@sema-agent/server 7.146.0 → 7.148.0

package/deploy/facts/lanes.json

@@ -49,6 +49,13 @@
       "isolation": "unsupported",
       "requiredEnv": ["DEVICE_RELAY_URL"],
       "requiredSecretEnv": []
+    },
+    {
+      "lane": "none",
+      "tenantSeparation": "supported",
+      "isolation": "unsupported",
+      "requiredEnv": [],
+      "requiredSecretEnv": []
     }
   ]
 }

package/deploy/sema-up/README.md

@@ -51,7 +51,7 @@ summary 会打印手动接法。
 | flag | 默认 | 说明 |
 |---|---|---|
 | `--profile=P` | 交互问 | `full-single`/`data-center`/`local-plus`/`full-cluster` |
-| `--users=U` | `single` | `single`(超管 turnkey)/`multi`(身份隔离 REQUIRE_PRINCIPAL=true) |
+| `--users=U` | `single` | `single`(超管 turnkey;落 `OPERATOR_SINGLE_USER=true` = 每个调用方都是运维,server 单用户形起服要这一行)/`multi`(身份隔离 REQUIRE_PRINCIPAL=true;`OPERATOR_SINGLE_USER=false`)。两根键由同一个租户词派生,重跑即按租户词重写;具名运维名单(`OPERATOR_PRINCIPALS`)本脚本不渲 |
 | `--region=R` | `auto` | `cn`/`global`;auto=对 aliyun/npmjs 探测延迟 |
 | `--project=NAME` | `sema` | compose project 名;并行试验/多套共存用。也是工作目录 `~/.sema-up/<名>` 与自动数据根 `<盘>/sema-data/<名>` 的一段 ⇒ 只收小写字母 / 数字 / `-` / `_`,首字符是字母或数字(别的写法在建任何目录之前拒) |
 | `--dry-run` | — | 只打印执行计划,不写 .env、不起容器 |
@@ -87,7 +87,7 @@ summary 会打印手动接法。
 
 - **`host`**(compose 路径) — 可选 `--users`:`single`;落盘 `REMOTE_EXEC=host`;运维自备的键:无;隔离:`unsupported`。server 容器本身就是沙箱:agent 的手落在这只容器里(worktree 隔离在、OS 级隔离不在)。只给单用户 —— 多租户下一个租户的输入会把手指向另一个租户的文件与进程。
 - **`e2b-cloud`**(compose 路径) — 可选 `--users`:`single` / `multi`;落盘 `REMOTE_EXEC=e2b`;运维自备的键:`E2B_API_KEY`;隔离:`supported`。E2B 云沙箱:每任务一只 microVM。E2B_API_KEY 由运维自备(sema-up 只登记键名,绝不写值)。
-- **kube 路径(不选词)** — 可选 `--users`:`single` / `multi`;落盘 `REMOTE_EXEC=k8s`;运维自备的键:`K8S_SANDBOX_IMAGE`、`K8S_NAMESPACE`;隔离:`supported`。kube 路径**不选词**:runtime 由 kube-up.sh 按 runtimeClass `kata-qemu` 在不在自动定(在 ⇒ kata VM,不在 ⇒ runc 容器),沙箱镜像与沙箱命名空间由 chart/清单给。本行只为对表(能力表 / 必需键 / REQUIRE_EXECUTION_LANE 三面),不进 --sandbox 词表。
+- **kube 路径(不选词)** — 可选 `--users`:`single` / `multi`;落盘 `REMOTE_EXEC=k8s`;运维自备的键:`K8S_SANDBOX_IMAGE`、`K8S_NAMESPACE`;隔离:`supported`。kube 路径**不选词**:runtime 由 kube-up.sh 按 runtimeClass `kata-qemu` 在不在自动定(在 ⇒ kata VM,不在 ⇒ runc 容器),沙箱镜像与沙箱命名空间由 chart/清单给。本行只为对表(能力表 / 必需键两面),不进 --sandbox 词表。
 
 已退役的词(收到即非零退出并指路):
 
@@ -154,11 +154,18 @@ data-center:2c/2G/20G)以下 BLOCK——确实无法稳定部署,提前警告不
 - **MinIO**:钉死的 tag(`minio/minio:RELEASE.…`,chart / cluster 静态清单 / compose 三份同值;k8s `imagePullPolicy: IfNotPresent`,不再 `:latest` + `Always`)。换源 = 换整条引用:
   compose 与 kube-up 读环境变量 `MINIO_IMAGE`(kube-up 给了才递给 chart),chart 直接 `--set minio.image=<源>/minio/minio:<tag>`(预灌镜像的节点 `--set minio.pullPolicy=Never`)。
 
