Update CDN Manager: Add integration for new settings route, enhance permissions for nodes and aliases, and improve Docker configuration documentation. Update UI components for better navigation and user experience.

2026-09-04 13:11:33 +07:00
parent 8700dc2957
commit dd3c378b5f
18 changed files with 788 additions and 5 deletions
@@ -7,5 +7,21 @@ Self-hosted панель управления DNS флота (ноды A/AAAA +
 - Модель: zones → nodes / aliases → sync desired↔Cloudflare (DNS-only)
 - UI DNA дашборда: как CFDM (`OpsDashboard`, `AttentionQueue`, hybrid KPI)
 - Не замена CFDM: там домены/сервисы/LB; здесь флот CHR и failover CNAME
+- SSO: [`integrate-auth-portal.md`](./integrate-auth-portal.md)
+- Docker + Traefik (prod): [`deploy-traefik.md`](./deploy-traefik.md)
+- Docker без Traefik: [`deploy-docker.md`](./deploy-docker.md)

 См. [README](../README.md) и [AGENTS.md](../AGENTS.md).
+
+## Docker + Traefik (кратко)
+
+```bash
+mkdir -p /opt/cdnmanager/data
+cp deploy/docker-compose.traefik.yml /opt/cdnmanager/docker-compose.yml
+cp deploy/env.traefik.example /opt/cdnmanager/.env
+# заполнить CF_DNS_API_TOKEN, CLOUDFLARE_API_TOKEN, AUTH_JWT_SECRET, …
+docker login git.shx.one
+cd /opt/cdnmanager && docker compose pull && docker compose up -d
+```
+
+Compose: [`deploy/docker-compose.traefik.yml`](../deploy/docker-compose.traefik.yml). Env: [`deploy/env.traefik.example`](../deploy/env.traefik.example).
@@ -0,0 +1,183 @@
+# Запуск CDN Manager на сервере (Docker CLI)
+
+Без Traefik (plain `docker run` / простой Compose). **Production HTTPS:** [`deploy-traefik.md`](./deploy-traefik.md).
+
+## Traefik (кратко)
+
+```bash
+mkdir -p /opt/cdnmanager/data
+cp deploy/docker-compose.traefik.yml /opt/cdnmanager/docker-compose.yml
+cp deploy/env.traefik.example /opt/cdnmanager/.env
+docker login git.shx.one
+cd /opt/cdnmanager && docker compose pull && docker compose up -d
+```
+
+Один alpine-контейнер: API + SPA + SQLite. Образы `cdnmanager` и `cdn-manager` — один манифест (drop-in alias).
+
+Registry по умолчанию: `git.shx.one/denozord/…` (подставьте свой owner при необходимости).
+
+## Требования
+
+- Docker Engine 24+ (или Docker Desktop)
+- Cloudflare API token: **Zone DNS Edit** + **Zone Read**
+- Для SSO: auth-portal с тем же `JWT_SECRET` / `AUTH_ISSUER` и origin CDNManager в `RETURN_TO_ALLOWLIST`
+
+## 1. Pull образа
+
+```bash
+docker pull git.shx.one/denozord/cdnmanager:latest
+
+# эквивалент (тот же образ):
+docker pull git.shx.one/denozord/cdn-manager:latest
+```
+
+Тег релиза: `vX.Y.Z` или `X.Y.Z` (см. Gitea Releases).
+
+## 2. Запуск одной командой (`docker run`)
+
+### Dev / без portal (локальный admin)
+
+```bash
+docker volume create cdnmanager-data
+
+docker run -d \
+  --name cdnmanager \
+  --restart unless-stopped \
+  -p 8080:8080 \
+  -v cdnmanager-data:/data \
+  -e DATABASE_URL=sqlite:/data/app.db \
+  -e STATIC_DIR=/app/static \
+  -e SERVER_PORT=8080 \
+  -e AUTH_REQUIRED=false \
+  -e JWT_SECRET=change-me-in-production \
+  -e ADMIN_USERNAME=admin \
+  -e CLOUDFLARE_API_TOKEN=cf_xxxxxxxx \
+  git.shx.one/denozord/cdnmanager:latest
+```
+
+Логин UI: `admin` / `admin` (если `ADMIN_PASSWORD_HASH` пуст — dev default).
