sergio/takana

1# pacha — `pacha daemon`, corriendo en gioser sin que nadie lo declare.
2#
3# El paquete es `pacha-cli` y el binario `pacha`. Sus reglas viven en `~/.config/pacha/reglas*.ron`:
4# son DECISIONES del usuario, no defaults, y no las genera nada.
5#
6# Receta Cargo contra el monorepo de tawasuyu, pinneada al MISMO commit que `shuma-*` y
7# `puriy-costura`: el árbol de fuentes se comparte por `<dep>-<sha>`, así que un pin distinto es otro
8# vendoreo de 2,4 G. Estática musl con zig-cc — la caja la arranca el init y no puede depender de
9# encontrar un cargador, que es justo lo que le falta al binario glibc de gioser.
10
11name    = "pacha"
12version = "0.1.0"
13license = "MIT OR Apache-2.0"
14
15# ── ⚠ EL PIN SUBE, Y NO ES EL DE SUS HERMANAS (2026-09-21) ────────────────────────────────────
16# De `23a292863` a `cd9acd0d9`, que es `4f2b5eac7` (el arreglo) más el cierre de su `Cargo.lock`:
17# `cargo vendor --locked` murió otra vez porque un `merge de git en «main» (import)` se había
18# llevado la arista `rpassword` publicada esa misma mañana — el muro no lo levanta quien toca el
19# lock sino cualquiera que toque un `Cargo.toml` del monorepo, y ya van cinco (SDD 26 §7.terdecies). El motivo es un defecto de HONESTIDAD que este servicio tenía y que
20# no se ve desde ningún guardián de ficheros (SDD 26 §7.terdecies): los lectores de la seed de
21# identidad hacían `.recuperar(…).ok().flatten()`, que convierte **«el llavero de sesión no se pudo
22# consultar»** en **«no hay identidad desbloqueada»**. La primera es un error de sistema; la segunda
23# se le echa a quien está delante. Medido en el LXC del worker: `add_key` funciona y
24# `keyctl(KEYCTL_SEARCH)` da `ENOSYS`, o sea que ahí se puede SEMBRAR y no COSECHAR — y con la seed
25# presente en `/proc/keys` este daemon igual arrancaba diciendo «SIN identidad agora desbloqueada».
26# Mismo `Err` en cualquier sistema sin llavero de kernel (el caso FreeBSD, `LlaveroError::NoSoportado`).
27#
28# Ahora `pacha-llavero::SeedDeSesion` distingue los TRES estados, el `warn!` dice cuál es, y la
29# interfaz propia `net.tawasuyu.Secretos1` gana `reason` al lado de `persistent` — que existía
30# justamente porque «desde afuera es indistinguible».
31#
32# ⚠ El pin ya NO coincide con el de `puriy-costura`, `shuma-*` y `tejido` (`23a292863`), así que
33# paga un árbol de fuentes propio (~2,4 G: se comparte por `<repo>-<sha>`). Se paga a propósito y se
34# comparte con `recipes/pacha.toml`, que sube al MISMO commit por la misma razón —su `pacha-cli`
35# guardaba los dotfiles SIN CIFRAR, en silencio, cuando el llavero fallaba—, así que las dos usan un
36# solo vendoreo. El día que las hermanas suban, que suban a éste.
37[source]
38repo   = "https://git.tawasuyu.net/tawasuyu/tawasuyu.git"
39commit = "619431cac9753cd55d0f9e2d99ff8efe7fab651b"
40# tawasuyu COMMITEA su propio `vendor/` (smithay parcheado, enchufado por `[patch.crates-io]` POR
41# RUTA); el `cargo vendor` de takana lo pisaría y el error habla de `taffy`, no de esto.
42cargo_vendor_dir = ".hammer-cargo-vendor"
43
44[build]
45compiler = "zig-cc"
46target   = "x86_64-linux-musl"
47link     = "static"
48flags    = ["-p", "pacha-cli", "--bin", "pacha"]
49
50# ── LA CUENTA (SDD 30) ──────────────────────────────────────────────────────────────────────────
51# Fuera de `hash_inputs`. En gioser corre como `sergio` —nunca como root—, así que acá es una cuenta
52# propia y sin privilegio. La comparte con `pacha-secretos`: son la misma familia y el mismo estado
53# (`~/.local/state/tawasuyu/pacha-secretos/`), y separarlos obligaría a un grupo intermedio para que
54# uno lea lo que el otro escribe.
55[[user]]
56name = "pacha"
57uid  = 965
58home = "/var/lib/pacha"
59
60# ── EL SERVICIO ─────────────────────────────────────────────────────────────────────────────────
61# ⚠ La guarda EXIGE `reglas.ron`. No es celo: son **decisiones del usuario, no defaults** — sin
62# ellas pacha no falla, arranca con otra política, y eso no se ve en ningún log. Mismo criterio que
63# el `gateway-token` de shuma: lo que no se puede regenerar se exige, no se inventa.
64[[service]]
65label      = "pacha"
66id         = "01M2EKDA00PACHADAEM0N00110"
67exec       = "/bin/busybox"
68argv = ["sh", "-c", "/bin/grep -q '^pacha:' /etc/passwd || { echo 'pacha: falta el usuario `pacha` en /etc/passwd — lo declara esta receta con [[user]]' >&2; exit 78; }; test -s /var/lib/pacha/.config/pacha/reglas.ron || { echo 'pacha: falta /var/lib/pacha/.config/pacha/reglas.ron — son las REGLAS del usuario, no un default; vienen de ~/.config/pacha/ del origen' >&2; exit 78; }; mkdir -p /run/pacha && chown pacha:pacha /run/pacha; cd /var/lib/pacha || exit 78; exec /usr/bin/setuidgid pacha /usr/bin/pacha daemon"]
69envp       = [["PATH", "/usr/bin:/bin"], ["HOME", "/var/lib/pacha"], ["USER", "pacha"], ["XDG_RUNTIME_DIR", "/run/pacha"]]
70networking = "full"
71cgroup     = "arje.slice/pacha"
72restart    = { initial_ms = 1000, max_ms = 30000 }