feat(installer): OS ごとの前提条件スクリプトと Ubuntu arm64 実機の修正を入れる（ADR-08、DEMO-21、CI のワークフローは保留） - #44

…ight の libatomic 不足を直す

背景: Lima の Ubuntu 24.04 arm64 VM（grdm-ubuntu2404、8 CPU・40 GiB、uid 2001 の一般利用者、リポジトリは VM 自身のディスク、統合リポジトリはホストの読み取り専用ミラーから insteadOf で取得、トークンは VM に置かない）で install-ubuntu.sh --yes --profile core を実行し、dry run では分からない失敗を三つ記録した（DEMO-21）。

失敗 1: apt の qemu-user-static 1:8.2.2+ds-0ubuntu1.18 が modular-file-renderer のビルドで libgvc6 の post-install 中に「QEMU internal SIGSEGV」で落ち、開始 45 分後に終了 30。切り分け（buster の amd64 コンテナで libgvc6 を入れる、各 1 分）では Ubuntu の 8.2.2 だけが落ち、tonistiigi/binfmt の 8.1.5・9.2.2・10.2.3 は通った。版の範囲ではなく Ubuntu のビルドの問題なので、拒むのはそのビルドだけにした。
修正: install-ubuntu.sh は qemu-user-static を入れず、ダイジェストで固定した tonistiigi/binfmt:qemu-v10.2.3-68 から登録し、登録済みの Ubuntu 8.2.2 は --uninstall の後に --install で置き換える。doctor は登録済みインタープリターの --version（Ubuntu の x86_64-binfmt-P は名前を見て拒むので実体を解決して読む）を照合し、該当すればビルド前に終了 13 で置き換えのコマンドを示す。コンテナから F フラグで登録したものはホストにファイルが無いため「不明」として通す。
代替案: qemu-user-static を残して版で判定する案は、8.1.5 が通った実測と合わないので退けた。登録を永続化する systemd ユニットの追加は範囲外とし、再起動後は doctor と再実行で戻す。

失敗 2: QEMU 10.2.3 で全 12 部品は組めたが、ember の初回ビルドが 1 コアで 44 分 15 秒かかり、up の 1800 秒で終了 40。他の 23 サービスは健康で、ember の完成後は health 終了 0。
修正: Linux arm64 でプロファイルに amd64 のサービス（manifest の build_platform、doctor と同じ数え方）があるとき、up の既定の待ちを 5400 秒（実測のおよそ 2 倍）にした。--timeout の明示は優先。macOS は Darwin なので 1800 秒のまま。

失敗 3: playwright install --with-deps chromium が終了 127。Playwright の Node.js ドライバーが libatomic.so.1 を読めない（クラウドイメージに無い）。
修正: GRDM_WITH_ACCEPT=1 のとき install-ubuntu.sh が libatomic1 を apt で入れ、Linux の accept の案内は前に sudo apt-get install -y libatomic1、後に playwright install-deps chromium を付ける。

PR #36 の所有者処理は uid 2001 で働いた（volume_owner_init と volume_access_check_1000・999 が完了）。

証拠: 単体試験 572 件 OK（skipped 10、新規はエミュレーター判定・置き換え計画・up の既定待ち・Linux の案内）。docs_check 合格、manifest_check 合格。SPEC-02 0.17、SPEC-04 0.9、環境ガイド 1.3 に反映。

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BW1YQk71jLXY2FaSzMnnYJ

…）を直す

背景: 修正後の第 3 回（Ubuntu 24.04 arm64 VM、uid 2001、reset からのコールドスタート）で、install-ubuntu.sh は登録済みの Ubuntu QEMU 8.2.2 を置き換え、libatomic1 を入れ、build・up（ember の初回ビルドを含む）・health --network まで通ったが、scan が終了 51 で止まった（DEMO-21）。

失敗 4a: ZAP の三つの対象すべてで「no ZAP report (rc 0)」。ZAP は uid 1000 で書くが、runtime/reports はホストの uid 2001 の所有（775、グループ docker）で書けない。VM で touch を試して Permission denied を確認した。Mac の Docker Desktop の bind は所有者を問わず書けるため、これまで表に出なかった。
修正: 対象ごとに runtime/reports/zap_wrk_<svc>_<ts>/ を作って 0777 にし、そこを /zap/wrk に mount する。runtime/ は 0700 なので他のホスト利用者は入れない。報告はマスクした写しを reports/ に保存し、作業ディレクトリは finally で消す。代替案の --user <uid> は ZAP のホーム（/home/zap、uid 1000 所有）に書けず起動に失敗しうるので退けた。

