[2026-09-21 15:02:05] taiga-vault: family/documents/vault-sync/2026-09-21-bare-repo-push-permission-denied.md

family/documents/vault-sync/2026-09-21-bare-repo-push-permission-denied.md

@@ -88,10 +88,34 @@ git rev-parse HEAD; git rev-parse nas/main   # оба 3b923d3
 
 ## Remaining (открытые вопросы)
 
-1. **Наследование не проверено на практике** — root-инстанс `mcpvault` при следующем пуше создаст объекты; с inherit права должны наследоваться, но это подтвердит только реальный push того инстанса.
+1. ~~**Наследование не проверено на практике**~~ — **проверено 2026-09-21 15:05 UTC** (read-only с Taiga), см. раздел «Верификация наследования» ниже. Наследование работает.
 2. **`mcpvault` продолжает работать от root** — пока он root, дефект может вернуться. Профилактика: перезапустить его под uid 950.
 3. **`cleanup` не видит `/media/movies`** — на Кра́кене удаляются только Radarr-файлы; просмотренное лежит в `/media/movies`, диск будет расти. Отдельная задача (см. `family/plans/watchlist-disk-overflow-fix.md`).
 
+## Верификация наследования (2026-09-21 15:05 UTC, read-only с Taiga)
+
+Проверка без записи, прямо в bare-репозитории (`/vault.git` из контейнера Taiga):
+
+```
+ls -ld objects/*/
+  всего 152 каталога: 124 × 950:950, 28 × root:950
+  режим у всех — drwxrwxr-x и выше, т.е. группа 950 имеет w
+  каталогов без w у владельца: 0
+```
+
+Каталоги, созданные **после** ACL-фикса (mtime `2026-09-21 14:02 UTC`, коммит Eagle `a060c38f`):
+`objects/98/`, `objects/b1/` — владелец `root`, но режим `drwxrwxr-x` (группа 950 = `rwx`).
+Значит новый root-владельческий каталог объектов **записываем для uid 950** —
+durable-фикс с `FILE_INHERIT`+`DIRECTORY_INHERIT` работает: push из-под `truenas_admin`
+в root-owned дерево проходит. Определяющий тест из раздела «Верификация (и её предел)»
+фактически выполнен `git push`–ом Eagle, а не `touch`–ем.
+
+Подтверждение со стороны sync Таiga: тик `15:00:56 UTC` — exit 0, три фазы `Pushed ✓`,
+все три SHA равны (`a060c38f`), `git status --porcelain` пуст в обоих клонах.
+
+Актуально остаётся только п.2 (`mcpvault` всё ещё под root) — но сам факт root-владельца
+новых объектов push больше не блокирует.
+
 ## Связанные
 
 - `personal/tech/truenas-nfs4-acl-and-arrmultiuser.md` — полный рецепт + прошлый кейс 2026-09-02