[2026-09-26] eagle: family/documents/vault-sync/2026-09-26-syncthing-clone-root-objects-acl-confusion.md family/how-to/vault-git-sync.md personal/plans/balda-mm-phase4-agents.md personal/tech/docker_colima_setup.md personal/tech/macos-docker-virtiofs-mount-limits.md personal/tech/truenas-nfs4-acl-and-arrmultiuser.md

personal/plans/balda-mm-phase4-agents.md

@@ -1,6 +1,8 @@
 # Фаза 4 — исполнитель на Mac + `~/agents` + секция «Agents» в Eagle Dashboard
 
-> План. **Работа НЕ начата** (образ не собран, контейнер не запущен).
+> План. **Шаг 1 выполнен** (2026-09-26): образ собран, контейнер `balda-executor` Up (healthy),
+> `claude 2.1.283` + `codex 0.157.1` внутри, монтирования проверены в обе стороны.
+> ⏳ Осталось в шаге 1: логин CLI (нужен апрув на копирование auth-файлов).
 > Часть [[personal/projects/balda/balda-mm-delegation-plan]] (Фазы 4-5).
 > Предыдущее: [[personal/projects/balda/balda-kraken-mm-deploy]] (Фаза 3 ✅ — бот отвечает Alex).
 
@@ -15,6 +17,7 @@
 | 3 | Управление линками в `~/agents` | Новая секция «Agents» в Eagle Dashboard |
 | 4 | Auth CLI (claude/codex) | на хосте, `~/cli-auth`, **вне** `~/agents` |
 | 5 | Сеть Kraken → Mac | Cloudflare Tunnel (существующий cloudflared на Mac) |
+| 6 | Провайдер исполнителя (открытый п.1) | `claude` — оба CLI стоят в образе, переключение через `EXECUTOR_PROVIDER` в `.env` |
 
 ---
 
@@ -68,6 +71,13 @@ diff + тесты + коммит → Балда → Mattermost
 | Codex auth | `~/cli-auth/codex` | `/root/.codex` | 0700 |
 | OAuth-токен Claude | `~/Docker/balda-executor/.env` | env | 0600 |
 
+📌 **Основной путь авторизации — не `claude setup-token`, а копия auth-файлов** из
+`~/.claude`/`~/.codex`. Токен в `.env` — запасной вариант для headless без монтирования.
+Выбранный вариант: копируются `~/.claude/.credentials.json` + `~/.claude/.claude.json` и
+`~/.codex/auth.json` + `~/.codex/config.toml`. Полные каталоги **не** копируются:
+`~/.codex` содержит ~640 МБ sqlite-логов/состояний (`logs_2.sqlite`, `state_5.sqlite`,
+`memories_1.sqlite`, `queue_1.sqlite`) — исполнителю не нужны, а вес и шум дают.
+
 Пересборка образа и обновление CLI auth не сбрасывают. Токены вне `/agents` → агент их не видит.
 
 ---
@@ -111,26 +121,77 @@ GET    /api/agents/{name}/usage        → размер
 
 ## 6. Шаги
 
-### Артефакты, уже созданные на диске (2026-09-26)
+### ✅ Шаг 1 ВЫПОЛНЕН (2026-09-26)
 
-Созданы **до** подтверждения плана — статус «черновик», при старте сверить и доделать:
+Артефакты на диске (все сверены и рабочие; черновики от 15:36 доведены до состояния «собрано и запущено»):
 
-| Путь | Что |
-|---|---|
-| `~/agents` | рабочая область (drwxr-xr-x, `admin:staff`) |
-| `~/cli-auth/{claude,codex}` | auth CLI, 0700, **вне** `~/agents` |
-| `~/Docker/balda-executor/Dockerfile` | Node 24 + claude + codex + git, HEALTHCHECK |
-| `~/Docker/balda-executor/docker-compose.yml` | 4 тома, сеть `executor-net`, лимит 8G |
-| `~/Docker/balda-executor/.env` | ⏳ не создан (токен) |
+| Путь | Что | Состояние |
+|---|---|---|
+| `~/agents` | рабочая область (`admin:staff`) | ✅ монтируется в `/agents`, запись в обе стороны проверена |
+| `~/cli-auth/{claude,codex}` | auth CLI, 0700, **вне** `~/agents` | ✅ монтируются в `/root/.claude`, `/root/.codex` |
+| `~/Docker/balda-executor/Dockerfile` | `node:24-bookworm` + claude + codex + git + `tini` | ✅ исправлен (см. ниже) |
+| `~/Docker/balda-executor/docker-compose.yml` | 3 тома, сеть `executor-net`, `build:` | ✅ исправлен (см. ниже) |
+| `~/Docker/balda-executor/agents-mounts.yaml` | манифест внешних проектов (пустой список) | ✅ создан |
+| `~/Docker/balda-executor/tools/render-mounts.py` | генератор `compose.override.yaml` | ✅ создан, `--check` работает |
+| `~/Docker/balda-executor/compose.override.yaml` | **генерируется**, руками не править | ✅ сгенерирован |
+| `~/Docker/balda-executor/.env` | 0600, `EXECUTOR_PROVIDER=claude` | ✅ создан (без секретов) |
 
-`docker-compose.yml` ссылается на `compose.override.yaml`, который генерирует
-`tools/render-mounts.py` из `agents-mounts.yaml` — **override вручную не править**.
-Ни образ не собран, ни контейнер не запущен.
+**Что уже работает (проверено):**
+```
+balda-executor   Up (healthy)   balda-executor:0.1.0
+claude  → 2.1.283 (Claude Code)
+codex   → codex-cli 0.157.1
+```
+`~/agents` ↔ `/agents` пишется в обе стороны; рестарт контейнера состояние сохраняет;
+auth-каталоги хоста видны внутри.
 
