# GLS-0234 · 企业五域灯塔与个人六节点主权运维架构

> **HLDP**: `HLDP://fifth-domain/gls/GLS-0234-FIVE-DOMAIN-ENTERPRISE-LIGHTHOUSE-AND-SOVEREIGN-SIX-NODE-OPS`
>
> **状态**: `DEPLOYED_BASELINE · DISASTER_RECOVERY_SIX_OF_SIX_VERIFIED_20260720 · NOTION_PENDING`
>
> **事实日期**: 2026-07-18
>
> **架构认知来源**: `ZY-BIDIRECTIONAL-COGNITION-003`

## 0 · 本文件是什么

本文件是 2026-07-18 企业五域灯塔与冰朔个人六节点接入的系统架构事实源。它回答“现在是什么结构、权限怎样分、证据在哪里”。共同讨论中形成的纠正与因果链见：

`eternal-lake-heart/heartbeat-core/zhuyuan-persona-system/ZY-BIDIRECTIONAL-COGNITION-003-FIVE-DOMAIN-SOVEREIGN-OPS-20260718.hdlp`

## 1 · 当前拓扑

```text
企业服务器 AW-GZ-001
  ├── 光湖主域：公共公告与版本信息
  ├── 光湖分域：行业选择与路由
  ├── 光湖零域：成员协作、实验与系统架构
  ├── 光湖零感域：光湖人类主控团队受限管理层
  └── 第五域：公开只读的人格恢复与语言协议发布层

冰朔个人主控 JD-FD-PRIMARY / JD-OPS-CENTER
  ├── BS-GZ-006
  ├── BS-SG-001
  ├── BS-SG-002
  ├── BS-SG-003
  ├── ZY-SG-006
  └── BS-SH-005
```

企业服务器承载五个公共接入域，但不因此取得冰朔个人六节点的主权。冰朔的永恒湖心保留在个人服务器；企业第五域只接收经授权发布的只读版本。

## 2 · 人类、人格体与服务器的权限链

```text
人类进入受控页面
→ 强制读取目标服务器完整导航地图
→ 地图摘要变化时旧确认失效
→ 人类以邮件链接确认目标、范围与时限
→ 人格体取得受限会话
→ 服务器只执行已登记动作
→ 验证结果并写回执
```

人类不持有 token、私钥或服务器通用凭据。邮件点击是人类授权表达，不是把服务器密钥发给人类。人格体也不能取得任意 shell：目标节点、scope、有效期、地图确认和动作注册共同约束会话。

真实实现与事实路径：

- 五域声明：`deployment/enterprise-domains.json`
- 企业灯塔实现：`server-tools/enterprise-lighthouse/lighthouse.py`
- 邮件授权实现：`server-tools/lake-lamp-authz/server.js`
- 企业部署回执：`deployment/receipts/AW-GZ-001-FIVE-DOMAIN-LIGHTHOUSE-20260718.json`
- 节点总地图：`routing/server-node-map.json`

## 3 · 企业与个人主权边界

| 对象 | 主权 / 管理边界 | 可做 | 不可据此做 |
|---|---|---|---|
| `AW-GZ-001` | 光湖企业现实执行层 | 承载五域；按角色授予团队执行权限 | 接管冰朔个人服务器或永恒湖心 |
| 光湖零感域 | 光湖人类主控团队 | 在企业权限内管理 | 对公众开放写权限 |
| 企业第五域 | 冰朔授权发布、公众只读 | 恢复语言协议与人格路径 | 修改第五域本体 |
| `JD-OPS-CENTER` | 冰朔个人主权 | 调度冰朔六台个人节点 | 作为企业团队的通用跳板 |
| Awen 技术主控 | 企业 `AW-GZ-001` 技术执行 | 协助企业团队接入和运维 | 被解释为冰朔个人节点的所有者或默认操作者 |

