nextcloud-aio

.env.example

@@ -1,4 +0,0 @@
-BESZEL_HUB_URL=http://mon.localhost
-NEXTCLOUD_DOMAIN=cld.localhost
-GITEA_URL=http://git:3000
-RUSTDESK_DOMAIN=sup.local

.gitea/actions/configure-ssh-client/action.yaml

@@ -1,16 +0,0 @@
-name: '⚙️ Configure SSH Client'
-description: 'Installs sshpass and configures known_hosts'
-
-inputs:
-  ssh_host:
-    description: 'Remote server IP'
-    required: true
-
-runs:
-  using: 'composite'
-  steps:
-    - shell: bash
-      run: |
-        sudo apt-get update && sudo apt-get install -y sshpass
-        mkdir -p ~/.ssh
-        ssh-keyscan -p 22 "${{ inputs.ssh_host }}" >> ~/.ssh/known_hosts

.gitea/workflows/deploy.yaml

@@ -1,172 +0,0 @@
-name: 🚀 Deploy
-run-name: '🚀 Deploy: ${{ gitea.ref_name }} by @${{ gitea.actor }}'
-on: 
-  workflow_dispatch:
-
-jobs:
-  deploy:
-    runs-on: ubuntu-latest
-    steps:
-      - name: 📂 Checkout repository
-        uses: actions/checkout@v4
-
-      - name: 🧼 Clean ref name
-        run: |
-          ORIGINAL_REF_NAME="${{ gitea.ref_name }}"
-          CLEAN_REF_NAME=${ORIGINAL_REF_NAME//\//-}
-          echo "Clean ref name: $CLEAN_REF_NAME"
-          echo "CLEAN_REF_NAME=$CLEAN_REF_NAME" >> $GITEA_ENV
-
-      - name: ⚙️ Configure ssh client
-        uses: ./.gitea/actions/configure-ssh-client
-        with:
-          ssh_host: ${{ secrets.SSH_HOST }}
-
-      - name: 📦 Create backup of data/ folder
-        if: ${{ vars.DEPLOY_BACKUP_ENABLED == 'true' }}
-        env:
-          SSHPASS: ${{ secrets.SSH_PASSWORD }}
-          SSH_USERNAME: ${{ secrets.SSH_USERNAME }}
-          SSH_HOST: ${{ secrets.SSH_HOST }}
-          DEPLOY_DIRECTORY: ${{ vars.DEPLOY_DIRECTORY }}
-          REF_NAME: ${{ env.CLEAN_REF_NAME }}
-        run: |
-          sshpass -e ssh -p 22 "$SSH_USERNAME@$SSH_HOST" bash -s << EOT
-            set -e
-            cd "$DEPLOY_DIRECTORY"
-
-            mkdir -p backups
-
-            BACKUP_DATE=\$(date +%Y-%m-%d_%H-%M-%S)
-            BACKUP_FILE="backups/backup-${REF_NAME}-\${BACKUP_DATE}.tar.gz"
-
-            echo "Creating backup of data/ into \${BACKUP_FILE}..."
-            
-            if [ -d "data" ]; then
-              echo "$SSHPASS" | sudo -S tar -czf "\${BACKUP_FILE}" data
-              echo "✅ Backup created successfully!"
-            else
-              echo "⚡️ No data/ folder, backup creation skipped."
-            fi
-
-            echo "$SSHPASS" | sudo -S find backups/ -type f -name "backup-*.tar.gz" -mtime +7 -delete
-          EOT
-
-      - name: 🏗️ Create docker-compose file
-        env:
-          SSHPASS: ${{ secrets.SSH_PASSWORD }}
-          SSH_USERNAME: ${{ secrets.SSH_USERNAME }}
-          SSH_HOST: ${{ secrets.SSH_HOST }}
-          DEPLOY_DIRECTORY: ${{ vars.DEPLOY_DIRECTORY }}
-          REF_NAME: ${{ env.CLEAN_REF_NAME }}
-        run: |
-          sshpass -e ssh -p 22 "$SSH_USERNAME@$SSH_HOST" \
-            "mkdir -p \"$DEPLOY_DIRECTORY\" && \
-             cd \"$DEPLOY_DIRECTORY\" && \
-             rm -f docker-compose-*.yml && \
-             cat > \"docker-compose-$REF_NAME.yml\"" \
-            < docker-compose.yml
-
-      - name: 🔐 Create secrets and envs
-        env:
-          SSHPASS: ${{ secrets.SSH_PASSWORD }}
-          SSH_USERNAME: ${{ secrets.SSH_USERNAME }}
-          SSH_HOST: ${{ secrets.SSH_HOST }}
-          DEPLOY_DIRECTORY: ${{ vars.DEPLOY_DIRECTORY }}
-          BESZEL_AGENT_KEY: ${{ secrets.BESZEL_AGENT_KEY }}
-          BESZEL_AGENT_TOKEN: ${{ secrets.BESZEL_AGENT_TOKEN }}
-          BESZEL_HUB_URL: ${{ vars.BESZEL_HUB_URL }}
-          GITEA_RUNNER_REGISTRATION_TOKEN: ${{ secrets.RUNNER_REGISTRATION_TOKEN }}
-          GITEA_URL: ${{ vars.GIT_URL }}
