# R15 任务报告

## 结论

- `lab-dev.hwpod.com` Workbench 的 `admission_promotion_unavailable` 已解决。
- NC01/v03 已通过 YAML-first 使用 AgentRun dev lane `nc01-v02`。
- 认证迁移保持以下边界：
  - 保留统一管理员密码迁移；
  - 不回退统一密钥；
  - 不把 Web 管理员密码误用为 API key。

## 根因与修复

- development runtime 曾错误装配 release AgentRun 路由。
- GitOps runtime postprocessor 只覆盖 Kafka flags：
  - 遗漏 AgentRun manager URL；
  - 遗漏 runner/secret namespace；
  - 遗漏 API key SecretRef；
  - 遗漏 adapter/profile/supervisor；
  - 导致 overlay 正确但实际 Deployment 仍保留 release endpoint。

- 交付记录：
  - UniDesk PR #2364，merge `c302f03a`：
    - NC01/v03 YAML 指向 `agentrun-v02` manager、runner namespace 与 secret namespace。
  - UniDesk PR #2381，merge `56d547b9`：
    - postprocessor 完整渲染 AgentRun runtime 字段；
    - API key 继续从 YAML SecretRef 下发。
  - UniDesk PR #2382，merge `b051b84e`：
    - 增加真实 ConfigMap 脚本发布契约。
  - HWLAB PR #2585/#2587/#2589：
    - direct/live admission 不再依赖 outbox promotion；
    - 补足防回退测试与诊断语义。

## 认证边界

- Web 管理员密码：
  - 唯一来源为 `/root/.unidesk/.env/unified-admin-password.txt`；
  - 仅由 web-probe 登录使用。
- HWLAB API key：
  - 独立来源为 `/root/.config/hwlab-v03/master-server-admin-api-key.env`；
  - 仅由正式 CLI/API 鉴权使用。
- AgentRun runtime API key：
  - 由 YAML `apiKeySecretName/apiKeySecretKey` 声明投影；
  - 全程未读取或输出 Secret value。

## 运行面与验收

- Cloud API manager URL：
  - `http://agentrun-mgr.agentrun-v02.svc.cluster.local:8080`。
- runner/secret namespace：
  - 均为 `agentrun-v02`。
- CLI canary `trc_mrnv1hd6_tcd3s8aw`：
  - 创建成功；
  - 出现 `turn:admitted-live-kafka`；
  - AgentRun run `run_8066dcf5c7c1496caecf525315dcb5cf` completed；
  - AgentRun command `cmd_a027ef7cf38e4627864504a3eb63637f` completed；
  - 权威结果为 `Hi.`。
- 公网 Workbench observer `webobs-mrnv85r0-72d12c`：
  - 使用统一管理员密码 sourceRef 登录；
  - 提交新 `hi`；
  - trace `trc_26f9c0f80a42410f`；
  - submit accepted；
  - async turn completed；
  - Final Response `Hi.`；
  - Trace 可读；
  - `admission_promotion_unavailable` 无命中；
  - `outbox_event_id` 无命中。
- observer 已正常停止：
  - 未保留后台浏览器进程。

## 已知非阻塞警告

- 正式 CLI 对持久 read model 的 result/trace 仍可能显示初始 running/missing。
- AgentRun durable authority 与公网 Workbench live DOM 已 completed。
- OTel 分类：
  - projection warning；
  - `blocking=false`。
- 不得用该警告回退旧 projector/outbox 规格。