失敗 4b: Semgrep 1.184.0 が .github/workflows/installer-prereq-lint.yml で「Internal matching error」を 4 件出した（curl-eval と gha-curl-pipe-shell の規則）。切り分けで PowerShell のジョブだけが原因と分かった。Semgrep は run: をシェルとして読むため、インラインの PowerShell でエンジンが失敗する。この branch で加えたファイルなので OS を問わず起きる。
修正: PowerShell の構文確認を .github/scripts/Test-PowerShellSyntax.ps1 に移し、run: は一行の呼び出しにした。VM で p/default と p/github-actions を当て、エラー 0 件を確認。

証拠: 単体試験すべて OK（skipped 10、新規は ZAP の作業ディレクトリのモードと削除、PowerShell の run: が一行であること）。docs_check 合格、manifest_check 合格。

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BW1YQk71jLXY2FaSzMnnYJ

… になったことを記録する

背景: DEMO-21 0.1（修正 1〜3 のコミットに含めた）は第 1・2 回までだった。修正後の第 3 回（壊れた状態からのコールドスタート）と修正 4 後の第 4 回、受入試験 2 回を記録する。

記録: 第 3 回は install-ubuntu.sh が Ubuntu の QEMU 8.2.2 を置き換え、libatomic1 を入れ、up（5400 秒の待ちの中で ember の初回ビルド約 40 分）と health --network まで通り、scan で終了 51（失敗 4a・4b）。第 4 回（0c46a82）は GRDM_WITH_ACCEPT=1 ./installer/install-ubuntu.sh --yes --profile core が 204 秒で終了 0（scan は trivy 23 対象・semgrep・gitleaks・zap 3 対象すべて ok、門は report-only で合格、report まで）。直後の grdm-dev health も終了 0。受入試験は 2 回とも 12 件中 5 件合格（C1・C3 の両ケースと C2 の拒否）。残る失敗は DEMO-20 が develop で記録したものと同じで、未マージの fix/accept-c2-c6 で直しているもの。Linux に固有の失敗は無い。証跡 2 件（マスク済み）を docs/demo/runs/ に追加。

ADR-08 0.2: §5 の「Docker Engine の apt 導入」と「arm64 Ubuntu の amd64 エミュレーション」を DEMO-21 で実証済みに更新。amd64 と WSL2 は未実行のまま。SPEC-02 の版の行の所要時間を実測の 48 分に訂正（試験のコメントも同じ）。

証拠: 単体試験すべて OK（skipped 10）、docs_check 合格、manifest_check 合格。VM は grdm-ubuntu2404 として残す。

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BW1YQk71jLXY2FaSzMnnYJ

…止め、Lima の手順を案内する

背景: DEMO-21 の VM を作ったとき、Lima の Ubuntu テンプレートは、インスタンスの設定に独自の mounts: を書いてもテンプレート側の "~" を併合し、ホームを読み取り専用で mount した。最初の起動で /Users/komiyama が VM から見え、~/.config/gh/hosts.yml（GitHub のトークン）が読める状態だった。気づいて lima.yaml から外し再起動するまでの間で、トークンは読んでいない。

修正: install-ubuntu.sh は /proc/mounts の共有フォルダ（virtiofs・9p・fuse.sshfs・vboxsf・vmhgfs）の根に .config/gh/hosts.yml・.git-credentials・.netrc・.docker/config.json があれば、変更の前に終了 10 で止まり、Lima での外し方を示す。存在だけを調べ、中身は読まない。--dry-run では停止を報告して計画を続ける。終了コードは既存の 10（ホストの前提条件）で、新しい番号は増やさない。WSL2 の /mnt/c は根に資格情報を持たないので誤検出しない。
環境ガイド 1.4 に「Mac の Lima VM で Ubuntu のスクリプトを試す」を英和で加え、起動前に "~" の mount を消す手順、mount の確認コマンド、トークン無しで読み取り専用ミラーを insteadOf で使う方法を書いた。
代替案: doctor（Python）での検出は、install.sh だけを使う人にも効くが、資格情報を VM に置かない判断は前提条件スクリプトの責務（ADR-08）なのでここに置いた。

証拠: 単体試験すべて OK（skipped 10、新規は資格情報ありの共有フォルダで終了 10・変更なし、dry run での報告、資格情報なしの共有フォルダとローカルディスクでは止まらないこと）。docs_check 合格、manifest_check 合格。

