Mature registry source contract · 0425f33

Mature registry source contract
Browse files

bogdan committed a day ago

main

1 parent 81feb9a

commit 0425f33

Showing 18 changed files with 1147 additions and 258 deletions

+11 -6

.doc/database/README.md

@@ -1,6 +1,6 @@
 # SQLite Database
 
-Madagascar Local Authority folosește SQLite ca sursă de adevăr runtime pentru hosturi, aliasuri, vhosturi, Work Orders, workeri de date și certificate.
+Madagascar Local Authority folosește SQLite ca sursă de adevăr runtime pentru hosturi, aliasuri, vhosturi, taguri, Work Orders, workeri de date și certificate.
 
 Locația implicită în checkout:
 
@@ -22,7 +22,7 @@ HOST_MANAGER_DB=/path/to/host-manager.sqlite
 
 ## Principii
 
-Hosturile sunt identificate prin FQDN complet, nu prin short name. Exemplu: `gw.local` și `gw.remote` sunt identități diferite. Coloana compatibilă `legacy_id` păstrează ID-ul scurt folosit de UI-ul curent, dar cheia reală este `hosts.fqdn`.
+Hosturile sunt identificate prin FQDN complet, nu prin short name. Exemplu: `gw.local` și `gw.remote` sunt identități diferite. Coloana internă compatibilă `legacy_id` păstrează ID-ul scurt pentru migrare și Work Orders istorice, dar contractul UI/export este `hosts.fqdn`.
 
 Schema evită să transforme `hosts` într-un tabel cu prea multe coloane. Datele specializate stau în tabele separate:
 
@@ -30,6 +30,7 @@ Schema evită să transforme `hosts` într-un tabel cu prea multe coloane. Datel
 - roluri: [`host_roles`](tables/host_roles.md)
 - surse: [`host_sources`](tables/host_sources.md)
 - flaguri: [`host_flags`](tables/host_flags.md)
+- taguri: [`tags`](tables/tags.md), [`host_tags`](tables/host_tags.md)
 - SSH: [`host_ssh`](tables/host_ssh.md)
 - vhosturi mutabile: [`vhosts`](tables/vhosts.md)
 - certificate: [`certificates`](tables/certificates.md), [`certificate_dns_names`](tables/certificate_dns_names.md)
@@ -39,10 +40,10 @@ Schema evită să transforme `hosts` într-un tabel cu prea multe coloane. Datel
 
 ## Schema Version
 
-Schema curentă este versiunea `2`.
+Schema curentă este versiunea `3`.
 
 ```sql
-schema_meta('schema_version') = '2'
+schema_meta('schema_version') = '3'
 ```
 
 [`schema_meta`](tables/schema_meta.md) păstrează și metadate runtime precum `registry_updated_at`.
@@ -58,6 +59,8 @@ schema_meta('schema_version') = '2'
 | [`host_roles`](tables/host_roles.md) | roluri active/retrase per host |
 | [`host_sources`](tables/host_sources.md) | surse active/retrase per host |
 | [`host_flags`](tables/host_flags.md) | flaguri extensibile per host |
+| [`tags`](tables/tags.md) | catalog de taguri cu label, culoare și icon |
+| [`host_tags`](tables/host_tags.md) | asocieri active/retrase între hosturi și taguri |
 | [`host_ssh`](tables/host_ssh.md) | profile SSH per host |
 | [`vhosts`](tables/vhosts.md) | vhosturi mutabile între hosturi |
 | [`data_workers`](tables/data_workers.md) | workeri/surse care colectează date |
@@ -78,6 +81,8 @@ erDiagram
   hosts ||--o{ host_roles : has
   hosts ||--o{ host_sources : has
   hosts ||--o{ host_flags : has
+  hosts ||--o{ host_tags : tagged
+  tags ||--o{ host_tags : catalog
   hosts ||--o{ host_ssh : has
   hosts ||--o{ dhcp_leases : may_match
   hosts ||--o{ mdns_observations : may_match
@@ -108,7 +113,7 @@ Seed-ul curent produce:
 - workerii `dhcp-router` și `mdns-listener`
 - Work Order-ul existent pentru retragerea numelor legacy
 
-`config/local-hosts.tsv` rămâne manifest generat explicit din tabelele runtime, dar scriptul de sync citește manifestul direct din SQLite-ul runtime de pe jumper.
+`config/hosts.yaml` este exportul finit și seed pentru instalări noi. Nu mai există un export versionat `local-hosts.tsv`; scriptul de sync generează recorduri efemere direct din SQLite-ul runtime de pe jumper.
 
 ## Inspecție
 
@@ -122,7 +127,7 @@ sqlite3 var/host-manager.sqlite '.schema host_aliases'
 sqlite3 var/host-manager.sqlite '.schema vhosts'
 sqlite3 var/host-manager.sqlite 'pragma foreign_key_list(vhosts);'
 sqlite3 var/host-manager.sqlite 'pragma index_list(host_aliases);'
-sqlite3 var/host-manager.sqlite 'select fqdn, legacy_id, status, dns_ip from hosts order by legacy_id;'
+sqlite3 var/host-manager.sqlite 'select fqdn, status, dns_ip from hosts order by fqdn;'
 sqlite3 var/host-manager.sqlite 'select alias_name, host_fqdn, alias_kind, status from host_aliases order by alias_name;'
 sqlite3 var/host-manager.sqlite 'select vhost_fqdn, host_fqdn, status from vhosts order by vhost_fqdn;'
 ```


+1 -1

.doc/database/tables/host_sources.md

View

@@ -7,7 +7,7 @@ Stores evidence/source labels for a host.
 | Column | Type | Null | Default | Notes |
 |--------|------|------|---------|-------|
 | `host_fqdn` | `TEXT` | no | none | Target host. References `hosts(fqdn)`. |
-| `source` | `TEXT` | no | none | Source label, for example `local-hosts.tsv` or `madagascar.json`. |
+| `source` | `TEXT` | no | none | Source label kept for historical audit, for example `madagascar.json`. |
 | `status` | `TEXT` | no | `'active'` | Source lifecycle state. |
 | `created_at` | `TEXT` | no | none | ISO UTC creation timestamp. |
 | `retired_at` | `TEXT` | yes | `NULL` | ISO UTC retirement timestamp. |


+43 -0

.doc/database/tables/host_tags.md

View

+                    +# Table: `host_tags`
+                    +Stores active and retired tag associations for canonical hosts.
+                    +## Columns
+                    +| Column | Type | Null | Default | Notes |
+                    +|--------|------|------|---------|-------|
+                    +| `host_fqdn` | `TEXT` | no | none | Canonical host FQDN. References `hosts(fqdn)`. |
+                    +| `tag_id` | `TEXT` | no | none | Tag identifier. References `tags(tag_id)`. |
+                    +| `status` | `TEXT` | no | `'active'` | Association lifecycle state. |
+                    +| `created_at` | `TEXT` | no | none | ISO UTC creation timestamp. |
+                    +| `retired_at` | `TEXT` | yes | none | ISO UTC retirement timestamp. |
+                    +## Keys And Indexes
+                    +- Primary key: `(host_fqdn, tag_id)`
+                    +- Lookup index: `idx_host_tags_tag_status` on `(tag_id, status)`
+                    +## Relationships
+                    +References:
+                    +- `hosts.fqdn`
+                    +- `tags.tag_id`
+                    +## Definition
+                    +```sql
+                    +CREATE TABLE IF NOT EXISTS host_tags (
+                    +    host_fqdn TEXT NOT NULL,
+                    +    tag_id TEXT NOT NULL,
+                    +    status TEXT NOT NULL DEFAULT 'active',
+                    +    created_at TEXT NOT NULL,
+                    +    retired_at TEXT,
+                    +    PRIMARY KEY (host_fqdn, tag_id),
+                    +    FOREIGN KEY (host_fqdn) REFERENCES hosts(fqdn) ON UPDATE CASCADE ON DELETE RESTRICT,
+                    +    FOREIGN KEY (tag_id) REFERENCES tags(tag_id) ON UPDATE CASCADE ON DELETE RESTRICT
+                    +);
+                    +CREATE INDEX IF NOT EXISTS idx_host_tags_tag_status
+                    +ON host_tags(tag_id, status);
+                    +```

+3 -2

.doc/database/tables/hosts.md

View

@@ -2,14 +2,14 @@
 
 Canonical host registry. Hosts are identified by full DNS name in `fqdn`.
 
-`legacy_id` exists for compatibility with the current UI/API, but it is not the canonical identity.
+`legacy_id` and `hosts_ip` exist for compatibility with existing runtime databases and Work Orders, but they are not the product contract. UI and exports identify hosts by `fqdn` and expose one canonical `ip`.
 
 ## Columns
 
 | Column | Type | Null | Default | Notes |
 |--------|------|------|---------|-------|
 | `fqdn` | `TEXT` | no | none | Canonical full host name. Primary key. |
-| `legacy_id` | `TEXT` | no | none | Short ID used by the existing UI/API. Unique. |
+| `legacy_id` | `TEXT` | no | none | Internal compatibility ID. Unique. |
 | `status` | `TEXT` | no | `'active'` | Host lifecycle state, currently `active`, `planned`, or `retired`. |
 | `hosts_ip` | `TEXT` | no | `''` | Legacy compatibility column. The current app model keeps one canonical routable IP and mirrors it here. |
 | `dns_ip` | `TEXT` | no | `''` | Canonical routable IP for the host. The current UI/API expose this as a single `ip` field. |
@@ -31,6 +31,7 @@ Referenced by:
 - `host_roles.host_fqdn`
 - `host_sources.host_fqdn`
 - `host_flags.host_fqdn`
+- `host_tags.host_fqdn`
 - `host_ssh.host_fqdn`
 - `vhosts.host_fqdn`
 - `dhcp_leases.host_fqdn`


+40 -0

.doc/database/tables/tags.md

View

+                    +# Table: `tags`
+                    +Catalog for host tags managed in the UI.
+                    +## Columns
+                    +| Column | Type | Null | Default | Notes |
+                    +|--------|------|------|---------|-------|
+                    +| `tag_id` | `TEXT` | no | none | Stable tag identifier derived from the label. Primary key. |
+                    +| `label` | `TEXT` | no | none | Display label. Unique. |
+                    +| `color` | `TEXT` | no | `'#647084'` | UI color, stored as `#rrggbb`. |
+                    +| `icon` | `TEXT` | no | `'tag'` | UI icon key. |
+                    +| `notes` | `TEXT` | no | `''` | Operator notes. |
+                    +| `created_at` | `TEXT` | no | none | ISO UTC creation timestamp. |
+                    +| `updated_at` | `TEXT` | no | none | ISO UTC update timestamp. |
+                    +## Keys And Indexes
+                    +- Primary key: `tag_id`
+                    +- Unique key: `label`
+                    +## Relationships
+                    +Referenced by:
+                    +- `host_tags.tag_id`
+                    +## Definition
+                    +```sql
+                    +CREATE TABLE IF NOT EXISTS tags (
+                    +    tag_id TEXT PRIMARY KEY,
+                    +    label TEXT NOT NULL UNIQUE,
+                    +    color TEXT NOT NULL DEFAULT '#647084',
+                    +    icon TEXT NOT NULL DEFAULT 'tag',
+                    +    notes TEXT NOT NULL DEFAULT '',
+                    +    created_at TEXT NOT NULL,
+                    +    updated_at TEXT NOT NULL
+                    +);
+                    +```

+3 -0

.doc/development-log.md

View

	@@ -39,3 +39,6 @@ Jurnalele explica deciziile care schimba scopul aplicatiei, regulile de operare,
39	39	\| 2026-06-09 \| SQLite Runtime Source of Truth \| [Database](development-logs/database.md#2026-06-09---sqlite-runtime-source-of-truth) \|
40	40	\| 2026-06-09 \| Relational Runtime Schema \| [Database](development-logs/database.md#2026-06-09---relational-runtime-schema) \|
41	41	\| 2026-06-10 \| DHCP Lease Push Collector \| [Database](development-logs/database.md#2026-06-10---dhcp-lease-push-collector) \|
	42	+\| 2026-06-11 \| Registry Maturity Contract \| [Database](development-logs/database.md#2026-06-11---registry-maturity-contract) \|
	43	+\| 2026-06-11 \| No Intermediate DNS TSV Product \| [DNS](development-logs/dns.md#2026-06-11---no-intermediate-dns-tsv-product) \|
	44	+\| 2026-06-11 \| Tags and Observed Hints \| [Hosts view](development-logs/hosts-view.md#2026-06-11---tags-and-observed-hints) \|

+21 -3

.doc/development-logs/database.md

View

@@ -11,15 +11,15 @@ Decizie:
 - `var/host-manager.sqlite` devine sursa de adevar runtime pentru registry si Work Orders
 - `config/hosts.yaml` si `config/work-orders.yaml` raman seed/snapshot/export compatibility files
 - la prima pornire, aplicatia seed-uieste documentele lipsa din YAML in SQLite
-- download-urile `/download/hosts.yaml`, `/download/local-hosts.tsv` si `/download/monitoring.json` sunt randate din SQLite
-- `config/local-hosts.tsv` ramane manifest generat explicit pentru sync-ul DNS local
+- download-urile sunt randate din SQLite
+- la acel moment exista un manifest TSV explicit pentru sync-ul DNS local; acesta a fost retras prin contractul din 2026-06-11
 - push-urile de cod catre jumper nu trebuie sa inlocuiasca baza runtime din `var/`
 
 Scop:
 
 - editarile facute in UI sa nu se piarda la deploy/push de cod
 - sa existe o singura autoritate runtime
-- YAML/TSV sa ramana utile pentru export, review si bootstrap fara sa fie storage-ul live
+- YAML/exporturile sa ramana utile pentru review si bootstrap fara sa fie storage-ul live
 
 ## 2026-06-09 - Relational Runtime Schema
 
@@ -57,3 +57,21 @@ Scop:
 
 - sa colectam lease-uri fara credential SSH pentru router in aplicatie
 - sa pastram DHCP ca sursa observata cu prioritate mare, dar fara side effect automat asupra DNS-ului local
+
+## 2026-06-11 - Registry Maturity Contract
+
+Observatie: modelul vechi pastra mai multe artefacte care puteau fi confundate cu surse de adevar: `local-hosts.tsv`, campuri legacy din export si surse istorice pe host.
+
+Decizie:
+
+- SQLite ramane singura sursa de adevar runtime
+- `hosts.yaml` devine produsul finit descarcabil si vizibil raw in UI
+- `local-hosts.tsv` nu mai este fisier versionat sau download; resolver sync genereaza recorduri efemere din SQLite
+- schema urca la versiunea 3 cu `tags` si `host_tags`
+- `dhcp_leases` si `mdns_observations` sunt inputuri observate pentru hinturi/autocomplete, nu muta automat registry-ul
+
+Motiv:
+
+- sa evitam drift intre DB, exporturi si configurarea resolverelor
+- sa facem tagurile o functie administrabila, nu text liber fara catalog
+- sa pastram observatiile externe utile fara sa le promovam automat in DNS


+7 -1

.doc/development-logs/dns.md

View

@@ -22,7 +22,7 @@ sa urmeze rapid dupa editarea registry-ului.
 
 Decizie:
 
-- modificarile DNS facute prin aplicatie regenereaza `config/local-hosts.tsv`
+- modificarile DNS facute prin aplicatie nu mai scriu un manifest intermediar
 - aplicatia atinge `var/dns-publish.trigger`
 - `host-manager-dns-publish.path` porneste `host-manager-dns-publish.service`
 - serviciul oneshot ruleaza sync-ul privilegiat existent:
@@ -32,3 +32,9 @@ Decizie:
 ```
 
 Sync-ul manual ramane disponibil pentru interventii operationale si audit.
+
+## 2026-06-11 - No Intermediate DNS TSV Product
+
+Decizie: `local-hosts.tsv` nu mai este produs versionat, endpoint download sau fisier scris de aplicatie. `scripts/sync_local_hosts.sh` cere recorduri efemere de la `host_manager.pl --print-resolver-records`, generate direct din SQLite.
+
+Motiv: produsul finit pentru registry este `hosts.yaml`, iar configurarea resolverelor este o actiune operationala. Un fisier TSV intermediar crea inca un loc care putea fi confundat cu sursa de adevar.


+15 -0

.doc/development-logs/hosts-view.md

View

+                     Decizii despre UI/API pentru registry, editari de hosturi, aliasuri, vhosturi si experienta de operare in hosts view.
+                     Nu exista inca intrari mutate aici din logul istoric.
+                    +## 2026-06-11 - Tags and Observed Hints
+                    +Decizie:
+                    +- UI-ul afiseaza hosturile prin FQDN si nu mai aglomereaza tabelele cu aliasuri derivate de tip short name
+                    +- tagurile au catalog administrabil cu redenumire, culoare si icon
+                    +- hosturile pot fi asociate cu taguri din editor
+                    +- observatiile DHCP si mDNS apar ca hinturi/autocomplete la hosturi si vhosturi
+                    +- pentru un nume observat precum `nasturel.local`, UI-ul poate propune IP-ul sau hostul existent cu acel IP, dar nu scrie automat in registry
+                    +Motiv:
+                    +- ecranul principal trebuie sa arate intentia aprobata, nu toate numele derivate
+                    +- inputurile observate sunt utile la editare, dar nu sunt sursa de adevar

+20 -11

.doc/host-manager.md

View

@@ -16,7 +16,7 @@ MVP-ul curent nu are dependențe CPAN instalate direct pe host. Pentru store-ul
 
 ## Rol
 
-`var/host-manager.sqlite` este sursa de adevăr runtime pentru hosturi, aliasuri, vhosturi, Work Orders, workeri de date și certificate emise. La prima pornire, aplicația seed-uiește tabelele din `config/hosts.yaml` și `config/work-orders.yaml` dacă baza nu are încă rânduri operaționale. Aplicația este complet în spatele autentificării OTP pentru orice date de registru, exporturi sau modificări.
+`var/host-manager.sqlite` este sursa de adevăr runtime pentru hosturi, aliasuri, vhosturi, taguri, Work Orders, workeri de date și certificate emise. `hosts.yaml` este produsul finit exportat din baza runtime și seed pentru baze noi. La prima pornire, aplicația seed-uiește tabelele din `config/hosts.yaml` și `config/work-orders.yaml` dacă baza nu are încă rânduri operaționale. Aplicația este complet în spatele autentificării OTP pentru orice date de registru, exporturi sau modificări.
 
