Новый сет: BM, прокси и кабинет

Сет в AdSight — это не форма трекера, а связка из четырёх слоёв: Business Manager в Meta, прокси с выделенным IP, рекламный кабинет и его read-токен. Всё это заводится в админке через Master — пошаговый квиз, который сам пишет реестр и включает прокси. Одиночные формы Accounts / Contours / Secrets — ручной пульт для отладки; с нуля по ним сет не собирают, если квиз жив.

Master открывается по адресу админки в Tailscale-сети: протокол http, путь /admin/master. Владелец — порт :8790, менеджер — :8793 (те же экраны Master · HITL · Secrets · Accounts, отдельный пароль). Порт 80 закрыт. После деплоя делайте hard-refresh, иначе останется старый JS. Первый сет — два рецепта подряд: «1 · Новый BM и прокси», затем «2 · Новый кабинет и сбор». Карточка «Продолжить с того же места» — это bag текущей вкладки, не новый сет. Ротация логина — отдельный блок внизу каталога, не шаг между рецептами.

Пароль step-up, который спрашивают все мутации, — это пароль входа в админку. Не root и не SSH.

Нажмите «Начать» на рецепте 1 «Новый BM и прокси». Степпер проведёт BM → прокси → привязка → создать и включить. Идите по порядку: следующий шаг опирается на записи предыдущего. Обрыв квиза не откатывает уже записанное — можно вернуться и продолжить.

В S01 заполните bm_id и label. Страну (geo) квиз не спрашивает. Статус шага показывает рельс рядом с кнопкой — «нужно / ждём / готово / ошибка». Пока сеть не ответила, кнопка неактивна: второй клик не уходит в API.

Прокси — это будущий managed-инстанс adsight-proxy@<alias>, через который кабинет ходит в Graph API с выделенным IP. На S03 вы только описываете его в реестре: короткое имя и IP. geo и listen_port форма не спрашивает — сервер выдаёт первый свободный порт из ряда 18081, 18082… (один BM — один порт; leftover :3129 в ряд не входит). Юнита на диске после этого шага ещё нет — так и должно быть, его создаст S07.

Короткое имя — имя прокси, не кабинета: bm-2, не act_…; админка предлагает следующий свободный bm-N, его можно принять. IP — четыре октета без ведущих нулей; RFC1918 и link-local адреса отсекаются так же, как это делает helper на сервере.

Связь BM и прокси — поле у BM, равное короткому имени прокси (в реестре это egress-alias). Отдельной таблицы связей нет: смотреть, куда ходит BM, нужно в форме BM, а не в шапке дерева. Правило ADR-003: один BM — один прокси.

S05 записывает BM с label выбранной строки. Без этой привязки следующий шаг не примет данные прокси: helper проверяет, что выбранный прокси уже привязан к BM, и не угадывает BM по первой строке.

Четвёртый экран S07 — форма «Данные прокси: Login, Pass, IP, Port». Те же поля на Master S08 и в Accounts у владельца (:8790) и у менеджера (:8793). Login и Pass — только латиница, цифры, . _ ~ -. IP — тот же IPv4, что на S03. Port — порт SOCKS у провайдера, не порт сервера 18081….

После «Записать креды» пароль обратно не показывается — только fingerprint. Следующий экран — кнопка «Включить прокси». Ротация уже залитой четвёрки — этот же экран (S08), не заново R-A.

Перед этой кнопкой квиз уже прошёл «Проверка сервера» (сверка wrapper с git), «Какой прокси», «Что будет создано» и форму Login/Pass/IP/Port. Кнопка «Включить прокси» (S09) делает enable и restart adsight-proxy@<alias>. Никаких systemctl в терминале: если кажется, что «руками быстрее», — это сигнал остановиться.

R-A готов, когда рельс показывает ГОТОВО «enable ок · restart ок · adsight-proxy@<alias>.service», кнопка «Включить прокси» гаснет, а рядом появляется «Дальше». На Accounts в карточке «Токены и прокси» во второй таблице появилась строка Proxy / GEO / Port / Bridge unit / Provider. Login/Pass в таблице не отображаются — только fingerprint сразу после формы.