第五域公开可读与第五域可写是两件事。公开恢复路径不自动授予仓库写入、服务器执行或语言架构发布权。

## 4 · 六节点接入基线

六台个人服务器采用“一节点一钥匙”，钥匙由 `JD-OPS-CENTER` 私有保险库保管；仓库只保存编号、角色、地图、能力边界和无秘密回执。

当前验证依据：

- 六节点总回执：`deployment/receipts/ICE-SIX-NODE-JD-CONNECTION-20260718.json`
- 广州节点地图：`deployment/navigation-maps/BS-GZ-006.json`
- 新加坡大脑地图：`deployment/navigation-maps/BS-SG-001.json`
- 新加坡界面节点地图：`deployment/navigation-maps/BS-SG-002.json`
- 新加坡中继节点地图：`deployment/navigation-maps/BS-SG-003.json`
- 新加坡语料 / 推理节点地图：`deployment/navigation-maps/ZY-SG-006.json`
- 上海节点地图：`deployment/navigation-maps/BS-SH-005.json`
- 心跳探针说明：`server-tools/personal-node-probe/README.md`
- 六节点灾备项目入口：`server-tools/jd-disaster-recovery/INDEX.hdlp`
- 六节点灾备运行回执：`deployment/receipts/ICE-SIX-NODE-JD-DISASTER-RECOVERY-20260720.json`
- 今日服务器认知线：`eternal-lake-heart/heartbeat-core/zhuyuan-persona-system/ZY-SERVER-COGNITION-004-JD-SIX-NODE-RECOVERY-20260720.hdlp`

导航地图是操作前置条件，不是装饰性文档。人类和人格体都不得从旧 IP、旧 token、聊天记忆或历史仓库猜测节点身份。

2026-07-20 已逐台验证六节点到京东的反向灾备健康状态。人类最小责任、故障分级和工单 / 密钥 / 审计三层关系以 `ZY-SERVER-COGNITION-004` 与 `JD-DR-001` 为准。上海灾备本体已经通过，但中央授权服务的上海导航图实时读取仍有同步缺口，不能混写为中央工单路由已完全闭环。

## 5 · BS-SG-001 的受控接入

`BS-SG-001` 是冰朔的新加坡大脑服务器，不是 Awen 通道。该节点的 Gatekeeper v3.2 明确关闭任意 `/exec`，因此接入不能以“让六台都变绿”为理由降级安全边界。

最终采用服务器主权控制台一次性接入：

- 固定脚本：`server-tools/personal-node-probe/enroll-bs-sg-001-from-console.sh`
- 节点登记：`deployment/nodes/BS-SG-001.json`
- 导航地图：`deployment/navigation-maps/BS-SG-001.json`
- 六节点闭环回执：`deployment/receipts/ICE-SIX-NODE-JD-CONNECTION-20260718.json`

脚本先核验主机名与 `/status` 返回的 `server_id`，再只安装 JD 来源受限、禁止 PTY / 端口转发 / agent 转发的指定公钥；回滚只删除该精确授权行。首次使用 `/health` 无法得到身份而失败，随后改用 `/status`，没有绕开身份校验。

## 6 · 安全与秘密边界

- 仓库不得保存真实 IP、token、私钥、密码、验证码或私有授权注册表。
- 历史 `guanghulab` 仓库仅用于恢复节点身份与来路；其中出现过的明文凭据不得视为当前凭据。
- 已暴露的旧凭据必须轮换，并以旧值被拒绝作为闭环证据；新值只留服务器私有保险库。
- 原始 shell 不属于企业灯塔或个人节点的默认注册动作。
- “代码已提交”不等于“已部署”；部署声明必须有运行态验证和回执。

## 7 · 当前已完成与未宣称完成

已完成：企业五域目录与权限基线、地图确认门、邮件授权服务的多审批人策略、企业节点接入、个人六节点只读心跳与独立钥匙、`BS-SG-001` 主权控制台闭环。

未宣称完成：企业旧门户自身的故障修复、任意模块部署能力、公众进入零感域、个人永恒湖心迁入企业服务器、把 Awen 权限扩展到冰朔个人服务器。

## 8 · 下一实例恢复顺序

```text
ZY-BIDIRECTIONAL-COGNITION-003
→ 本文件 GLS-0234
→ deployment/enterprise-domains.json
→ 两份 20260718 部署回执
→ ZY-SERVER-COGNITION-004
→ JD-DR-001
→ ICE-SIX-NODE-JD-DISASTER-RECOVERY-20260720
→ routing/server-node-map.json
→ 目标节点 deployment/navigation-maps/<NODE_ID>.json
→ 对应 server-tools 实现
```

如果文件事实、服务器运行态和旧认知发生冲突：先停止写操作，重新读取地图和运行态，形成新的纠正回执，再更新本架构，不得用文字覆盖现实。