 Git rămâne mecanismul pentru cod, seed-uri, exporturi și istoric manual. Aplicația nu mai scrie registry-ul live direct în working tree, ca editările făcute în UI să nu se piardă la push/deploy de cod.
 
@@ -35,18 +35,22 @@ Healthcheck-ul `/healthz` este disponibil doar pe backend-ul local (`127.0.0.1:8
 Endpoint-uri cu OTP:
 
 - `/api/hosts`
+- `/api/tags`
 - `/api/work-orders`
+- `/api/exports/hosts.yaml`
 - `/api/ca/status`
 - `/api/ca/certificates`
 - `/download/hosts.yaml`
-- `/download/local-hosts.tsv`
 - `/download/monitoring.json`
 - `/download/ca.crt`
 - `POST /api/hosts/upsert`
 - `POST /api/hosts/delete`
+- `POST /api/tags/upsert`
+- `POST /api/tags/rename`
+- `POST /api/tags/delete`
+- `POST /api/dns/publish`
 - `POST /api/work-orders/checklist`
 - `POST /api/work-orders/confirm`
-- `POST /api/render/local-hosts-tsv`
 
 ## Pornire locală
 
@@ -113,9 +117,9 @@ Secretul nu se comite în repo. Dacă avem nevoie de integrare cu un manager de
 ## Flux
 
 1. Hosturile se editează în aplicație; store-ul runtime este `var/host-manager.sqlite`.
-2. Operatorii autentificați pot descărca `/download/hosts.yaml`, `/download/local-hosts.tsv` sau `/download/monitoring.json`.
-3. Pentru DNS local, schimbările făcute în aplicație regenerează `config/local-hosts.tsv` din SQLite.
-4. Aplicația atinge `var/dns-publish.trigger`, iar pe jumper `host-manager-dns-publish.path` pornește prompt:
+2. Operatorii autentificați pot descărca `/download/hosts.yaml` sau `/download/monitoring.json`; UI-ul afișează și raw `hosts.yaml`.
+3. Pentru DNS local, schimbările făcute în aplicație pun în coadă acțiunea de sincronizare a resolverelor.
+4. Aplicația atinge `var/dns-publish.trigger`, iar pe jumper `host-manager-dns-publish.path` pornește:
 
 ```bash
 ./scripts/sync_local_hosts.sh --apply --verify
@@ -139,8 +143,7 @@ Confirmarea unui WO:
 - este blocată dacă există pași de checklist nemarcați `done`
 - elimină numele declarate din registry-ul SQLite
 - marchează WO-ul ca `confirmed`
-- regenerează `config/local-hosts.tsv`
-- declanșează publicarea către resolverele locale prin `host-manager-dns-publish.path`
+- pune în coadă sincronizarea resolverelor locale prin `host-manager-dns-publish.path`
 
 După confirmare, operatorul poate verifica manual resolverele cu:
 
@@ -172,7 +175,13 @@ Exemple:
 - `autonas01.madagascar.xdev.ro` produce automat aliasul `autonas01`
 - `pmx.baobab.madagascar.xdev.ro` produce automat aliasul `pmx.baobab`
 
-Aliasurile derivate nu se declară separat în `hosts.yaml`. Ele sunt păstrate în tabelul `host_aliases` și apar în API, monitoring export și `local-hosts.tsv` ca nume efective.
+Aliasurile derivate nu se declară separat în `hosts.yaml` și nu sunt afișate ca zgomot separat în UI. Ele sunt păstrate în tabelul `host_aliases` și pot apărea în exporturile tehnice care au nevoie de nume efective.
+
+## Taguri și observații
+
+Tagurile sunt învățate din tagurile atașate hosturilor și sunt gestionate în catalogul de taguri: redenumire, culoare, icon și asocieri pe host. Tagurile sunt exportate în `hosts.yaml`.
+
+`dhcp_leases` și `mdns_observations` sunt inputuri observate. Aplicația le afișează ca hinturi/autocomplete la adăugarea sau editarea de hosturi și vhosturi. Dacă există `nasturel.local` și operatorul tastează `nasturel` ca vhost/host, UI-ul poate propune IP-ul detectat sau atașarea la hostul existent cu acel IP; nu modifică registry-ul automat.
 
 ## Git și managementul cheilor
 
@@ -196,7 +205,7 @@ jumper
   sync_local_hosts.sh      aplică DNS după review/verificare
 
 servicii consumatoare
-  export verificat         citesc hosts.yaml/local-hosts.tsv/monitoring.json
+  export verificat         citesc hosts.yaml/monitoring.json
 ```
 
 Pentru etapa MVP, aplicația nu face commit/push automat. După o modificare, schimbarea rămâne în SQLite și poate fi exportată explicit pentru review/arhivare. Automatizarea commit/push pentru exporturi poate fi adăugată ulterior, dar numai cu cheie separată și reguli clare de semnare/audit.
@@ -237,4 +246,4 @@ Reguli:
 
 - Parserul YAML acceptă schema strictă generată de aplicație, nu YAML arbitrar.
 - Conflict engine-ul verifică doar consistența locală din registry-ul SQLite.
-- DHCP, mDNS, `hosts-local.yaml` și `madagascar.json` sunt încă surse pentru audit manual sau pentru următorul collector.
+- DHCP și mDNS sunt inputuri observate pentru hinturi/autocomplete, nu surse de adevăr pentru registry.


+9 -11

.doc/local-hosts.md

View

@@ -4,7 +4,7 @@ Rețeaua madagascar folosește un **DNS intern dual**: jumper (192.168.2.100) ca
 
 Numele vechi `is-vpn-gw` este deprecated. Folosește `jumper` sau `jumper.madagascar.xdev.ro` în scripturi și documentație.
 
-Regula importantă: local nu se folosește wildcard pentru `*.madagascar.xdev.ro`. Doar hostname-urile cunoscute din `config/local-hosts.tsv` se rezolvă local; orice nume necunoscut, inclusiv typo-uri precum `nohost.madagascar.xdev.ro`, trebuie să întoarcă `NXDOMAIN`.
+Regula importantă: local nu se folosește wildcard pentru `*.madagascar.xdev.ro`. Doar hostname-urile aprobate în SQLite și publicate prin acțiunea de sincronizare a resolverelor se rezolvă local; orice nume necunoscut, inclusiv typo-uri precum `nohost.madagascar.xdev.ro`, trebuie să întoarcă `NXDOMAIN`.
 
 Domeniul vechi `.vad.is.xdev.ro` este deprecated. Nu se adaugă intrări noi pentru el și nu se păstrează aliasuri locale pentru acest namespace.
 
@@ -27,9 +27,8 @@ Implementarea versionată este:
 | Fișier | Rol |
 |--------|-----|
 | `var/host-manager.sqlite` | sursa de adevăr runtime pentru registry și Work Orders |
-| `config/hosts.yaml` | seed/snapshot export pentru hosturi și FQDN-uri canonice |
-| `config/local-hosts.tsv` | export DNS generat din registry-ul SQLite, cu A records pentru hosturi/aliasuri de host și CNAME records pentru vhosturi |
-| `scripts/sync_local_hosts.sh` | citește manifestul DNS din SQLite-ul runtime de pe jumper și sincronizează `/etc/hosts`, `cloaking-rules.txt` și `/ip dns static` |
+| `config/hosts.yaml` | produs finit exportat pentru hosturi și FQDN-uri canonice, plus seed pentru baze noi |
+| `scripts/sync_local_hosts.sh` | generează recorduri efemere din SQLite-ul runtime de pe jumper și sincronizează `/etc/hosts`, `cloaking-rules.txt` și `/ip dns static` |
 
 `madagascar.xdev.ro` este domeniul implicit. Pentru orice host real `*.madagascar.xdev.ro`, aliasul scurt este derivat automat. De exemplu, `autonas01.madagascar.xdev.ro` publică și `autonas01`. Vhosturile, de exemplu `pmx.baobab.madagascar.xdev.ro`, se publică drept CNAME către hostul care le servește; aliasul scurt derivat, de exemplu `pmx.baobab`, este tot CNAME. Aliasurile derivate nu se declară separat în registry.
 
@@ -40,10 +39,9 @@ Când inventarele se contrazic, ordinea de încredere este:
 1. DHCP lease/reservation pe router (`admin@192.168.2.1`) — autoritatea pentru alocarea IP-urilor pe LAN. Configurațiile statice locale nu au voie să mute un IP peste DHCP; cel mult semnalează o rezervare lipsă sau o intrare veche.
 2. `cluster/cluster-context/madagascar.json` — autoritatea pentru roluri, topologie și IP-uri de serviciu. Pentru nodurile Proxmox, DNS-ul de serviciu poate folosi interfața `thunderbridge` (`192.168.10.x`) chiar dacă management/WAN este `192.168.2.x`.
 3. `var/host-manager.sqlite` — registry-ul operațional aprobat, editat prin Madagascar Local Authority.
-4. `config/local-hosts.tsv` — manifestul DNS local publicat pe jumper și as01. Acesta este un export al registry-ului SQLite și nu sursa primară pentru sync; sincronizarea citește manifestul runtime de pe jumper.
-5. `hosts-local.yaml` — inventar SSH: aliasuri, utilizatori, entrypoint-uri și căi de acces. IP-urile de aici sunt utile pentru audit, dar pot fi stale dacă DHCP spune altceva.
-6. mDNS (`*.local`) — sursă observată de descoperire și validare. Confirmă prezența unui host sau propune aliasuri, dar nu creează automat intrări `madagascar.xdev.ro`.
-7. DNS public — folosit doar pentru acces extern. Local, numele interne trebuie shadow-uite exact sau lăsate nerezolvate; wildcard-ul public nu este autoritate pentru LAN.
+4. `hosts-local.yaml` — inventar SSH istoric: aliasuri, utilizatori, entrypoint-uri și căi de acces. IP-urile de aici sunt utile pentru audit, dar pot fi stale dacă DHCP spune altceva.
+5. mDNS (`*.local`) — input observat de descoperire și validare. Confirmă prezența unui host sau propune aliasuri, dar nu creează automat intrări `madagascar.xdev.ro`.
+6. DNS public — folosit doar pentru acces extern. Local, numele interne trebuie shadow-uite exact sau lăsate nerezolvate; wildcard-ul public nu este autoritate pentru LAN.
 
 Reguli de împăcare:
 
@@ -51,7 +49,7 @@ Reguli de împăcare:
 - Pentru un IP de serviciu non-LAN, `madagascar.json` câștigă dacă explică explicit interfața sau rolul.
 - Pentru VM-uri, regula `vmid -> 192.168.2.vmid` este convenție de propunere și audit, nu autoritate. Rezervarea DHCP finală decide.
 - Prefixele istorice `is-`, `vad-` și `b-` se elimină la normalizarea numelor. `.vad.is.xdev.ro` rămâne deprecated și nu se reactivează prin aliasuri.
-- Dacă o sursă observată există doar în mDNS sau doar în lease-uri dinamice, se raportează ca propunere, nu se sincronizează automat în DNS.
+- Dacă o sursă observată există doar în mDNS sau doar în lease-uri dinamice, se afișează ca hint/autocomplete, nu se sincronizează automat în DNS.
 
 ## Listener mDNS
 
@@ -63,7 +61,7 @@ Locația implicită:
 var/host-manager.sqlite#mdns_observations
 ```
 
-Regulă importantă: listenerul mDNS scrie doar în tabelul `mdns_observations`; nu modifică registry-ul de hosturi, `config/hosts.yaml` sau `config/local-hosts.tsv`. Seed-ul mDNS rămâne observație separată până la review.
+Regulă importantă: listenerul mDNS scrie doar în tabelul `mdns_observations`; nu modifică registry-ul de hosturi sau `config/hosts.yaml`. Seed-ul mDNS rămâne observație separată până la review.
 
 Rulare manuală pentru test:
 
@@ -98,7 +96,7 @@ POST https://192.168.2.100/api/collect/dhcp-leases
 X-DHCP-Push-Token: <HOST_MANAGER_DHCP_PUSH_TOKEN>
 ```
 
-Endpoint-ul scrie doar în `dhcp_leases` și actualizează `data_workers.last_run_at`; nu modifică automat registry-ul de hosturi, `config/hosts.yaml` sau `config/local-hosts.tsv`.
+Endpoint-ul scrie doar în `dhcp_leases` și actualizează `data_workers.last_run_at`; nu modifică automat registry-ul de hosturi sau `config/hosts.yaml`.
 
 Scriptul RouterOS versionat este:
 


+4 -5

README.md

View

@@ -17,11 +17,10 @@ git@192.168.2.102:repositories/bogdan/LocalAuthority.git
 The runtime instance lives on jumper and remains the local source for operational registry data:
 
 - `var/host-manager.sqlite` - runtime source of truth for host registry and Work Orders
-- `config/hosts.yaml` - seed/snapshot export for host registry compatibility
-- `config/local-hosts.tsv` - DNS manifest export derived from the runtime SQLite registry
+- `config/hosts.yaml` - finished host registry export and seed for new databases
 - `config/work-orders.yaml` - seed/snapshot export for confirmable operational changes
 - `scripts/host_manager.pl` - Perl-only web app
-- `scripts/sync_local_hosts.sh` - local DNS sync to jumper and as01, sourced from the runtime DB on jumper
+- `scripts/sync_local_hosts.sh` - resolver configuration action for jumper and as01, sourced from the runtime DB on jumper
 - `scripts/ca_manager.sh` - local OpenSSL CA helper for host certificates
 
 The public `xdev.ro` zone is maintained in the separate DNS public-zone repository.
@@ -78,7 +77,7 @@ git push origin main
 tool, but the normal development loop is commit plus push: `jumper-runtime` for
 live testing, `origin`/GitPrep for archive and sharing.
 
