g9-migration/g9-migration/RUNBOOKS/registre.md

RUNBOOK — Registre & dérive (registre, watchtower, edge)

Le registre est généré : ./11-registry.sh (lecture seule : docker ps + docker inspect sur .24/.27 + compose du kit + Caddyfile). Un git diff sur REGISTRE-BRIQUES.md est la détection de dérive.

Contrôles

Contrôle	Commande	Attendu
Régénération	./11-registry.sh	rc=0, table complète
Dérive + alerte	./11-registry.sh --check --alert	rc=0 si propre ; rc=1 + NOTIFY_OK 200 si dérive
Scope Watchtower	docker run --rm -v /var/run/docker.sock:ro <watchtower@digest> --label-enable --monitor-only -R	scanned=2 (edge + watchtower), les stateful ignorés
Labels stateful	docker inspect -f '{{.Name}} {{index .Config.Labels "com.centurylinklabs.watchtower.enable"}}' $(docker ps -q)	false partout sauf edge/watchtower
Images non épinglées	section « Constats automatiques » du registre	0 ligne image non épinglée

Symptômes → action

Constat	Action	Rollback
label watchtower absent sur un stateful	poser le label via le compose (source de vérité) + compose up -d ; conteneurs pilotés hors compose = docker update --label-add (indisponible sur docker 24.0.2 DSM → clonage via API socket, procédure journalisée 10/10)	restaurer le compose .bak
image non épinglée (:latest)	épingler la version courante dans le compose, commit, compose up -d	revenir au compose précédent
conteneur réel non déclaré dans le kit	écrire le compose correspondant (c'est la production : tout dans git)	supprimer le conteneur après validation utilisateur (G3)
edge (Caddy G9) déclassé par le J5040	garder tant que la bascule bridge n'est pas faite ; le retirer ensuite + retirer les règles ufw 443/80 du G9	ufw allow 443 + compose up -d

Anti-bruit

Une alerte par brique et par heure maximum (état dans /var/lib/g9-probes). Le digest quotidien (08:30) porte l'état complet ; les alertes immédiates sont réservées aux KO high.