Kabelix Lizenz- und Deploy-Verwalter

Prüft den aktuellen main-Stand und die veröffentlichten Web-/Worker-Images. GitHub wird nur vom eigenen Deploy-Server abgefragt. Ein erfolgreicher Build braucht weiterhin ein offline signiertes Release; Demo und Produktion gibst du danach getrennt frei.

Aktuell vorgeschriebene Versionen

Der prod-Kanal nimmt ausschließlich freigegebene Releases — das ist das Schutzschild. Der demo-Kanal darf auch Versionen beziehen, die noch nicht freigegeben sind. Ohne Anweisung bleiben die Instanzen des Kanals auf ihrem aktuellen Stand stehen — sie ziehen dann nicht etwa die neueste Version.

Neues Release eintragen

Releases werden nicht mehr hier eingetragen. Ein Release besteht aus einem offline signierten Manifest und dem dazugehörigen Deploy-Kit; die Prüfsumme des Kits wird beim Import aus der Datei berechnet und nicht mehr abgetippt. Dieser Server kann ein gültiges Manifest bewusst nicht selbst erzeugen — genau darin liegt der Schutz.

Signiert wird auf dem Rechner mit dem Release-Schlüssel, eingespielt wird auf der Box:

for f in kabelix-vX.Y.Z.tar.gz vX.Y.Z.manifest.json vX.Y.Z.manifest.sig release-key.pub.pem; do
  docker compose exec -T license-server sh -c "cat > /tmp/$f" < "$f"
done

docker compose exec license-server node src/cli.ts kit import \
  --kit /tmp/kabelix-vX.Y.Z.tar.gz \
  --manifest /tmp/vX.Y.Z.manifest.json \
  --sig /tmp/vX.Y.Z.manifest.sig \
  --pubkey /tmp/release-key.pub.pem

Danach erscheint das Release unten als Kandidat. Eintragen und Freigeben bleiben zwei getrennte Schritte: Ein Kandidat gilt nur für den demo-Kanal, für Kundeninstanzen wird er erst nach der Freigabe zulässig. Der genaue Ablauf steht in docs/RELEASE_PROTOCOL_V1.md.

Eine Instanz, die dauerhaft nicht aktualisiert, sah bisher vollständig gesund aus — sie holte ja brav ihr Token. Wer die Netzposition hat, kann gezielt nur den Kit-Download blockieren und die Lizenz durchlassen. Hier steht deshalb, was die Instanzen tatsächlich fahren, nicht nur, ob sie sich melden.

Manuelles Token signieren (lokal)

Signiert direkt mit dem Schlüssel auf diesem Rechner — ohne Lizenzserver. Für Kunden ohne Auto-Renew.