OpenBAO/systemd/gitea-cert-renew.timer at main - OpenBAO - Gitea: Git with a cup of tea

lutz/OpenBAO

Files

lutz 14275a5627 Auto-Unseal beim Boot und internes Zertifikat fuer gitea.famfi.home

Beim ersten Neustart seit 106 Tagen (2026-09-20) zeigte sich: der Unsealer kommt
versiegelt hoch, die Hauptinstanz startet daraufhin endlos neu und nichts kann mehr
Secrets lesen - Backups, Traefik-Zertifikate, Skripte. Bisher musste das jemand
von Hand entsiegeln.

- scripts/unseal-unsealer.sh + systemd/openbao-auto-unseal.service: entsiegelt die
  Sidecar nach docker.service, startet die Hauptinstanz nach und schreibt die Metrik
  openbao_unsealer_unsealed (cp1 alarmiert darauf). Idempotent.
  Zwei Fallstricke, die das Skript umgeht: `bao operator unseal -` (Schluessel ueber
  stdin) wird abgelehnt, und `bao status` liefert Exit 2 bei versiegelt - was trotzdem
  heisst, dass der Container antwortet.
  Der Schluessel liegt in /etc/openbao-unsealer.key (root, 0400), nicht im Repo.
- scripts/renew-gitea-cert.sh + systemd/gitea-cert-renew.*: gitea.famfi.home bekommt
  ein Zertifikat aus der eigenen PKI (90 Tage, Erneuerung ab 21 Tagen Restlaufzeit),
  Aufbau wie bei renew-openbao-cert.sh.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-09-26 09:25:44 +02:00

11 lines

187 B

SYSTEMD

Raw Permalink Blame History

 [Unit]
 Description=Taeglicher Check/Renew des internen Zertifikats fuer gitea.famfi.home
 [Timer]
 OnCalendar=daily
 Persistent=true
 RandomizedDelaySec=1h
 [Install]
 WantedBy=timers.target