Перенесены секреты из .env в SM

codebase/backend/deployment/scripts/setup-vm.sh

@@ -435,6 +435,46 @@ configure_application_security() {
   fi
 }
 
+install_secret_loader_if_possible() {
+  step "Загрузчик секретов"
+  local source_dir="${DEPLOY_DIR}/deployment/secrets"
+  if [[ ! -f "${source_dir}/secrets_loader.py" || ! -f "${source_dir}/han-secrets" ]]; then
+    log "Проект еще не скопирован: загрузчик секретов будет установлен при повторном запуске"
+    return
+  fi
+  chmod 0750 "${source_dir}/han-secrets" "${source_dir}/han-compose"
+
+  install -d -m 0700 -o root -g root \
+    /etc/han \
+    /etc/han/secrets \
+    /etc/han/credentials
+  install -d -m 0755 -o root -g root \
+    /usr/local/lib/han-secrets \
+    /usr/local/share/doc/han-secrets
+  install -m 0750 -o root -g root \
+    "${source_dir}/secrets_loader.py" \
+    /usr/local/lib/han-secrets/secrets_loader.py
+  install -m 0750 -o root -g root \
+    "${source_dir}/han-secrets" \
+    /usr/local/lib/han-secrets/han-secrets
+  install -m 0750 -o root -g root \
+    "${source_dir}/han-compose" \
+    /usr/local/bin/han-compose
+  install -m 0644 -o root -g root \
+    "${source_dir}/han-secrets@.service" \
+    /etc/systemd/system/han-secrets@.service
+  install -m 0644 -o root -g root \
+    "${source_dir}/SELECTEL_RUNBOOK.ru.md" \
+    /usr/local/share/doc/han-secrets/SELECTEL_RUNBOOK.ru.md
+  if [[ ! -e /etc/han/secrets/production.selectel.json.example ]]; then
+    install -m 0600 -o root -g root \
+      "${source_dir}/config.example.json" \
+      /etc/han/secrets/production.selectel.json.example
+  fi
+  systemctl daemon-reload
+  log "Загрузчик установлен, но не включен: сначала выполните SELECTEL_RUNBOOK.ru.md"
+}
+
 install_ssl_timer_if_possible() {
   step "Таймер продления TLS"
   local renew_script="${DEPLOY_DIR}/deployment/scripts/ssl-renew.sh"
@@ -504,14 +544,18 @@ HSTS max-age:             ${HSTS_MAX_AGE_SECONDS}
      ${DEPLOY_DIR}
 3. Поместите CA PostgreSQL:
      ${DEPLOY_DIR}/secrets/pg/ca.pem
-4. Создайте и заполните окружение:
+4. Создайте только несекретный config:
      cd ${DEPLOY_DIR}
      cp .env.example .env
      chmod 600 .env
      ./scripts/validate-env .env
-5. Продолжите с Gate 7 в:
+5. Настройте Selectel, encrypted bootstrap credential и fallback map:
+     deployment/secrets/SELECTEL_RUNBOOK.ru.md
+6. Выполняйте Compose только через:
+     sudo deployment/secrets/han-compose <command>
+7. Продолжите с Gate 7 в:
      deployment/RUNBOOK.ru.md
-6. После копирования проекта повторно запустите этот скрипт для установки TLS-таймера.
+8. После копирования проекта повторно запустите этот скрипт для установки unit-файлов.
 
 Важно: членство в группе docker начнет действовать после нового входа в систему.
 EOF
@@ -538,6 +582,7 @@ main() {
   configure_docker_firewall
   configure_ssh
   configure_application_security
+  install_secret_loader_if_possible
   install_ssl_timer_if_possible
   verify
   summary