-## 停驻钥匙的持久卷(helm 图表的 `sealedKey` 块)
+## 停驻钥匙的持久卷(三条交付路径同形;helm 图表的 `sealedKey` 块)
 
-server 的 `<数据根>/sealed-key/` 存着停驻任务续跑上下文里请求凭据的封签钥匙(子目录 `checkpoint-ctx-keys/`)和模型钥匙 —— 私钥只在这个目录里、不进库。
-图表(`kube-up.sh` 的 `--kube=existing|k3s`、`cluster-up.sh` 的 `STACK_ENGINE=helm`)缺省把整个目录挂成一只 PVC(`sealedKey.persistence.enabled: true`),
-容器内路径 `/root/.ai-agent/sealed-key`,主 worker 与启用的 `serverV4pro` 共用:重启与换副本都不丢钥匙,停驻的任务照常续跑。
+server 的钥匙保管目录存着停驻任务续跑上下文里请求凭据的封签钥匙(子目录 `checkpoint-ctx-keys/`)和模型钥匙 —— 私钥只在这个目录里、不进库。
+三条交付路径都照随包部署事实 `deploy/facts/sealed-key.json` 装:给 server 设绝对路径的 `SEALED_KEY_DIR=/root/.ai-agent/sealed-key`,那个目录整个是一只持久卷 ——
+
+- **图表**(`kube-up.sh` 的 `--kube=existing|k3s`、`cluster-up.sh` 的 `STACK_ENGINE=helm`):缺省挂一只 PVC `sema-server-sealed-key`(`sealedKey.persistence.enabled: true`),
+  主 worker 与启用的 `serverV4pro` 共用;`kube-up.sh` 的 `STORAGE_CLASS` 同样用于新建的这只卷(已在的卷沿用它建好时的类,PVC 的存储类建好后不可改)。下面几条是图表的旋钮。
+- **cluster 静态清单**(`cluster-up.sh` 的缺省 `STACK_ENGINE=render`):同名 PVC,`ReadWriteMany`(本清单副本数恒 > 1)、存储类 `longhorn` —— **每个节点要装 NFS 客户端**
+  (Debian / Ubuntu `nfs-common`,RHEL 系 `nfs-utils`;机器预检缺它会告警,缺了 server Pod 挂不上卷、第 7 步等不到就绪而失败)。要单副本 / RWO / 关持久,改走图表路径。
+- **单机 compose**(`full-single` / `local-plus`):具名卷 `<项目>_sealedkey`(`--data-root` 时落 `<数据根>/sealedkey`);`--teardown-volumes` 删卷对象 —— docker 管的卷连钥匙一起没,`--data-root` 的 bind 目录留在盘上。
+
+重启与换副本都不丢钥匙,停驻的任务照常续跑。两条 helm 路径都把 helm 输出里的安装说明(NOTES 段)打进日志 —— 只这一段:开着 helm 调试时 stdout 里还有 values 与渲出的 Secret,那些不打。
 