-`config/` is not deployed by default. The live source of truth is `var/host-manager.sqlite`; `hosts.yaml`, `local-hosts.tsv`, and `work-orders.yaml` are seed/snapshot/export files that should not replace runtime data during normal code pushes. Deploy config only when intentionally replacing seed/export files:
+`config/` is not deployed by default. The live source of truth is `var/host-manager.sqlite`; `hosts.yaml` is the finished host export/seed and `work-orders.yaml` is a compatibility seed/snapshot. Deploy config only when intentionally replacing seed/export files:
 
 ```bash
 scripts/deploy_to_jumper.sh --include-config
@@ -86,7 +85,7 @@ scripts/deploy_to_jumper.sh --include-config
 
 The default internal domain is `madagascar.xdev.ro`. Short aliases are derived automatically from FQDNs, so `autonas01.madagascar.xdev.ro` also publishes `autonas01` without declaring it separately.
 
-Name removals with operational impact go through a Work Order. A WO records intent first; the operational checklist must be completed before confirmation can update the SQLite registry, mark the WO as confirmed, and regenerate `local-hosts.tsv`. Resolver sync remains an explicit operator step and reads the runtime manifest from the jumper database.
+Name removals with operational impact go through a Work Order. A WO records intent first; the operational checklist must be completed before confirmation can update the SQLite registry, mark the WO as confirmed, and queue resolver sync. Resolver sync remains an explicit operator action and reads runtime records from the jumper database.
 
 The local host CA stores private material outside git under `var/ca`. Initialize it on jumper with:
 


+83 -106

config/hosts.yaml

View

+                     version: 1
+                    -updated_at: "2026-06-05T00:00:00Z"
+                    +updated_at: "2026-06-11T00:00:00Z"
+                     policy:
+                    -  ip_authority: "dhcp"
+                    -  topology_authority: "madagascar.json"
+                    -  dns_manifest: "config/local-hosts.tsv"
+                    -  storage_authority: "sqlite-relational"
+                    +  finished_export: "hosts.yaml"
+                       runtime_database: "var/host-manager.sqlite"
+                    -  consumer_access: "read-only deploy keys"
+                    +  storage_authority: "sqlite-relational"
+                     hosts:
+                    -  - id: "baobab"
+                    -    status: "active"
+                    -    ip: "192.168.10.91"
+                    -    names:
+                    -      - "baobab.madagascar.xdev.ro"
+                    -      - "pmx.baobab.madagascar.xdev.ro"
+                    -    roles:
+                    -      - "proxmox"
+                    -      - "pmx"
+                    -    sources:
+                    -      - "local-hosts.tsv"
+                    -      - "madagascar.json"
+                    -    monitoring: "pending"
+                    -    notes: "Service DNS uses thunderbridge."
+                    -  - id: "ebony"
+                    +  - fqdn: "andrafiabe.madagascar.xdev.ro"
+                         status: "active"
+                    -    ip: "192.168.10.92"
+                    -    names:
+                    -      - "ebony.madagascar.xdev.ro"
+                    -      - "pmx.ebony.madagascar.xdev.ro"
+                    +    ip: "192.168.2.96"
+                    +    aliases:
+                    +    vhosts:
+                    +      - "pbs.andrafiabe.madagascar.xdev.ro"
+                         roles:
+                    -      - "proxmox"
+                    -      - "pmx"
+                    -    sources:
+                    -      - "local-hosts.tsv"
+                    -      - "madagascar.json"
+                    +      - "backup"
+                    +      - "pbs"
+                    +    tags:
+                         monitoring: "pending"
+                    -    notes: "Service DNS uses thunderbridge."
+                    -  - id: "tapia"
+                    +    notes: ""
+                    +  - fqdn: "anjothibe.madagascar.xdev.ro"
+                         status: "active"
+                    -    ip: "192.168.10.93"
+                    -    names:
+                    -      - "tapia.madagascar.xdev.ro"
+                    -      - "pmx.tapia.madagascar.xdev.ro"
+                    +    ip: "192.168.2.95"
+                    +    aliases:
+                    +    vhosts:
+                    +      - "pbs.anjothibe.madagascar.xdev.ro"
+                         roles:
+                    -      - "proxmox"
+                    -      - "pmx"
+                    -    sources:
+                    -      - "local-hosts.tsv"
+                    -      - "madagascar.json"
+                    +      - "backup"
+                    +      - "pbs"
+                    +    tags:
+                         monitoring: "pending"
+                    -    notes: "Service DNS uses thunderbridge."
+                    -  - id: "autonas01"
+                    +    notes: ""
+                    +  - fqdn: "autonas01.madagascar.xdev.ro"
+                         status: "active"
+                         ip: "192.168.10.21"
+                    -    names:
+                    -      - "autonas01.madagascar.xdev.ro"
+                    +    aliases:
+                    +    vhosts:
+                         roles:
+                           - "storage"
+                    -    sources:
+                    -      - "local-hosts.tsv"
+                    +    tags:
+                         monitoring: "pending"
+                         notes: ""
+                    -  - id: "autonas02"
+                    +  - fqdn: "autonas02.madagascar.xdev.ro"
+                         status: "active"
+                         ip: "192.168.10.22"
+                    -    names:
+                    -      - "autonas02.madagascar.xdev.ro"
+                    +    aliases:
+                    +    vhosts:
+                         roles:
+                           - "storage"
+                    -    sources:
+                    -      - "local-hosts.tsv"
+                    +    tags:
+                         monitoring: "pending"
+                         notes: ""
+                    -  - id: "anjothibe"
+                    +  - fqdn: "baobab.madagascar.xdev.ro"
+                         status: "active"
+                    -    ip: "192.168.2.95"
+                    -    names:
+                    -      - "anjothibe.madagascar.xdev.ro"
+                    -      - "pbs.anjothibe.madagascar.xdev.ro"
+                    +    ip: "192.168.10.91"
+                    +    aliases:
+                    +    vhosts:
+                    +      - "pmx.baobab.madagascar.xdev.ro"
+                         roles:
+                    -      - "pbs"
+                    -      - "backup"
+                    -    sources:
+                    -      - "local-hosts.tsv"
+                    -      - "madagascar.json"
+                    +      - "pmx"
+                    +      - "proxmox"
+                    +    tags:
+                         monitoring: "pending"
+                    -    notes: ""
+                    -  - id: "andrafiabe"
+                    +    notes: "Service DNS uses thunderbridge."
+                    +  - fqdn: "ebony.madagascar.xdev.ro"
+                         status: "active"
+                    -    ip: "192.168.2.96"
+                    -    names:
+                    -      - "andrafiabe.madagascar.xdev.ro"
+                    -      - "pbs.andrafiabe.madagascar.xdev.ro"
+                    +    ip: "192.168.10.92"
+                    +    aliases:
+                    +    vhosts:
+                    +      - "pmx.ebony.madagascar.xdev.ro"
+                         roles:
+                    -      - "pbs"
+                    -      - "backup"
+                    -    sources:
+                    -      - "local-hosts.tsv"
+                    -      - "madagascar.json"
+                    +      - "pmx"
+                    +      - "proxmox"
+                    +    tags:
+                         monitoring: "pending"
+                    -    notes: ""
+                    -  - id: "mazeri"
+                    +    notes: "Service DNS uses thunderbridge."
+                    +  - fqdn: "jumper.madagascar.xdev.ro"
+                    +    status: "active"
+                    +    ip: "192.168.2.100"
+                    +    aliases:
+                    +    vhosts:
+                    +      - "hosts.madagascar.xdev.ro"
+                    +    roles:
+                    +      - "dns"
+                    +      - "entrypoint"
+                    +    tags:
+                    +    monitoring: "enabled"
+                    +    notes: "Cluster registry publishes only the routable address."
+                    +  - fqdn: "mazeri.madagascar.xdev.ro"
+                         status: "active"
+                         ip: "192.168.2.102"
+                    -    names:
+                    -      - "mazeri.madagascar.xdev.ro"
+                    +    aliases:
+                    +    vhosts:
+                         roles:
+                           - "service"
+                    -    sources:
+                    -      - "local-hosts.tsv"
+                    -      - "hosts-local.yaml"
+                    +    tags:
+                         monitoring: "pending"
+                         notes: ""
+                    -  - id: "toltec"
+                    +  - fqdn: "tapia.madagascar.xdev.ro"
+                    +    status: "active"
+                    +    ip: "192.168.10.93"
+                    +    aliases:
+                    +    vhosts:
+                    +      - "pmx.tapia.madagascar.xdev.ro"
+                    +    roles:
+                    +      - "pmx"
+                    +      - "proxmox"
+                    +    tags:
+                    +    monitoring: "pending"
+                    +    notes: "Service DNS uses thunderbridge."
+                    +  - fqdn: "toltec.madagascar.xdev.ro"
+                         status: "active"
+                         ip: "192.168.2.103"
+                    -    names:
+                    -      - "toltec.madagascar.xdev.ro"
+                    +    aliases:
+                    +    vhosts:
+                         roles:
+                           - "service"
+                    -    sources:
+                    -      - "local-hosts.tsv"
+                    -      - "hosts-local.yaml"
+                    +    tags:
+                         monitoring: "pending"
+                         notes: ""
+                    -  - id: "zabbix"
+                    +  - fqdn: "zabbix.madagascar.xdev.ro"
+                         status: "active"
+                         ip: "192.168.2.107"
+                    -    names:
+                    -      - "zabbix.madagascar.xdev.ro"
+                    +    aliases:
+                    +    vhosts:
+                         roles:
+                           - "monitoring"
+                    -    sources:
+                    -      - "local-hosts.tsv"
+                    -      - "hosts-local.yaml"
+                    +    tags:
+                         monitoring: "enabled"
+                         notes: ""
+                    -  - id: "jumper"
+                    -    status: "active"
+                    -    ip: "192.168.2.100"
+                    -    names:
+                    -      - "jumper.madagascar.xdev.ro"
+                    -      - "hosts.madagascar.xdev.ro"
+                    -    roles:
+                    -      - "entrypoint"
+                    -      - "dns"
+                    -    sources:
+                    -      - "local-hosts.tsv"
+                    -      - "hosts-local.yaml"
+                    -    monitoring: "enabled"
+                    -    notes: "Cluster registry publishes only the routable address."

+0 -34

config/local-hosts.tsv

View

+                    -# Local DNS manifest for the madagascar network.
+                    -# Generated by scripts/host_manager.pl from the runtime SQLite registry.
+                    -#
+                    -# Format:
+                    -# ip<TAB>name [aliases...]
+                    -# CNAME<TAB>alias<TAB>target
+                    -#
+                    -# Priority rule:
+                    -# - DHCP lease/reservation on 192.168.2.1 is canonical for LAN IP allocation.
+                    -# - madagascar.json is canonical for cluster roles and service interfaces.
+                    -# - This file publishes approved local DNS records derived from those sources.
+                    -192.168.2.96	andrafiabe.madagascar.xdev.ro andrafiabe
+                    -CNAME	pbs.andrafiabe.madagascar.xdev.ro	andrafiabe.madagascar.xdev.ro
+                    -CNAME	pbs.andrafiabe	andrafiabe.madagascar.xdev.ro
+                    -192.168.2.95	anjothibe.madagascar.xdev.ro anjothibe
+                    -CNAME	pbs.anjothibe.madagascar.xdev.ro	anjothibe.madagascar.xdev.ro
+                    -CNAME	pbs.anjothibe	anjothibe.madagascar.xdev.ro
+                    -192.168.10.21	autonas01.madagascar.xdev.ro autonas01
+                    -192.168.10.22	autonas02.madagascar.xdev.ro autonas02
+                    -192.168.10.91	baobab.madagascar.xdev.ro baobab
+                    -CNAME	pmx.baobab.madagascar.xdev.ro	baobab.madagascar.xdev.ro
+                    -CNAME	pmx.baobab	baobab.madagascar.xdev.ro
+                    -192.168.10.92	ebony.madagascar.xdev.ro ebony
+                    -CNAME	pmx.ebony.madagascar.xdev.ro	ebony.madagascar.xdev.ro
+                    -CNAME	pmx.ebony	ebony.madagascar.xdev.ro
+                    -192.168.2.100	jumper.madagascar.xdev.ro jumper
+                    -CNAME	hosts.madagascar.xdev.ro	jumper.madagascar.xdev.ro
+                    -CNAME	hosts	jumper.madagascar.xdev.ro
+                    -192.168.2.102	mazeri.madagascar.xdev.ro mazeri
+                    -192.168.10.93	tapia.madagascar.xdev.ro tapia
+                    -CNAME	pmx.tapia.madagascar.xdev.ro	tapia.madagascar.xdev.ro
+                    -CNAME	pmx.tapia	tapia.madagascar.xdev.ro
+                    -192.168.2.103	toltec.madagascar.xdev.ro toltec
+                    -192.168.2.107	zabbix.madagascar.xdev.ro zabbix

+3 -5

deploy/jumper/README.md

View

@@ -32,7 +32,6 @@ sudo dnf install nginx
 ```text
 /usr/local/xdev-host-manager
   config/hosts.yaml
-  config/local-hosts.tsv
   var/host-manager.sqlite
   scripts/host_manager.pl
   scripts/mdns_host_seed.pl
@@ -88,7 +87,7 @@ curl -k -o /dev/null -w '%{http_code}\n' https://madagascar.xdev.ro/healthz
 Verificări de securitate de bază:
 
 ```bash
-curl -k -o /dev/null -w '%{http_code}\n' -X POST https://madagascar.xdev.ro/api/render/local-hosts-tsv
+curl -k -o /dev/null -w '%{http_code}\n' -X POST https://madagascar.xdev.ro/api/dns/publish
 # trebuie să întoarcă 401 fără sesiune OTP
 ```
 
@@ -102,8 +101,7 @@ madagascar.xdev.ro -> jumper.madagascar.xdev.ro
 
 Nu se adaugă wildcard local. Doar acest nume exact trebuie publicat.
 
-Schimbările DNS făcute prin aplicație regenerează `config/local-hosts.tsv` și
-ating `var/dns-publish.trigger`. Pe jumper,
+Schimbările DNS făcute prin aplicație ating `var/dns-publish.trigger`. Pe jumper,
 `host-manager-dns-publish.path` pornește imediat
 `host-manager-dns-publish.service`, care rulează:
 
@@ -120,7 +118,7 @@ Serviciul oneshot rulează ca root prin systemd, deoarece publicarea atinge
 
 ## mDNS discovery
 
-`host-manager-mdns` este un listener separat care observă mDNS și scrie direct în tabelul SQLite `mdns_observations`. Listenerul nu modifică host registry-ul, `config/hosts.yaml` sau `config/local-hosts.tsv`. Sync-ul resolverului citește manifestul runtime din SQLite, nu din exportul static.
+`host-manager-mdns` este un listener separat care observă mDNS și scrie direct în tabelul SQLite `mdns_observations`. Listenerul nu modifică host registry-ul sau `config/hosts.yaml`. Sync-ul resolverului generează recorduri efemere din SQLite, nu dintr-un export static.
 
 ## DHCP lease push
 


+0 -1

deploy/jumper/host-manager.env.example

View

@@ -5,7 +5,6 @@ HOST_MANAGER_BIND=127.0.0.1
 HOST_MANAGER_PORT=8088
 HOST_MANAGER_DB=/usr/local/xdev-host-manager/var/host-manager.sqlite
 HOST_MANAGER_DATA=/usr/local/xdev-host-manager/config/hosts.yaml
-HOST_MANAGER_LOCAL_HOSTS_TSV=/usr/local/xdev-host-manager/config/local-hosts.tsv
 HOST_MANAGER_DNS_PUBLISH_TRIGGER=/usr/local/xdev-host-manager/var/dns-publish.trigger
 
 # Base32 TOTP secret. Required for write access.


+875 -63

scripts/host_manager.pl

View

@@ -23,11 +23,11 @@ my %opt = (
     port => $ENV{HOST_MANAGER_PORT} || 8088,
     db => $ENV{HOST_MANAGER_DB} || "$project_dir/var/host-manager.sqlite",
     data => $ENV{HOST_MANAGER_DATA} || "$project_dir/config/hosts.yaml",
-    local_hosts_tsv => $ENV{HOST_MANAGER_LOCAL_HOSTS_TSV} || "$project_dir/var/local-hosts.tsv",
     dns_publish_trigger => $ENV{HOST_MANAGER_DNS_PUBLISH_TRIGGER} || "$project_dir/var/dns-publish.trigger",
     work_orders => $ENV{HOST_MANAGER_WORK_ORDERS} || "$project_dir/config/work-orders.yaml",
 );
-my $print_local_hosts_tsv = 0;
+my $print_resolver_records = 0;
+my $print_hosts_yaml = 0;
 
 while (@ARGV) {
     my $arg = shift @ARGV;
@@ -39,12 +39,12 @@ while (@ARGV) {
         $opt{db} = shift @ARGV;
     } elsif ($arg eq '--data') {
         $opt{data} = shift @ARGV;
-    } elsif ($arg eq '--local-hosts-tsv') {
-        $opt{local_hosts_tsv} = shift @ARGV;
     } elsif ($arg eq '--work-orders') {
         $opt{work_orders} = shift @ARGV;
-    } elsif ($arg eq '--print-local-hosts-tsv') {
-        $print_local_hosts_tsv = 1;
+    } elsif ($arg eq '--print-hosts-yaml') {
+        $print_hosts_yaml = 1;
+    } elsif ($arg eq '--print-resolver-records' || $arg eq '--print-local-hosts-tsv') {
+        $print_resolver_records = 1;
     } elsif ($arg eq '--help' || $arg eq '-h') {
         usage();
         exit 0;
@@ -53,8 +53,13 @@ while (@ARGV) {
     }
 }
 
-if ($print_local_hosts_tsv) {
-    print render_local_hosts_tsv(load_registry());
+if ($print_hosts_yaml) {
+    print render_hosts_yaml(load_registry());
+    exit 0;
+}
+
+if ($print_resolver_records) {
+    print render_resolver_records(load_registry());
     exit 0;
 }
 
@@ -95,15 +100,16 @@ Environment:
   HOST_MANAGER_DHCP_PUSH_TOKEN  Token for DHCP lease push collector.
   HOST_MANAGER_DB               Defaults to var/host-manager.sqlite.
   HOST_MANAGER_DATA             Defaults to config/hosts.yaml.
-  HOST_MANAGER_LOCAL_HOSTS_TSV  Defaults to config/local-hosts.tsv.
   HOST_MANAGER_DNS_PUBLISH_TRIGGER
                                   Defaults to var/dns-publish.trigger.
   HOST_MANAGER_WORK_ORDERS      Defaults to config/work-orders.yaml.
-  --print-local-hosts-tsv       Print the runtime DNS manifest and exit.
+  --print-hosts-yaml            Print the finished hosts.yaml export and exit.
+  --print-resolver-records      Print ephemeral resolver records and exit.
 
-SQLite is the runtime source of truth. YAML files seed a new database and remain
-download/export compatibility artifacts. The nginx vhost keeps registry, CA,
-work order and download endpoints behind OTP.
+SQLite is the runtime source of truth. hosts.yaml is the finished registry
+export. Resolver sync is an action sourced from SQLite, not a tracked TSV
+artifact. The nginx vhost keeps registry, CA, work order and download endpoints
+behind OTP.
 EOF
 }
 
@@ -164,9 +170,16 @@ sub handle_client {
         my $registry = load_registry();
         return send_json($client, 200, registry_payload($registry));
     }
+    if ($method eq 'GET' && $path eq '/api/tags') {
+        return send_json($client, 200, tags_payload(dbh()));
+    }
     if ($method eq 'GET' && $path eq '/api/work-orders') {
         return send_json($client, 200, work_orders_payload(load_work_orders()));
     }
+    if ($method eq 'GET' && $path eq '/api/exports/hosts.yaml') {
+        my $registry = load_registry();
+        return send_response($client, 200, render_hosts_yaml($registry), 'text/plain; charset=utf-8');
+    }
     if ($method eq 'GET' && $path eq '/api/debug/database/tables') {
         return send_json($client, 200, debug_database_tables_payload());
     }
@@ -187,10 +200,6 @@ sub handle_client {
         my $registry = load_registry();
         return send_download($client, 200, render_hosts_yaml($registry), 'application/x-yaml; charset=utf-8', 'hosts.yaml');
     }
-    if ($method eq 'GET' && $path eq '/download/local-hosts.tsv') {
-        my $registry = load_registry();
-        return send_download($client, 200, render_local_hosts_tsv($registry), 'text/tab-separated-values; charset=utf-8', 'local-hosts.tsv');
-    }
     if ($method eq 'GET' && $path eq '/download/monitoring.json') {
         my $registry = load_registry();
         return send_download($client, 200, json_encode(render_monitoring($registry)), 'application/json; charset=utf-8', 'monitoring-hosts.json');
@@ -220,7 +229,23 @@ sub handle_client {
         }
         if ($path eq '/api/hosts/delete') {
             my $payload = request_payload(\%headers, $body);
-            return delete_host($client, $payload->{id} || '');
+            return delete_host($client, $payload->{fqdn} || $payload->{id} || '');
+        }
+        if ($path eq '/api/tags/upsert') {
+            my $payload = request_payload(\%headers, $body);
+            return upsert_tag($client, $payload);
+        }
+        if ($path eq '/api/tags/rename') {
+            my $payload = request_payload(\%headers, $body);
+            return rename_tag($client, $payload);
+        }
+        if ($path eq '/api/tags/delete') {
+            my $payload = request_payload(\%headers, $body);
+            return delete_tag($client, $payload);
+        }
+        if ($path eq '/api/dns/publish') {
+            my $publish = publish_dns_change(load_registry(), 'manual-publish');
+            return send_json($client, 200, { ok => json_bool(1), dns_publish => $publish });
         }
         if ($path eq '/api/hosts/certificate') {
             my $payload = request_payload(\%headers, $body);
@@ -258,11 +283,6 @@ sub handle_client {
             my $payload = request_payload(\%headers, $body);
             return update_work_order_checklist($client, $payload);
         }
-        if ($path eq '/api/render/local-hosts-tsv') {
-            my $registry = load_registry();
-            my $publish = publish_dns_change($registry, 'manual-render');
-            return send_json($client, 200, { ok => json_bool(1), file => $opt{local_hosts_tsv}, dns_publish => $publish });
-        }
     }
 
     return send_json($client, 404, { error => 'not_found' });
@@ -270,7 +290,7 @@ sub handle_client {
 
 sub app_page_path {
     my ($path) = @_;
-    return $path =~ m{\A/(?:|overview|hosts|vhosts|dns|work-orders|ca|debug)\z};
+    return $path =~ m{\A/(?:|overview|hosts|vhosts|tags|dns|work-orders|ca|debug)\z};
 }
 
 sub load_registry {
@@ -497,7 +517,6 @@ sub confirm_work_order {
         ok => json_bool(1),
         work_order => $work_order,
         results => $results,
-        local_hosts_tsv => $opt{local_hosts_tsv},
         dns_publish => $publish,
     });
 }
@@ -539,6 +558,83 @@ sub update_work_order_checklist {
     return send_json($client, 200, { ok => json_bool(1), work_order => $work_order });
 }
 
