HAL 0.4.1 hal.local.test(WS1) 배포 기록: VERSION_HISTORY 0.4.1 배포 절에 사설 CA 환경 배포·hal-host-agent 부트스트랩 완료·실제 TLS 경로 검증(핀 없는 curl 60 → 핀 명령·hal-ca.pem·--cacert·Node fetch ok), RUNBOOK §11.3 실행 기록

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

VERSION_HISTORY.md

@@ -48,7 +48,8 @@
 - HAL: 백업 `/srv/ariweb/hal/backups/pre-v0.4.1-20261106T084347Z` → stage(`hal/tls.mjs`·`deploy/hal-host-agent.sh` 확인) → `register-release --approve` → `bootstrap-release` → current `releases/0.4.1-2b31543` → 재시작 뒤 500ms 에 health ok(0.4.1). config·vault 보존 sha256 전=후. 운영 DB read-back: 마이그레이션 `hal_0011_token_replace`, 릴리스 0.4.1 approved. 기동 로그 "공개 주소 TLS: 신뢰됨"(Let's Encrypt → 설치 명령에 핀 없음), `GET /agent/v1/tls` trusted·`hal-ca.pem` 404(불필요). 배포 코드 read-back(메모리 DB, 사설 CA 흉내): 완료 전 배너 "부트스트랩 진행 중…", 완료 뒤 "부트스트랩 완료 · 기능 단위 서버 배포 대기: 고객 포털, Webmaker, AriMail, 백업", 핀 설치 명령, 두 번째 토큰 409 `server_already_registered`, `/agent/v1/hal-ca.pem` 200.
 - HAL 서버 Agent(`deploy/hal-host-agent.sh --name hal21.ariweb.net --by claude-fable-5.1`): 서버 `srv_01a1b007b83b87fca6c9766a94`(control, 프로필 hal) · Agent `ag_01a1b007b9c088f15b3031db15` · `/srv/ariweb/agent`(유닛 `ariweb-agent`, loopback `http://127.0.0.1:8900`) · 승인 → bootstrapComplete true, pendingModules [](운영 HAL 은 기능 모듈이 모두 배치되어 배너 없음). `/api/health.deployment` = deployed portal·webmaker·arimail·backup, agents 3.
 - HAL 작업(CLI `module-deploy`, 감사 `cli:claude-fable-5.1`, 한 대씩): agent 0.4.1 → srv1953374(`j_01a1b00816493ecf9b390fce32`) · jitsi(`j_01a1b0082beaaf45decd2fefa2`) 각 done 5초 안, 재시작 뒤 heartbeat 0.4.1. hawkeye 0.4.1 기록(3대, `j_01a1b008831e7c9bf45ca2a400`) · backup 0.4.1 기록(srv1953374, `j_01a1b0089874924f22df95de5f`). 실패 작업 0. read-back: 세 서버 모두 agent_version 0.4.1, `hawkeye` 행 last_check_at 08:45(0.3.17 잔여 결함 해소: 2026-10-29 에 멈춰 있던 값 갱신), `observability` 행 0. Webmaker·AriMail·포털은 코드 변경이 없어 배포하지 않음.
-- 되돌리기: HAL `ln -sfn /srv/ariweb/hal/releases/0.4.0-9f1e490 /srv/ariweb/hal/current && sudo systemctl restart ariweb-hal`. HAL 서버 Agent 제거는 RUNBOOK §11.1. 모듈은 HAL 작업 `module.rollback`(agent `releases/0.4.0` 보존).
+- **hal.local.test(WS1, 192.168.20.31 — 사설 루트 CA "Ariweb HAL Local Root CA", 지시의 오류 재현 환경) 배포(2026-11-06 09:17 UTC)**: `~/oz-deploy/ws-apply-0.4.1.sh`(bear-apply 와 같은 절차, vault.json 없는 데이터 디렉터리 허용) → 백업 `pre-v0.4.1-20261106T091745Z` → current `releases/0.4.1-2b31543` → health 0.4.1, config·vault.key 보존. 기동 로그 "공개 주소 TLS: 시스템 CA 로 신뢰되지 않음(SELF_SIGNED_CERT_IN_CHAIN) — 설치 명령에 핀을 붙입니다", `tls-probe` pin `sha256//ANF6p+gy…`, caSource chain(루트 1). `hal-host-agent.sh --name hal.local.test` → 서버 `srv_01a1b0268c70986dc77d7f8e76`(control, 프로필 hal) · Agent `ag_01a1b0268e2ef4aba63f88cae4` · bootstrapComplete true · pending portal·webmaker·arimail(backup 은 Agent 기능으로 배치됨). 실제 TLS 경로 검증(bear 에서 `--resolve`): 핀 없는 curl → 60(WS2 재현) / 핀 curl → install.sh 수신 / 틀린 핀 → 90 거부 / 핀으로 `hal-ca.pem` → 루트 CA → `--cacert` health ok / 받은 CA 로 Node fetch ok(ws1). 배포 코드 read-back 통과. 이전 WS2 서버 행(`srv_01a19f297b62971d5fc4d1edcc`, pending, Agent 없음)은 그대로 — 운영자가 새 토큰을 발급하면 핀 명령이 나온다.
+- 되돌리기: HAL `ln -sfn /srv/ariweb/hal/releases/0.4.0-9f1e490 /srv/ariweb/hal/current && sudo systemctl restart ariweb-hal`(hal.local.test 는 `releases/0.4.0`). HAL 서버 Agent 제거는 RUNBOOK §11.1. 모듈은 HAL 작업 `module.rollback`(agent `releases/0.4.0` 보존).
 - 운영자 조치: (1) 사설 CA 로 운영하는 HAL(예: hal.local.test)은 이 릴리스로 올린 뒤 운영자 콘솔에서 토큰을 다시 발급해 핀이 붙은 명령으로 설치한다(RUNBOOK §11.3). (2) hal21 서버 행의 `webmaker` 모듈은 bear 의 webmaker.ibit.kr(Suite 외 운영)을 Agent 가 발견해 보고한 것 — 배포 대상이 아니며 인벤토리 전송은 환경 변수 미지정으로 `inventory_incomplete` 로그만 남긴다(필요하면 서버 행에서 정리). (3) 0.4.0 이하 Agent 가 사설 CA HAL 에 이미 붙어 있는 서버는 RUNBOOK §11.3-4.
 
 ### 알려진 제한(0.4.1)