 - **访问模式缺省随共享这只卷的 pod 数**:`server.replicas`(加上启用的 `serverV4pro.replicas`)为 1 ⇒ `ReadWriteOnce`,多于 1 ⇒ `ReadWriteMany`,**要集群的存储类支持 RWX**
   (Longhorn 走 NFS 共享管理器、每个节点要装 NFS 客户端;`local-path` 与多数云盘类不支持 ⇒ PVC 一直 Pending、server Pod 起不来)。点名存储类:`--set sealedKey.persistence.storageClass=<支持 RWX 的类>`。
@@ -166,7 +173,7 @@ server 的 `<数据根>/sealed-key/` 存着停驻任务续跑上下文里请求
   有效访问模式是 `ReadWriteOnce` 时 Deployment 用 `Recreate`(RWO 卷同时只能被一个节点挂,滚动更新的新 Pod 落在别的节点就永远等不到卷;代价是升级窗口内短暂没有副本)。
 - **没有 RWX 的集群**:`--set server.replicas=1`,或单节点多副本盖 RWO(上一条),或关持久 `--set sealedKey.persistence.enabled=false` —— 关掉时图表**显式**给每只 worker 设 `DURABLE_APPROVAL=false`
   (耐久审批整条关,不产生续不了的停驻行;`helm install` 打印的安装说明里也有这一句),且同时配 `server.durableApproval=true` 渲染即拒。
-- **首装是空卷**:多个 pod 并发首启可能各建一把钥匙、各持自己那一把(钥匙创建没有互斥,只有两个副本在同一个目录上同时首启、都没读到可用的钥匙文件时才发生,不是每次都分叉);装好后不论有没有分叉都执行 `kubectl -n <ns> rollout restart deploy/sema-server`(启用 `serverV4pro` 时再加 `deploy/sema-server-v4pro`)一次,之后每个 pod 读到全部钥匙。
+- **首装是空卷**:多个 pod 并发首启也只出一把钥匙(7.148.0 起,首把钥匙只有一个创建口:空目录里以 `wx` 独占创建互斥文件 `.keygen.lock` 分先后,其余 pod 等它发布后读到同一把),不必重启;要求存储类的 `O_EXCL` 独占创建是原子的(本地盘与 NFSv3 及以上按协议满足,别的存储请向存储方确认)。7.147.x 及更早版本首装出多把钥匙的卷(各 pod 各持自己那一把、互相答 `key_not_held`):执行 `kubectl -n <ns> rollout restart deploy/sema-server`(启用 `serverV4pro` 时再加 `deploy/sema-server-v4pro`)一次,之后每个 pod 读到全部钥匙。
 - PVC 的 `accessModes` 建好后不可改:副本数跨过 1 的边界时 `helm upgrade` 会撞「spec is immutable」;卷里是私钥,换卷前先结掉停驻行或备份钥匙文件。
   PVC 带 `helm.sh/resource-policy: keep`:`helm uninstall` 与把 `enabled` 改成 `false` 的 upgrade 都不删它(确认不要了再 `kubectl -n <ns> delete pvc sema-server-sealed-key`)。
 