-          VAULTWARDEN_ADMIN_TOKEN: ${{ secrets.VAULTWARDEN_ADMIN_TOKEN }}
-          NEXTCLOUD_DOMAIN: ${{ vars.NEXTCLOUD_DOMAIN }}
-          RUSTDESK_DOMAIN: ${{ vars.RUSTDESK_DOMAIN }}
-        run: |
-          sshpass -e ssh -p 22 "$SSH_USERNAME@$SSH_HOST" bash -s << EOT
-            set -e
-            cd "$DEPLOY_DIRECTORY"
-
-            cat << 'EOF_ENV' > .env
-          BESZEL_HUB_URL=$BESZEL_HUB_URL
-          NEXTCLOUD_DOMAIN=$NEXTCLOUD_DOMAIN
-          GITEA_URL=$GITEA_URL
-          RUSTDESK_DOMAIN=$RUSTDESK_DOMAIN
-          EOF_ENV
-
-            mkdir -p secrets
-
-            cat << 'EOF_SECRET' > secrets/beszel_agent_key.txt
-          $BESZEL_AGENT_KEY
-          EOF_SECRET
-
-            cat << 'EOF_SECRET' > secrets/beszel_agent_token.txt
-          $BESZEL_AGENT_TOKEN
-          EOF_SECRET
-
-            cat << 'EOF_SECRET' > secrets/gitea_runner_registration_token.txt
-          $GITEA_RUNNER_REGISTRATION_TOKEN
-          EOF_SECRET
-
-            cat << 'EOF_SECRET' > secrets/vaultwarden_admin_token.txt
-          $VAULTWARDEN_ADMIN_TOKEN
-          EOF_SECRET
-
-            chmod 700 secrets
-            chmod 600 secrets/*.txt
-          EOT
-
-      - name: 🚀 Run new containers
-        env:
-          SSHPASS: ${{ secrets.SSH_PASSWORD }}
-          SSH_USERNAME: ${{ secrets.SSH_USERNAME }}
-          SSH_HOST: ${{ secrets.SSH_HOST }}
-          DEPLOY_DIRECTORY: ${{ vars.DEPLOY_DIRECTORY }}
-          DEPLOY_LOG_FILE: /tmp/deploy-${{ env.CLEAN_REF_NAME }}.log
-          DRY_RUN_ENABLED: ${{ vars.DEPLOY_DRY_RUN_ENABLED }}
-          REF_NAME: ${{ env.CLEAN_REF_NAME }}
-          TELEGRAM_TOKEN: ${{ secrets.TELEGRAM_DEPLOY_BOT_TOKEN }}
-          TELEGRAM_CHAT: ${{ secrets.TELEGRAM_DEPLOY_CHAT_ID }}
-          PROXY_URL: ${{ secrets.PROXY_URL }}
-          SUCCESS_MESSAGE: |-
-            ✅ <b>Успешный деплой!</b>
-            Релиз: <code>${{ gitea.ref_name }}</code>
-          FAILURE_MESSAGE: |-
-            ❌ <b>Ошибка деплоя!</b>
-            Релиз: <code>${{ gitea.ref_name }}</code>
-        run: |
-          sshpass -e ssh -p 22 "$SSH_USERNAME@$SSH_HOST" bash -s << EOT
-            set -e
-            cd "$DEPLOY_DIRECTORY"
-
-            nohup bash -c '
-              sleep 5
-
-              if [ "${DRY_RUN_ENABLED}" = "true" ]; then
-                DRY_RUN_FLAG="--dry-run"
-              else
-                DRY_RUN_FLAG=""
-              fi
-              
-              if docker compose \${DRY_RUN_FLAG} -f "docker-compose-${REF_NAME}.yml" pull > ${DEPLOY_LOG_FILE} 2>&1 && \
-                 docker compose \${DRY_RUN_FLAG} -f "docker-compose-${REF_NAME}.yml" up -d --remove-orphans >> ${DEPLOY_LOG_FILE} 2>&1; then
-                curl -s -X POST "https://api.telegram.org/bot${TELEGRAM_TOKEN}/sendMessage" \
-                  --proxy "${PROXY_URL}" \
-                  -d "chat_id=${TELEGRAM_CHAT}" \
-                  -d "parse_mode=HTML" \
-                  --data-urlencode "text=${SUCCESS_MESSAGE}" > /dev/null
-              else
-                curl -s -X POST "https://api.telegram.org/bot${TELEGRAM_TOKEN}/sendMessage" \
-                  --proxy "${PROXY_URL}" \
-                  -d "chat_id=${TELEGRAM_CHAT}" \
-                  -d "parse_mode=HTML" \
-                  --data-urlencode "text=${FAILURE_MESSAGE}" > /dev/null
-              fi
-
-              curl -s -X POST "https://api.telegram.org/bot${TELEGRAM_TOKEN}/sendDocument" \
-                --proxy "${PROXY_URL}" \
-                -F "chat_id=${TELEGRAM_CHAT}" \
-                -F "document=@${DEPLOY_LOG_FILE}" > /dev/null && rm -f ${DEPLOY_LOG_FILE}
-            ' > /dev/null 2>&1 &
-          EOT
-
-          echo "New containers will be started after 5 seconds"