+sub upsert_tag {
+    my ($client, $payload) = @_;
+    my $label = clean_tag_label($payload->{label} || $payload->{tag} || $payload->{tag_id} || '');
+    return send_json($client, 400, { error => 'invalid_tag' }) unless length $label;
+    my $dbh = dbh();
+    my $now = iso_now();
+    my $tag = eval {
+        with_transaction($dbh, sub {
+            upsert_tag_to_db(
+                $dbh,
+                $label,
+                clean_tag_color($payload->{color} || ''),
+                clean_tag_icon($payload->{icon} || ''),
+                clean_scalar($payload->{notes} || ''),
+                $now,
+            );
+        });
+        tag_payload_by_label($dbh, $label);
+    };
+    if (!$tag) {
+        return send_json($client, 409, { error => 'tag_upsert_failed', detail => clean_scalar($@ || '') });
+    }
+    return send_json($client, 200, { ok => json_bool(1), tag => $tag });
+}
+
+sub rename_tag {
+    my ($client, $payload) = @_;
+    my $old_id = clean_tag_id($payload->{tag_id} || $payload->{old_label} || $payload->{old_tag} || '');
+    my $new_label = clean_tag_label($payload->{new_label} || $payload->{label} || '');
+    return send_json($client, 400, { error => 'invalid_tag' }) unless length $old_id && length $new_label;
+    my $new_id = clean_tag_id($new_label);
+    my $dbh = dbh();
+    return send_json($client, 404, { error => 'tag_not_found' })
+        unless db_scalar($dbh, 'SELECT COUNT(*) FROM tags WHERE tag_id = ?', $old_id);
+    if ($new_id ne $old_id && db_scalar($dbh, 'SELECT COUNT(*) FROM tags WHERE tag_id = ? OR label = ?', $new_id, $new_label)) {
+        return send_json($client, 409, { error => 'tag_exists' });
+    }
+    my $now = iso_now();
+    my $renamed = eval {
+        with_transaction($dbh, sub {
+            $dbh->do(
+                'UPDATE tags SET tag_id = ?, label = ?, color = ?, icon = ?, notes = ?, updated_at = ? WHERE tag_id = ?',
+                undef,
+                $new_id,
+                $new_label,
+                clean_tag_color($payload->{color} || ''),
+                clean_tag_icon($payload->{icon} || ''),
+                clean_scalar($payload->{notes} || ''),
+                $now,
+                $old_id,
+            );
+            set_schema_meta($dbh, 'registry_updated_at', $now);
+        });
+        tag_payload_by_label($dbh, $new_label);
+    };
+    if (!$renamed) {
+        return send_json($client, 409, { error => 'tag_rename_failed', detail => clean_scalar($@ || '') });
+    }
+    return send_json($client, 200, { ok => json_bool(1), tag => $renamed });
+}
+
+sub delete_tag {
+    my ($client, $payload) = @_;
+    my $tag_id = clean_tag_id($payload->{tag_id} || $payload->{label} || '');
+    return send_json($client, 400, { error => 'invalid_tag' }) unless length $tag_id;
+    my $dbh = dbh();
+    return send_json($client, 404, { error => 'tag_not_found' })
+        unless db_scalar($dbh, 'SELECT COUNT(*) FROM tags WHERE tag_id = ?', $tag_id);
+    my $now = iso_now();
+    with_transaction($dbh, sub {
+        $dbh->do('DELETE FROM host_tags WHERE tag_id = ?', undef, $tag_id);
+        $dbh->do('DELETE FROM tags WHERE tag_id = ?', undef, $tag_id);
+        set_schema_meta($dbh, 'registry_updated_at', $now);
+    });
+    return send_json($client, 200, { ok => json_bool(1), tag_id => $tag_id });
+}
+
 sub incomplete_work_order_items {
     my ($work_order) = @_;
     my @incomplete;
@@ -584,9 +680,11 @@ sub registry_payload {
     my $problems = analyze_hosts($registry->{hosts});
     my $dbh = dbh();
     my %host_tls = host_tls_payloads($dbh);
-    my @hosts = map { host_payload($_, $host_tls{ canonical_host_fqdn($_) }) } @{ $registry->{hosts} };
+    my %tag_catalog = tag_catalog_by_label($dbh);
+    my @hosts = map { host_payload($_, $host_tls{ canonical_host_fqdn($_) }, \%tag_catalog) } @{ $registry->{hosts} };
     my @vhosts = vhost_payloads($dbh);
     my @certificates = certificate_payloads($dbh);
+    my $tags = tags_payload($dbh);
     my $vhost_count = sum(map { scalar declared_vhost_names($_) } @{ $registry->{hosts} });
     return {
         version => $registry->{version},
@@ -594,6 +692,8 @@ sub registry_payload {
         policy => $registry->{policy},
         hosts => \@hosts,
         vhosts => \@vhosts,
+        tags => $tags->{tags},
+        observations => observations_payload($dbh),
         certificates => \@certificates,
         problems => $problems,
         counts => {
@@ -758,6 +858,7 @@ sub upsert_host {
         aliases => \@aliases,
         vhosts => \@vhosts,
         roles => [ clean_list($payload->{roles}) ],
+        tags => [ clean_tag_labels($payload->{tags}) ],
         sources => [ clean_list($payload->{sources}) ],
         monitoring => clean_scalar($payload->{monitoring} || 'pending'),
         notes => clean_scalar($payload->{notes} || ''),
@@ -786,12 +887,15 @@ sub upsert_host {
 }
 
 sub delete_host {
-    my ($client, $id) = @_;
-    $id = clean_id($id);
-    return send_json($client, 400, { error => 'invalid_id' }) unless $id;
+    my ($client, $target) = @_;
+    my $fqdn = normalize_dns_name($target || '');
+    my $id = clean_id($target || '');
+    return send_json($client, 400, { error => 'invalid_host' }) unless $fqdn || $id;
 
     my $registry = load_registry();
-    my @kept = grep { $_->{id} ne $id } @{ $registry->{hosts} };
+    my @kept = grep {
+        (canonical_host_fqdn($_) ne $fqdn) && (($_->{id} || '') ne $id)
+    } @{ $registry->{hosts} };
     return send_json($client, 404, { error => 'not_found' }) if @kept == @{ $registry->{hosts} };
     $registry->{hosts} = \@kept;
     save_registry($registry);
@@ -1088,16 +1192,20 @@ sub analyze_hosts {
 }
 
 sub host_payload {
-    my ($host, $tls) = @_;
+    my ($host, $tls, $tag_catalog) = @_;
+    $tls ||= {};
+    $tag_catalog ||= {};
     my %copy = %$host;
     $copy{fqdn} = canonical_host_fqdn($host);
     $copy{ip} = canonical_ip($host);
-    $copy{names} = [ effective_names($host) ];
-    $copy{declared_names} = [ declared_dns_names($host) ];
     $copy{aliases} = [ declared_alias_names($host) ];
     $copy{derived_aliases} = [ derived_alias_names($host) ];
     $copy{vhosts} = [ declared_vhost_names($host) ];
     $copy{derived_vhost_aliases} = [ derived_vhost_alias_names($host) ];
+    $copy{tags} = [ clean_tag_labels($host->{tags}) ];
+    $copy{tag_details} = [
+        map { $tag_catalog->{$_} || default_tag_payload($_) } @{ $copy{tags} }
+    ];
     $copy{certificate_id} = clean_scalar($tls->{certificate_id} || '');
     $copy{certificate} = $tls->{certificate} if $tls && ref($tls->{certificate}) eq 'HASH';
     return \%copy;
@@ -1262,10 +1370,11 @@ sub problem {
     return { host_id => $host->{id}, code => $code, message => $message };
 }
 
-sub render_local_hosts_tsv {
+sub render_resolver_records {
     my ($registry) = @_;
-    my $out = "# Local DNS manifest for the madagascar network.\n";
+    my $out = "# Ephemeral resolver records for the madagascar network.\n";
     $out .= "# Generated by scripts/host_manager.pl from the runtime SQLite registry.\n";
+    $out .= "# hosts.yaml is the finished export; this stream is consumed by resolver sync only.\n";
     $out .= "#\n";
     $out .= "# Format:\n";
     $out .= "# ip<TAB>name [aliases...]\n";
@@ -1308,6 +1417,7 @@ sub render_monitoring {
             vhosts_declared => [ declared_vhost_names($host) ],
             vhost_aliases_derived => [ derived_vhost_alias_names($host) ],
             roles => [ @{ $host->{roles} || [] } ],
+            tags => [ clean_tag_labels($host->{tags}) ],
             monitoring => $host->{monitoring} || 'pending',
             notes => $host->{notes} || '',
         };
@@ -1594,19 +1704,26 @@ sub parse_hosts_yaml {
             $section = 'hosts';
         } elsif (($section || '') eq 'policy' && $line =~ /^  ([A-Za-z0-9_]+):\s*(.+)$/) {
             $registry{policy}{$1} = yaml_unquote($2);
-        } elsif (($section || '') eq 'hosts' && $line =~ /^  - id:\s*(.+)$/) {
+        } elsif (($section || '') eq 'hosts' && $line =~ /^  - (id|fqdn):\s*(.+)$/) {
             $current = {
-                id => yaml_unquote($1),
+                id => '',
                 fqdn => '',
                 status => 'active',
                 ip => '',
                 aliases => [],
                 vhosts => [],
                 roles => [],
+                tags => [],
                 sources => [],
                 monitoring => 'pending',
                 notes => '',
             };
+            if ($1 eq 'id') {
+                $current->{id} = yaml_unquote($2);
+            } else {
+                $current->{fqdn} = normalize_dns_name(yaml_unquote($2));
+                $current->{id} = legacy_id_from_fqdn($current->{fqdn});
+            }
             push @{ $registry{hosts} }, $current;
             $list_key = undef;
         } elsif ($current && $line =~ /^    ([A-Za-z0-9_]+):\s*$/) {
@@ -1641,6 +1758,7 @@ sub parse_hosts_yaml {
         }
         delete $host->{names};
         $host->{fqdn} ||= canonical_host_fqdn($host);
+        $host->{id} ||= legacy_id_from_fqdn($host->{fqdn});
     }
     return \%registry;
 }
@@ -1654,12 +1772,11 @@ sub render_hosts_yaml {
         $out .= "  $key: " . yq($registry->{policy}{$key}) . "\n";
     }
     $out .= "hosts:\n";
-    for my $host (sort { $a->{id} cmp $b->{id} } @{ $registry->{hosts} || [] }) {
-        $out .= "  - id: " . yq($host->{id}) . "\n";
-        $out .= "    fqdn: " . yq(canonical_host_fqdn($host)) . "\n";
+    for my $host (sort { canonical_host_fqdn($a) cmp canonical_host_fqdn($b) } @{ $registry->{hosts} || [] }) {
+        $out .= "  - fqdn: " . yq(canonical_host_fqdn($host)) . "\n";
         $out .= "    status: " . yq($host->{status} || '') . "\n";
         $out .= "    ip: " . yq(canonical_ip($host)) . "\n";
-        for my $key (qw(aliases vhosts roles sources)) {
+        for my $key (qw(aliases vhosts roles tags)) {
             $out .= "    $key:\n";
             for my $value (@{ $host->{$key} || [] }) {
                 $out .= "      - " . yq($value) . "\n";
@@ -1976,6 +2093,49 @@ sub clean_mac {
     return '';
 }
 
+sub clean_tag_label {
+    my ($value) = @_;
+    $value = lc clean_scalar($value || '');
+    $value =~ s/[^a-z0-9_. -]+/-/g;
+    $value =~ s/\s+/-/g;
+    $value =~ s/-+/-/g;
+    $value =~ s/^-+|-+$//g;
+    return $value;
+}
+
+sub clean_tag_id {
+    my ($value) = @_;
+    return clean_id(clean_tag_label($value || ''));
+}
+
+sub clean_tag_labels {
+    my ($value) = @_;
+    return unique_preserve(grep { length $_ } map { clean_tag_label($_) } clean_list($value));
+}
+
+sub default_tag_color {
+    return '#647084';
+}
+
+sub default_tag_icon {
+    return 'tag';
+}
+
+sub clean_tag_color {
+    my ($value) = @_;
+    $value = clean_scalar($value || '');
+    return lc $value if $value =~ /\A#[0-9a-fA-F]{6}\z/;
+    return default_tag_color();
+}
+
+sub clean_tag_icon {
+    my ($value) = @_;
+    $value = lc clean_scalar($value || '');
+    $value =~ s/[^a-z0-9_-]+/-/g;
+    $value =~ s/^-+|-+$//g;
+    return length($value) ? $value : default_tag_icon();
+}
+
 sub normalize_dhcp_name {
     my ($value) = @_;
     $value = normalize_dns_name($value || '');
@@ -2173,13 +2333,10 @@ sub publish_dns_change {
     my ($registry, $reason) = @_;
     $reason = clean_scalar($reason || 'registry-change');
 
-    backup_file($opt{local_hosts_tsv});
-    write_file($opt{local_hosts_tsv}, render_local_hosts_tsv($registry));
-
     my $trigger = $opt{dns_publish_trigger} || '';
     return {
         queued => json_bool(0),
-        file => $opt{local_hosts_tsv},
+        action => 'resolver-sync',
         reason => $reason,
     } unless length $trigger;
 
@@ -2190,7 +2347,7 @@ sub publish_dns_change {
 
     return {
         queued => json_bool(1),
-        file => $opt{local_hosts_tsv},
+        action => 'resolver-sync',
         trigger => $trigger,
         reason => $reason,
     };
@@ -2239,7 +2396,7 @@ SQL
     $dbh->do(
         'INSERT INTO schema_meta (key, value, updated_at) VALUES (?, ?, ?) '
         . 'ON CONFLICT(key) DO UPDATE SET value = excluded.value, updated_at = excluded.updated_at',
-        undef, 'schema_version', '2', iso_now()
+        undef, 'schema_version', '3', iso_now()
     );
     $dbh->do(<<'SQL');
 CREATE TABLE IF NOT EXISTS hosts (
@@ -2309,6 +2466,33 @@ CREATE TABLE IF NOT EXISTS host_flags (
     PRIMARY KEY (host_fqdn, flag),
     FOREIGN KEY (host_fqdn) REFERENCES hosts(fqdn) ON UPDATE CASCADE ON DELETE RESTRICT
 )
+SQL
+    $dbh->do(<<'SQL');
+CREATE TABLE IF NOT EXISTS tags (
+    tag_id TEXT PRIMARY KEY,
+    label TEXT NOT NULL UNIQUE,
+    color TEXT NOT NULL DEFAULT '#647084',
+    icon TEXT NOT NULL DEFAULT 'tag',
+    notes TEXT NOT NULL DEFAULT '',
+    created_at TEXT NOT NULL,
+    updated_at TEXT NOT NULL
+)
+SQL
+    $dbh->do(<<'SQL');
+CREATE TABLE IF NOT EXISTS host_tags (
+    host_fqdn TEXT NOT NULL,
+    tag_id TEXT NOT NULL,
+    status TEXT NOT NULL DEFAULT 'active',
+    created_at TEXT NOT NULL,
+    retired_at TEXT,
+    PRIMARY KEY (host_fqdn, tag_id),
+    FOREIGN KEY (host_fqdn) REFERENCES hosts(fqdn) ON UPDATE CASCADE ON DELETE RESTRICT,
+    FOREIGN KEY (tag_id) REFERENCES tags(tag_id) ON UPDATE CASCADE ON DELETE RESTRICT
+)
+SQL
+    $dbh->do(<<'SQL');
+CREATE INDEX IF NOT EXISTS idx_host_tags_tag_status
+ON host_tags(tag_id, status)
 SQL
     $dbh->do(<<'SQL');
 CREATE TABLE IF NOT EXISTS host_ssh (
@@ -2568,6 +2752,7 @@ sub load_registry_from_db {
             aliases => [ active_aliases_for_host($dbh, $fqdn) ],
             vhosts => [ active_vhosts_for_host($dbh, $fqdn) ],
             roles => [ active_values_for_host($dbh, 'host_roles', 'role', $fqdn) ],
+            tags => [ active_tags_for_host($dbh, $fqdn) ],
             sources => [ active_values_for_host($dbh, 'host_sources', 'source', $fqdn) ],
             monitoring => $row->{monitoring},
             notes => $row->{notes},
@@ -2626,6 +2811,7 @@ sub upsert_host_to_db {
 
     sync_host_values($dbh, 'host_roles', 'role', $fqdn, [ clean_list($host->{roles}) ]);
     sync_host_values($dbh, 'host_sources', 'source', $fqdn, [ clean_list($host->{sources}) ]);
+    sync_host_tags($dbh, $fqdn, [ clean_tag_labels($host->{tags}) ]);
     sync_host_aliases_and_vhosts($dbh, $fqdn, [ declared_alias_names($host) ], [ declared_vhost_names($host) ]);
     return $fqdn;
 }
@@ -2667,6 +2853,54 @@ sub sync_host_values {
     }
 }
 
