awoooi/docs/awooop/inventory/INV-4-hardcoded-namespace-ip.md

INV-4: Hardcoded Namespace & IP Inventory

版本：v1.0 初稿 日期：2026-05-03（台北） 範圍：apps/api/src/ 全 codebase + k8s/ 用途：Phase 2 多租戶改造 + EwoooC onboarding 前必須清理的硬碼

---

1. Hardcoded K8s Namespace

位置	行號	內容	影響	修補方式
apps/api/src/plugins/mcp/providers/k8s_provider.py	40-41	ALLOWED_NAMESPACES = {"awoooi-prod"} / DEFAULT_NAMESPACE = "awoooi-prod"	🔴 P0-13：EwoooC K8s tool 無法操作自己的 namespace	改為 config-driven：從 EffectivePolicy 或 project contract 讀 allowed namespaces
apps/api/src/plugins/mcp/mcp_bridge.py	592, 602, 631, 647, 681	namespace = parameters.get("namespace", "awoooi-prod")	🔴 P0-13：5 處預設值都寫死	改為 namespace = parameters.get("namespace", get_project_default_namespace(project_id))
apps/api/src/plugins/mcp/providers/signoz_provider.py	169	namespace = parameters.get("namespace", "awoooi-prod")	🟠 SignOz query 預設 namespace 錯誤	同上
apps/api/src/main.py	175	sentry_sdk.set_tag("host", "k8s-awoooi-prod")	🔵 Sentry tag 寫死，EwoooC 看到錯誤 host tag	改為 settings.SENTRY_HOST_TAG
apps/api/src/core/prompts.py	120, 178, 192	系統 prompt 中出現 awoooi-prod	🔵 LLM 可能在其他 tenant 錯誤建議 awoooi-prod namespace	改為 {tenant_namespace} template variable

---

2. Hardcoded IP Addresses

內網 IP（已知用途）

IP	用途	位置	改法
192.168.0.110	Gitea / Prometheus / Loki / MinIO	config.py:226,413,460,813	已在 config 以 default 存在，OK（K8s 覆蓋）
192.168.0.111	Ollama Local Fallback	config.py + feedback_ollama_111_only.md（已更新）	ADR-110 已改為第三層 fallback，config 需更新
192.168.0.112	ArgoCD	config.py:396	OK（config default）
192.168.0.120	K3s API Server	config.py:531	OK（config default）
192.168.0.121	K3s ingress？	config.py:837	確認用途
192.168.0.188	PostgreSQL / Redis / SigNoz / Grafana / ClickHouse	config.py 多處	OK（config default，K8s 以 env 覆蓋）

🔴 問題：telemetry.py IP Assertion

位置	行號	內容	問題
apps/api/src/core/telemetry.py	71	if "192.168.0.188" not in endpoint: raise	🔴 P0-08：EwoooC 啟動必失敗（EwoooC SigNoz 可能是不同 endpoint）
修補方式			移除硬碼 assert，改為 if endpoint not in settings.ALLOWED_TELEMETRY_ENDPOINTS:

GCP IP（新增，ADR-110，2026-05-03 生效）

IP	用途	位置
34.143.170.20	Ollama GCP-A Primary（SSD）	config.py（ADR-110 已加入 _ALLOWED_PUBLIC_IPS）
34.21.145.224	Ollama GCP-B Secondary（SSD）	config.py（ADR-110 已加入 _ALLOWED_PUBLIC_IPS）

注意：

• K8s NetworkPolicy egress：已新增 GCP-A/GCP-B /32 出口規則（ADR-110）
• INV-4 確認：GCP IP 已在 config.py._ALLOWED_PUBLIC_IPS 白名單，非新增需求
• telemetry.py:71 assert：GCP IP 不影響（assert 是針對 OTEL endpoint，非 Ollama endpoint）

---

3. SSH Host Hardcodes

位置	內容	問題	修補
reference_four_hosts.md	110/120/121/188 四主機清單	文件，不是程式碼，OK	無
apps/api/src/plugins/mcp/providers/ssh_provider.py（若有）	SSH 目標主機	需 grep 確認是否硬碼	改為 config-driven 白名單

---

4. 其他硬碼字串

位置	內容	問題	修補
apps/api/src/core/config.py:625	default="192.168.0.188=ollama"	Ollama-to-host mapping，ADR-110 後需更新	改為 192.168.0.188=ollama_old（僅 fallback 相關）
apps/api/src/core/config.py:828	default="192.168.0.188,192.168.0.110,192.168.0.111"	主機清單	確認用途，若是 monitoring target 需加 GCP IP

---

5. 改造策略（Phase 2）

K8s Namespace（優先）

# 方案：project contract 中定義允許的 K8s namespaces
# awooop_projects.k8s_namespaces: ["awoooi-prod"]（AWOOOI）/ ["ewoooc-prod"]（EwoooC）
# k8s_provider.py 從 project contract 讀，而非硬碼

def get_allowed_namespaces(project_id: str) -> set[str]:
    contract = get_active_project_contract(project_id)
    return set(contract.allowed_k8s_namespaces)

Telemetry Endpoint Assert（P0-08，PR-01 優先）

# 修改前（telemetry.py:71）
if "192.168.0.188" not in endpoint:
    raise ValueError(f"Forbidden OTEL endpoint: {endpoint}")

# 修改後
allowed_endpoints = settings.ALLOWED_TELEMETRY_ENDPOINTS.split(",")
if not any(allowed in endpoint for allowed in allowed_endpoints):
    raise ValueError(f"Forbidden OTEL endpoint: {endpoint}")

---

6. 驗收標準

• grep -r "192.168.0.188" apps/api/src/ 中 telemetry.py 的 assert 行消失
• grep -r '"awoooi-prod"' apps/api/src/ 中的程式碼路徑（非 prompt 文字、非 comment）結果為 0
• k8s_provider.py ALLOWED_NAMESPACES 改為 config-driven
• INV-4 中標記 GCP IP 已確認加入 NetworkPolicy（ADR-110 完成）

最後更新：2026-05-03（台北）