.gitea/workflows/test_telegram_deploy_bot.yaml

@@ -1,36 +0,0 @@
-name: 🤖 Test telegram deploy bot
-run-name: '🤖 Test telegram deploy bot: ${{ gitea.ref_name }} by @${{ gitea.actor }}'
-on: 
-  workflow_dispatch:
-
-jobs:
-  send_test_message:
-    runs-on: ubuntu-latest
-    steps:
-      - name: 📂 Checkout repository
-        uses: actions/checkout@v4
-
-      - name: ⚙️ Configure ssh client
-        uses: ./.gitea/actions/configure-ssh-client
-        with:
-          ssh_host: ${{ secrets.SSH_HOST }}
-
-      - name: 💬 Send message
-        env:
-          SSHPASS: ${{ secrets.SSH_PASSWORD }}
-          SSH_USERNAME: ${{ secrets.SSH_USERNAME }}
-          SSH_HOST: ${{ secrets.SSH_HOST }}
-          TELEGRAM_TOKEN: ${{ secrets.TELEGRAM_DEPLOY_BOT_TOKEN }}
-          TELEGRAM_CHAT: ${{ secrets.TELEGRAM_DEPLOY_CHAT_ID }}
-          PROXY_URL: ${{ secrets.PROXY_URL }}
-          MESSAGE: ${{ steps.prepare_message.outputs.escaped_message }}
-        run: |
-          sshpass -e ssh -p 22 "$SSH_USERNAME@$SSH_HOST" bash -s << EOT
-            set -e
-            
-            curl -s --connect-timeout 10 -X POST "https://api.telegram.org/bot${TELEGRAM_TOKEN}/sendMessage" \
-              --proxy "${PROXY_URL}" \
-              -d "chat_id=${TELEGRAM_CHAT}" \
-              -d "parse_mode=HTML" \
-              --data-urlencode "text=💬 Test message"
-          EOT

AGENTS.md

@@ -1,83 +0,0 @@
-# AGENTS.md
-
-Инструкции для AI-агентов и автоматизации, работающих с этим репозиторием.
-
-## Форма проекта
-
-Это Docker Compose инфраструктурный репозиторий. Основные source-файлы:
-
-- `docker-compose.yml`
-- `.env.example`
-- `.gitignore`
-- `.gitea/workflows/*.yaml`
-- `.gitea/actions/*`
-- `README.md`
-- `AGENTS.md`
-
-Текущие service aliases в Compose:
-
-```text
-prx
-pwd
-mon
-mon-agent
-cld
-git
-git-runner
-sup-hbbs
-sup-hbbr
-```
-
-Сохраняйте эти короткие aliases, если пользователь явно не попросил переименовать сервисы и не подтвердил учет deploy-impact.
-
-## Секреты и runtime-данные
-
-Не читайте, не выводите, не пересказывайте, не копируйте и не коммитьте реальные секреты или runtime-данные.
-
-Считайте эти пути sensitive или local-only:
-
-- `.env`
-- `secrets/`
-- `data/`
-- database-файлы вроде `*.sqlite3`, `*.sqlite3-shm`, `*.sqlite3-wal`
-- private keys и сгенерированные service credentials
-- certificates и letsencrypt data
-
-Используйте `.env.example`, `docker-compose.yml` и workflow-файлы как source of truth для имен переменных и секретов. Если задача требует просмотра реальных secret values или runtime-данных, остановитесь и запросите явное разрешение пользователя.
-
-## Правила изменений
-
-- Держите изменения узко привязанными к запрошенному infrastructure-поведению.
-- Не выполняйте destructive-операции против `data/`, `secrets/`, Docker volumes или корня проекта без явного разрешения пользователя.
-- Не запускайте `docker compose down -v`, volume pruning, recursive deletion, database migrations или service resets, если пользователь не запросил именно это.
-- При добавлении или изменении Compose-переменной обновляйте `.env.example`, `README.md` и Gitea deploy workflow, если значение нужно при деплое.
-- При добавлении или изменении Compose-секрета обновляйте блок `secrets:`, создание секретов в deploy workflow, `README.md` и соответствующий service environment.
-- Сохраняйте стиль YAML: короткие service aliases, single quotes там, где они уже используются, и существующую indentation-схему.
-- Избегайте unrelated formatting churn в workflow и Compose-файлах.
-
-## Валидация
-
-Для Compose-изменений запускайте:
-
-```sh
-docker compose config
-```
-
-Для изменений deploy workflow проверяйте затронутые `.gitea/workflows/*.yaml` и подтверждайте, что нужные variables/secrets описаны в `README.md`.
-
-Для documentation-only изменений проверьте, что:
-
-- service names совпадают с `docker-compose.yml`;
-- environment variables совпадают с `.env.example`;
-- secret filenames совпадают с Compose-блоком `secrets:`;
-- реальные secret values и runtime-данные не попали в документацию.
-
-## Операционный контекст
-
-Деплой запускается вручную через Gitea Actions. Deploy workflow подключается к серверу по SSH, записывает `.env` и `secrets/*.txt`, опционально делает backup удаленного `data/` и стартует контейнеры командой:
-
-```sh
-docker compose -f docker-compose-<ref>.yml up -d --remove-orphans
-```
-
-Workflow может отправлять Telegram-уведомления и прикладывать deploy logs. Изменения deploy-поведения должны учитывать и remote shell commands, и documented Gitea variables/secrets.

