LAN-et.
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Crew-panelet har ikke OIDC ennå, så OIDC-veien kunne ikke prøves i det hele
tatt – bare enhetstestes mot et stubbet HTTP-lag. Dette gir noe å faktisk
logge inn i.
docker compose up --build
localhost:8091 announcer med PIN, JWT og OIDC slått på samtidig
localhost:9000 docker/dummy_idp.py, som står for crew-panelet
8091 med vilje, så den ikke kolliderer med tjenesten på 8090.
Dummy-IdP-en kjører en ekte autorisasjonskode-runde: den krever PKCE med
S256, avviser feil code_verifier, bruker koden bare én gang, og signerer
id_token med klienthemmeligheten. Du velger hvem du logger inn som – Kari
(crew), Kent (admin) eller Ola, som har null roller og dermed skal gi 403
og ikke 401. /token?who=kari&go=1 logger deg inn via token-lenka, slik
panelet skal gjøre.
To ting i oppsettet som ser rart ut, men ikke er det:
- authorization_endpoint peker på localhost:9000 fordi nettleseren skal
dit, mens token_endpoint peker på idp:9000 fordi announcer selv snakker
med den inne i compose-nettet. Delt horisont. Det tester samtidig at
manuelle endepunkter virker, som er veien når et panel mangler discovery.
- UV_PROJECT_ENVIRONMENT=/opt/venv i bildet: /app er et bind-mount av
repoet, og uten den ville containerens uv sync overskrevet .venv som den
kjørende tjenesten bruker.
/run/user/1000 er montert inn, så pw-play i containeren spiller på vertens
anlegg. Det er verifisert; kommenter ut linja hvis du bare skal teste UI.
Docker er bare for testing. På en ekte maskin kjører appen nativt med
install.sh, fordi lyden skal ut på maskinens egen lydutgang.
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