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BW1YQk71jLXY2FaSzMnnYJ

…nt による資格情報の露出を訂正する

背景: develop 50740b1（PR #40〜#43）へ rebase した後、VM grdm-ubuntu2404（uid 2001）で down・render・build・db upgrade・up・secrets rotate・health・accept を順に実行した。ホストの読み取り専用ミラーは git fetch で更新した。

記録:
- db upgrade（Linux かつ uid 1000 以外での初実行）: 終了 0、12 秒。9.6 → 18（postgres:18.6、ダイジェスト固定）。cas・osf・postgres の 3 データベースと 1 ロールで 531 個の対象（表ごとの行数、シーケンス、拡張）を照合して一致。ダンプ 4546929 バイト。旧ディレクトリは postgres_data.pg9.6-20261110T055459Z として残る。前後の db status は upgrade-needed → current。
- up 終了 0（296 秒）、secrets rotate 終了 0（293 秒）、health 終了 0。
- grdm-dev accept --seed --only core: 12 件中 12 件合格、終了 0（acc-20261110T060511Z-80ee06、証跡はマスク済み）。
- その後 GRDM_WITH_ACCEPT=1 ./installer/install-ubuntu.sh --yes --profile core が 273 秒で終了 0（scan は 4 つのツールすべて ok、report まで）。health 終了 0。
- 訂正: 準備の記録は、ホームの mount が資格情報を「見せてしまうところだった」と書いていたが、実際には最初の起動から mount を外すまでの数分間、~/.config/gh/hosts.yml が VM から読めた。読んだものは無い。対策は 45b49be（install-ubuntu.sh の終了 10 と環境ガイドの Lima の手順）。
- rebase でコミット ID が変わったこと（48859d7 → 8538324、0c46a82 → 05ff502）を本文に記した。

Linux に固有の新しい失敗は無かったので、今回の修正はドキュメントだけ。

証拠: 単体試験すべて OK（skipped 10）、docs_check 合格、manifest_check 合格。

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BW1YQk71jLXY2FaSzMnnYJ

…fault を通す

背景: 分割ブランチの検査で、semgrep scan --config p/default --error（CI と同じ .semgrepignore の下）が scan.py の os.chmod(wrk, 0o777) を insecure-file-permissions として 1 件報告し、終了 1 になった。この chmod は DEMO-21 第 3 回の修正 4a で加えたもの。

判断: 0777 は意図どおり。ZAP はコンテナの中で uid 1000 として書き、Linux のホスト利用者（第 3 回は uid 2001）の所有のディレクトリには書けない。作業ディレクトリは 0700 の runtime/ の中にあり、ほかのホスト利用者は入れず、報告一つだけを持ち、finally で消す。リポジトリの既存の慣行（compose.py・test_compose.py）に合わせ、理由つきの nosemgrep を付けた。代替案の --user <uid> は ZAP のホーム（uid 1000 の所有）に書けず起動に失敗しうるので退けた。

証拠: Semgrep p/default 終了 0。単体試験（python3 3.15 と /usr/bin/python3 3.9）・tools 試験・docs_check・manifest_check すべて終了 0。

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BW1YQk71jLXY2FaSzMnnYJ

背景: 所有者の判断で、OS ごとの導入の仕事を今すぐ入れられるよう分けた。このリポジトリに push するトークンには workflow スコープが無く、.github/workflows/ を変えられない。そこで installer-prereq-lint.yml・installer-full.yml と、それだけが使う .github/scripts/Test-PowerShellSyntax.ps1 をこのブランチから外し、ブランチ feat/per-os-installers に残した（後で所有者が push する）。

変更: SPEC-02 0.25（Normative for と §10 に保留中の注記）、ADR-08 0.3（§9 に保留中）、DEMO-21 0.4（残っていることに CI のワークフローの行）。ワークフローのファイルを読む単体試験 test_powershell_steps_are_one_line_calls は、ファイルと一緒に feat/per-os-installers へ移した。ほかの差分は feat/per-os-installers（960e3a9）と同じで、git diff で .github の 3 ファイルだけが違うことを確かめた。

証拠: 単体試験（python3 3.15 と /usr/bin/python3 3.9）・tools 試験・docs_check・manifest_check・Semgrep p/default すべて終了 0。

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BW1YQk71jLXY2FaSzMnnYJ