fix(vault): a hoszt Vault-hitelesítése jusson el a konténerbe

[sinkog]

A make release ezt adta egy olyan shellből, ahol mindkét változó be volt állítva:

[FATAL] VAULT_ADDR and VAULT_TOKEN must be set for release.

Három külön ok, mindegyik félrevezető hibaüzenettel.

1. A konténer sosem látta őket

A docker-compose.yml létrehozáskor helyettesíti be a ${VAULT_ADDR}-t és a ${VAULT_TOKEN}-t. Egy builder, amit a token exportálása előtt indítottak, üres sztringeket kap és azokat hordozza az élettartamára.

Konkrétan ez történt: a konténer 2026-08-10 21:21-kor indult — általam, egy olyan munkamenetből, ahol a változók nem voltak beállítva.

2. A 127.0.0.1 mást jelent a konténerben

A hoszton helyes, a konténerben a saját loopbackjára mutat → Connection refused, olyan tracebackkel, ami egy szót sem szól névterekről.

konténerből 127.0.0.1:18200          → elérhetetlen
konténerből host.docker.internal     → HTTP 200

A compose az extra_hosts: host.docker.internal:host-gateway-t már ma is biztosítja.

3. A TLS rossz okból kapcsolt ki

A compiler.py a VAULT_CACERT-et olvassa, a hoszt konvenciója viszont VAULT_CA_CERT_FILE, és a fájl a $XDG_RUNTIME_DIR alatt van, ami nincs mountolva. Így a hitelesítés csendben „disabled"-re esett — feleslegesen:

subject=CN = localhost
SAN: DNS:localhost, IP:127.0.0.1, DNS:host.docker.internal

A tanúsítvány SAN-ja tartalmazza a host.docker.internal-t, tehát az ellenőrzés sikerül. Lemérve: TLS-ellenőrzéssel HTTP 200 a konténerből.

A megoldás

tools/vault-exec.sh mindhármat kezeli: exec-időben adja át a tokent (nem függ attól, ki és mikor indította a konténert), a címben átírja a hoszt-részt, a CA-t bemásolja a mountolt fába és rámutat.

Ha nincs CA, a script megáll — nem esik vissza ellenőrzés nélküli kapcsolatra. Az aláíró token többet ér, mint egy megszakadt release kellemetlensége.

Ez a release előfeltétele

A primitives/releases/v0.2.0 ágon a make release enélkül nem fut le. Javaslat: ez a PR menjen előbb, utána a release-ág rebase-elve main-re, és onnan a make release.