matrix

README.md

@@ -9,10 +9,13 @@ Self-hosted инфраструктурный стек, управляемый ч
 | Сервис | Image | Назначение |
 | --- | --- | --- |
 | `prx` | `jc21/nginx-proxy-manager:2.15.1` | Nginx Proxy Manager для reverse proxy, HTTP/HTTPS и сертификатов. |
+| `db` | `postgres:16-alpine` | Общий PostgreSQL для сервисов стека; сейчас используется Synapse. |
 | `pwd` | `vaultwarden/server:1.37.1` | Vaultwarden, менеджер паролей. |
 | `mon` | `henrygd/beszel` | Beszel monitoring hub. |
 | `mon-agent` | `henrygd/beszel-agent` | Beszel monitoring agent с доступом к Docker socket. |
 | `cld` | `nextcloud:30.0.6` | Nextcloud. |
+| `msg` | `matrixdotorg/synapse:v1.160.0` | Matrix homeserver Synapse для чатов, E2EE, файлов и клиентского API. |
+| `msg-web` | `vectorim/element-web:v1.12.27` | Element Web, браузерный клиент Matrix. |
 | `git` | `docker.gitea.com/gitea:1.26.2` | Gitea server. |
 | `git-runner` | `gitea/act_runner:latest` | Gitea Actions runner. |
 | `sup-hbbs` | `rustdesk/rustdesk-server:latest` | RustDesk ID/rendezvous server. |
@@ -37,9 +40,15 @@ GITEA_URL=http://git:3000
 RUSTDESK_DOMAIN=sup.local
 ```
 
+Matrix-переменные задаются не в `.env`, а в Gitea variables: deploy workflow использует их для генерации config secrets. `MATRIX_SERVER_NAME` выбирайте заранее: это часть Matrix ID пользователей, например `@alice:matrix.example.com`, и менять это имя после запуска нельзя без миграции на новый homeserver. `MATRIX_PUBLIC_BASEURL` должен быть публичным URL Synapse через reverse proxy, обычно `https://matrix.example.com`. `ELEMENT_WEB_URL` должен указывать на браузерный Element Web, например `https://chat.example.com`.
+
 Перед запуском сервисов, которым нужны секреты, создайте файлы:
 
 ```text
+secrets/postgres_admin_password.txt
+secrets/synapse_postgres_password.txt
+secrets/synapse_homeserver_config.yaml
+secrets/element_config.json
 secrets/vaultwarden_admin_token.txt
 secrets/beszel_agent_key.txt
 secrets/beszel_agent_token.txt
@@ -51,9 +60,10 @@ secrets/gitea_runner_registration_token.txt
 ```sh
 chmod 700 secrets
 chmod 600 secrets/*.txt
+chmod 644 secrets/synapse_homeserver_config.yaml secrets/element_config.json
 ```
 
-Не коммитьте `.env`, `secrets/` и `data/`. В них находятся локальная конфигурация, credentials, базы данных, пользовательские файлы, сгенерированные ключи, сертификаты и другое runtime-состояние.
+Не коммитьте `.env`, `secrets/` и `data/`. `.env` содержит несекретные значения окружения; `secrets/` содержит секреты и generated runtime-конфиги. Credential-файлы в `secrets/*.txt` закрываются как `600`; config-файлы для Docker mounts остаются `644`, потому что Docker Compose file secrets монтируются как bind mounts и должны читаться non-root контейнерами. На хосте доступ к ним ограничен правами `700` на директорию `secrets/`. В `data/` находятся базы данных, пользовательские файлы, сгенерированные ключи, сертификаты и другое runtime-состояние.
 
