调整单管理员恢复运维口径（07-27-automatic-offhost-backup）

.trellis/tasks/07-27-automatic-offhost-backup/design.md

@@ -82,4 +82,4 @@ quarterly reminder
 - 不给生产普通 ARM shell，而用 inbox + 强制 receiver + archive 隔离，抵消推送方案最主要的跨机删除风险。
 - 使用 rsync 而不是新备份服务；当前压缩批次规模较小，收益主要是断点续传和成熟 SSH 传输，不追求块级去重。
 - 不自动恢复。季度人工影子恢复才是可恢复性证据，日 timer 只负责生成恢复点。
-- 运维加固在 dead-man、真实失败链路、timer、恢复卡第二人走查完成后硬收口；不继续新增平台化备份或告警能力，后续回到产品 backlog。
+- 运维加固在 dead-man、真实失败链路、timer 和现有 runbook 恢复卡完成后硬收口；公司只有一名系统管理员，季度影子恢复由该管理员按卡自查，不设置第二人走查门禁。后续不继续新增平台化备份或告警能力，回到产品 backlog。

.trellis/tasks/07-27-automatic-offhost-backup/implement.md

@@ -8,7 +8,7 @@
 - [x] 泛化现有企微运维告警的 stdin summary、issueId 和备份建议，使用独立状态文件并补单元测试。
 - [x] 增加合成契约测试：来源漂移、锁冲突、不完整/损坏/重复批次、续传 partial、拒绝普通 shell、保留轮转、stale 和季度降噪。
 - [x] 更新部署环境契约、runbook、checklist、管理员手册的最小操作入口和 `.trellis/spec/hyb-oa/deployment-trialrun.md`；不新增平行长文档。
-- [x] 生成一页脱敏恢复卡内容，优先放在现有 runbook 的首部紧急段；由用户复制到公司知识库并安排第二人走查。
+- [x] 生成一页脱敏恢复卡内容并放在现有 runbook 的首部紧急段；由唯一系统管理员维护并用于季度自查，不另建知识库副本或第二人走查门禁。
 - [x] 完成本地全量门禁并提交；生产、ARM 安装另行请求批准。
 - [x] 获批后先安装 ARM 接收端并用合成批次验证，再安装生产 units，手工运行首次真实自动批次，最后 enable timers。
 - [x] 获批执行一次可控源端停止告警并恢复正常链路；不读取附件正文、不执行业务或企微其他写入。
@@ -65,7 +65,7 @@
 - `scripts/check-minimal.sh` 通过：server 162 个测试文件、1004 项测试全部通过，client typecheck/build 通过。
 - 环境合同、Trellis task/governance、敏感扫描、文档注册、流程合同和 `git diff --check` 均通过；文档注册保留既有 22 个未注册文件 warning，无本任务新增文档。
 - 最终只读复核修正了三个本地缺陷：生产安装器残留个人工号校验、ARM 重装可能改变 dead-man 状态文件属主、stale 状态未校验 run id/manifest SHA；修正后 46 项合同与 `scripts/check-minimal.sh` 全量复跑通过。
-- 更新后的 ARM dead-man/helper、生产 helper/runner、真实有效首批、四组 timer enable 与真实企微失败链路已在单独授权后完成；第二人季度走查仍为外部门禁，未执行、不得写成已完成。
+- 更新后的 ARM dead-man/helper、生产 helper/runner、真实有效首批、四组 timer enable 与真实企微失败链路已在单独授权后完成；公司只有一名系统管理员，第二人季度走查不适用。
 
 ### 首次远端执行增量
 
@@ -82,4 +82,4 @@
 - 两端企微运维群机器人均由用户手工写入执行账号持有的 root-only `0600` 文件；Codex 未读取、回显或记录 Webhook 内容。
 - 真实失败链路通过停止源端 daily timer 并临时缩短 ARM 阈值触发：首次 dead-man 超龄只发送一条 `FAIL_OFFHOST_DEADMAN`/`archive_stale` 脱敏通知，相同失败重复执行明确降噪、不再次发送。
 - 恢复 daily、生成新的真实有效批次并恢复 ARM 正常阈值后，dead-man 返回 `success/0`，企微群只收到一条 `PASS_OFFHOST_DEADMAN_FRESH`/`healthy` 恢复通知；临时失败测试脚本已删除。
-- 本轮外部验收未读取附件正文、备份文件正文、原始日志或 Webhook 内容，未修改业务数据；恢复卡复制到公司知识库和第二名内部人员只读走查仍待人工完成。
+- 本轮外部验收未读取附件正文、备份文件正文、原始日志或 Webhook 内容，未修改业务数据；恢复卡已保存在现有 runbook，由唯一系统管理员按季度提醒自行执行影子恢复。

