[2026-10-18] eagle: personal/plans/balda-callee-prism-plan.md

personal/plans/balda-callee-prism-plan.md

@@ -50,3 +50,24 @@ GitHub Actions Broker main не стартовал из-за account billing/spe
 Задачи и их статусы ведутся в локальном Beads/Prism, корневая Story `eb-71b7971ac3fdd03b8ff6b198`. Этот документ задаёт границы приёмки, а не второй backlog. Контракты и команды — в `docs/support.md`, `docs/recovery.md`, `docs/executors.md` репозитория Broker. Исходный work-plan перенесён из Git в [[personal/projects/archive/execution-broker-repo-cleanup-2026-10-16/docs/work-plan]].
 
 Исторические исследования и PR-дневник сохранены отдельно: [[personal/projects/archive/balda-callee-prism-plan-through-2026-10-14]]. Они не описывают текущую установку.
+
+## Открытый пункт: SSH-доступ к Kraken через Execution Broker
+
+**Статус: НЕ сделано.** В принятый объём приёмки 2026-10-16 SSH-хосты не входили; прямого owner SSH-доступа к Kraken в broker'е сейчас нет (профиль `kraken-scoped` есть, хост не зарегистрирован).
+
+Разбор сессии 2026-10-17 (Mattermost `mm-dm-85df8163`) показал три вещи:
+
+1. **Host key получен не тот.** В чат был вставлен юзерский публичный ключ Mac (`mallexxx@Alexeys-MBP`). Для `execution_ssh_request_host` нужен host key самого Кракена (`/etc/ssh/ssh_host_rsa_key.pub`). Команда для получения:
+   ```bash
+   ssh-keyscan -t rsa 192.168.1.15      # с Mac, Kraken в одной LAN
+   ```
+2. **Каталог `kraken-acceptance` не годится для реальной работы.** В нём только fixture-команды (`fixture-create/inspect/remove`, `identity`, `system-info` в `/var/lib/execution-ssh/acceptance`). Команд, чтобы проверить версию Lampa или `docker ps`, нет.
+3. **Адрес/юзер** — из [[family/how-to/kraken-access]]: LAN `kraken@192.168.1.15` (актуальный внешний IP `92.62.77.233`, менять роутер нельзя — правки только через веб-UI).
+
+### План доделки (чтобы хватало одного owner-аппрува)
+
+1. Получить host key: `ssh-keyscan -t rsa 192.168.1.15` на Mac → одна строка `ssh-rsa AAAA…`.
+2. Расширить каталог в `/etc/execution-host-runner/ssh-catalog.json` на стороне broker'а: добавить read-only команды (например `lampa-version`, `docker-ps`) — их источники и флаги `approval_required` согласовать при самой правке.
+3. Из Balda вызвать `execution_ssh_request_host`: address=`192.168.1.15`, user=`kraken`, credential=`kraken-scoped`, catalog=`kraken-acceptance`, host_key — строка из шага 1.
+4. Owner подтверждает заявку через независимый Telegram-бот (единственное «телодвижение»).
+5. Проверить доступ: `system-info` / новая `lampa-version` через `execution_ssh_run` → отчёт версии Lampa в чат.