+
+### Production + auth-portal SSO
+
+```bash
+docker volume create cdnmanager-data
+
+docker run -d \
+  --name cdnmanager \
+  --restart unless-stopped \
+  -p 8080:8080 \
+  -v cdnmanager-data:/data \
+  -e DATABASE_URL=sqlite:/data/app.db \
+  -e STATIC_DIR=/app/static \
+  -e SERVER_PORT=8080 \
+  -e AUTH_REQUIRED=true \
+  -e JWT_SECRET='<тот же секрет что у auth-portal>' \
+  -e AUTH_JWT_SECRET='<тот же секрет>' \
+  -e AUTH_ISSUER=https://auth.shnt.top \
+  -e AUTH_PORTAL_URL=https://auth.shnt.top \
+  -e AUTH_AUDIT_INGEST_SECRET='<AUDIT_INGEST_SECRET портала>' \
+  -e CLOUDFLARE_API_TOKEN=cf_xxxxxxxx \
+  -e LOG_LEVEL=info \
+  git.shx.one/denozord/cdnmanager:latest
+```
+
+Проверка:
+
+```bash
+curl -sS http://127.0.0.1:8080/health
+# {"status":"ok",…}
+```
+
+Откройте `http://<host>:8080` → редирект на auth-portal → после логина handoff на `/auth/callback`.
+
+## 3. Docker Compose
+
+Файлы в репозитории:
+
+- корневой [`docker-compose.yml`](../docker-compose.yml)
+- пример [`deploy/compose/docker-compose.example.yaml`](../deploy/compose/docker-compose.example.yaml)
+
+Создайте `.env` рядом с compose:
+
+```env
+JWT_SECRET=change-me-strong
+AUTH_REQUIRED=true
+AUTH_JWT_SECRET=change-me-strong
+AUTH_ISSUER=https://auth.shnt.top
+AUTH_PORTAL_URL=https://auth.shnt.top
+AUTH_AUDIT_INGEST_SECRET=change-me-audit
+CLOUDFLARE_API_TOKEN=cf_xxxxxxxx
+ADMIN_USERNAME=admin
+```
+
+```bash
+# из корня репозитория или каталога с compose
+docker compose pull
+docker compose up -d
+
+docker compose ps
+docker compose logs -f --tail=100
+```
+
+Остановка:
+
+```bash
+docker compose down
+# данные в volume сохраняются; удалить volume:
+# docker compose down -v
+```
+
+## 4. За reverse proxy (Traefik / Caddy)
+
+Пробросьте HTTPS на контейнер `:8080`. Пример labels Traefik (Host `cdn.shnt.top`):
+
+```yaml
+labels:
+  - traefik.enable=true
+  - traefik.http.routers.cdnmanager.rule=Host(`cdn.shnt.top`)
+  - traefik.http.routers.cdnmanager.entrypoints=websecure
+  - traefik.http.routers.cdnmanager.tls=true
+  - traefik.http.services.cdnmanager.loadbalancer.server.port=8080
+```
+
+На auth-portal добавьте в `RETURN_TO_ALLOWLIST`: `https://cdn.shnt.top`.
+
+В Admin → Apps выставьте URL App Switcher для `cdn` на этот origin.
+
+## 5. Обновление
+
+```bash
+docker pull git.shx.one/denozord/cdnmanager:latest
+docker stop cdnmanager && docker rm cdnmanager
+# затем снова docker run … (тот же volume /data)
+```
+
+Или:
+
+```bash
+docker compose pull
+docker compose up -d
+```
+
+Миграции SQLite применяются при старте API автоматически.
+
+## 6. Сборка своего образа (опционально)
+
+См. [`deploy/docker/README.md`](../deploy/docker/README.md) — `docker buildx bake` из `deploy/docker`.
+
+## Переменные окружения
+
+| Переменная | Обязательно | Описание |
+|------------|-------------|----------|
+| `DATABASE_URL` | да | `sqlite:/data/app.db` |
+| `STATIC_DIR` | да (prod) | `/app/static` — SPA |
+| `SERVER_PORT` | нет | default `8080` в образе / `8081` в local `.env` |
+| `CLOUDFLARE_API_TOKEN` | для sync | Zone DNS Edit + Zone Read |
+| `AUTH_REQUIRED` | prod SSO | `true` |
+| `AUTH_JWT_SECRET` / `JWT_SECRET` | при SSO | = portal |
+| `AUTH_ISSUER` | при SSO | = portal `ISSUER` |
+| `AUTH_PORTAL_URL` | при SSO | URL UI портала |
+| `AUTH_AUDIT_INGEST_SECRET` | опц. | dual-write audit |
+| `ADMIN_*` | только `AUTH_REQUIRED=false` | локальный admin |
+
+Подробнее SSO: [`integrate-auth-portal.md`](./integrate-auth-portal.md).
@@ -0,0 +1,162 @@
+# Развёртывание CDN Manager + Traefik (один Docker Compose)
+
+Один стек: **Traefik** (HTTPS, Let's Encrypt DNS-01 через Cloudflare) + **cdnmanager** (API + SPA, SQLite).