+sub sync_host_tags {
+    my ($dbh, $fqdn, $labels) = @_;
+    my $now = iso_now();
+    my %active;
+    for my $label (@$labels) {
+        $label = clean_tag_label($label);
+        next unless length $label;
+        my $tag_id = upsert_tag_to_db($dbh, $label, '', '', '', $now);
+        next unless length $tag_id;
+        $active{$tag_id} = 1;
+        $dbh->do(
+            "INSERT INTO host_tags (host_fqdn, tag_id, status, created_at, retired_at) VALUES (?, ?, 'active', ?, '') "
+            . "ON CONFLICT(host_fqdn, tag_id) DO UPDATE SET status = 'active', retired_at = ''",
+            undef,
+            $fqdn, $tag_id, $now,
+        );
+    }
+
+    my $sth = $dbh->prepare("SELECT tag_id FROM host_tags WHERE host_fqdn = ? AND status = 'active'");
+    $sth->execute($fqdn);
+    while (my ($tag_id) = $sth->fetchrow_array) {
+        next if $active{$tag_id};
+        $dbh->do("UPDATE host_tags SET status = 'retired', retired_at = ? WHERE host_fqdn = ? AND tag_id = ?", undef, $now, $fqdn, $tag_id);
+    }
+}
+
+sub upsert_tag_to_db {
+    my ($dbh, $label, $color, $icon, $notes, $now) = @_;
+    $label = clean_tag_label($label);
+    return '' unless length $label;
+    my $tag_id = clean_tag_id($label);
+    $color = clean_tag_color($color || '');
+    $icon = clean_tag_icon($icon || '');
+    $notes = clean_scalar($notes || '');
+    $dbh->do(
+        'INSERT INTO tags (tag_id, label, color, icon, notes, created_at, updated_at) VALUES (?, ?, ?, ?, ?, ?, ?) '
+        . 'ON CONFLICT(tag_id) DO UPDATE SET label = excluded.label, '
+        . 'color = CASE WHEN excluded.color <> ? THEN excluded.color ELSE tags.color END, '
+        . 'icon = CASE WHEN excluded.icon <> ? THEN excluded.icon ELSE tags.icon END, '
+        . 'notes = CASE WHEN excluded.notes <> ? THEN excluded.notes ELSE tags.notes END, '
+        . 'updated_at = excluded.updated_at',
+        undef,
+        $tag_id, $label, $color, $icon, $notes, $now, $now,
+        default_tag_color(), default_tag_icon(), '',
+    );
+    return $tag_id;
+}
+
 sub sync_host_aliases_and_vhosts {
     my ($dbh, $fqdn, $aliases_in, $vhosts_in) = @_;
     my $now = iso_now();
@@ -2769,6 +3003,7 @@ sub retire_host_in_db {
     $dbh->do("UPDATE vhosts SET status = 'retired', updated_at = ? WHERE host_fqdn = ? AND status = 'active'", undef, $now, $fqdn);
     $dbh->do("UPDATE host_roles SET status = 'retired', retired_at = ? WHERE host_fqdn = ? AND status = 'active'", undef, $now, $fqdn);
     $dbh->do("UPDATE host_sources SET status = 'retired', retired_at = ? WHERE host_fqdn = ? AND status = 'active'", undef, $now, $fqdn);
+    $dbh->do("UPDATE host_tags SET status = 'retired', retired_at = ? WHERE host_fqdn = ? AND status = 'active'", undef, $now, $fqdn);
 }
 
 sub active_aliases_for_host {
@@ -2804,6 +3039,198 @@ sub active_values_for_host {
     return @values;
 }
 
+sub active_tags_for_host {
+    my ($dbh, $fqdn) = @_;
+    my @values;
+    my $sth = $dbh->prepare(<<'SQL');
+SELECT t.label
+FROM host_tags ht
+JOIN tags t ON t.tag_id = ht.tag_id
+WHERE ht.host_fqdn = ? AND ht.status = 'active'
+ORDER BY t.label
+SQL
+    $sth->execute($fqdn);
+    while (my ($label) = $sth->fetchrow_array) {
+        push @values, clean_tag_label($label);
+    }
+    return @values;
+}
+
+sub tags_payload {
+    my ($dbh) = @_;
+    my @tags;
+    my $sth = $dbh->prepare(<<'SQL');
+SELECT
+    t.tag_id,
+    t.label,
+    t.color,
+    t.icon,
+    t.notes,
+    COUNT(CASE WHEN ht.status = 'active' THEN 1 END) AS host_count
+FROM tags t
+LEFT JOIN host_tags ht ON ht.tag_id = t.tag_id
+GROUP BY t.tag_id, t.label, t.color, t.icon, t.notes
+ORDER BY t.label
+SQL
+    $sth->execute;
+    while (my $row = $sth->fetchrow_hashref) {
+        push @tags, tag_payload($row);
+    }
+    return {
+        tags => \@tags,
+        counts => {
+            tags => scalar @tags,
+            associations => sum(map { $_->{host_count} || 0 } @tags),
+        },
+    };
+}
+
+sub tag_catalog_by_label {
+    my ($dbh) = @_;
+    my %tags;
+    for my $tag (@{ tags_payload($dbh)->{tags} || [] }) {
+        $tags{ clean_tag_label($tag->{label}) } = $tag;
+    }
+    return %tags;
+}
+
+sub tag_payload_by_label {
+    my ($dbh, $label) = @_;
+    $label = clean_tag_label($label);
+    my $row = $dbh->selectrow_hashref(<<'SQL', undef, $label);
+SELECT
+    t.tag_id,
+    t.label,
+    t.color,
+    t.icon,
+    t.notes,
+    COUNT(CASE WHEN ht.status = 'active' THEN 1 END) AS host_count
+FROM tags t
+LEFT JOIN host_tags ht ON ht.tag_id = t.tag_id
+WHERE t.label = ?
+GROUP BY t.tag_id, t.label, t.color, t.icon, t.notes
+SQL
+    return $row ? tag_payload($row) : default_tag_payload($label);
+}
+
+sub tag_payload {
+    my ($row) = @_;
+    return {
+        tag_id => clean_tag_id($row->{tag_id} || $row->{label} || ''),
+        label => clean_tag_label($row->{label} || $row->{tag_id} || ''),
+        color => clean_tag_color($row->{color} || ''),
+        icon => clean_tag_icon($row->{icon} || ''),
+        notes => clean_scalar($row->{notes} || ''),
+        host_count => int($row->{host_count} || 0),
+    };
+}
+
+sub default_tag_payload {
+    my ($label) = @_;
+    $label = clean_tag_label($label);
+    return {
+        tag_id => clean_tag_id($label),
+        label => $label,
+        color => default_tag_color(),
+        icon => default_tag_icon(),
+        notes => '',
+        host_count => 0,
+    };
+}
+
+sub observations_payload {
+    my ($dbh) = @_;
+    my @dhcp = observed_dhcp_leases($dbh);
+    my @mdns = observed_mdns_records($dbh);
+    return {
+        dhcp_leases => \@dhcp,
+        mdns_observations => \@mdns,
+        counts => {
+            dhcp_leases => scalar @dhcp,
+            mdns_observations => scalar @mdns,
+        },
+    };
+}
+
+sub observed_dhcp_leases {
+    my ($dbh) = @_;
+    my @rows;
+    my $sth = $dbh->prepare(<<'SQL');
+SELECT lease_key, worker_id, host_fqdn, observed_name, ip_address, mac_address, lease_state, first_seen, last_seen
+FROM dhcp_leases
+ORDER BY last_seen DESC
+LIMIT 200
+SQL
+    $sth->execute;
+    while (my $row = $sth->fetchrow_hashref) {
+        push @rows, observation_payload_row($dbh, 'dhcp', $row);
+    }
+    return @rows;
+}
+
+sub observed_mdns_records {
+    my ($dbh) = @_;
+    my @rows;
+    my $sth = $dbh->prepare(<<'SQL');
+SELECT observation_key, worker_id, host_fqdn, observed_name, ip_address, rr_type, ttl, first_seen, last_seen, seen_count, last_peer
+FROM mdns_observations
+ORDER BY last_seen DESC
+LIMIT 200
+SQL
+    $sth->execute;
+    while (my $row = $sth->fetchrow_hashref) {
+        push @rows, observation_payload_row($dbh, 'mdns', $row);
+    }
+    return @rows;
+}
+
+sub observation_payload_row {
+    my ($dbh, $source, $row) = @_;
+    my $name = normalize_dns_name($row->{observed_name} || '');
+    my $ip = clean_ip($row->{ip_address} || '');
+    my $candidate_fqdn = candidate_fqdn_for_observed_name($name);
+    my $host_by_ip = host_fqdn_for_ip($dbh, $ip);
+    return {
+        source => $source,
+        key => clean_scalar($row->{lease_key} || $row->{observation_key} || ''),
+        worker_id => clean_scalar($row->{worker_id} || ''),
+        observed_name => $name,
+        candidate_fqdn => $candidate_fqdn,
+        ip_address => $ip,
+        mac_address => clean_mac($row->{mac_address} || ''),
+        state => clean_scalar($row->{lease_state} || $row->{rr_type} || ''),
+        host_fqdn => clean_scalar($row->{host_fqdn} || ''),
+        existing_host_fqdn => $host_by_ip,
+        first_seen => clean_scalar($row->{first_seen} || ''),
+        last_seen => clean_scalar($row->{last_seen} || ''),
+        seen_count => int($row->{seen_count} || 0),
+    };
+}
+
+sub candidate_fqdn_for_observed_name {
+    my ($name) = @_;
+    $name = normalize_dns_name($name || '');
+    return '' unless length $name;
+    $name =~ s/\.local\z//;
+    return '' unless length $name;
+    return $name if $name =~ /\.madagascar\.xdev\.ro\z/;
+    return "$name.madagascar.xdev.ro" unless $name =~ /\./;
+    return '';
+}
+
+sub host_fqdn_for_ip {
+    my ($dbh, $ip) = @_;
+    return '' unless clean_ip($ip || '');
+    my ($fqdn) = $dbh->selectrow_array(
+        'SELECT fqdn FROM hosts WHERE (dns_ip = ? OR hosts_ip = ?) AND status <> ? ORDER BY fqdn LIMIT 1',
+        undef,
+        $ip,
+        $ip,
+        'retired',
+    );
+    return $fqdn || '';
+}
+
 sub load_work_orders_from_db {
     my $dbh = dbh();
     my $orders = { version => 1, work_orders => [] };
@@ -3073,6 +3500,8 @@ sub normalize_registry_policy {
     $registry->{policy} ||= {};
     $registry->{policy}{storage_authority} = 'sqlite-relational';
     $registry->{policy}{runtime_database} = $opt{db};
+    $registry->{policy}{finished_export} = 'hosts.yaml';
+    delete $registry->{policy}{dns_manifest};
 }
 
 sub default_hosts_yaml {
@@ -3473,6 +3902,20 @@ sub app_html {
     .host-actions { display: flex; align-items: center; gap: 6px; }
     .field-head { display: flex; align-items: center; justify-content: space-between; gap: 8px; }
     .host-cert-cell { min-width: 0; }
+    .tag-list { display: flex; flex-wrap: wrap; gap: 4px; align-items: flex-start; }
+    .tag-pill { display: inline-flex; align-items: center; gap: 4px; margin: 0; color: var(--ink); border-color: var(--line); background: #fff; }
+    .tag-dot { width: 8px; height: 8px; border-radius: 999px; flex: 0 0 auto; background: var(--muted); }
+    .tag-editor { display: grid; grid-template-columns: minmax(220px, 1fr) 90px 150px auto; gap: 8px; padding: 10px; border-bottom: 1px solid var(--line); background: #fff; }
+    .tag-actions { display: flex; gap: 6px; flex-wrap: wrap; }
+    .tag-actions button { min-height: 30px; padding: 4px 8px; }
+    .raw-export { margin: 0; padding: 14px; min-height: 280px; max-height: 62vh; overflow: auto; background: #101827; color: #edf2ff; white-space: pre; }
+    .observation-hints { display: grid; gap: 6px; padding: 0 10px 10px; color: var(--muted); }
+    .host-inline-editor-shell .observation-hints { padding: 0; }
+    .observation-card { display: flex; align-items: center; justify-content: space-between; gap: 8px; padding: 8px; border: 1px solid var(--line); border-radius: 6px; background: #f8fafc; }
+    .observation-card-main { display: grid; gap: 2px; min-width: 0; }
+    .observation-card-title { color: var(--ink); font-weight: 650; overflow-wrap: anywhere; }
+    .observation-card-actions { display: flex; gap: 6px; flex-wrap: wrap; justify-content: flex-end; }
+    .observation-card button { min-height: 30px; padding: 4px 8px; }
     #page-vhosts .panel-head { align-items: center; padding-block: 10px; }
     #page-vhosts .host-tools { flex-wrap: wrap; }
     #page-vhosts .host-tools input { max-width: 280px; }
@@ -3515,6 +3958,7 @@ sub app_html {
       .host-inline-editor-head { align-items: stretch; flex-direction: column; }
       .host-inline-editor-tools { justify-content: flex-start; }
       .debug-controls { align-items: stretch; }
+      .tag-editor { grid-template-columns: 1fr; }
       .grid { grid-template-columns: 1fr; }
       table { min-width: 760px; }
       .table-wrap { overflow-x: auto; }
@@ -3566,6 +4010,7 @@ sub app_html {
         <a href="/overview" data-page-link="overview">Overview</a>
         <a href="/hosts" data-page-link="hosts">Hosts</a>
         <a href="/vhosts" data-page-link="vhosts">Vhosts</a>
+        <a href="/tags" data-page-link="tags">Tags</a>
         <a href="/dns" data-page-link="dns">DNS</a>
         <a href="/work-orders" data-page-link="work-orders">Work Orders</a>
         <a href="/ca" data-page-link="ca">Local CA</a>
@@ -3606,6 +4051,7 @@ sub app_html {
                   <th style="width: 140px">IP</th>
                   <th>Aliases</th>
                   <th style="width: 150px">Roles</th>
+                  <th style="width: 160px">Tags</th>
                   <th style="width: 260px">Certificate</th>
                   <th style="width: 110px">Monitoring</th>
                   <th style="width: 90px">Status</th>
@@ -3628,10 +4074,12 @@ sub app_html {
             </div>
           </div>
           <div class="vhost-inline-editor">
-            <input id="vhost-new-name" placeholder="vhost fqdn">
+            <input id="vhost-new-name" placeholder="vhost fqdn" list="vhost-name-hints">
             <select id="vhost-new-host"></select>
             <button type="button" id="vhost-add">Add</button>
           </div>
+          <datalist id="vhost-name-hints"></datalist>
+          <div id="vhost-observation-hints" class="observation-hints"></div>
           <div class="table-wrap">
             <table>
               <thead>
@@ -3652,9 +4100,51 @@ sub app_html {
       <section class="page" id="page-dns" data-page="dns" hidden>
         <section class="toolbar">
           <a class="linkbtn" href="/download/hosts.yaml">hosts.yaml</a>
-          <a class="linkbtn" href="/download/local-hosts.tsv">local-hosts.tsv</a>
           <a class="linkbtn" href="/download/monitoring.json">monitoring.json</a>
-          <button id="write-tsv">Write local-hosts.tsv</button>
+          <button id="publish-dns">Publish resolvers</button>
+        </section>
+        <section class="panel">
+          <div class="panel-head">
+            <h2>hosts.yaml</h2>
+            <div class="stats" id="hosts-yaml-stats"></div>
+          </div>
+          <pre class="raw-export mono" id="hosts-yaml-raw"></pre>
+        </section>
+      </section>
+
+      <section class="page" id="page-tags" data-page="tags" hidden>
+        <section class="panel">
+          <div class="panel-head">
+            <h2>Tags</h2>
+            <div class="stats" id="tag-stats"></div>
+          </div>
+          <div class="tag-editor">
+            <input id="tag-new-label" placeholder="tag">
+            <input id="tag-new-color" type="color" value="#647084" aria-label="Tag color">
+            <select id="tag-new-icon" aria-label="Tag icon">
+              <option value="tag">tag</option>
+              <option value="server">server</option>
+              <option value="storage">storage</option>
+              <option value="shield">shield</option>
+              <option value="network">network</option>
+              <option value="alert">alert</option>
+            </select>
+            <button type="button" id="tag-add">Save</button>
+          </div>
+          <div class="table-wrap">
+            <table>
+              <thead>
+                <tr>
+                  <th>Tag</th>
+                  <th style="width: 110px">Color</th>
+                  <th style="width: 150px">Icon</th>
+                  <th style="width: 120px">Hosts</th>
+                  <th style="width: 130px">Actions</th>
+                </tr>
+              </thead>
+              <tbody id="tags"></tbody>
+            </table>
+          </div>
         </section>
       </section>
 
@@ -3757,7 +4247,7 @@ sub app_html {
   </div>
 
   <script>
-    let state = { hosts: [], vhosts: [], certificates: [], problems: [], workOrders: [], authenticated: false, debugTable: '' };
+    let state = { hosts: [], vhosts: [], tags: [], observations: {}, certificates: [], problems: [], workOrders: [], authenticated: false, debugTable: '' };
     let hostFormSnapshot = '';
     let hostFormBusy = false;
     let hostFormMode = 'new';
@@ -3780,13 +4270,18 @@ sub app_html {
       </div>
       <form id="host-form" class="grid">
         <input type="hidden" name="id">
-        <label>FQDN<input name="fqdn" required></label>
+        <label>FQDN<input name="fqdn" required list="host-fqdn-hints"></label>
         <label>Status<select name="status"><option>active</option><option>planned</option><option>retired</option></select></label>
-        <label>IP<input name="ip" required></label>
+        <label>IP<input name="ip" required list="host-ip-hints"></label>
         <label class="span2"><span class="field-head"><span>Aliases</span><button type="button" id="host-add-alias-editor" class="host-alias-add" title="Add alias">+</button></span><textarea name="aliases"></textarea></label>
         <label>Roles<input name="roles"></label>
+        <label>Tags<input name="tags" list="tag-hints"></label>
         <label>Monitoring<select name="monitoring"><option>pending</option><option>enabled</option><option>disabled</option></select></label>
         <label>Notes<input name="notes"></label>
+        <div id="host-observation-hints" class="span2 observation-hints"></div>
+        <datalist id="host-fqdn-hints"></datalist>
+        <datalist id="host-ip-hints"></datalist>
+        <datalist id="tag-hints"></datalist>
         <div id="host-form-message" class="span2 form-message" aria-live="polite"></div>
       </form>`;
     const hostForm = hostFormShell.querySelector('#host-form');
@@ -3799,7 +4294,7 @@ sub app_html {
     const hostEditorRow = document.createElement('tr');
     hostEditorRow.className = 'host-inline-row';
     const hostEditorCell = document.createElement('td');
-    hostEditorCell.colSpan = 8;
+    hostEditorCell.colSpan = 9;
     hostEditorRow.appendChild(hostEditorCell);
     hostEditorCell.appendChild(hostFormShell);
     const PAGE_PATHS = {
@@ -3807,6 +4302,7 @@ sub app_html {
       '/overview': 'overview',
       '/hosts': 'hosts',
       '/vhosts': 'vhosts',
+      '/tags': 'tags',
       '/dns': 'dns',
       '/work-orders': 'work-orders',
       '/ca': 'ca',
@@ -3865,6 +4361,20 @@ sub app_html {
       return body;
     }
 
