Konfiguration

Den offentlige self-hostede konfiguration er den indcheckede fil cto-gui/docker-compose.self-hosted.yml plus indstillinger, som cto-gui-libvirt-backend læser. Denne side dokumenterer det evalueringsoverflade. Den opfinder ikke en generisk Enterprise-miljøkontrakt.

Compose-kontrakt

Indstilling	Indchecket værdi	Formål
`SELF_HOSTED`	`true`	Vælg local-console mode og deaktiver cloud-afhængige routes
`KVM_URI`	`qemu:///system`	Forbind til libvirt-daemonen på værtssystemet
`TEST_STORAGE_DIR`	`/app/data/tests`	Behold testtilstand, låse og cleanup-journaler i `cto-data`
`SOURCE_ISO_DIR`	Værtens source-ISO-sti	Løs read-only kildeartefakter på samme absolutte sti, som host-libvirt ser
`SOURCE_GOLDEN_IMAGE_DIR`	Værtens promoted-image-sti	Løs uforanderlige installerede QCOW2-inputs på samme absolutte sti, som host-libvirt ser
`TRUST_PROXY_HEADERS`	`true` i Compose-filen	Tillad proxy-afledt klientinformation efter backendens trusted-proxy rules

Backenden sætter også ISO-uploads som standard til /var/lib/libvirt/images og begrænser uploads til 10 GB, medmindre backendindstillingen bevidst ændres.

Tilsidesættelse af værtsstier

To shell-miljøvariabler påvirker Compose bind mounts:


export SOURCE_ISO_HOST_DIR=/srv/openfactory/source-isos
export SOURCE_GOLDEN_IMAGE_HOST_DIR=/srv/openfactory/golden-images
docker compose -f docker-compose.self-hosted.yml up --build -d

Opret mapperne og sæt rettigheder først. Containerstien holdes identisk med værtsstien, fordi host-libvirt, ikke containeren, åbner imagefiler til QEMU. En sti, der kun findes i containeren, fejler ved guest-start.

Persistente og ikke-persistente data

Placering	Ejerskab og livscyklus
`/var/lib/libvirt/images`	Værthåndterede uploadede ISO’er, gæstediske og overlays
Source-ISO-bibliotek	Operatørstyret, monteret read-only
Golden-image-bibliotek	Operatør-promoverede uforanderlige inputs, monteret read-only
`cto-data` named volume	Backendtilstand inklusive testposter og cleanup-journaler
Containerfilsystem uden for mounts	Engangs; stol ikke på det til gendannelse

Tag backup eller snapshot først efter du har identificeret, hvilke ressourcer der skal bevares. Compose-filen planlægger ikke backups.

Eksponering og proxyindstillinger

Frontend mapper værtport 80. TRUST_PROXY_HEADERS giver hverken TLS eller godkendelse; det ændrer kun, hvordan backend accepterer videresendt forbindelsesmetadata fra udtrykkeligt betroede proxyintervaller. Tilføjer du en reverse proxy, konfigurer dens netværkssti og trusted proxies snævt og verificer, at forfalskede forwarding headers afvises fra utroværdige peers.

Placer ikke evalueringskonsollen direkte på det offentlige internet. Produktionsidentitet, TLS, secrets og authorization design er en separat deploymentbeslutning.

Valider hver ændring

Efter ændring af stier eller indstillinger:

genskab den berørte container;
verificer self_hosted: true via mode endpoint;
upload og start en engangs-ISO;
stop og slet gæsten;
genstart stacken og bekræft, at cleanup-tilstand og inventar overlever.