# Rôle `hermes_exec`

Déploie **hermes-exec** sur storage-01 : un petit service HTTP qui lance le vrai agent
Hermes en one-shot (`hermes -z "<prompt>" --yolo`, profil par défaut, tous ses outils)
pour le compte de l'assistant vocal STT.

## Rôle dans la chaîne

```
Voix → STT-server (in-cluster) → [confirmation vocale] → POST /exec {prompt} + Bearer
                                                            → hermes-exec (storage-01:9096)
                                                               └─ hermes -z "<prompt>" --yolo
```

## Sécurité

- **Jeton d'auth obligatoire** (`vault_hermes_exec_token`) : sans Bearer valide → `401`.
  Sans jeton configuré, le service refuse **tout** (verrouillé par défaut).
- `--yolo` (auto-exécution des outils) n'est atteint qu'avec un jeton valide. La
  **confirmation** qui protège des erreurs de transcription est faite **en amont** par le
  STT-server (handshake « tu veux que… ? » → « confirme »).
- Jeton stocké dans `/etc/hermes-exec/env` (mode `0640`, groupe `hermes`), pas dans l'unit.
- **Audit** : `/var/log/hermes-exec.log` (prompt + sortie de chaque action).
- Une action à la fois (verrou).

## Variables

Voir `defaults/main.yml`. Le jeton vient du Vault :

```bash
make vault-edit   # ajouter : vault_hermes_exec_token: "<chaîne aléatoire longue>"
```

## Déploiement

```bash
ansible-playbook -i inventory.yml playbooks/storage-01.yml --tags hermes_exec
```

## Endpoints

| Méthode | Chemin | Auth | Effet |
|---|---|---|---|
| GET | `/health` | non | `{"ok": true}` |
| POST | `/exec` `{prompt}` | Bearer | lance `hermes -z "<prompt>" --yolo` → `{"ok", "output"}` |

## Gaps IaC

- Le service suppose l'environnement de `hermes-agent` (HOME `/opt/hermes`, HERMES_HOME
  `/srv/data/hermes`, LiteLLM `:4000`). Si l'install Hermes change de chemins, ajuster les
  defaults.
- Joignable depuis le cluster sur `:9096` (le firewall gateway laisse passer cluster→s01
  sur les ports hauts ; le jeton est la barrière). Si tu durcis nftables, ouvre `:9096`
  pour le réseau cluster.