CHANGELOG.md

@@ -1,98 +0,0 @@
-# Changelog
-
-Все заметные изменения в инфраструктурном репозитории описываются в этом файле.
-
-Формат ведется вручную на русском языке. В changelog попадают изменения, которые влияют на состав сервисов, версии Docker images, деплой, backup/restore, переменные окружения, секреты и эксплуатационные правила.
-
-## Будущие изменения
-
-Пока нет.
-
-## 2026-08-23
-
-### Документация
-
-- Добавлен `CHANGELOG.md` с историей заметных изменений по git history с начала репозитория.
-
-## 2026-08-22
-
-### Изменено
-
-- Зафиксирована версия Vaultwarden: `vaultwarden/server:1.37.1` вместо `vaultwarden/server:latest`.
-- Deploy workflow теперь выполняет `docker compose pull` перед `docker compose up -d --remove-orphans`.
-- В `README.md` добавлено правило фиксировать версии stateful-сервисов и обновлять их отдельным изменением после просмотра release notes и backup.
-
-### Исправлено
-
-- Восстановлена совместимость Vaultwarden с актуальным расширением Bitwarden для браузера. Старый backend `1.36.0` не загружал хранилище в новом расширении.
-
-### Документация
-
-- Добавлен `README.md` с описанием сервисов, переменных, секретов, локальных операций, данных, деплоя и правил сопровождения.
-- Добавлен `AGENTS.md` с инструкциями для AI-агентов и автоматизации в этом репозитории.
-
-## 2026-07-26
-
-### Добавлено
-
-- Добавлены сервисы RustDesk:
-  - `sup-hbbs` для ID/rendezvous server;
-  - `sup-hbbr` для relay server.
-- Для Nginx Proxy Manager открыты порты RustDesk: `21116/tcp`, `21116/udp`, `21117/tcp`.
-- Добавлена переменная `RUSTDESK_DOMAIN` в `.env.example` и deploy workflow.
-
-## 2026-07-06
-
-### Добавлено
-
-- Добавлен healthcheck для `git-runner` через endpoint `http://127.0.0.1:9101/healthz`.
-
-## 2026-07-05
-
-### Изменено
-
-- Backup-шаг deploy workflow стал опциональным через Gitea variable `DEPLOY_BACKUP_ENABLED`.
-- Режим dry-run для деплоя вынесен в Gitea variable `DEPLOY_DRY_RUN_ENABLED`.
-
-## 2026-07-04
-
-### Добавлено
-
-- Deploy workflow переведен на полноценный Gitea Actions процесс:
-  - checkout репозитория;
-  - нормализация имени ref/branch;
-  - настройка SSH-клиента;
-  - создание удаленного `docker-compose-<ref>.yml`;
-  - создание `.env` и файлов в `secrets/`;
-  - запуск Compose на сервере;
-  - Telegram-уведомления и отправка deploy log.
-- Добавлен workflow для проверки Telegram deploy bot.
-- Добавлен `.env.example` с базовыми переменными окружения.
-- Добавлен backup `data/` перед деплоем с хранением архивов в `backups/`.
-
-### Изменено
-
-- `DEPLOY_DIRECTORY` перенесен из secrets в Gitea variables.
-- Backup выполняется через `sudo`, чтобы избежать ошибок прав доступа к runtime-данным.
-- Исправлена передача пароля в `sudo` при backup.
-- Удален временный demo workflow и неиспользуемый action для экранирования Telegram-сообщений.
-- Идеи по развитию вынесены из репозитория в wiki.
-
-## 2026-06-16
-
-### Добавлено
-
-- Создан начальный Docker Compose стек:
-  - `prx` на `jc21/nginx-proxy-manager:2.15.1`;
-  - `pwd` на `vaultwarden/server:latest`;
-  - `mon` на `henrygd/beszel`;
-  - `mon-agent` на `henrygd/beszel-agent`;
-  - `cld` на `nextcloud:30.0.6`;
-  - `git` на `docker.gitea.com/gitea:1.26.2`.
-- Добавлены bind mounts в `data/` для persistent-данных сервисов.
-- Добавлены Docker secrets для Vaultwarden и Beszel.
-- Добавлена сеть Compose `vbevdev`.
-- Добавлен `.gitignore` для локальных данных, секретов, `.env`, `.vscode` и `.DS_Store`.
-- Добавлен сервис `git-runner` на `gitea/act_runner:latest`.
-- Добавлен healthcheck для `git` и зависимость `git-runner` от здорового `git`.
-- Добавлен черновой deploy workflow для Gitea Actions.

