Beim ersten Neustart seit 106 Tagen (2026-09-20) zeigte sich: der Unsealer kommt
versiegelt hoch, die Hauptinstanz startet daraufhin endlos neu und nichts kann mehr
Secrets lesen - Backups, Traefik-Zertifikate, Skripte. Bisher musste das jemand
von Hand entsiegeln.
- scripts/unseal-unsealer.sh + systemd/openbao-auto-unseal.service: entsiegelt die
Sidecar nach docker.service, startet die Hauptinstanz nach und schreibt die Metrik
openbao_unsealer_unsealed (cp1 alarmiert darauf). Idempotent.
Zwei Fallstricke, die das Skript umgeht: `bao operator unseal -` (Schluessel ueber
stdin) wird abgelehnt, und `bao status` liefert Exit 2 bei versiegelt - was trotzdem
heisst, dass der Container antwortet.
Der Schluessel liegt in /etc/openbao-unsealer.key (root, 0400), nicht im Repo.
- scripts/renew-gitea-cert.sh + systemd/gitea-cert-renew.*: gitea.famfi.home bekommt
ein Zertifikat aus der eigenen PKI (90 Tage, Erneuerung ab 21 Tagen Restlaufzeit),
Aufbau wie bei renew-openbao-cert.sh.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
lutz
14275a5627