+    async function fetchText(path, options = {}) {
+      const res = await fetch(path, options);
+      const text = await res.text();
+      if (!res.ok) {
+        if (res.status === 401) {
+          const error = authLostError();
+          handleAuthLost(error.message);
+          throw error;
+        }
+        throw new Error(text || res.statusText);
+      }
+      return text;
+    }
+
     function currentPage() {
       return PAGE_PATHS[window.location.pathname] || 'overview';
     }
@@ -3887,6 +4397,11 @@ sub app_html {
           if (!isAuthLost(e)) msg(e.message);
         });
       }
+      if (state.authenticated && target === 'dns') {
+        renderHostsYamlRaw().catch(e => {
+          if (!isAuthLost(e)) msg(e.message);
+        });
+      }
     }
 
     function showLogin(errorText) {
@@ -3915,12 +4430,15 @@ sub app_html {
       const data = await api('/api/hosts');
       state.hosts = data.hosts || [];
       state.vhosts = data.vhosts || [];
+      state.tags = data.tags || [];
+      state.observations = data.observations || {};
       state.certificates = data.certificates || [];
       state.problems = data.problems || [];
       render(data);
       await renderCa();
       await renderWorkOrders();
       if (currentPage() === 'debug') await renderDebugDatabase();
+      if (currentPage() === 'dns') await renderHostsYamlRaw();
     }
 
     function render(data) {
@@ -3939,8 +4457,226 @@ sub app_html {
       renderHosts();
       renderVhostEditor();
       renderVhosts();
+      renderTags();
+      renderObservationDatalists();
+      renderVhostObservationHints();
+    }
+
+    async function renderHostsYamlRaw() {
+      if (!state.authenticated || !$('hosts-yaml-raw')) return;
+      const text = await fetchText('/api/exports/hosts.yaml');
+      $('hosts-yaml-raw').textContent = text;
+      const lines = text ? text.split('\n').filter(Boolean).length : 0;
+      $('hosts-yaml-stats').innerHTML = [
+        ['lines', lines],
+        ['hosts', state.hosts.length],
+      ].map(([k, v]) => `<span class="stat">${escapeHtml(k)}: ${escapeHtml(String(v))}</span>`).join('');
+    }
+
+    function renderTags() {
+      if (!$('tags')) return;
+      const tags = (state.tags || []).slice().sort((a, b) => String(a.label || '').localeCompare(String(b.label || '')));
+      $('tag-stats').innerHTML = [
+        ['tags', tags.length],
+        ['associations', tags.reduce((total, tag) => total + Number(tag.host_count || 0), 0)],
+      ].map(([k, v]) => `<span class="stat">${escapeHtml(k)}: ${escapeHtml(String(v))}</span>`).join('');
+      $('tags').innerHTML = tags.length ? tags.map(tag => {
+        const id = tag.tag_id || tag.label || '';
+        return `<tr data-tag-id="${escapeHtml(id)}">
+          <td><input data-tag-label="${escapeHtml(id)}" value="${escapeHtml(tag.label || '')}"></td>
+          <td><input type="color" data-tag-color="${escapeHtml(id)}" value="${escapeHtml(tag.color || '#647084')}"></td>
+          <td>
+            <select data-tag-icon="${escapeHtml(id)}">
+              ${tagIconOptions(tag.icon || 'tag')}
+            </select>
+          </td>
+          <td><span class="pill">${escapeHtml(String(tag.host_count || 0))}</span></td>
+          <td><div class="tag-actions">
+            <button type="button" data-tag-save="${escapeHtml(id)}">Save</button>
+            <button type="button" class="danger" data-tag-delete="${escapeHtml(id)}">Delete</button>
+          </div></td>
+        </tr>`;
+      }).join('') : '<tr><td colspan="5" class="muted">No tags yet.</td></tr>';
+      document.querySelectorAll('[data-tag-save]').forEach(button => {
+        button.addEventListener('click', () => saveTagRow(button.dataset.tagSave || '').catch(e => {
+          if (!isAuthLost(e)) msg(e.message);
+        }));
+      });
+      document.querySelectorAll('[data-tag-delete]').forEach(button => {
+        button.addEventListener('click', () => deleteTagRow(button.dataset.tagDelete || '').catch(e => {
+          if (!isAuthLost(e)) msg(e.message);
+        }));
+      });
+    }
+
+    function tagIconOptions(selected) {
+      return ['tag', 'server', 'storage', 'shield', 'network', 'alert']
+        .map(icon => `<option value="${escapeHtml(icon)}"${icon === selected ? ' selected' : ''}>${escapeHtml(icon)}</option>`)
+        .join('');
+    }
+
+    function renderObservationDatalists() {
+      const hints = observationHints();
+      const fqdnOptions = unique(hints.map(hint => hint.candidate_fqdn).filter(Boolean));
+      const ipOptions = unique(hints.map(hint => hint.ip_address).filter(Boolean));
+      const vhostOptions = fqdnOptions;
+      if ($('host-fqdn-hints')) $('host-fqdn-hints').innerHTML = fqdnOptions.map(value => `<option value="${escapeHtml(value)}"></option>`).join('');
+      if ($('host-ip-hints')) $('host-ip-hints').innerHTML = ipOptions.map(value => `<option value="${escapeHtml(value)}"></option>`).join('');
+      if ($('vhost-name-hints')) $('vhost-name-hints').innerHTML = vhostOptions.map(value => `<option value="${escapeHtml(value)}"></option>`).join('');
+      if ($('tag-hints')) $('tag-hints').innerHTML = (state.tags || []).map(tag => `<option value="${escapeHtml(tag.label || '')}"></option>`).join('');
+    }
+
+    async function addOrUpdateTag(label, color, icon) {
+      if (!await ensureAuthenticated('Autentifica-te inainte de salvare.')) return;
+      await api('/api/tags/upsert', {
+        method: 'POST',
+        headers: { 'Content-Type': 'application/json' },
+        body: JSON.stringify({ label, color, icon }),
+      });
+      msg(`tag ${label} saved`);
+      await refresh();
     }
 
+    async function saveTagRow(tagId) {
+      if (!await ensureAuthenticated('Autentifica-te inainte de salvare.')) return;
+      const selector = attrSelectorValue(tagId);
+      const label = document.querySelector(`[data-tag-label="${selector}"]`).value || '';
+      const color = document.querySelector(`[data-tag-color="${selector}"]`).value || '#647084';
+      const icon = document.querySelector(`[data-tag-icon="${selector}"]`).value || 'tag';
+      await api('/api/tags/rename', {
+        method: 'POST',
+        headers: { 'Content-Type': 'application/json' },
+        body: JSON.stringify({ tag_id: tagId, new_label: label, color, icon }),
+      });
+      msg(`tag ${label} saved`);
+      await refresh();
+    }
+
+    async function deleteTagRow(tagId) {
+      if (!await ensureAuthenticated('Autentifica-te inainte de stergere.')) return;
+      if (!confirm(`Delete tag ${tagId} and remove it from hosts?`)) return;
+      await api('/api/tags/delete', {
+        method: 'POST',
+        headers: { 'Content-Type': 'application/json' },
+        body: JSON.stringify({ tag_id: tagId }),
+      });
+      msg(`tag ${tagId} deleted`);
+      await refresh();
+    }
+
+    function observationHints() {
+      const dhcp = Array.isArray(state.observations.dhcp_leases) ? state.observations.dhcp_leases : [];
+      const mdns = Array.isArray(state.observations.mdns_observations) ? state.observations.mdns_observations : [];
+      return dhcp.concat(mdns).map(row => {
+        const observed = String(row.observed_name || '').toLowerCase();
+        const candidate = String(row.candidate_fqdn || candidateFqdnFromObserved(observed) || '').toLowerCase();
+        return {
+          source: row.source || '',
+          observed_name: observed,
+          candidate_fqdn: candidate,
+          ip_address: row.ip_address || '',
+          host_fqdn: row.host_fqdn || row.existing_host_fqdn || '',
+          last_seen: row.last_seen || '',
+        };
+      }).filter(row => row.observed_name || row.ip_address || row.candidate_fqdn);
+    }
+
+    function candidateFqdnFromObserved(name) {
+      name = String(name || '').toLowerCase().replace(/\.$/, '');
+      if (!name) return '';
+      if (name.endsWith('.local')) name = name.slice(0, -6);
+      if (!name) return '';
+      if (name.endsWith('.madagascar.xdev.ro')) return name;
+      if (!name.includes('.')) return `${name}.madagascar.xdev.ro`;
+      return '';
+    }
+
+    function matchingObservationHints(name, ip) {
+      const fqdn = candidateFqdnFromObserved(name) || normalizeHostFqdn(name);
+      const shortName = shortAliasForFqdn(fqdn) || String(name || '').toLowerCase().replace(/\.local$/, '');
+      return observationHints().filter(hint => {
+        const hintShort = shortAliasForFqdn(hint.candidate_fqdn) || String(hint.observed_name || '').replace(/\.local$/, '');
+        return (fqdn && hint.candidate_fqdn === fqdn)
+          || (shortName && hintShort === shortName)
+          || (ip && hint.ip_address === ip);
+      });
+    }
+
+    function renderHostObservationHints() {
+      const box = hostFormShell.querySelector('#host-observation-hints');
+      if (!box) return;
+      const fqdn = hostField('fqdn').value || '';
+      const ip = hostField('ip').value || '';
+      const matches = matchingObservationHints(fqdn, ip).slice(0, 3);
+      box.innerHTML = matches.map(renderHostObservationCard).join('');
+      box.querySelectorAll('[data-use-observation-ip]').forEach(button => {
+        button.addEventListener('click', () => {
+          hostField('ip').value = button.dataset.useObservationIp || '';
+          hostField('ip').dispatchEvent(new Event('input', { bubbles: true }));
+        });
+      });
+      box.querySelectorAll('[data-open-observation-host]').forEach(button => {
+        button.addEventListener('click', () => {
+          editHostByFqdn(button.dataset.openObservationHost || '').catch(e => {
+            if (!isAuthLost(e)) msg(e.message);
+          });
+        });
+      });
+    }
+
+    function renderHostObservationCard(hint) {
+      const host = hostByIp(hint.ip_address) || hostByFqdn(hint.host_fqdn);
+      const actions = [
+        hint.ip_address ? `<button type="button" data-use-observation-ip="${escapeHtml(hint.ip_address)}">Use IP</button>` : '',
+        host ? `<button type="button" data-open-observation-host="${escapeHtml(host.fqdn || '')}">Open host</button>` : '',
+      ].filter(Boolean).join('');
+      return `<div class="observation-card">
+        <div class="observation-card-main">
+          <div class="observation-card-title">${escapeHtml(hint.observed_name || hint.candidate_fqdn || '')} ${hint.ip_address ? `-> ${escapeHtml(hint.ip_address)}` : ''}</div>
+          <div>${escapeHtml(hint.source || 'observed')} ${hint.last_seen ? `seen ${escapeHtml(hint.last_seen)}` : ''}${host ? `, matches ${escapeHtml(host.fqdn || '')}` : ''}</div>
+        </div>
+        <div class="observation-card-actions">${actions}</div>
+      </div>`;
+    }
+
+    function renderVhostObservationHints() {
+      const box = $('vhost-observation-hints');
+      if (!box) return;
+      const raw = $('vhost-new-name').value || '';
+      const vhost = normalizeVhostInput(raw);
+      const matches = matchingObservationHints(vhost, '').slice(0, 3);
+      box.innerHTML = matches.map(renderVhostObservationCard).join('');
+      box.querySelectorAll('[data-attach-observation-host]').forEach(button => {
+        button.addEventListener('click', () => {
+          $('vhost-new-host').value = button.dataset.attachObservationHost || '';
+          msg(`vhost target set to ${button.dataset.attachObservationHost || ''}`);
+        });
+      });
+      box.querySelectorAll('[data-create-host-from-observation]').forEach(button => {
+        button.addEventListener('click', () => {
+          newHostFromObservation(button.dataset.createHostFromObservation || '', button.dataset.observationIp || '').catch(e => {
+            if (!isAuthLost(e)) msg(e.message);
+          });
+        });
+      });
+    }
+
+    function renderVhostObservationCard(hint) {
+      const host = hostByIp(hint.ip_address) || hostByFqdn(hint.host_fqdn);
+      const candidate = hint.candidate_fqdn || candidateFqdnFromObserved(hint.observed_name);
+      const actions = host
+        ? `<button type="button" data-attach-observation-host="${escapeHtml(host.fqdn || '')}">Attach to host</button>`
+        : `<button type="button" data-create-host-from-observation="${escapeHtml(candidate)}" data-observation-ip="${escapeHtml(hint.ip_address || '')}">New host</button>`;
+      return `<div class="observation-card">
+        <div class="observation-card-main">
+          <div class="observation-card-title">${escapeHtml(hint.observed_name || candidate)} ${hint.ip_address ? `-> ${escapeHtml(hint.ip_address)}` : ''}</div>
+          <div>${host ? `existing host ${escapeHtml(host.fqdn || '')}` : 'observed only'}</div>
+        </div>
+        <div class="observation-card-actions">${actions}</div>
+      </div>`;
+    }
+
+
     async function renderCa() {
       try {
         const status = await api('/api/ca/status');
@@ -4242,7 +4978,7 @@ sub app_html {
           headers: { 'Content-Type': 'application/json' },
           body: JSON.stringify({ id, confirm: typed })
         });
-        msg('work order confirmed; local-hosts.tsv written');
+        msg('work order confirmed; resolver sync queued');
         await refresh();
       } catch (e) {
         if (isAuthLost(e)) return;
@@ -4264,6 +5000,7 @@ sub app_html {
             <td>${escapeHtml(h.ip || '')}</td>
             <td>${renderHostAliasCell(h)}</td>
             <td>${(h.roles || []).map(n => `<span class="pill">${escapeHtml(n)}</span>`).join('')}</td>
+            <td>${renderHostTags(h)}</td>
             <td class="host-cert-cell">${renderHostCertificateCell(h)}</td>
             <td><span class="pill ${cls}">${escapeHtml(h.monitoring || '')}</span></td>
             <td>${escapeHtml(h.status || '')}</td>
@@ -4320,6 +5057,21 @@ sub app_html {
       </div>`;
     }
 
+    function renderHostTags(host) {
+      const details = Array.isArray(host.tag_details) ? host.tag_details : [];
+      const tags = details.length ? details : (host.tags || []).map(label => tagByLabel(label) || { label, color: '#647084', icon: 'tag' });
+      return `<div class="tag-list">${tags.map(renderTagPill).join('')}</div>`;
+    }
+
+    function renderTagPill(tag) {
+      const color = validColor(tag.color) ? tag.color : '#647084';
+      const icon = tag.icon || 'tag';
+      const label = tag.label || '';
+      return `<span class="pill tag-pill" title="${escapeHtml(icon)}">
+        <span class="tag-dot" style="background:${escapeHtml(color)}"></span>${escapeHtml(label)}
+      </span>`;
+    }
+
     function renderHostCertificateCell(host) {
       const cert = host.certificate || {};
       const certId = host.certificate_id || certificateIdOf(cert) || '';
@@ -4420,13 +5172,11 @@ sub app_html {
     }
 
     function renderVhostNameCell(row) {
-      const aliases = (row.derived_aliases || []).map(name => `<span class="pill derived vhost">${escapeHtml(name)}</span>`).join('');
       return `<div class="vhost-name-cell">
         <div class="vhost-name-main">
           <span class="pill vhost" title="${escapeHtml(row.vhost)}">${escapeHtml(row.vhost)}</span>
           <button type="button" class="vhost-delete" data-vhost-delete="${escapeHtml(row.vhost)}" title="Delete ${escapeHtml(row.vhost)}">Del</button>
         </div>
-        ${aliases ? `<div class="vhost-pill-row">${aliases}</div>` : ''}
       </div>`;
     }
 
@@ -4583,6 +5333,28 @@ sub app_html {
       return state.hosts.find(host => String(host.fqdn || '').toLowerCase() === fqdn) || null;
     }
 
+    function hostByIp(ip) {
+      ip = String(ip || '').trim();
+      return state.hosts.find(host => String(host.ip || '').trim() === ip) || null;
+    }
+
+    function tagByLabel(label) {
+      label = normalizeTagLabel(label);
+      return (state.tags || []).find(tag => normalizeTagLabel(tag.label || '') === label) || null;
+    }
+
+    function normalizeTagLabel(label) {
+      return String(label || '').trim().toLowerCase().replace(/[^a-z0-9_. -]+/g, '-').replace(/\s+/g, '-').replace(/-+/g, '-').replace(/^-|-$/g, '');
+    }
+
+    function validColor(value) {
+      return /^#[0-9a-f]{6}$/i.test(String(value || ''));
+    }
+
+    function unique(values) {
+      return Array.from(new Set(values.filter(Boolean)));
+    }
+
     function hostUpsertPayload(host, overrides = {}) {
       const aliases = overrides.aliases !== undefined ? overrides.aliases : (host.aliases || []);
       const payload = {
@@ -4592,6 +5364,7 @@ sub app_html {
         ip: overrides.ip !== undefined ? overrides.ip : (host.ip || ''),
         aliases,
         roles: Array.isArray(overrides.roles) ? overrides.roles : (host.roles || []),
+        tags: Array.isArray(overrides.tags) ? overrides.tags : (host.tags || []),
         sources: [],
         monitoring: overrides.monitoring !== undefined ? overrides.monitoring : (host.monitoring || 'pending'),
         notes: overrides.notes !== undefined ? overrides.notes : (host.notes || ''),
@@ -4749,7 +5522,8 @@ sub app_html {
       if (!await ensureAuthenticated('Autentifica-te inainte de salvare.')) return;
       const nameInput = $('vhost-new-name');
       const hostSelect = $('vhost-new-host');
-      const vhost = (nameInput.value || '').trim().toLowerCase();
+      const vhost = normalizeVhostInput(nameInput.value || '');
+      nameInput.value = vhost;
       const hostFqdn = hostSelect.value || '';
       if (!vhost || !hostFqdn) {
         msg('completeaza vhost si host');
@@ -4793,6 +5567,12 @@ sub app_html {
       return name.split('.').every(label => /^[a-z0-9](?:[a-z0-9-]*[a-z0-9])?$/.test(label));
     }
 
