netbird-telegraf-installer/docs/updater.md

Auto-Updater und Force-Updater

Anforderung

Der Installer soll auf den Nodes aktuell bleiben (Auto-Updater) und sich auf Kommando neu durchsetzen (Force-Updater) — ohne dass jemand per SSH auf jede Maschine geht.

Konzept

Versionierung

VERSION im Repo ist die einzige Quelle der Wahrheit (MAJOR.MINOR.PATCH). Nach der Installation liegt sie lokal unter /etc/telegraf/CONFIG_VERSION zusammen mit einem Hash der Installer-Logik (/etc/telegraf/INSTALLER_SHA).

Warum beides: VERSION sagt was sich geändert hat, der Hash erkennt auch Änderungen an Scripts und Confs, bei denen die Version nicht erhöht wurde (Fehlerkorrektur an journal-tail.sh etwa). Sonst bleibt ein Node mit falschem Script stehen, weil die Version gleich geblieben ist.

Auto-Updater

systemd-Timer telegraf-installer-update.timer, Standard täglich (--interval überschreibt: daily | hourly | weekly | *-interval).

Der Lauf ist bewusst billig: Er holt nur VERSION und SHA256SUMS (wenige hundert Byte) und vergleicht. Erst bei Abweichung lädt er den Installer und die Confs. Kein git clone, kein GitHub-Actions-Overhead.

Ablauf:

1. VERSION vom Repo lesen, mit lokalem Wert vergleichen.
2. Bei Gleichstand und gleichem Hash: still beenden (Exit 0).
3. Sonst install.sh --quiet --update-only ausführen.
4. Ergebnis nach /var/log/telegraf-installer-update.log schreiben.

--update-only fasst nur telegraf.d/-Confs und Hilfsscripts an. Es installiert kein Paket neu und rührt /etc/telegraf/telegraf.conf nicht an — dadurch bleibt ein Update auch auf einem PVE-Knoten mit Drop-in harmlos.

Force-Updater

install.sh --force-update (Windows: -ForceUpdate):

• Confs und Scripts werden immer neu geschrieben, ohne Versionsvergleich.
• systemctl restart telegraf wird erzwungen.
• Danach Selbsttest: Dienst aktiv? Konfig-Test sauber? Erreichbarkeit des Collectors? Ergebnis als Klartext auf stdout, Exit-Code entsprechend.

Damit ist der Force-Weg das Werkzeug nach einem kaputten Update oder wenn eine Datei manuell verändert wurde. Er ist idempotent — mehrfaches Ausführen ist folgenlos.

Sicherheit

• Der Updater lädt ausschließlich vom eigenen Gitea (REPO_RAW).
• Kein Token im Repo: Der Bearer-Token liegt lokal in /etc/default/telegraf. --update-only ändert diese Datei nicht, ein Update kann den Zugang also nicht zerstören.
• Konfig-Test vor dem Neustart: telegraf --test --input-filter cpu:mem. Schlägt er fehl, wird die alte Conf zurückgerollt (.bak).

Windows

install.ps1 -InstallUpdateTask legt eine geplante Aufgabe (\NetBirdTelegraf\Update) mit denselben Semantiken an: täglich, nur bei Änderung, Ergebnis ins Event-Log. -ForceUpdate entspricht dem Linux-Weg.

Umsetzungsstand

Teil	Status
VERSION im Repo	✅
--check / --version	✅
--force-update	✅
Timer + --install-update-timer	✅
-ForceUpdate / Task (Windows)	✅