@@ -249,4 +256,8 @@ machines.example.yaml 多机清单模板
 lib/parse-machines.py machines.yaml mini-parser(标准库零依赖,fail-loud)
 lib/dataroot.sh       数据根归属规则(自动根按项目分 / 项目标记 / 拒 / 卸载提示;sema-up 与 preflight 同读)
 lib/shell-access.sh   汇总里「壳接入」一段的唯一渲染(sema-up / kube-up / cluster-up 同读;只给位置不给值)
+lib/shell-text.sh     把一段文本按行 / 按词 / 按分隔字符读进变量(sema-up / kube-up / preflight 同读;不用 here-document / here-string,因为正文长过管道缓冲时在管道配额吃紧的机器上会永远写不完)
+lib/remote/*.sh       cluster-up 送去目标机 `bash -s` 跑的脚本(经 stdin 重定向喂入,不内嵌在入口脚本里;要传值的以位置参数递给远端)
+lib/*.py              渲染 helm values / 栈清单、生成镜像拉取凭据的 python 正文(经 stdin 重定向喂入)
+lib/usage-*.txt       `sema-up.sh --help` 里不随词表变的静态文本段
 ```

package/deploy/sema-up/chart/templates/NOTES.txt

@@ -8,7 +8,7 @@
 多个 pod 共用这只卷,存储类必须支持 ReadWriteMany(PVC 一直 Pending 就是它不支持:出路 server.replicas=1,或 sealedKey.persistence.enabled=false 并接受耐久审批随之关)。
 {{- end }}
 {{- if gt (int (include "sema.sealedKey.podCount" .)) 1 }}
-首装是空卷:多个副本并发首启可能各建一把钥匙、各持自己那一把(只有两个副本在同一个目录上同时首启、都没读到可用的钥匙文件时才发生,不是每次都分叉)—— 装好后不论有没有分叉都执行一次 kubectl -n {{ .Release.Namespace }} rollout restart deploy/sema-server{{ if .Values.serverV4pro.enabled }} deploy/sema-server-v4pro{{ end }},此后每个副本读到目录里的全部钥匙。
+首装是空卷:多个副本并发首启也只出一把钥匙(7.148.0 起首把钥匙只有一个创建口,不必重启);7.147.x 及更早版本首装出多把钥匙的卷(各副本各持自己那一把、互相答 key_not_held)执行一次 kubectl -n {{ .Release.Namespace }} rollout restart deploy/sema-server{{ if .Values.serverV4pro.enabled }} deploy/sema-server-v4pro{{ end }},此后每个副本读到目录里的全部钥匙。
 {{- end }}
 {{- else }}
 停驻封签钥匙:sealedKey.persistence.enabled=false —— 不建卷,图表已给每只 worker 显式设上 DURABLE_APPROVAL=false(耐久审批整条关,不产生续不了的停驻行;代价见 values.yaml 的 sealedKey 块;要重新打开,把它改回 true)。关持久 + 提交体没声明 settings.approvalFrameFamilies 的客户端 ⇒ 受门工具当场拒(没有耐久店,无处停驻;7.134.0 起审批卡只发给声明认得这一族的客户端)。

package/deploy/sema-up/chart/templates/_helpers.tpl

@@ -14,8 +14,16 @@
 {{- /* 卷 / PVC 的名字。 */ -}}
 {{- define "sema.sealedKey.claimName" -}}sema-server-sealed-key{{- end -}}
 
-{{- /* 容器内挂载点 = <数据根>/sealed-key(整个目录:模型钥匙 + checkpoint-ctx-keys/ 同一卷)。 */ -}}
-{{- define "sema.sealedKey.mountPath" -}}/root/.ai-agent/sealed-key{{- end -}}
+{{- /*
+  容器内挂载点 = 引擎的钥匙保管目录(整个目录:模型钥匙 + checkpoint-ctx-keys/ 同一卷),也是给引擎设的 SEALED_KEY_DIR 的值(随包部署事实 sealed-key.json:
+  安装器显式设绝对路径,不靠引擎的数据根回落)。值只有一处定义:sema-up 三条交付路径(本图表 · cluster 静态清单 · 单机 compose)的挂载位由
+  scripts/gen-deploy-lanes.ts 的 SEMA_UP_SEALED_KEY_DIR 渲出,下面圈起来的一行不要手改。
+*/ -}}
+{{- define "sema.sealedKey.mountPath" -}}
+{{/* @generated-begin sealed-key-dir */}}
+{{- "/root/.ai-agent/sealed-key" -}}
+{{/* @generated-end sealed-key-dir */}}
+{{- end -}}
 
 {{- /*
   持久开关,且**只收布尔**:`--set-string ...enabled=false` / values 里带引号的 "false" 是字符串,模板里字符串恒为真 ⇒ 会静默保持持久开,
@@ -104,11 +112,41 @@ false
 {{- end -}}
 {{- end -}}
 
-{{- /* worker 容器 env 里的耐久审批一条(`nindent 12` 之后接在 env 列表里);值为空 ⇒ 什么都不出。 */ -}}
+{{- /*
+  单用户运维声明(env OPERATOR_SINGLE_USER)渲给 worker 的值 = 租户姿态 `server.requirePrincipal` 的否定(同一个值派生,不另开 values 键):
+  单用户 ⇒ "true"(这台的调用方就是运维;server 装配运维面时要单用户部署说出谁是运维,缺了起服拒);多租 ⇒ "false"(运维由具名名单另给)。
+  `server.requirePrincipal` 只认 "true" / "false"(布尔与字符串写法同义,大小写不论;缺省 / null = "false");其它词渲染即拒 —— server 读