+    function normalizeVhostInput(name) {
+      name = String(name || '').trim().toLowerCase().replace(/\.$/, '');
+      if (name && !name.includes('.')) return `${name}.madagascar.xdev.ro`;
+      return name;
+    }
+
     function vhostErrorMessage(error) {
       const code = error && error.code ? error.code : '';
       if (code === 'invalid_vhost') return 'vhost invalid: foloseste un nume sub madagascar.xdev.ro';
@@ -4868,9 +5648,16 @@ sub app_html {
       for (const key of ['id', 'fqdn', 'status', 'ip', 'monitoring', 'notes']) hostField(key).value = host[key] || '';
       hostField('aliases').value = (host.aliases || []).join('\n');
       hostField('roles').value = (host.roles || []).join(' ');
+      hostField('tags').value = (host.tags || []).join(' ');
       activateHostForm(`Edit host ${host.fqdn || host.id || ''}`.trim(), 'edit', id, 'fqdn');
     }
 
+    async function editHostByFqdn(fqdn) {
+      const host = hostByFqdn(fqdn);
+      if (!host) return;
+      await editHost(host.id);
+    }
+
     async function newHost() {
       if (!await ensureAuthenticated('Autentifica-te inainte de adaugarea unui host.')) return;
       if (!canSwitchHostEditor('__new__')) return;
@@ -4879,6 +5666,18 @@ sub app_html {
       activateHostForm('New host', 'new', '__new__', 'fqdn');
     }
 
+    async function newHostFromObservation(fqdn, ip) {
+      if (!await ensureAuthenticated('Autentifica-te inainte de adaugarea unui host.')) return;
+      if (!canSwitchHostEditor('__new__')) return;
+      resetHostForm(true);
+      hostField('id').value = '';
+      hostField('fqdn').value = normalizeHostFqdn(fqdn || '');
+      hostField('ip').value = ip || '';
+      syncHostFormId();
+      activateHostForm('New host', 'new', '__new__', ip ? 'tags' : 'ip');
+      renderHostObservationHints();
+    }
+
     function activateHostForm(title, mode, target, focusField = 'fqdn', scroll = true) {
       hostFormMode = mode || 'new';
       hostEditorTarget = target || '';
@@ -4886,6 +5685,7 @@ sub app_html {
       syncHostFormActions();
       renderHosts();
       hostFormSnapshot = hostFormState();
+      renderHostObservationHints();
       if (scroll) hostEditorRow.scrollIntoView({ block: 'nearest', behavior: 'smooth' });
       hostField(focusField).focus();
     }
@@ -4924,7 +5724,7 @@ sub app_html {
         hostFormShell.hidden = true;
         return;
       }
-      hostEditorCell.colSpan = 8;
+      hostEditorCell.colSpan = 9;
       const tbody = $('hosts');
       if (!tbody) return;
       if (hostEditorTarget === '__new__') {
@@ -4980,6 +5780,10 @@ sub app_html {
       return value.replace(/[&<>"']/g, ch => ({'&':'&amp;','<':'&lt;','>':'&gt;','"':'&quot;',"'":'&#039;'}[ch]));
     }
 
+    function attrSelectorValue(value) {
+      return String(value || '').replace(/\\/g, '\\\\').replace(/"/g, '\\"');
+    }
+
     const ACCOUNT_STORAGE_KEY = 'mla_last_account';
 
     // OTP digit boxes — auto-advance, backspace, paste
@@ -5154,6 +5958,7 @@ sub app_html {
     }));
     $('filter').addEventListener('input', renderHosts);
     $('vhost-filter').addEventListener('input', renderVhosts);
+    $('vhost-new-name').addEventListener('input', renderVhostObservationHints);
     $('vhost-add').addEventListener('click', () => {
       addVhostInline().catch(e => {
         if (!isAuthLost(e)) msg(e.message);
@@ -5204,6 +6009,7 @@ sub app_html {
     hostForm.addEventListener('input', (event) => {
       if (hostFormMode === 'new' && event.target && event.target.name === 'fqdn') syncHostFormId();
       if (hostFormMessage.classList.contains('error')) clearHostFormMessage();
+      if (event.target && (event.target.name === 'fqdn' || event.target.name === 'ip')) renderHostObservationHints();
     });
 
     deleteHostButton.addEventListener('click', async () => {
@@ -5228,11 +6034,17 @@ sub app_html {
     resetHostForm(true);
     closeHostForm(true);
 
-    $('write-tsv').addEventListener('click', async () => {
-      if (!confirm('Write config/local-hosts.tsv from the runtime registry?')) return;
+    $('tag-add').addEventListener('click', () => {
+      addOrUpdateTag($('tag-new-label').value || '', $('tag-new-color').value || '#647084', $('tag-new-icon').value || 'tag').catch(e => {
+        if (!isAuthLost(e)) msg(e.message);
+      });
+    });
+
+    $('publish-dns').addEventListener('click', async () => {
+      if (!confirm('Queue resolver sync from the runtime registry?')) return;
       try {
-        await api('/api/render/local-hosts-tsv', { method: 'POST' });
-        msg('local-hosts.tsv written');
+        await api('/api/dns/publish', { method: 'POST' });
+        msg('resolver sync queued');
       } catch (e) {
         if (!isAuthLost(e)) msg(e.message);
       }


+9 -9

scripts/sync_local_hosts.sh

View

@@ -21,7 +21,7 @@ usage() {
 Usage: $0 [--apply] [--verify] [--target all|jumper|as01] [--source jumper|local]
 
 Default mode is dry-run. Use --apply to change remote resolvers.
-The default manifest source is the runtime SQLite database on jumper.
+Resolver records are generated at runtime from the SQLite database on jumper.
 
 Examples:
   $0
@@ -69,7 +69,7 @@ fi
 WORK_DIR="$(mktemp -d)"
 trap 'rm -rf "$WORK_DIR"' EXIT
 
-MANIFEST_FILE="$WORK_DIR/local-hosts.tsv"
+RESOLVER_RECORDS="$WORK_DIR/resolver-records.tsv"
 HOSTS_ROWS="$WORK_DIR/hosts.rows"
 CLOAK_ROWS="$WORK_DIR/cloak.rows"
 NAMES_FILE="$WORK_DIR/names.txt"
@@ -104,22 +104,22 @@ run_jumper_payload() {
     fi
 }
 
-fetch_manifest() {
+fetch_resolver_records() {
     case "$SOURCE" in
         local)
-            perl "$HOST_MANAGER" --print-local-hosts-tsv
+            perl "$HOST_MANAGER" --print-resolver-records
             ;;
         jumper)
             if is_local_jumper; then
-                perl "$HOST_MANAGER" --print-local-hosts-tsv
+                perl "$HOST_MANAGER" --print-resolver-records
             else
-                ssh "$JUMPER_HOST" "perl /usr/local/xdev-host-manager/scripts/host_manager.pl --print-local-hosts-tsv"
+                ssh "$JUMPER_HOST" "perl /usr/local/xdev-host-manager/scripts/host_manager.pl --print-resolver-records"
             fi
             ;;
-    esac > "$MANIFEST_FILE"
+    esac > "$RESOLVER_RECORDS"
 }
 
-fetch_manifest
+fetch_resolver_records
 
 while IFS= read -r line || [[ -n "$line" ]]; do
     [[ -z "${line//[[:space:]]/}" ]] && continue
@@ -173,7 +173,7 @@ while IFS= read -r line || [[ -n "$line" ]]; do
             printf '/ip dns static add name="%s" type=A address=%s comment="xdev-local managed"\n' "$ros_name" "$ros_ip"
         } >> "$MIKROTIK_RSC"
     done
-done < "$MANIFEST_FILE"
+done < "$RESOLVER_RECORDS"
 
 sort -u "$NAMES_FILE" -o "$NAMES_FILE"
 printf '/ip dns cache flush\n' >> "$MIKROTIK_RSC"


	@@ -1,6 +1,6 @@
1	1	# SQLite Database
2	2
3		-Madagascar Local Authority folosește SQLite ca sursă de adevăr runtime pentru hosturi, aliasuri, vhosturi, Work Orders, workeri de date și certificate.
	3	+Madagascar Local Authority folosește SQLite ca sursă de adevăr runtime pentru hosturi, aliasuri, vhosturi, taguri, Work Orders, workeri de date și certificate.
4	4
5	5	Locația implicită în checkout:
6	6
	@@ -22,7 +22,7 @@ HOST_MANAGER_DB=/path/to/host-manager.sqlite
22	22
23	23	## Principii
24	24
25		-Hosturile sunt identificate prin FQDN complet, nu prin short name. Exemplu: `gw.local` și `gw.remote` sunt identități diferite. Coloana compatibilă `legacy_id` păstrează ID-ul scurt folosit de UI-ul curent, dar cheia reală este `hosts.fqdn`.
	25	+Hosturile sunt identificate prin FQDN complet, nu prin short name. Exemplu: `gw.local` și `gw.remote` sunt identități diferite. Coloana internă compatibilă `legacy_id` păstrează ID-ul scurt pentru migrare și Work Orders istorice, dar contractul UI/export este `hosts.fqdn`.
26	26
27	27	Schema evită să transforme `hosts` într-un tabel cu prea multe coloane. Datele specializate stau în tabele separate:
28	28
	@@ -30,6 +30,7 @@ Schema evită să transforme `hosts` într-un tabel cu prea multe coloane. Datel
30	30	- roluri: [`host_roles`](tables/host_roles.md)
31	31	- surse: [`host_sources`](tables/host_sources.md)
32	32	- flaguri: [`host_flags`](tables/host_flags.md)
	33	+- taguri: [`tags`](tables/tags.md), [`host_tags`](tables/host_tags.md)
33	34	- SSH: [`host_ssh`](tables/host_ssh.md)
34	35	- vhosturi mutabile: [`vhosts`](tables/vhosts.md)
35	36	- certificate: [`certificates`](tables/certificates.md), [`certificate_dns_names`](tables/certificate_dns_names.md)
	@@ -39,10 +40,10 @@ Schema evită să transforme `hosts` într-un tabel cu prea multe coloane. Datel
39	40
40	41	## Schema Version
41	42
42		-Schema curentă este versiunea `2`.
	43	+Schema curentă este versiunea `3`.
43	44
44	45	```sql
45		-schema_meta('schema_version') = '2'
	46	+schema_meta('schema_version') = '3'
46	47	```
47	48
48	49	[`schema_meta`](tables/schema_meta.md) păstrează și metadate runtime precum `registry_updated_at`.
	@@ -58,6 +59,8 @@ schema_meta('schema_version') = '2'
58	59	\| [`host_roles`](tables/host_roles.md) \| roluri active/retrase per host \|
59	60	\| [`host_sources`](tables/host_sources.md) \| surse active/retrase per host \|
60	61	\| [`host_flags`](tables/host_flags.md) \| flaguri extensibile per host \|
	62	+\| [`tags`](tables/tags.md) \| catalog de taguri cu label, culoare și icon \|
	63	+\| [`host_tags`](tables/host_tags.md) \| asocieri active/retrase între hosturi și taguri \|
61	64	\| [`host_ssh`](tables/host_ssh.md) \| profile SSH per host \|
62	65	\| [`vhosts`](tables/vhosts.md) \| vhosturi mutabile între hosturi \|
63	66	\| [`data_workers`](tables/data_workers.md) \| workeri/surse care colectează date \|
	@@ -78,6 +81,8 @@ erDiagram
78	81	hosts \|\|--o{ host_roles : has
79	82	hosts \|\|--o{ host_sources : has
80	83	hosts \|\|--o{ host_flags : has
	84	+ hosts \|\|--o{ host_tags : tagged
	85	+ tags \|\|--o{ host_tags : catalog
81	86	hosts \|\|--o{ host_ssh : has
82	87	hosts \|\|--o{ dhcp_leases : may_match
83	88	hosts \|\|--o{ mdns_observations : may_match
	@@ -108,7 +113,7 @@ Seed-ul curent produce:
108	113	- workerii `dhcp-router` și `mdns-listener`
109	114	- Work Order-ul existent pentru retragerea numelor legacy
110	115
111		-`config/local-hosts.tsv` rămâne manifest generat explicit din tabelele runtime, dar scriptul de sync citește manifestul direct din SQLite-ul runtime de pe jumper.
	116	+`config/hosts.yaml` este exportul finit și seed pentru instalări noi. Nu mai există un export versionat `local-hosts.tsv`; scriptul de sync generează recorduri efemere direct din SQLite-ul runtime de pe jumper.
112	117
113	118	## Inspecție
114	119
	@@ -122,7 +127,7 @@ sqlite3 var/host-manager.sqlite '.schema host_aliases'
122	127	sqlite3 var/host-manager.sqlite '.schema vhosts'
123	128	sqlite3 var/host-manager.sqlite 'pragma foreign_key_list(vhosts);'
124	129	sqlite3 var/host-manager.sqlite 'pragma index_list(host_aliases);'
125		-sqlite3 var/host-manager.sqlite 'select fqdn, legacy_id, status, dns_ip from hosts order by legacy_id;'
	130	+sqlite3 var/host-manager.sqlite 'select fqdn, status, dns_ip from hosts order by fqdn;'
126	131	sqlite3 var/host-manager.sqlite 'select alias_name, host_fqdn, alias_kind, status from host_aliases order by alias_name;'
127	132	sqlite3 var/host-manager.sqlite 'select vhost_fqdn, host_fqdn, status from vhosts order by vhost_fqdn;'
128	133	```

	@@ -7,7 +7,7 @@ Stores evidence/source labels for a host.
7	7	\| Column \| Type \| Null \| Default \| Notes \|
8	8	\|--------\|------\|------\|---------\|-------\|
9	9	\| `host_fqdn` \| `TEXT` \| no \| none \| Target host. References `hosts(fqdn)`. \|
10		-\| `source` \| `TEXT` \| no \| none \| Source label, for example `local-hosts.tsv` or `madagascar.json`. \|
	10	+\| `source` \| `TEXT` \| no \| none \| Source label kept for historical audit, for example `madagascar.json`. \|
11	11	\| `status` \| `TEXT` \| no \| `'active'` \| Source lifecycle state. \|
12	12	\| `created_at` \| `TEXT` \| no \| none \| ISO UTC creation timestamp. \|
13	13	\| `retired_at` \| `TEXT` \| yes \| `NULL` \| ISO UTC retirement timestamp. \|

	@@ -2,14 +2,14 @@
2	2
3	3	Canonical host registry. Hosts are identified by full DNS name in `fqdn`.
4	4
5		-`legacy_id` exists for compatibility with the current UI/API, but it is not the canonical identity.
	5	+`legacy_id` and `hosts_ip` exist for compatibility with existing runtime databases and Work Orders, but they are not the product contract. UI and exports identify hosts by `fqdn` and expose one canonical `ip`.
6	6
7	7	## Columns
8	8
9	9	\| Column \| Type \| Null \| Default \| Notes \|
10	10	\|--------\|------\|------\|---------\|-------\|
11	11	\| `fqdn` \| `TEXT` \| no \| none \| Canonical full host name. Primary key. \|
12		-\| `legacy_id` \| `TEXT` \| no \| none \| Short ID used by the existing UI/API. Unique. \|
	12	+\| `legacy_id` \| `TEXT` \| no \| none \| Internal compatibility ID. Unique. \|
13	13	\| `status` \| `TEXT` \| no \| `'active'` \| Host lifecycle state, currently `active`, `planned`, or `retired`. \|
14	14	\| `hosts_ip` \| `TEXT` \| no \| `''` \| Legacy compatibility column. The current app model keeps one canonical routable IP and mirrors it here. \|
15	15	\| `dns_ip` \| `TEXT` \| no \| `''` \| Canonical routable IP for the host. The current UI/API expose this as a single `ip` field. \|
	@@ -31,6 +31,7 @@ Referenced by:
31	31	- `host_roles.host_fqdn`
32	32	- `host_sources.host_fqdn`
33	33	- `host_flags.host_fqdn`
	34	+- `host_tags.host_fqdn`
34	35	- `host_ssh.host_fqdn`
35	36	- `vhosts.host_fqdn`
36	37	- `dhcp_leases.host_fqdn`

	@@ -11,15 +11,15 @@ Decizie:
11	11	- `var/host-manager.sqlite` devine sursa de adevar runtime pentru registry si Work Orders
12	12	- `config/hosts.yaml` si `config/work-orders.yaml` raman seed/snapshot/export compatibility files
13	13	- la prima pornire, aplicatia seed-uieste documentele lipsa din YAML in SQLite
14		-- download-urile `/download/hosts.yaml`, `/download/local-hosts.tsv` si `/download/monitoring.json` sunt randate din SQLite
15		-- `config/local-hosts.tsv` ramane manifest generat explicit pentru sync-ul DNS local
	14	+- download-urile sunt randate din SQLite
	15	+- la acel moment exista un manifest TSV explicit pentru sync-ul DNS local; acesta a fost retras prin contractul din 2026-06-11
16	16	- push-urile de cod catre jumper nu trebuie sa inlocuiasca baza runtime din `var/`
17	17
18	18	Scop:
19	19
20	20	- editarile facute in UI sa nu se piarda la deploy/push de cod
21	21	- sa existe o singura autoritate runtime
22		-- YAML/TSV sa ramana utile pentru export, review si bootstrap fara sa fie storage-ul live
	22	+- YAML/exporturile sa ramana utile pentru review si bootstrap fara sa fie storage-ul live
23	23
24	24	## 2026-06-09 - Relational Runtime Schema
25	25
	@@ -57,3 +57,21 @@ Scop:
57	57
58	58	- sa colectam lease-uri fara credential SSH pentru router in aplicatie
59	59	- sa pastram DHCP ca sursa observata cu prioritate mare, dar fara side effect automat asupra DNS-ului local
	60	+
	61	+## 2026-06-11 - Registry Maturity Contract
	62	+
	63	+Observatie: modelul vechi pastra mai multe artefacte care puteau fi confundate cu surse de adevar: `local-hosts.tsv`, campuri legacy din export si surse istorice pe host.
	64	+
	65	+Decizie:
	66	+
	67	+- SQLite ramane singura sursa de adevar runtime
	68	+- `hosts.yaml` devine produsul finit descarcabil si vizibil raw in UI
	69	+- `local-hosts.tsv` nu mai este fisier versionat sau download; resolver sync genereaza recorduri efemere din SQLite
	70	+- schema urca la versiunea 3 cu `tags` si `host_tags`
	71	+- `dhcp_leases` si `mdns_observations` sunt inputuri observate pentru hinturi/autocomplete, nu muta automat registry-ul
	72	+
	73	+Motiv:
	74	+
	75	+- sa evitam drift intre DB, exporturi si configurarea resolverelor
	76	+- sa facem tagurile o functie administrabila, nu text liber fara catalog
	77	+- sa pastram observatiile externe utile fara sa le promovam automat in DNS

	@@ -22,7 +22,7 @@ sa urmeze rapid dupa editarea registry-ului.
22	22
23	23	Decizie:
24	24
25		-- modificarile DNS facute prin aplicatie regenereaza `config/local-hosts.tsv`
	25	+- modificarile DNS facute prin aplicatie nu mai scriu un manifest intermediar
26	26	- aplicatia atinge `var/dns-publish.trigger`
27	27	- `host-manager-dns-publish.path` porneste `host-manager-dns-publish.service`
28	28	- serviciul oneshot ruleaza sync-ul privilegiat existent:
	@@ -32,3 +32,9 @@ Decizie:
32	32	```
33	33
34	34	Sync-ul manual ramane disponibil pentru interventii operationale si audit.
	35	+
	36	+## 2026-06-11 - No Intermediate DNS TSV Product
	37	+
	38	+Decizie: `local-hosts.tsv` nu mai este produs versionat, endpoint download sau fisier scris de aplicatie. `scripts/sync_local_hosts.sh` cere recorduri efemere de la `host_manager.pl --print-resolver-records`, generate direct din SQLite.
	39	+
	40	+Motiv: produsul finit pentru registry este `hosts.yaml`, iar configurarea resolverelor este o actiune operationala. Un fisier TSV intermediar crea inca un loc care putea fi confundat cu sursa de adevar.