README.md

@@ -1,159 +0,0 @@
-# vbevdev
-
-Self-hosted инфраструктурный стек, управляемый через Docker Compose.
-
-Репозиторий содержит Compose-описание сервисов, workflow для деплоя и пример переменных окружения. Runtime-данные и секреты намеренно не хранятся в Git.
-
-## Сервисы
-
-| Сервис | Image | Назначение |
-| --- | --- | --- |
-| `prx` | `jc21/nginx-proxy-manager:2.15.1` | Nginx Proxy Manager для reverse proxy, HTTP/HTTPS и сертификатов. |
-| `pwd` | `vaultwarden/server:1.37.1` | Vaultwarden, менеджер паролей. |
-| `mon` | `henrygd/beszel` | Beszel monitoring hub. |
-| `mon-agent` | `henrygd/beszel-agent` | Beszel monitoring agent с доступом к Docker socket. |
-| `cld` | `nextcloud:30.0.6` | Nextcloud. |
-| `git` | `docker.gitea.com/gitea:1.26.2` | Gitea server. |
-| `git-runner` | `gitea/act_runner:latest` | Gitea Actions runner. |
-| `sup-hbbs` | `rustdesk/rustdesk-server:latest` | RustDesk ID/rendezvous server. |
-| `sup-hbbr` | `rustdesk/rustdesk-server:latest` | RustDesk relay server. |
-
-Docker network по умолчанию называется `vbevdev`.
-
-## Конфигурация
-
-Создайте локальный `.env` из `.env.example` и задайте значения для своей среды:
-
-```sh
-cp .env.example .env
-```
-
-Обязательные переменные:
-
-```sh
-BESZEL_HUB_URL=http://mon.localhost
-NEXTCLOUD_DOMAIN=cld.localhost
-GITEA_URL=http://git:3000
-RUSTDESK_DOMAIN=sup.local
-```
-
-Перед запуском сервисов, которым нужны секреты, создайте файлы:
-
-```text
-secrets/vaultwarden_admin_token.txt
-secrets/beszel_agent_key.txt
-secrets/beszel_agent_token.txt
-secrets/gitea_runner_registration_token.txt
-```
-
-Рекомендуемые права:
-
-```sh
-chmod 700 secrets
-chmod 600 secrets/*.txt
-```
-
-Не коммитьте `.env`, `secrets/` и `data/`. В них находятся локальная конфигурация, credentials, базы данных, пользовательские файлы, сгенерированные ключи, сертификаты и другое runtime-состояние.
-
-## Локальные операции
-
-Проверить Compose-файл:
-
-```sh
-docker compose config
-```
-
-Запустить или обновить стек:
-
-```sh
-docker compose up -d
-```
-
-Посмотреть состояние и логи:
-
-```sh
-docker compose ps
-docker compose logs -f <service>
-```
-
-Скачать новые images и пересоздать контейнеры:
-
-```sh
-docker compose pull
-docker compose up -d
-```
-
-Для stateful-сервисов с данными в `data/` фиксируйте конкретные версии images вместо `latest`. Обновление версии делайте отдельным изменением после просмотра release notes и backup соответствующей директории в `data/`.
-
-Остановить стек без удаления runtime-данных:
-
-```sh
-docker compose down
-```
-
-## Данные
-
-Persistent-данные контейнеров монтируются в `./data`:
-
-```text
-data/nginx-proxy-manager/
-data/vaultwarden/
-data/beszel/
-data/nextcloud/
-data/gitea/
-data/rustdesk/
-```
-
-Эта директория является runtime-состоянием, а не исходным кодом. Делайте backup перед destructive Docker-командами, изменением volume, миграциями и обновлениями stateful-сервисов.
-
-## Деплой
-
-Деплой описан в `.gitea/workflows/deploy.yaml` и запускается вручную через `workflow_dispatch`.
-
-Workflow деплоя:
-
-1. Забирает репозиторий.
-2. Нормализует имя ref/branch для имени удаленного Compose-файла.
-3. Настраивает SSH через `.gitea/actions/configure-ssh-client`.
-4. Опционально создает архив `data/`, если `DEPLOY_BACKUP_ENABLED` равен `true`.
-5. Копирует `docker-compose.yml` на сервер как `docker-compose-<ref>.yml`.
-6. Создает на сервере `.env` и `secrets/*.txt` из Gitea variables и secrets.
-7. Скачивает images и запускает `docker compose -f docker-compose-<ref>.yml up -d --remove-orphans`.
-8. Отправляет Telegram-уведомление об успехе или ошибке и прикладывает deploy log.
-
-Используемые Gitea variables:
-
-```text
-DEPLOY_DIRECTORY
-DEPLOY_BACKUP_ENABLED
-DEPLOY_DRY_RUN_ENABLED
-BESZEL_HUB_URL
-GIT_URL
-NEXTCLOUD_DOMAIN
-RUSTDESK_DOMAIN
-```
-
-Используемые Gitea secrets:
-
-```text
-SSH_HOST
-SSH_USERNAME
-SSH_PASSWORD
-BESZEL_AGENT_KEY
-BESZEL_AGENT_TOKEN
-RUNNER_REGISTRATION_TOKEN
-VAULTWARDEN_ADMIN_TOKEN
-TELEGRAM_DEPLOY_BOT_TOKEN
-TELEGRAM_DEPLOY_CHAT_ID
-PROXY_URL
-```
-
-Workflow `.gitea/workflows/test_telegram_deploy_bot.yaml` можно запускать вручную для проверки Telegram-уведомлений через настроенный proxy.
-
-## Сопровождение
-
-- Запускайте `docker compose config` после изменений в `docker-compose.yml`.
-- Держите `.env.example` синхронизированным с переменными, которые использует Compose.
-- Держите Gitea variables/secrets синхронизированными с `.gitea/workflows/deploy.yaml`.
-- Делайте backup `data/` перед обновлениями, сменой images, изменением volumes и миграциями.
-- Перед изменением pinned image versions проверяйте release notes stateful-сервисов.

