d

docs/ops_center_runtime/HANDOFF_20260419_2125.md

@@ -0,0 +1,95 @@
+# HANDOFF_20260419_2125
+
+更新时间：2026-04-19 21:25 CST
+
+## 本轮结果
+
+`mainland-worker-01` 的 release rollout 已正式成功收口。
+
+关键信息：
+
+- `release_id = 7`
+- `rollout_id = 7`
+- `job_id = 214`
+
+最终状态：
+
+- `job 214 = success`
+- `rollout 7 = completed`
+- `mainland-worker-01.agent_state = online_busy`
+
+## 成功证据
+
+控制面 `job events` 已记录：
+
+- `event_type = agent_completed`
+- `summary_text = release deployed`
+
+结果载荷中已确认：
+
+- `release_version = domaincheck_release_20260419_205437`
+- `restart_results`
+  - `domaincheck-worker.returncode = 0`
+- `health_check.ok = true`
+- `services_checked = ["domaincheck-worker"]`
+- `execstart_alignment.mismatched_services = []`
+
+说明这次已经完整走通：
+
+1. 下载发布包
+2. 解压 release
+3. 切换 `/opt/domaincheck/current`
+4. 重启 `domaincheck-worker`
+5. 健康检查通过
+
+## 为什么这次成功
+
+不是发布逻辑变化了，而是现网权限问题被修掉了。
+
+上一轮失败根因：
+
+- `domaincheck-node-agent` 以 `www` 身份运行
+- 无法执行 `systemctl restart domaincheck-worker`
+- systemd 返回：
+  - `Interactive authentication required`
+
+本轮修复：
+
+- `mainland-worker-01`
+  - `domaincheck-node-agent` 已切为：
+    - `User=root`
+    - `Group=root`
+
+## 当前剩余项
+
+唯一建议立即同步的预防动作：
+
+- 在 `mainland-controller-01` 上，也把 `domaincheck-node-agent` 切成 `root`
+
+原因：
+
+- worker 已经验证这就是 release 闭环最后一层权限门槛
+- controller 如果后续参与自身发布 / restart，同样会遇到同类 systemd 权限问题
+
+建议执行：
+
+```bash
+mkdir -p /etc/systemd/system/domaincheck-node-agent.service.d
+cat >/etc/systemd/system/domaincheck-node-agent.service.d/runtime-user.conf <<'EOF'
+[Service]
+User=root
+Group=root
+EOF
+systemctl daemon-reload
+systemctl restart domaincheck-node-agent
+systemctl show domaincheck-node-agent -p User -p Group
+```
+
+## 当前判断
+
+关于 mainland worker 的发布链，已经不再是阻塞项。
+
+现在可以进入下一步：
+
+- 再决定是否对 `mainland-controller-01` 做同样 root 切换
+- 然后继续 controller acceptance / rollout 收口