+  REQUIRE_PRINCIPAL 用的是更宽的布尔词表,图表若按「不是 true 就是单用户」读,"yes" / "1" / "on" 在 server 读成多租、在这里读成单用户 ⇒
+  两根键互斥、起服拒;抄一份那张词表又是第二份真源。两只 worker 都调这一只。
+*/ -}}
+{{- define "sema.operatorSingleUser" -}}
+{{- $raw := .Values.server.requirePrincipal -}}
+{{- $rp := "" -}}
+{{- if not (kindIs "invalid" $raw) -}}
+{{- $rp = lower (trim (toString $raw)) -}}
+{{- end -}}
+{{- if eq $rp "" -}}
+{{- $rp = "false" -}}
+{{- end -}}
+{{- if not (has $rp (list "true" "false")) -}}
+{{- fail (printf "server.requirePrincipal must be \"true\" or \"false\", got %q — the chart derives OPERATOR_SINGLE_USER from it, and any other word would be read one way here and another way by the server" $rp) -}}
+{{- end -}}
+{{- ternary "false" "true" (eq $rp "true") -}}
+{{- end -}}
+
+{{- /*
+  worker 容器 env 里与钥匙卷同源的两条(`indent 12` 之后接在 env 列表里):持久开 ⇒ SEALED_KEY_DIR = 挂载点(安装契约:显式绝对路径);
+  耐久审批的显式表态(值为空 ⇒ 不出这一条)。持久关 ⇒ 不设 SEALED_KEY_DIR(没有卷可指),只出 DURABLE_APPROVAL=false。
+*/ -}}
 {{- define "sema.sealedKey.env" -}}
+{{- $lines := list -}}
+{{- if eq (include "sema.sealedKey.enabled" .) "true" -}}
+{{- $lines = append $lines (printf "- { name: SEALED_KEY_DIR, value: %s }" (include "sema.sealedKey.mountPath" . | quote)) -}}
+{{- end -}}
 {{- with (include "sema.durableApproval" .) -}}
-- { name: DURABLE_APPROVAL, value: {{ . | quote }} }
+{{- $lines = append $lines (printf "- { name: DURABLE_APPROVAL, value: %s }" (. | quote)) -}}
 {{- end -}}
+{{- join "\n" $lines -}}
 {{- end -}}
 
 {{- /* worker 容器的 volumeMounts 块(`nindent 10`);持久关 ⇒ 什么都不出。 */ -}}

package/deploy/sema-up/chart/templates/server-v4pro.yaml

@@ -61,13 +61,14 @@ spec:
             - { name: MODEL_VISION, value: {{ .Values.server.modelVision | quote }} }
             {{/* 租户姿态与主 worker 同值(文件头「同 env 面」的承诺;修前缺席 ⇒ 主 worker 多租时本只仍单用户)。 */}}
             - { name: REQUIRE_PRINCIPAL, value: {{ .Values.server.requirePrincipal | default "false" | quote }} }
+            {{/* 单用户运维声明 = 租户姿态的否定(同一个值派生,不另开 values 键):单用户 ⇒ 这台的调用方就是运维;多租 ⇒ 不声明(运维由具名名单另给)。
+                 server 装配运维面时要单用户部署说出谁是运维,缺了这一行单用户 worker 起服拒。派生与「只认 true / false」见 _helpers.tpl 的 sema.operatorSingleUser。 */}}
+            - { name: OPERATOR_SINGLE_USER, value: {{ include "sema.operatorSingleUser" . | quote }} }
             - { name: SANDBOX_PKG_SOURCE, value: {{ .Values.server.sandboxPkgSource | quote }} }
-            {{/* 车道点名了就显式表态「这台有手」——REQUIRE_EXECUTION_LANE 让「车道被谁改没了」
-                 变成拒启而不是安静的无手 worker。server 侧默认仍 off,sema-up 产物一律写 true。
-                 下面圈起来的两行取自车道表(lanes.json 的 kube 行),由生成器渲出,不要手改。 */}}
+            {{/* 车道显式点名(REMOTE_EXEC)。REQUIRE_EXECUTION_LANE 是退役 env(设了即起服拒,拒句指向 REMOTE_EXEC),不再渲。
+                 下面圈起来的一行取自车道表(lanes.json 的 kube 行),由生成器渲出,不要手改。 */}}
             {{/* @generated-begin kube-lane-env */}}
             - { name: REMOTE_EXEC, value: "k8s" }
-            - { name: REQUIRE_EXECUTION_LANE, value: "true" }
             {{/* @generated-end kube-lane-env */}}
             - { name: K8S_API_URL, value: "https://kubernetes.default.svc" }
 {{- if .Values.server.k8sInsecureTls }}

package/deploy/sema-up/chart/templates/server.yaml