.trellis/tasks/07-27-automatic-offhost-backup/prd.md

@@ -37,7 +37,7 @@
 - 同一 UTC 日已有不同自动归档时，新批次必须先完整通过 manifest、文件集、大小和 SHA-256 校验，再以可回滚的同文件系统 rename 顺序原子取代旧日批次；任一替换步骤失败必须恢复旧批次或保留可诊断状态。最终仍只保留每日一个恢复点。
 - 告警只包含阶段、状态、finding 数和脱敏建议，不包含数据库凭证、完整目录、SSH 信息、真实业务数据、附件名或原始命令输出。
 - 季度恢复保持人工触发，在 ARM 隔离目标执行；季度 timer 只发送一次脱敏提醒，不得自动运行恢复，更不得触碰生产库。
-- 形成一页脱敏恢复卡，说明主机故障后的负责人、备份位置类别、恢复顺序和验收项，供另一名人员存入公司知识库。
+- 形成一页脱敏恢复卡，说明主机故障后的负责人、备份位置类别、恢复顺序和验收项，保存在现有运维 runbook 中，由唯一系统管理员维护并用于季度自查。
 
 ## Acceptance Criteria
 
@@ -52,7 +52,7 @@
 - [x] systemd 安装器显式绑定 Compose project、活动数据路径、构建标识、备份根和受限远端身份；安装后四组 timer 均 enabled/active，安装阶段未手工执行真实告警。
 - [x] 经单独生产授权后完成一次自动日备份：源端完整、ARM 目标端哈希一致、状态报告脱敏，且未读取附件正文或修改业务数据。
 - [x] 模拟源端停止产生一条脱敏企微告警，相同失败重复执行不再发送；恢复正常链路并完成成功批次后只发送一条恢复通知。
-- [ ] 恢复卡经第二名内部人员只读走查，能够指出恢复入口、影子目标和 `/ready`/关键计数验收项。
+- [x] 恢复卡已写入现有运维 runbook，覆盖恢复入口、影子目标和 `/ready`/关键计数验收项；公司只有一名系统管理员，不设置虚构的第二人走查门禁。
 
 ## Out of Scope
 

docs/管理员手册.md

@@ -358,12 +358,12 @@ WAPC2 请假/补卡只读 POC 操作口径：
 
 自动异机备份运维口径：
 
-1. 自动备份以 OA 仓库 runbook 首部“紧急恢复卡”为唯一短入口；公司知识库保存该卡副本，并指定系统管理员和一名替补操作人。
+1. 自动备份以 OA 仓库 runbook 首部“紧急恢复卡”为唯一短入口；公司当前只有一名系统管理员，由该管理员维护恢复卡，不另设知识库副本或虚构替补操作人。
 2. 每日 02:30 生成数据库、附件、manifest 同批恢复点并推送 ARM；07:10 检查最近 24 小时异机成功状态，ARM 另以 26 小时 dead-man 独立检查归档。生产保留 7 个自动日批次，ARM 保留 7 个日批次和 4 个周检查点。
 3. ARM 专用身份只能写 inbox 和请求 finalize，不能登录 shell、读取或删除 archive。任何人不得为了省事改用普通 ARM 登录账号或关闭 known-hosts 固定校验。
 4. 自动备份使用独立企微运维群机器人，不依赖 OA server 或个人员工号。Webhook 只由用户写入两台主机的 root-only 文件，不进仓库、普通 `.env`、日志或聊天。企微只收脱敏异常、finding 和恢复通知；同一失败降噪。季度提醒只要求人工在 ARM 隔离目标恢复，不会自动恢复生产。
-5. 当前 receiver 和生产 units 的既有安装不等于可靠启用闭环完成。群机器人、ARM dead-man、更新后的两端脚本、首次有效真实批次、全部 timer enable 和真实断链告警均为 **EXTERNAL_GATED**，必须逐阶段批准并回填证据；真实验收必须停止一次源端 timer 或故意让一次传输失败，不能只测试机器人发送。
+5. 群机器人、ARM dead-man、更新后的两端脚本、首次有效真实批次、全部 timer enable 和真实源端停止告警均已按阶段授权完成并回填当前 Trellis task；后续安装或配置变更仍为 **EXTERNAL_GATED**。真实验收必须停止一次源端 timer 或故意让一次传输失败，不能只测试机器人发送。
-6. 每季度由替补操作人按恢复卡走查，至少能指出归档类别、三条恢复入口、`/ready` 和关键计数验收项。不能独立说明时，本季度恢复门禁不通过。
+6. 每季度由唯一系统管理员按恢复卡在 ARM 隔离目标执行一次影子恢复，核对归档类别、三条恢复入口、`/ready` 和关键计数；未实际执行时，本季度恢复门禁不通过。
 7. 卸载 timer 或 receiver 时保留历史 archive 和源端完整批次；账号、密钥、备份数据的删除必须另行批准。
 8. 改动每日备份时刻后，人工确认次日 UTC 分桶和 26 小时窗口，避免把调整日的预期空窗误当成长期故障。