Переход с PolicyBox

Интеграция PolicyBox удалена в v1.4.0; в v1.3.0 она ещё присутствовала.

Удалены клиент PolicyBox, вкладка настроек, runtime playground, загрузка внешнего аудита, миграции PolicyBox при запуске и команды admin policybox. MCPBox больше не обращается к PolicyBox. Сохраняются RagBox, локальные пользователи, роли, сессии, bearer/OAuth проектов, изоляция MCP-сессий, разрешения серверов/инструментов и проверка паузы проекта.

Перед обновлением

1. Остановите MCPBox и сохраните резервную копию каталога установки, SQLite, файлов баз знаний и настроенной operational PostgreSQL. Сохраните прежний бинарник для отката.
2. Найдите проекты с identity_verification_enabled: true в авторизованном ответе GET /api/projects. Само наличие конфигурации или binding PolicyBox не включало runtime-проверку: её включал флаг проекта. Не публикуйте ответ: в нём есть credentials.
3. Проверьте правила identity, roles, scopes и tenant/resource в прежнем PolicyBox. Bearer MCPBox разрешает доступ к проекту, но не воспроизводит пользовательские правила PolicyBox. Нужные бизнес-ограничения должны выполняться в upstream MCP-сервере/целевой системе либо через отдельные проекты и ограниченные инструменты до открытия доступа.

Переход каждого старого проекта

После обновления проект со старым флагом отвечает 403 на MCP-подключения и AgentBox direct bootstrap даже с действующим bearer/OAuth проекта или произвольным user ID. Обычное редактирование и снятие с паузы не убирают блокировку. Другие проекты сохраняют прежние настройки авторизации.

1. Войдите администратором MCPBox и выберите проект. Вместо прежней проверки идентификации появится уведомление о переходе.
2. Нажмите Перейти на bearer и поставить на паузу и подтвердите действие. Операция атомарно снимает старый флаг, включает bearer authentication, создаёт новый bearer и ставит проект на паузу. URL/token проекта, серверы, промпты и связи с базами знаний сохраняются.
3. Проверьте разрешения серверов/инструментов и все именованные OAuth-подключения; отключите ненужные. Прежние OAuth credentials сохраняются. Настройте клиентов на новый bearer либо одобренные OAuth credentials проекта. Admin-сессии/API tokens и старые runtime tokens PolicyBox не заменяют их.
4. Снимайте проект с паузы после проверки доступа. Проверьте разрешённые и запрещённые вызовы реальными клиентами и события в журнале.

Для автоматизации: POST /api/projects/{id}/migrate-policybox на Admin listener с admin credential и scope pro:admin. Успех возвращает статус проекта; повторный запрос отвечает 409, не меняя уже перенесённый проект. Событие аудита: project_policybox_migrated. Ответы с bearer-токенами содержат секреты.

Маршруты и конфигурация

• /connect/runtime, /api/agentbox/bootstrap и /api/pro/policybox/* отвечают 410 Gone; ticket/exchange/validate и опубликованные manifests недоступны.
• Прямые MCP-вызовы используют /mcp/{project-token} или /connect/{project-token}.
• AgentBox direct bootstrap сохранён: POST /api/agentbox/direct-bootstrap, JSON mcp_url и необязательные page_url/page_title. Он использует те же проверки bearer/OAuth, паузы и миграции проекта, что MCP. Он не создаёт runtime identities, roles, scopes, подписанные context headers или manifests PolicyBox. Переведите встраиваемый клиент в direct mode и отдельно проверьте совместимость.
• MCPBOX_RUNTIME_CONTEXT_HMAC_SECRET больше не используется. Сохранённые URL, токены, bindings и manifests PolicyBox неактивны.

Данные и откат

Таблицы PolicyBox, сохранённые credentials, флаги проектов и данные внешнего сервиса автоматически не удаляются. Старый флаг остаётся в схеме только для блокировки до миграции. Если использовалась PostgreSQL, сохраняйте копии и bootstrap SQLite, и operational storage. Старые локальные события остаются в общем журнале; внешний аудит PolicyBox больше не загружается.

Для отката остановите MCPBox и восстановите прежний бинарник вместе с данными до обновления. Замена одного бинарника не отменяет явную миграцию. Настройте и проверьте прежний PolicyBox перед открытием endpoints. Это изменение не останавливает и не удаляет отдельный сервис PolicyBox: выводите его из эксплуатации отдельно после проверки других потребителей.