+
+| | |
+|---|---|
+| Образ | `git.shx.one/denozord/cdnmanager` (алиас `cdn-manager`) |
+| Runtime | `node:22-alpine`, API + SPA + SQLite |
+| Публичный URL | `https://cdn.shnt.top` |
+| Compose | [`deploy/docker-compose.traefik.yml`](../deploy/docker-compose.traefik.yml) |
+| Env-шаблон | [`deploy/env.traefik.example`](../deploy/env.traefik.example) |
+| SSO | [`integrate-auth-portal.md`](./integrate-auth-portal.md) |
+| Релизы | [`releasing.md`](./releasing.md) |
+
+Документация Traefik: [Expose Docker](https://doc.traefik.io/traefik/expose/docker/basic/), [ACME DNS challenge](https://doc.traefik.io/traefik/https/acme/).
+
+```
+Internet → :80/:443 (Traefik) → cdnmanager:8080
+                ↑
+         Cloudflare DNS TXT (ACME)
+```
+
+## Предпосылки
+
+1. Зона домена в Cloudflare (например `shnt.top`).
+2. Docker Engine + Compose plugin на VPS.
+3. Свободные порты **80** и **443** на хосте (этот стек сам поднимает Traefik).
+4. `docker login git.shx.one`.
+5. Для SSO — работающий auth-portal с тем же `JWT_SECRET` / `AUTH_ISSUER`.
+
+> Если на сервере уже крутится другой Traefik на 80/443 — либо остановите его, либо смените `TRAEFIK_HTTP_PORT` / `TRAEFIK_HTTPS_PORT`. Два Traefik на одних портах не запустятся.
+
+---
+
+## 1. Cloudflare: токены и DNS
+
+### Два разных токена
+
+| Переменная | Куда | Назначение |
+|------------|------|------------|
+| `CF_DNS_API_TOKEN` | контейнер **Traefik** | ACME DNS-01 (TXT `_acme-challenge`) |
+| `CLOUDFLARE_API_TOKEN` | контейнер **app** | Zone DNS Edit + Zone Read для sync флота |
+
+Можно один токен с нужными правами продублировать в обе переменные, либо разделить (рекомендуется least privilege).
+
+[API Tokens → Create Token](https://dash.cloudflare.com/profile/api-tokens) — шаблон **Edit zone DNS** или Custom:
+
+| Permission | Access |
+|------------|--------|
+| Zone → DNS | Edit |
+| Zone → Zone | Read (желательно) |
+
+**Zone Resources:** Include → Specific zone → ваша зона. Не Global API Key, не в Git.
+
+### DNS-запись
+
+| Type | Name | Content | Proxy |
+|------|------|---------|-------|
+| `A` / `AAAA` | `cdn` | IP VPS | **DNS only** (серое облако) |
+
+```bash
+dig +short cdn.shnt.top A
+```
+
+Traefik для сертификата создаёт TXT `_acme-challenge.cdn…` через Cloudflare API.
+
+---
+
+## 2. Файлы на сервере
+
+```bash
+mkdir -p /opt/cdnmanager/data
+cd /opt/cdnmanager
+
+# из репозитория:
+#   cp deploy/docker-compose.traefik.yml docker-compose.yml
+#   cp deploy/env.traefik.example .env
+
+curl -fsSL -o docker-compose.yml \
+  https://git.shx.one/denozord/CDNManager/raw/branch/main/deploy/docker-compose.traefik.yml
+curl -fsSL -o .env \
+  https://git.shx.one/denozord/CDNManager/raw/branch/main/deploy/env.traefik.example
+
+nano .env   # заполнить секреты
+```
+
+### Обязательные переменные в `.env`
+
+| Переменная | Назначение |
+|------------|------------|
+| `CF_DNS_API_TOKEN` | Cloudflare token для ACME DNS-01 (Traefik) |
+| `LETSENCRYPT_EMAIL` | Email для Let's Encrypt |
+| `CDN_DOMAIN` | Хост в Traefik rule, по умолчанию `cdn.shnt.top` |
+| `CLOUDFLARE_API_TOKEN` | Token приложения для DNS sync |
+| `AUTH_JWT_SECRET` / `JWT_SECRET` | = `JWT_SECRET` auth-portal (HS256) |
+| `AUTH_ISSUER` | `https://auth.shnt.top` |
+| `AUTH_PORTAL_URL` | URL UI портала |
+
+Опционально: `CDN_IMAGE_TAG`, `TRAEFIK_IMAGE_TAG`, `TRAEFIK_HTTP_PORT`, `TRAEFIK_HTTPS_PORT`, `AUTH_AUDIT_INGEST_SECRET`, `AUTH_REQUIRED` (default `true`).
