homelab-infra/docs/NEXT_SPRINT_TODO_2026-05-16.md

Aktuelle Restliste - KalliLab CORE

Stand: 2026-05-17

Diese Datei ersetzt die alte Sprint-Liste vom 2026-05-16. Die damaligen Backup-, Posture-, Logging- und Hardening-Bloecke sind weitgehend erledigt oder dokumentiert. Sie bleibt nur als kurze Restliste fuer die naechsten bewussten Arbeitspakete bestehen.

Erledigt / nicht mehr offen

• Filebrowser-Hardening: breiter Appdata-Mount ist entfernt; Filebrowser mountet nur noch Documents, Photos, Projekte und eigenen App-State.
• Authelia Argon2id-Haertung: iterations: 3, memory: 65536, parallelism: 4, key_length: 32, salt_length: 16 sind gesetzt.
• Gitea Webhook-Allowlist: GITEA__webhook__ALLOWED_HOST_LIST ist auf komodo-core,localhost,127.0.0.1,192.168.178.0/24 eingeschraenkt.
• Backup-Konsistenz: SQLite-/Nextcloud-Dumps, Borg-Scope fuer Nextcloud-Daten, Restore-Matrix und Freshness-Checks sind umgesetzt.
• Posture-/Cert-/Drift-Checks: Skripte und Unraid User Scripts sind vorhanden und geplant.
• Monitoring-Zielstack: monitoring/ buendelt Prometheus, Loki, Promtail, Grafana, node-exporter, cAdvisor und InfluxDB 3 Core im Repo-Zielzustand.
• Docker-Log-Rotation: Unraid-native Rotation ist dokumentiert; keine separate /etc/docker/daemon.json setzen.

Morgen / bewusst spaeter

• Monitoring live finalisieren:
  • Secrets monitoring_grafana_admin_password.txt, monitoring_grafana_influxdb_token.txt, influxdb3_admin_token.json auf dem Host pruefen/anlegen
  • monitoring in Komodo deployen
  • alte Stacks ops/loki und ops/grafana-influxdb nach erfolgreichem Smoke-Test stoppen
  • https://monitoring.kaleschke.info, Prometheus Targets, Loki-Logs und InfluxDB-Datasource pruefen
• Home Assistant -> InfluxDB finalisieren:
  • HA-Token/Writer final pruefen
  • erste Messwerte in InfluxDB verifizieren
  • Grafana-HA-/Wetter-Dashboard in monitoring-grafana aufbauen
• Disk1-NTFS-Migration Phase 2:
  • bleibt bewusst separates Migrationsfenster
  • posture-check darf bis dahin die dokumentierte NTFS-Warnung melden
• Hermes VM-Seite:
  • Runner-VM, echte .env, SSH-Key und Dashboard/Gateway final zusammenfuehren
  • NAS-Stack erst starten, wenn VM-Seite bereit ist

Verbleibende bekannte Warnings

• ddns-updater, glances, scrutiny: nutzen noch latest...@sha256; spaeter durch konkrete Versionstags ersetzen, sofern upstream sinnvoll versioniert.
• ops/grafana-influxdb und ops/loki: bleiben nur noch als Rollback-/Migrationsreferenz im Repo, nach Live-Migration nicht parallel betreiben.
• scrutiny: bleibt privileged: true; dokumentierte SMART-Ausnahme, spaeter erneut pruefen.

Regel

Neue Arbeit erst starten, wenn klar ist, ob sie eines der drei Morgen-Themen betrifft oder eine der bekannten Warnings bewusst abbaut.