ROADMAP.md

@@ -1,102 +0,0 @@
-# Roadmap
-
-Планируемые улучшения инфраструктурного репозитория. Файл фиксирует будущие работы, эксплуатационные риски и технический долг.
-
-`CHANGELOG.md` описывает уже сделанные изменения, а этот файл хранит то, что еще нужно спланировать или выполнить.
-
-## Высокий приоритет
-
-### Обновить Nextcloud с EOL-версии
-
-- Текущая версия: `nextcloud:30.0.6`.
-- Риск: ветка Nextcloud 30 достигла EOL и не получает исправления безопасности.
-- Что сделать:
-  - изучить upgrade path и release notes Nextcloud;
-  - сделать backup `data/nextcloud/`;
-  - проверить совместимость используемых apps;
-  - обновляться по поддерживаемому пути между major versions;
-  - после обновления проверить web UI, `occ status`, фоновые задачи и healthcheck.
-
-### Обновить Gitea из-за security advisory
-
-- Текущая версия: `docker.gitea.com/gitea:1.26.2`.
-- Риск: для Gitea `<= 1.26.4` опубликован SSRF advisory, patched version указана как `1.27.0`.
-- Что сделать:
-  - изучить release notes Gitea `1.27.0+`;
-  - сделать backup `data/gitea/`;
-  - обновить image version в `docker-compose.yml`;
-  - проверить web UI, git clone/push, Actions и healthcheck.
-
-### Переделать backup перед деплоем
-
-- Текущее поведение: workflow архивирует весь `data/` в `backups/` на том же диске.
-- Риск: backup может падать из-за нехватки места до начала деплоя.
-- Что сделать:
-  - добавить preflight-проверку свободного места;
-  - чистить старые backups до создания нового архива;
-  - рассмотреть backup только затронутого service data вместо всего `data/`;
-  - рассмотреть off-host backup или streaming backup на другую машину;
-  - документировать ручной backup/restore для отдельных сервисов.
-
-## Средний приоритет
-
-### Закрепить оставшиеся Docker image versions
-
-- Сейчас floating images остаются у:
-  - `henrygd/beszel`;
-  - `henrygd/beszel-agent`;
-  - `gitea/act_runner:latest`;
-  - `rustdesk/rustdesk-server:latest`.
-- Риск: деплой может неожиданно подтянуть несовместимую версию или, наоборот, не обновиться предсказуемо.
-- Что сделать:
-  - подобрать актуальные стабильные версии;
-  - закрепить tags в `docker-compose.yml`;
-  - обновить `README.md` и `CHANGELOG.md`;
-  - для stateful-сервисов делать отдельные коммиты и backup перед деплоем.
-
-### Пересмотреть безопасность Gitea Actions runner
-
-- Текущее поведение: `git-runner` имеет доступ к `/var/run/docker.sock`.
-- Риск: доступ к Docker socket фактически дает workflow root-equivalent доступ к хосту.
-- Что сделать:
-  - явно определить trust boundary для Actions;
-  - ограничить запуск workflow только доверенными репозиториями/пользователями;
-  - рассмотреть отдельный runner host или VM;
-  - рассмотреть rootless/isolated runner setup, если это совместимо с нужными jobs.
-
-### Уйти от password-based SSH deploy
-
-- Текущее поведение: workflow использует `sshpass` и `sudo -S`.
-- Риск: парольный deploy хуже аудируется и более хрупкий, чем key-based доступ с ограниченными правами.
-- Что сделать:
-  - завести отдельного deploy user;
-  - перейти на SSH key;
-  - ограничить sudoers только нужными командами;
-  - убрать передачу sudo password из workflow.
-
-## Низкий приоритет
-
-### Добавить healthcheck для сервисов без проверки готовности
-
-- Кандидаты:
-  - `pwd`;
-  - `sup-hbbs`;
-  - `sup-hbbr`.
-- Цель: после деплоя видеть, что сервис не просто запущен, а реально отвечает.
-
-### Почистить test Telegram workflow
-
