chore(deploy): sops-env naar media_organizer_v2, Immich-sleutels eruit #79

Merged

janpeter merged 1 commit from chore/sops-v2-database-url into main

2026-09-20 02:08:20 +02:00

janpeter commented

2026-09-20 02:03:56 +02:00

Owner

Runbook stap 2 (docs/runbooks/lean-a1-deploy.md) is op max2 in de live deploy-env uitgevoerd; het sops-bestand liep nog achter. Wie het opnieuw rendert kreeg de oude database terug.

DATABASE_URL: postgres:5432/media_organizer → media-organizer-postgres:5432/media_organizer_v2. Behalve de database ook de host: postgres botst met de compose_default-DNS van de andere stacks op deze host. De live env gebruikt al de expliciete container_name.
Verwijderd: LIBRARY_MEDIA_ROOT, IMMICH_API_URL, IMMICH_API_KEY — Lean A1 leest ze niet meer (spec §6 stap 6) en Immich is sinds 2026-06-15 uit dienst.

POSTGRES_PASSWORD en SESSION_SECRET ongewijzigd; het wachtwoord in DATABASE_URL is bit-identiek aan POSTGRES_PASSWORD én aan de live env (sha256-vergelijking). Decrypt-roundtrip geverifieerd.

Sleutels na deze wijziging: POSTGRES_PASSWORD, DATABASE_URL, SESSION_SECRET, MOUNT_ALLOWED_ROOTS.

🤖 Generated with Claude Code

Runbook stap 2 (`docs/runbooks/lean-a1-deploy.md`) is op max2 in de live deploy-env uitgevoerd; het sops-bestand liep nog achter. Wie het opnieuw rendert kreeg de oude database terug. - `DATABASE_URL`: `postgres:5432/media_organizer` → `media-organizer-postgres:5432/media_organizer_v2`. Behalve de database ook de **host**: `postgres` botst met de `compose_default`-DNS van de andere stacks op deze host. De live env gebruikt al de expliciete container_name. - Verwijderd: `LIBRARY_MEDIA_ROOT`, `IMMICH_API_URL`, `IMMICH_API_KEY` — Lean A1 leest ze niet meer (spec §6 stap 6) en Immich is sinds 2026-06-15 uit dienst. `POSTGRES_PASSWORD` en `SESSION_SECRET` ongewijzigd; het wachtwoord in `DATABASE_URL` is bit-identiek aan `POSTGRES_PASSWORD` én aan de live env (sha256-vergelijking). Decrypt-roundtrip geverifieerd. Sleutels na deze wijziging: `POSTGRES_PASSWORD`, `DATABASE_URL`, `SESSION_SECRET`, `MOUNT_ALLOWED_ROOTS`. 🤖 Generated with [Claude Code](https://claude.com/claude-code)

janpeter added 1 commit

2026-09-20 02:03:56 +02:00

chore(deploy): sops-env naar media_organizer_v2 en Immich-sleutels eruit

CI / test (historical-bootstrap) (pull_request) Successful in 1m17s

Details

CI / test (suite) (pull_request) Failing after 2m39s

Details

CI / docker-build (pull_request) Successful in 2m42s

Details

CI / test (video-migration) (pull_request) Has been cancelled

Details

a728e8f14c

Runbook stap 2 (docs/runbooks/lean-a1-deploy.md) is op max2 in de live
deploy-env uitgevoerd, maar het sops-bestand liep nog achter. Wie het
opnieuw rendert kreeg de oude database terug.

- DATABASE_URL: `postgres:5432/media_organizer`
  → `media-organizer-postgres:5432/media_organizer_v2`.
  Behalve de database ook de host: `postgres` botst met de
  compose_default-DNS van de andere stacks op deze host, waardoor de naam
  naar de verkeerde Postgres kan wijzen. De live env gebruikt al de
  expliciete container_name.
- Weg: LIBRARY_MEDIA_ROOT, IMMICH_API_URL, IMMICH_API_KEY — Lean A1 leest
  ze niet meer (spec §6 stap 6) en Immich is sinds 2026-06-15 uit dienst.

POSTGRES_PASSWORD en SESSION_SECRET zijn ongewijzigd; het wachtwoord in
DATABASE_URL is bit-identiek aan POSTGRES_PASSWORD en aan de live env
(sha256-vergelijking). Decrypt-roundtrip geverifieerd.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

s4m-codex-reviewer approved these changes

2026-09-20 02:06:10 +02:00

s4m-codex-reviewer left a comment

APPROVED

Geen gekoppeld plan gevonden — beoordeeld op codekwaliteit + product-standaarden.

Findings

Geen blokkerende of niet-blokkerende findings.

De wijziging raakt alleen deploy/media-organizer.env.sops: IMMICH_API_URL, IMMICH_API_KEY en LIBRARY_MEDIA_ROOT verdwijnen, MOUNT_ALLOWED_ROOTS blijft aanwezig, en de versleutelde database/session/postgreswaarden plus SOPS metadata zijn bijgewerkt. Dit is conform de actuele productdocs voor Lean A1, waarin Immich uit deploy/env moet verdwijnen en de deploy naar de opgeschoonde read-only mount-index richting beweegt. Omdat de waarden SOPS-versleuteld zijn, is de plaintext van DATABASE_URL niet rechtstreeks te reviewen in de diff; de gewijzigde keyset en metadata geven geen reden om wijzigingen te blokkeren.

# APPROVED Geen gekoppeld plan gevonden — beoordeeld op codekwaliteit + product-standaarden. ## Findings Geen blokkerende of niet-blokkerende findings. De wijziging raakt alleen `deploy/media-organizer.env.sops`: `IMMICH_API_URL`, `IMMICH_API_KEY` en `LIBRARY_MEDIA_ROOT` verdwijnen, `MOUNT_ALLOWED_ROOTS` blijft aanwezig, en de versleutelde database/session/postgreswaarden plus SOPS metadata zijn bijgewerkt. Dit is conform de actuele productdocs voor Lean A1, waarin Immich uit deploy/env moet verdwijnen en de deploy naar de opgeschoonde read-only mount-index richting beweegt. Omdat de waarden SOPS-versleuteld zijn, is de plaintext van `DATABASE_URL` niet rechtstreeks te reviewen in de diff; de gewijzigde keyset en metadata geven geen reden om wijzigingen te blokkeren.

janpeter merged commit 279fbb21b5 into main

2026-09-20 02:08:20 +02:00

janpeter referenced this pull request from a commit

2026-09-20 02:08:22 +02:00

Merge pull request 'chore(deploy): sops-env naar media_organizer_v2, Immich-sleutels eruit' (#79) from chore/sops-v2-database-url into main

janpeter referenced this pull request from a commit

2026-09-21 23:19:23 +02:00

fix(disk-delete): launcher leest de database uit DATABASE_URL

janpeter referenced this pull request

2026-09-21 23:19:43 +02:00

fix(disk-delete): launcher leest de database uit DATABASE_URL #87