+
+На стороне портала добавьте origin в `RETURN_TO_ALLOWLIST` (`https://cdn.shnt.top`) и выдайте app **`cdn`** + права `cdn:*`. App Switcher URL: тот же origin.
+
+---
+
+## 3. Запуск
+
+```bash
+cd /opt/cdnmanager
+docker login git.shx.one
+docker compose pull
+docker compose up -d
+docker compose ps
+docker compose logs -f --tail=100
+```
+
+Проверка:
+
+```bash
+curl -fsS https://cdn.shnt.top/health
+# {"status":"ok",…}
+```
+
+Откройте `https://cdn.shnt.top` → редирект на auth-portal → handoff на `/auth/callback`.
+
+---
+
+## 4. Обновление
+
+```bash
+cd /opt/cdnmanager
+docker compose pull
+docker compose up -d
+```
+
+Миграции SQLite применяются при старте API. Volume `./data` сохраняется.
+
+---
+
+## 5. Остановка
+
+```bash
+docker compose down
+# с удалением ACME volume (сертификаты перевыпустятся):
+# docker compose down -v
+```
+
+Данные SQLite в `./data` на хосте остаются, пока не удалите каталог.
+
+---
+
+## Troubleshooting
+
+| Симптом | Причина |
+|---------|---------|
+| Порт 80/443 занят | другой Traefik/nginx; смените порты или хост |
+| ACME timeout | `CF_DNS_API_TOKEN` без DNS Edit; Cloudflare Proxy на A-записи (нужен DNS only) |
+| SSO loop / 401 | разный `AUTH_JWT_SECRET` / `AUTH_ISSUER` vs portal |
+| 403 «Нет доступа» | у пользователя нет app `cdn` |
+| return_to rejected | `https://cdn.shnt.top` не в `RETURN_TO_ALLOWLIST` портала |
+| Sync CF падает | пустой/`CLOUDFLARE_API_TOKEN` без Zone DNS Edit |
+
+Без Traefik (plain `docker run` / простой Compose): [`deploy-docker.md`](./deploy-docker.md).
@@ -0,0 +1,57 @@
+# Интеграция auth-portal ↔ CDN Manager
+
+App id: **`cdn`**. Зеркало на стороне портала: [`auth-portal/docs/integrate-cdnmanager.md`](../../auth-portal/docs/integrate-cdnmanager.md) (соседний репозиторий).
+
+## Flow
+
+```
+Browser → CDNManager UI (нет token)
+       → redirect AUTH_PORTAL_URL/?return_to=…/auth/callback
+       → login
+       → redirect return_to#access_token=…
+       → /auth/callback сохраняет token (localStorage: cdnmanager_token)
+       → API Authorization: Bearer <JWT>
+```
+
+## Permissions
+
+| Permission | UI |
+|------------|-----|
+| `cdn:dashboard:read` | `/` |
+| `cdn:nodes:read` / `write` | `/nodes` |
+| `cdn:aliases:read` / `write` | `/aliases` (+ Retarget) |
+| `cdn:zones:read` / `write` | `/zones` |
+| `cdn:sync:write` | Sync / Apply |
+| `cdn:topology:read` | `/topology` |
+| `cdn:settings:admin` | `/settings/*` |
+
+## Env
+
+```env
+AUTH_REQUIRED=true
+AUTH_JWT_SECRET=<тот же JWT_SECRET портала>
+AUTH_ISSUER=https://auth.shnt.top
+AUTH_PORTAL_URL=https://auth.shnt.top
+AUTH_AUDIT_INGEST_SECRET=<AUDIT_INGEST_SECRET портала>
+CLOUDFLARE_API_TOKEN=
+```
+
+```env
+# apps/web/.env.local (dev SPA)
+VITE_AUTH_ENABLED=true
+VITE_AUTH_PORTAL_URL=https://auth.shnt.top
+```
+
+В Docker SPA обслуживается API (`STATIC_DIR`): достаточно server-side `AUTH_*` — UI читает `GET /api/v1/auth/config`.
+
+В portal Admin → Apps выдайте app `cdn` и нужные `cdn:*`. URL в App Switcher: origin CDNManager (`https://cdn.shnt.top`).
+
+## Checklist
+
+1. Общий `JWT_SECRET` / `AUTH_JWT_SECRET` и одинаковый `AUTH_ISSUER`
+2. Origin CDNManager в `RETURN_TO_ALLOWLIST` портала
+3. Пользователю выдан app `cdn`
+4. `AUTH_REQUIRED=true` в контейнере CDNManager
+5. Logout → `{AUTH_PORTAL_URL}/logout`
+
+Запуск на сервере: [`deploy-traefik.md`](./deploy-traefik.md) (рекомендуется) или [`deploy-docker.md`](./deploy-docker.md).