После рецепта 1 каталог сам предложит рецепт 2. Либо вернитесь и нажмите «Начать» на «2 · Новый кабинет и сбор». Рецепт доводит кабинет до состояния «отдаёт Graph»: запись в реестр, read-токен, запуск сбора.

В S11 четыре экрана: act_<id> и label, owning BM, валюта и часовой пояс, проверка. Место под токен здесь не спрашивают — оно появится на следующем шаге. Кабинет сразу виден в дереве Accounts под своим BM.

S15 — четыре экрана, но руками заполняются только первый и последний. «Кабинет»: выбрать act_<id> (подпись «alias = он же» — имя места под токен админка подставит сама). «Завести место под токен (без самого токена)»: превью уже собрано — alias = act_<id>, kind = read, env_file = канон /etc/adsight/meta_read.d/<act_id>.env; вы только подтверждаете паролем step-up. «Привязать к кабинету»: то же превью для read_cred_alias кабинета, тот же пароль. «Read-токен»: сам токен и пароль админки. httpsProxy форма не спрашивает — loopback прокси BM уходит в запрос сам. Боевой сбор (ALLOW_LIVE) ставится сам — галочки нет.

Токен после отправки обратно не читается — наружу отдаётся только fingerprint: рельс «готово · токен принят · fingerprint …», ниже строка «status uploaded», кнопка «Залить токен» гаснет, появляется «Дальше». В «Токенах и прокси» статус declared означает пустое место, uploaded — токен принят. Read-токен не равен write: write-токен BM заводится отдельно на Accounts и в Master его нет.

Кнопка S32 «Включить сбор» делает три вещи: создаёт dump-каталог с правами 2770, прогоняет canary-запрос в Graph через прокси и включает таймер adsight-meta-insights-reader@act_<id>.timer (полное имя юнита админка печатает на экране моношрифтом). Отдельного диалога «вы уверены?» нет: подтверждение — сам пароль step-up и нажатие кнопки, confirm уходит в теле запроса. Canary идёт до ~3 минут — рельс показывает «ждём», кнопка на это время заблокирована.

Готово, когда рельс становится ГОТОВО с тремя фактами: canary success, таймер включён, dump …/act_<id>; та же строка появляется под рельсом, кнопка «Включить сбор» гаснет, рядом — «Дальше». R-B закрыт: место под read-токен в статусе uploaded с fingerprint, S32 зелёный.

Повторный S32 на том же кабинете в той же вкладке глушится по stepMark: основной путь — «Дальше», вторичная ghost-кнопка «Повторить сбор» жжёт cooldown 60 с. Другой кабинет закрытым не считается: для него R-B проходится заново.

Состояние сета читается из четырёх мест. Идёт ли квиз — рельс рядом с кнопкой Master. Есть ли BM и кабинет — дерево /admin/accounts. Прокси и IP — таблица прокси на Accounts или Contours → proxies. BM ↔ прокси — поле в форме BM. Залит ли токен — «Токены и прокси»: declared пустое место, uploaded принят. Пароль провайдера и токен Meta не показываются нигде — это норма.

Если нужен money-write, его заводят после R-A на Accounts, не в Master: «Завести место под токен (без самого токена)» с именем вида bm_<bm_id>_write, kind = write и каноном meta_write.d, затем write-cred alias в форме BM и форма «Ввод или правка Write API токена». Legacy .env.money отвергается — LEGACY_MONEY_ENV_REFUSED, первый BM не исключение. Gateway рестартить не нужно: файл читается в рантайме.

Ротация уже залитого — тоже Accounts: Read API токен кабинета по act_<id>, Write API токен из таблицы «Токены и прокси», SOCKS — Master S08 или «Данные прокси: Login, Pass, IP, Port» полной четвёркой. После ротации SOCKS снова нужна кнопка «Включить прокси» — короткий blip egress.