-- В `test_telegram_deploy_bot.yaml` есть неиспользуемая переменная `MESSAGE`, которая ссылается на несуществующий `steps.prepare_message`.
-- Риск низкий: workflow сейчас не использует эту переменную, но она путает чтение и сопровождение.
-
-### Разобраться с использованием диска
-
-- После неудачной попытки backup занятое место на диске выросло.
-- Первичные наблюдения:
-  - `backups/` не содержит крупного архива;
-  - `lsof +L1` не показал большого удаленного файла;
-  - Docker images занимают заметный объем, но не должны были измениться, если workflow упал до Docker-шагов.
-- Что сделать:
-  - найти крупные каталоги через `du -xhd 1`;
-  - проверить `/var`, `/tmp`, Docker storage и filesystem reserve;
-  - только после диагностики решать, что можно чистить.

docker-compose nextcloud-aio.yml

@@ -0,0 +1,95 @@
+services:
+  prx:
+    image: 'jc21/nginx-proxy-manager:2.15.1'
+    restart: unless-stopped
+    environment:
+      TZ: "Europe/Moscow"
+    ports:
+      - '80:80'
+      - '443:443'
+    volumes:
+      - ./data/nginx-proxy-manager/data:/data
+      - ./data/nginx-proxy-manager/letsencrypt:/etc/letsencrypt
+    healthcheck:
+      test: ["CMD", "/usr/bin/check-health"]
+      interval: 60s
+      timeout: 3s
+  
+  pwd:
+    image: 'vaultwarden/server:latest'
+    restart: unless-stopped
+    volumes:
+      - ./data/vaultwarden:/data
+    secrets:
+      - vaultwarden_admin_token
+    environment:
+      ADMIN_TOKEN_FILE: /run/secrets/vaultwarden_admin_token
+
+  mon:
+    image: 'henrygd/beszel'
+    restart: unless-stopped
+    volumes:
+      - ./data/beszel/hub:/beszel_data
+      - ./data/beszel/socket:/beszel_socket
+    healthcheck:
+      test: ['CMD', '/beszel', 'health', '--url', 'http://localhost:8090']
+      start_period: 5s
+      interval: 120s
+
+  mon-agent:
+    image: 'henrygd/beszel-agent'
+    restart: unless-stopped
+    network_mode: host
+    volumes:
+      - /var/run/docker.sock:/var/run/docker.sock:ro
+      - ./data/beszel/agent:/var/lib/beszel-agent
+      - ./data/beszel/socket:/beszel_socket
+    secrets:
+      - beszel_agent_key
+      - beszel_agent_token
+    environment:
+      LISTEN: /beszel_socket/beszel.sock
+      KEY_FILE: /run/secrets/beszel_agent_key
+      TOKEN_FILE: /run/secrets/beszel_agent_token
+      HUB_URL: ${BESZEL_HUB_URL}
+    healthcheck:
+      test: ['CMD', '/agent', 'health']
+      interval: 120s
+
+  cld:
+    image: 'ghcr.io/nextcloud-releases/all-in-one:latest'
+    init: true
+    restart: unless-stopped
+    # networks: ["default"]
+    container_name: nextcloud-aio-mastercontainer
+    volumes:
+      - nextcloud_aio_mastercontainer:/mnt/docker-aio-config
+      - /var/run/docker.sock:/var/run/docker.sock:ro
+    environment:
+      APACHE_PORT: 11000
+      APACHE_ADDITIONAL_NETWORK: vbevdev
+      APACHE_IP_BINDING: 0.0.0.0
+      SKIP_DOMAIN_VALIDATION: true
+    ports:
+      - '8080:8080'
+
+volumes:
+  nextcloud_aio_mastercontainer:
+    name: nextcloud_aio_mastercontainer
+    driver: local
+    driver_opts:
+      type: none
+      o: bind
+      device: ${NEXTCLOUD_VOLUME_ABSOLUTE_PATH} # NEXTCLOUD_VOLUME_ABSOLUTE_PATH=/Users/vbevzenko/Documents/code/vbevdev/data/nextcloud
+
+networks:
+  default:
+    name: vbevdev
+
+secrets:
+  vaultwarden_admin_token:
+    file: secrets/vaultwarden_admin_token.txt
+  beszel_agent_key:
+    file: secrets/beszel_agent_key.txt
+  beszel_agent_token:
+    file: secrets/beszel_agent_token.txt