-**1. `~/agents` + `~/cli-auth` + контейнер (~2 ч)**
-`mkdir ~/agents`, `~/cli-auth/{claude,codex}` 0700 → `~/Docker/balda-executor/Dockerfile`
-(Node 24 + claude + codex + git) → `docker-compose.yml` с 4 томами → `claude setup-token` в `.env` 0600 →
-проверка `claude --version`, `codex --version`, повторный `up -d` остаётся залогинен.
+#### 🔴 Три исправленных дефекта черновика (не повторять)
+
+| Дефект | Симптом | Фикс |
+|---|---|---|
+| `env_file: .env` без файла | `docker compose up` падает на старте | `.env` создаётся **первым** шагом, 0600 |
+| Нет `compose.override.yaml` | `up` падает на монтировании несуществующего пути | `tools/render-mounts.py` запускается **до** `up` |
+| `FROM node:24-bookworm` без явных CA | — | `ca-certificates` + `update-ca-certificates` в Dockerfile (условие работы HTTPS у CLI) |
+
+#### ⚠️ На macOS этой машины — `docker-compose`, НЕ `docker compose`
+
+Docker CLI 29.4.1 + buildx как плагин (`~/.docker/cli-plugins/`), а compose — **отдельный бинарь**
+`/opt/homebrew/bin/docker-compose` (v5.1.3) с симлинком в `/opt/homebrew/lib/docker/cli-plugins/`.
+`docker compose` → `docker: unknown command: docker compose`; `docker compose config --quiet` →
+`unknown flag: --quiet`.
+
+📌 **Все команды в этом проекте — через `docker-compose`**, включая `docker-compose config` (без `--quiet`).
+
+#### Сборка образа (сработавшая команда)
+
+```bash
+cd ~/Docker/balda-executor
+python3 tools/render-mounts.py --check     # 0 записей, ошибок нет
+python3 tools/render-mounts.py             # → compose.override.yaml
+docker-compose config --services           # → executor (валидация)
+docker buildx build --builder arm64builder --platform linux/arm64 \
+  --provenance=false --load -t balda-executor:0.1.0 .
+docker-compose up -d
+docker-compose restart                     # проверка переживания рестарта
+```
+
+⚠️ Билдер — `arm64builder` (colima, `docker-container` driver). Дефолтный билдер
+(`default` → `/var/run/docker.sock`) в статусе `error` — не использовать.
+⚠️ `deploy.resources.limits.memory: 8G` из черновика **убран**: в не-swarm compose
+эта секция молча игнорируется, лимит создавал ложное ощущение защиты.
+
+#### ⏳ Осталось в шаге 1: логин CLI (ждёт апрува)
+
+`~/cli-auth/claude` пуст, в `~/cli-auth/codex` только `tmp/`. Копировать **только auth-файлы**,
+не целые каталоги (`~/.codex` ≈ 640 МБ служебных sqlite — агенту не нужны):
+
+| CLI | Хост | Куда |
+|---|---|---|
+| claude | `~/.claude/.credentials.json`, `~/.claude/.claude.json` | `~/cli-auth/claude/` |
+| codex | `~/.codex/auth.json`, `~/.codex/config.toml` | `~/cli-auth/codex/` |
+
+📌 В `~/cli-auth` кладётся **копия** (оригиналы на месте, `~/.claude` не переезжает):
+у агента-исполнителя свои токены, изолированные от рабочих. Права `~/cli-auth` = 0700.
 
 **2. Мост (~3-4 ч)**
 `~/Developer/agents-bridge/`, FastAPI :8790, `POST /task` (idempotency), `GET /task/{id}`, `GET /healthz`;
@@ -167,9 +228,11 @@ MCP-инструмент в Балде → `POST /task`; проба `echo ok > /
 
 ## 8. Открыто
 
-1. Провайдер исполнителя — claude или codex
-2. Нужен ли `ask`-апрув в будущем
-3. Hostname для моста (`agents-bridge.qentra.top`?)
+1. ~~Провайдер исполнителя — claude или codex~~ → **claude** (оба в образе, переключение `EXECUTOR_PROVIDER`)
+2. ~~Нужен ли `ask`-апрув в будущем~~ → при `allow_all` не нужен; при потребности начинать с варианта B (апрув в мосте, ~0.5 дня)
+3. Hostname для моста (`agents-bridge.qentra.top`?) — ждёт шага 3
+4. ⏳ **Апрув на копирование auth-файлов CLI** в `~/cli-auth` — блокирует завершение шага 1
+5. Порт моста `8790` — проверено, свободен (`lsof -nP -i :8790`)
 
 ## Связанные заметки
 - [[personal/projects/balda/balda-mm-delegation-plan]] — общий план (Фазы 4-5)