@@ -72,13 +72,14 @@ spec:
             - { name: MODEL_API_KEY, valueFrom: { secretKeyRef: { name: sema-server-env, key: MODEL_API_KEY } } }
             - { name: MODEL_VISION, value: {{ .Values.server.modelVision | quote }} }
             - { name: REQUIRE_PRINCIPAL, value: {{ .Values.server.requirePrincipal | default "false" | quote }} }
+            {{/* 单用户运维声明 = 租户姿态的否定(同一个值派生,不另开 values 键):单用户 ⇒ 这台的调用方就是运维;多租 ⇒ 不声明(运维由具名名单另给)。
+                 server 装配运维面时要单用户部署说出谁是运维,缺了这一行单用户 worker 起服拒。派生与「只认 true / false」见 _helpers.tpl 的 sema.operatorSingleUser。 */}}
+            - { name: OPERATOR_SINGLE_USER, value: {{ include "sema.operatorSingleUser" . | quote }} }
             - { name: SANDBOX_PKG_SOURCE, value: {{ .Values.server.sandboxPkgSource | quote }} }
-            {{/* 车道点名了就显式表态「这台有手」——REQUIRE_EXECUTION_LANE 让「车道被谁改没了」
-                 变成拒启而不是安静的无手 worker。server 侧默认仍 off,sema-up 产物一律写 true。
-                 下面圈起来的两行取自车道表(lanes.json 的 kube 行),由生成器渲出,不要手改。 */}}
+            {{/* 车道显式点名(REMOTE_EXEC)。REQUIRE_EXECUTION_LANE 是退役 env(设了即起服拒,拒句指向 REMOTE_EXEC),不再渲。
+                 下面圈起来的一行取自车道表(lanes.json 的 kube 行),由生成器渲出,不要手改。 */}}
             {{/* @generated-begin kube-lane-env */}}
             - { name: REMOTE_EXEC, value: "k8s" }
-            - { name: REQUIRE_EXECUTION_LANE, value: "true" }
             {{/* @generated-end kube-lane-env */}}
             - { name: K8S_API_URL, value: "https://kubernetes.default.svc" }
 {{- if .Values.server.k8sInsecureTls }}

package/deploy/sema-up/chart/values.yaml

@@ -48,7 +48,7 @@ server:
   modelId: ""              # REQUIRED
   modelApiKey: ""          # REQUIRED
   modelVision: "false"
-  requirePrincipal: "false"   # users=multi 时 true(身份隔离;compose 路径同名 env)
+  requirePrincipal: "false"   # users=multi 时 true(身份隔离;compose 路径同名 env)。只认 "true" / "false";单用户运维声明 OPERATOR_SINGLE_USER 由它派生(false ⇒ "true")
   # 耐久审批(env DURABLE_APPROVAL;停驻 / 续跑 / /v1/approvals 整条路由)。留空 = 图表不渲这个 env,开关归引擎按姿态定
   # (单用户 + 有耐久店 ⇒ 开;requirePrincipal=true 的多用户形 ⇒ 关);"true" / "false" = 显式表态,原样渲给每只 worker。
   # sealedKey.persistence.enabled=false 时图表固定渲 "false"(钥匙跨不过重启,停驻行就续不了);此处再写 "true" ⇒ 渲染即拒。
@@ -86,8 +86,9 @@ server:
 #   这只卷里是私钥,不要为了过这个错直接删 PVC:先把停驻行结掉(随包排空检查脚本数一数)或备份钥匙文件,再换卷。
 #   PVC 带 helm.sh/resource-policy: keep:`helm uninstall` 与把 enabled 改成 false 的 upgrade 都不删它(钥匙留着;确认不要了再 `kubectl -n <ns> delete pvc sema-server-sealed-key`);
 #   同名 release 重装会接管这只留下的 PVC。
-#   ⚠ 空卷上多副本并发首启:钥匙创建没有互斥,两个副本在同一个目录上同时首启、都没读到可用的钥匙文件时,各副本可能各建一把钥匙、只持有自己那一把,直到下次重启(不是每次都分叉)—— 首装后不论有没有分叉都执行 `kubectl -n <ns> rollout restart deploy/sema-server`
-#   一次(启用 serverV4pro 时再加 deploy/sema-server-v4pro;NOTES 也说这句),重启之后每个副本读到目录里的全部钥匙,从此一致。
+#   空卷上多副本并发首启也只出一把钥匙(7.148.0 起:首把钥匙只有一个创建口,空目录里以独占创建的互斥文件分先后,其余副本等它发布后读到同一把;要求存储类的 O_EXCL 独占创建是原子的),不必重启。
+#   7.147.x 及更早版本首装出多把钥匙的卷(各副本各持自己那一把、互相答 key_not_held):执行一次 `kubectl -n <ns> rollout restart deploy/sema-server`
+#   (启用 serverV4pro 时再加 deploy/sema-server-v4pro;NOTES 也说这句),重启之后每个副本读到目录里的全部钥匙,从此一致。
 sealedKey:
   persistence:
     # true(缺省)= 建 PVC 并挂到上面的路径。