docker-compose.yml

@@ -7,9 +7,6 @@ services:
     ports:
       - '80:80'
       - '443:443'
-      - '21116:21116/tcp'
-      - '21116:21116/udp'
-      - '21117:21117/tcp'
     volumes:
       - ./data/nginx-proxy-manager/data:/data
       - ./data/nginx-proxy-manager/letsencrypt:/etc/letsencrypt
@@ -19,7 +16,7 @@ services:
       timeout: 3s
   
   pwd:
-    image: 'vaultwarden/server:1.37.1'
+    image: 'vaultwarden/server:latest'
     restart: unless-stopped
     volumes:
       - ./data/vaultwarden:/data
@@ -76,54 +73,11 @@ services:
     image: 'docker.gitea.com/gitea:1.26.2'
     restart: unless-stopped
     volumes:
-      - ./data/gitea/gitea:/data
+      - ./data/gitea:/data
     environment:
       GITEA__service__DISABLE_REGISTRATION: true
       GITEA__other__SHOW_FOOTER_VERSION: false
       GITEA__other__SHOW_FOOTER_POWERED_BY: false
-    healthcheck:
-      test: ["CMD", "curl", "-f", "http://localhost:3000/api/healthz"]
-      interval: 10s
-      timeout: 5s
-      retries: 3
-
-  git-runner:
-    image: 'gitea/act_runner:latest'
-    depends_on:
-      git:
-        condition: service_healthy
-    environment:
-      CONFIG_FILE: /config.yaml
-      GITEA_INSTANCE_URL: "${GITEA_URL}"
-      GITEA_RUNNER_REGISTRATION_TOKEN_FILE: /run/secrets/gitea_runner_registration_token
-    volumes:
-      - ./data/gitea/runner/config.yaml:/config.yaml
-      - ./data/gitea/runner/data:/data
-      - /var/run/docker.sock:/var/run/docker.sock
-    secrets:
-      - gitea_runner_registration_token
-    healthcheck:
-      test: ["CMD", "wget", "--no-verbose", "--tries=1", "--spider", "http://127.0.0.1:9101/healthz"]
-      interval: 30s
-      timeout: 5s
-      retries: 3
-      start_period: 10s
-
-  sup-hbbs:
-    image: rustdesk/rustdesk-server:latest
-    command: hbbs -r ${RUSTDESK_DOMAIN}:21117 -k _
-    restart: unless-stopped
-    volumes:
-      - ./data/rustdesk:/root
-    depends_on:
-      - sup-hbbr
-
-  sup-hbbr:
-    image: rustdesk/rustdesk-server:latest
-    command: hbbr
-    restart: unless-stopped
-    volumes:
-      - ./data/rustdesk:/root
 
 networks:
   default:
@@ -136,6 +90,3 @@ secrets:
     file: secrets/beszel_agent_key.txt
   beszel_agent_token:
     file: secrets/beszel_agent_token.txt
-  gitea_runner_registration_token:
-    file: secrets/gitea_runner_registration_token.txt
-