OpenBAO/systemd/gitea-cert-renew.service at 14275a56271634e8ac783b77e3f59d3299b17fec - OpenBAO - Gitea: Git with a cup of tea

lutz/OpenBAO

Files

lutz 14275a5627 Auto-Unseal beim Boot und internes Zertifikat fuer gitea.famfi.home

Beim ersten Neustart seit 106 Tagen (2026-09-20) zeigte sich: der Unsealer kommt
versiegelt hoch, die Hauptinstanz startet daraufhin endlos neu und nichts kann mehr
Secrets lesen - Backups, Traefik-Zertifikate, Skripte. Bisher musste das jemand
von Hand entsiegeln.

- scripts/unseal-unsealer.sh + systemd/openbao-auto-unseal.service: entsiegelt die
  Sidecar nach docker.service, startet die Hauptinstanz nach und schreibt die Metrik
  openbao_unsealer_unsealed (cp1 alarmiert darauf). Idempotent.
  Zwei Fallstricke, die das Skript umgeht: `bao operator unseal -` (Schluessel ueber
  stdin) wird abgelehnt, und `bao status` liefert Exit 2 bei versiegelt - was trotzdem
  heisst, dass der Container antwortet.
  Der Schluessel liegt in /etc/openbao-unsealer.key (root, 0400), nicht im Repo.
- scripts/renew-gitea-cert.sh + systemd/gitea-cert-renew.*: gitea.famfi.home bekommt
  ein Zertifikat aus der eigenen PKI (90 Tage, Erneuerung ab 21 Tagen Restlaufzeit),
  Aufbau wie bei renew-openbao-cert.sh.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-09-26 09:25:44 +02:00

10 lines

272 B

Desktop File

Raw Blame History

 [Unit]
 Description=Erneuert gitea.famfi.home aus der OpenBAO-PKI und laedt Traefik neu
 After=network-online.target docker.service
 Wants=network-online.target
 Requires=docker.service
 [Service]
 Type=oneshot
 ExecStart=/home/lutz/Projects/OpenBAO/scripts/renew-gitea-cert.sh