 ## Локальные операции
 
@@ -100,6 +110,8 @@ data/nginx-proxy-manager/
 data/vaultwarden/
 data/beszel/
 data/nextcloud/
+data/postgres/
+data/synapse/
 data/gitea/
 data/rustdesk/
 ```
@@ -117,9 +129,11 @@ Workflow деплоя:
 3. Настраивает SSH через `.gitea/actions/configure-ssh-client`.
 4. Опционально создает архив `data/`, если `DEPLOY_BACKUP_ENABLED` равен `true`.
 5. Копирует `docker-compose.yml` на сервер как `docker-compose-<ref>.yml`.
-6. Создает на сервере `.env` и `secrets/*.txt` из Gitea variables и secrets.
-7. Скачивает images и запускает `docker compose -f docker-compose-<ref>.yml up -d --remove-orphans`.
-8. Отправляет Telegram-уведомление об успехе или ошибке и прикладывает deploy log.
+6. Подготавливает generated runtime-конфиги из шаблонов и Gitea variables/secrets.
+7. Создает на сервере `.env`, `secrets/*.txt` и generated config secrets.
+8. Запускает `db` и выполняет идемпотентную инициализацию PostgreSQL через `ops/postgres/init-services.sh`.
+9. Скачивает images и запускает `docker compose -f docker-compose-<ref>.yml up -d --remove-orphans`.
+10. Отправляет Telegram-уведомление об успехе или ошибке и прикладывает deploy log.
 
 Используемые Gitea variables:
 
@@ -131,6 +145,9 @@ BESZEL_HUB_URL
 GIT_URL
 NEXTCLOUD_DOMAIN
 RUSTDESK_DOMAIN
+MATRIX_SERVER_NAME
+MATRIX_PUBLIC_BASEURL
+ELEMENT_WEB_URL
 ```
 
 Используемые Gitea secrets:
@@ -141,6 +158,9 @@ SSH_USERNAME
 SSH_PASSWORD
 BESZEL_AGENT_KEY
 BESZEL_AGENT_TOKEN
+POSTGRES_ADMIN_PASSWORD
+SYNAPSE_POSTGRES_PASSWORD
+SYNAPSE_REGISTRATION_SHARED_SECRET
 RUNNER_REGISTRATION_TOKEN
 VAULTWARDEN_ADMIN_TOKEN
 TELEGRAM_DEPLOY_BOT_TOKEN
@@ -150,6 +170,37 @@ PROXY_URL
 
 Workflow `.gitea/workflows/test_telegram_deploy_bot.yaml` можно запускать вручную для проверки Telegram-уведомлений через настроенный proxy.
 
+## Matrix
+
+Matrix-компоненты в текущем стеке:
+
+```text
+db         PostgreSQL, общая БД стека
+msg        Synapse homeserver
+msg-web    Element Web
+```
+
+PostgreSQL users/databases подготавливаются deploy workflow через `ops/postgres/init-services.sh`. Скрипт передается в init-контейнер через SSH stdin, поэтому не остается на сервере отдельным файлом. Скрипт идемпотентный: его можно запускать повторно, он создает недостающие сущности и не пересоздает уже существующие.
+
+Для Nginx Proxy Manager создайте два proxy host:
+
+```text
+matrix.example.com -> http://msg:8008
+chat.example.com   -> http://msg-web:80
+```
+
+Для Synapse proxy host нужен WebSocket support и стандартные forwarded headers. На этом этапе federation и TURN не добавлены: scope ограничен БД, Synapse и Element Web.
+
+Synapse читает runtime-конфиг из Docker secret `synapse_homeserver_config`, а Element Web - из Docker secret `element_config`. Deploy workflow создает source-файлы этих secrets в `secrets/synapse_homeserver_config.yaml` и `secrets/element_config.json` из шаблонов. В Git хранятся только `config/synapse/homeserver.yaml.template` и `config/element/config.json.template`. Для локального запуска создайте оба runtime-файла в `secrets/` из шаблонов и подставьте свои значения.
+
+Регистрация в Synapse закрыта; пользователей создавайте вручную после запуска:
+
+```sh
+docker compose exec msg register_new_matrix_user -c /run/secrets/synapse_homeserver_config http://localhost:8008
+```
+
+Gitea secret `SYNAPSE_REGISTRATION_SHARED_SECRET` попадает в generated `secrets/synapse_homeserver_config.yaml` и используется для админского создания пользователей через эту команду. Не меняйте его после первого запуска без причины.
+
 ## Сопровождение
 
 - Запускайте `docker compose config` после изменений в `docker-compose.yml`.