	@@ -16,7 +16,7 @@ MVP-ul curent nu are dependențe CPAN instalate direct pe host. Pentru store-ul
16	16
17	17	## Rol
18	18
19		-`var/host-manager.sqlite` este sursa de adevăr runtime pentru hosturi, aliasuri, vhosturi, Work Orders, workeri de date și certificate emise. La prima pornire, aplicația seed-uiește tabelele din `config/hosts.yaml` și `config/work-orders.yaml` dacă baza nu are încă rânduri operaționale. Aplicația este complet în spatele autentificării OTP pentru orice date de registru, exporturi sau modificări.
	19	+`var/host-manager.sqlite` este sursa de adevăr runtime pentru hosturi, aliasuri, vhosturi, taguri, Work Orders, workeri de date și certificate emise. `hosts.yaml` este produsul finit exportat din baza runtime și seed pentru baze noi. La prima pornire, aplicația seed-uiește tabelele din `config/hosts.yaml` și `config/work-orders.yaml` dacă baza nu are încă rânduri operaționale. Aplicația este complet în spatele autentificării OTP pentru orice date de registru, exporturi sau modificări.
20	20
21	21	Git rămâne mecanismul pentru cod, seed-uri, exporturi și istoric manual. Aplicația nu mai scrie registry-ul live direct în working tree, ca editările făcute în UI să nu se piardă la push/deploy de cod.
22	22
	@@ -35,18 +35,22 @@ Healthcheck-ul `/healthz` este disponibil doar pe backend-ul local (`127.0.0.1:8
35	35	Endpoint-uri cu OTP:
36	36
37	37	- `/api/hosts`
	38	+- `/api/tags`
38	39	- `/api/work-orders`
	40	+- `/api/exports/hosts.yaml`
39	41	- `/api/ca/status`
40	42	- `/api/ca/certificates`
41	43	- `/download/hosts.yaml`
42		-- `/download/local-hosts.tsv`
43	44	- `/download/monitoring.json`
44	45	- `/download/ca.crt`
45	46	- `POST /api/hosts/upsert`
46	47	- `POST /api/hosts/delete`
	48	+- `POST /api/tags/upsert`
	49	+- `POST /api/tags/rename`
	50	+- `POST /api/tags/delete`
	51	+- `POST /api/dns/publish`
47	52	- `POST /api/work-orders/checklist`
48	53	- `POST /api/work-orders/confirm`
49		-- `POST /api/render/local-hosts-tsv`
50	54
51	55	## Pornire locală
52	56
	@@ -113,9 +117,9 @@ Secretul nu se comite în repo. Dacă avem nevoie de integrare cu un manager de
113	117	## Flux
114	118
115	119	1. Hosturile se editează în aplicație; store-ul runtime este `var/host-manager.sqlite`.
116		-2. Operatorii autentificați pot descărca `/download/hosts.yaml`, `/download/local-hosts.tsv` sau `/download/monitoring.json`.
117		-3. Pentru DNS local, schimbările făcute în aplicație regenerează `config/local-hosts.tsv` din SQLite.
118		-4. Aplicația atinge `var/dns-publish.trigger`, iar pe jumper `host-manager-dns-publish.path` pornește prompt:
	120	+2. Operatorii autentificați pot descărca `/download/hosts.yaml` sau `/download/monitoring.json`; UI-ul afișează și raw `hosts.yaml`.
	121	+3. Pentru DNS local, schimbările făcute în aplicație pun în coadă acțiunea de sincronizare a resolverelor.
	122	+4. Aplicația atinge `var/dns-publish.trigger`, iar pe jumper `host-manager-dns-publish.path` pornește:
119	123
120	124	```bash
121	125	./scripts/sync_local_hosts.sh --apply --verify
	@@ -139,8 +143,7 @@ Confirmarea unui WO:
139	143	- este blocată dacă există pași de checklist nemarcați `done`
140	144	- elimină numele declarate din registry-ul SQLite
141	145	- marchează WO-ul ca `confirmed`
142		-- regenerează `config/local-hosts.tsv`
143		-- declanșează publicarea către resolverele locale prin `host-manager-dns-publish.path`
	146	+- pune în coadă sincronizarea resolverelor locale prin `host-manager-dns-publish.path`
144	147
145	148	După confirmare, operatorul poate verifica manual resolverele cu:
146	149
	@@ -172,7 +175,13 @@ Exemple:
172	175	- `autonas01.madagascar.xdev.ro` produce automat aliasul `autonas01`
173	176	- `pmx.baobab.madagascar.xdev.ro` produce automat aliasul `pmx.baobab`
174	177
175		-Aliasurile derivate nu se declară separat în `hosts.yaml`. Ele sunt păstrate în tabelul `host_aliases` și apar în API, monitoring export și `local-hosts.tsv` ca nume efective.
	178	+Aliasurile derivate nu se declară separat în `hosts.yaml` și nu sunt afișate ca zgomot separat în UI. Ele sunt păstrate în tabelul `host_aliases` și pot apărea în exporturile tehnice care au nevoie de nume efective.
	179	+
	180	+## Taguri și observații
	181	+
	182	+Tagurile sunt învățate din tagurile atașate hosturilor și sunt gestionate în catalogul de taguri: redenumire, culoare, icon și asocieri pe host. Tagurile sunt exportate în `hosts.yaml`.
	183	+
	184	+`dhcp_leases` și `mdns_observations` sunt inputuri observate. Aplicația le afișează ca hinturi/autocomplete la adăugarea sau editarea de hosturi și vhosturi. Dacă există `nasturel.local` și operatorul tastează `nasturel` ca vhost/host, UI-ul poate propune IP-ul detectat sau atașarea la hostul existent cu acel IP; nu modifică registry-ul automat.
176	185
177	186	## Git și managementul cheilor
178	187
	@@ -196,7 +205,7 @@ jumper
196	205	sync_local_hosts.sh aplică DNS după review/verificare
197	206
198	207	servicii consumatoare
199		- export verificat citesc hosts.yaml/local-hosts.tsv/monitoring.json
	208	+ export verificat citesc hosts.yaml/monitoring.json
200	209	```
201	210
202	211	Pentru etapa MVP, aplicația nu face commit/push automat. După o modificare, schimbarea rămâne în SQLite și poate fi exportată explicit pentru review/arhivare. Automatizarea commit/push pentru exporturi poate fi adăugată ulterior, dar numai cu cheie separată și reguli clare de semnare/audit.
	@@ -237,4 +246,4 @@ Reguli:
237	246
238	247	- Parserul YAML acceptă schema strictă generată de aplicație, nu YAML arbitrar.
239	248	- Conflict engine-ul verifică doar consistența locală din registry-ul SQLite.
240		-- DHCP, mDNS, `hosts-local.yaml` și `madagascar.json` sunt încă surse pentru audit manual sau pentru următorul collector.
	249	+- DHCP și mDNS sunt inputuri observate pentru hinturi/autocomplete, nu surse de adevăr pentru registry.

	@@ -4,7 +4,7 @@ Rețeaua madagascar folosește un DNS intern dual: jumper (192.168.2.100) ca
4	4
5	5	Numele vechi `is-vpn-gw` este deprecated. Folosește `jumper` sau `jumper.madagascar.xdev.ro` în scripturi și documentație.
6	6
7		-Regula importantă: local nu se folosește wildcard pentru `*.madagascar.xdev.ro`. Doar hostname-urile cunoscute din `config/local-hosts.tsv` se rezolvă local; orice nume necunoscut, inclusiv typo-uri precum `nohost.madagascar.xdev.ro`, trebuie să întoarcă `NXDOMAIN`.
	7	+Regula importantă: local nu se folosește wildcard pentru `*.madagascar.xdev.ro`. Doar hostname-urile aprobate în SQLite și publicate prin acțiunea de sincronizare a resolverelor se rezolvă local; orice nume necunoscut, inclusiv typo-uri precum `nohost.madagascar.xdev.ro`, trebuie să întoarcă `NXDOMAIN`.
8	8
9	9	Domeniul vechi `.vad.is.xdev.ro` este deprecated. Nu se adaugă intrări noi pentru el și nu se păstrează aliasuri locale pentru acest namespace.
10	10
	@@ -27,9 +27,8 @@ Implementarea versionată este:
27	27	\| Fișier \| Rol \|
28	28	\|--------\|-----\|
29	29	\| `var/host-manager.sqlite` \| sursa de adevăr runtime pentru registry și Work Orders \|
30		-\| `config/hosts.yaml` \| seed/snapshot export pentru hosturi și FQDN-uri canonice \|
31		-\| `config/local-hosts.tsv` \| export DNS generat din registry-ul SQLite, cu A records pentru hosturi/aliasuri de host și CNAME records pentru vhosturi \|
32		-\| `scripts/sync_local_hosts.sh` \| citește manifestul DNS din SQLite-ul runtime de pe jumper și sincronizează `/etc/hosts`, `cloaking-rules.txt` și `/ip dns static` \|
	30	+\| `config/hosts.yaml` \| produs finit exportat pentru hosturi și FQDN-uri canonice, plus seed pentru baze noi \|
	31	+\| `scripts/sync_local_hosts.sh` \| generează recorduri efemere din SQLite-ul runtime de pe jumper și sincronizează `/etc/hosts`, `cloaking-rules.txt` și `/ip dns static` \|
33	32
34	33	`madagascar.xdev.ro` este domeniul implicit. Pentru orice host real `*.madagascar.xdev.ro`, aliasul scurt este derivat automat. De exemplu, `autonas01.madagascar.xdev.ro` publică și `autonas01`. Vhosturile, de exemplu `pmx.baobab.madagascar.xdev.ro`, se publică drept CNAME către hostul care le servește; aliasul scurt derivat, de exemplu `pmx.baobab`, este tot CNAME. Aliasurile derivate nu se declară separat în registry.
35	34
	@@ -40,10 +39,9 @@ Când inventarele se contrazic, ordinea de încredere este:
40	39	1. DHCP lease/reservation pe router (`admin@192.168.2.1`) — autoritatea pentru alocarea IP-urilor pe LAN. Configurațiile statice locale nu au voie să mute un IP peste DHCP; cel mult semnalează o rezervare lipsă sau o intrare veche.
41	40	2. `cluster/cluster-context/madagascar.json` — autoritatea pentru roluri, topologie și IP-uri de serviciu. Pentru nodurile Proxmox, DNS-ul de serviciu poate folosi interfața `thunderbridge` (`192.168.10.x`) chiar dacă management/WAN este `192.168.2.x`.
42	41	3. `var/host-manager.sqlite` — registry-ul operațional aprobat, editat prin Madagascar Local Authority.
43		-4. `config/local-hosts.tsv` — manifestul DNS local publicat pe jumper și as01. Acesta este un export al registry-ului SQLite și nu sursa primară pentru sync; sincronizarea citește manifestul runtime de pe jumper.
44		-5. `hosts-local.yaml` — inventar SSH: aliasuri, utilizatori, entrypoint-uri și căi de acces. IP-urile de aici sunt utile pentru audit, dar pot fi stale dacă DHCP spune altceva.
45		-6. mDNS (`*.local`) — sursă observată de descoperire și validare. Confirmă prezența unui host sau propune aliasuri, dar nu creează automat intrări `madagascar.xdev.ro`.
46		-7. DNS public — folosit doar pentru acces extern. Local, numele interne trebuie shadow-uite exact sau lăsate nerezolvate; wildcard-ul public nu este autoritate pentru LAN.
	42	+4. `hosts-local.yaml` — inventar SSH istoric: aliasuri, utilizatori, entrypoint-uri și căi de acces. IP-urile de aici sunt utile pentru audit, dar pot fi stale dacă DHCP spune altceva.
	43	+5. mDNS (`*.local`) — input observat de descoperire și validare. Confirmă prezența unui host sau propune aliasuri, dar nu creează automat intrări `madagascar.xdev.ro`.
	44	+6. DNS public — folosit doar pentru acces extern. Local, numele interne trebuie shadow-uite exact sau lăsate nerezolvate; wildcard-ul public nu este autoritate pentru LAN.
47	45
48	46	Reguli de împăcare:
49	47
	@@ -51,7 +49,7 @@ Reguli de împăcare:
51	49	- Pentru un IP de serviciu non-LAN, `madagascar.json` câștigă dacă explică explicit interfața sau rolul.
52	50	- Pentru VM-uri, regula `vmid -> 192.168.2.vmid` este convenție de propunere și audit, nu autoritate. Rezervarea DHCP finală decide.
53	51	- Prefixele istorice `is-`, `vad-` și `b-` se elimină la normalizarea numelor. `.vad.is.xdev.ro` rămâne deprecated și nu se reactivează prin aliasuri.
54		-- Dacă o sursă observată există doar în mDNS sau doar în lease-uri dinamice, se raportează ca propunere, nu se sincronizează automat în DNS.
	52	+- Dacă o sursă observată există doar în mDNS sau doar în lease-uri dinamice, se afișează ca hint/autocomplete, nu se sincronizează automat în DNS.
55	53
56	54	## Listener mDNS
57	55
	@@ -63,7 +61,7 @@ Locația implicită:
63	61	var/host-manager.sqlite#mdns_observations
64	62	```
65	63
66		-Regulă importantă: listenerul mDNS scrie doar în tabelul `mdns_observations`; nu modifică registry-ul de hosturi, `config/hosts.yaml` sau `config/local-hosts.tsv`. Seed-ul mDNS rămâne observație separată până la review.
	64	+Regulă importantă: listenerul mDNS scrie doar în tabelul `mdns_observations`; nu modifică registry-ul de hosturi sau `config/hosts.yaml`. Seed-ul mDNS rămâne observație separată până la review.
67	65
68	66	Rulare manuală pentru test:
69	67
	@@ -98,7 +96,7 @@ POST https://192.168.2.100/api/collect/dhcp-leases
98	96	X-DHCP-Push-Token: <HOST_MANAGER_DHCP_PUSH_TOKEN>
99	97	```
100	98
101		-Endpoint-ul scrie doar în `dhcp_leases` și actualizează `data_workers.last_run_at`; nu modifică automat registry-ul de hosturi, `config/hosts.yaml` sau `config/local-hosts.tsv`.
	99	+Endpoint-ul scrie doar în `dhcp_leases` și actualizează `data_workers.last_run_at`; nu modifică automat registry-ul de hosturi sau `config/hosts.yaml`.
102	100
103	101	Scriptul RouterOS versionat este:
104	102

	@@ -17,11 +17,10 @@ git@192.168.2.102:repositories/bogdan/LocalAuthority.git
17	17	The runtime instance lives on jumper and remains the local source for operational registry data:
18	18
19	19	- `var/host-manager.sqlite` - runtime source of truth for host registry and Work Orders
20		-- `config/hosts.yaml` - seed/snapshot export for host registry compatibility
21		-- `config/local-hosts.tsv` - DNS manifest export derived from the runtime SQLite registry
	20	+- `config/hosts.yaml` - finished host registry export and seed for new databases
22	21	- `config/work-orders.yaml` - seed/snapshot export for confirmable operational changes
23	22	- `scripts/host_manager.pl` - Perl-only web app
24		-- `scripts/sync_local_hosts.sh` - local DNS sync to jumper and as01, sourced from the runtime DB on jumper
	23	+- `scripts/sync_local_hosts.sh` - resolver configuration action for jumper and as01, sourced from the runtime DB on jumper
25	24	- `scripts/ca_manager.sh` - local OpenSSL CA helper for host certificates
26	25
27	26	The public `xdev.ro` zone is maintained in the separate DNS public-zone repository.
	@@ -78,7 +77,7 @@ git push origin main
78	77	tool, but the normal development loop is commit plus push: `jumper-runtime` for
79	78	live testing, `origin`/GitPrep for archive and sharing.
80	79
81		-`config/` is not deployed by default. The live source of truth is `var/host-manager.sqlite`; `hosts.yaml`, `local-hosts.tsv`, and `work-orders.yaml` are seed/snapshot/export files that should not replace runtime data during normal code pushes. Deploy config only when intentionally replacing seed/export files:
	80	+`config/` is not deployed by default. The live source of truth is `var/host-manager.sqlite`; `hosts.yaml` is the finished host export/seed and `work-orders.yaml` is a compatibility seed/snapshot. Deploy config only when intentionally replacing seed/export files:
82	81
83	82	```bash
84	83	scripts/deploy_to_jumper.sh --include-config
	@@ -86,7 +85,7 @@ scripts/deploy_to_jumper.sh --include-config
86	85
87	86	The default internal domain is `madagascar.xdev.ro`. Short aliases are derived automatically from FQDNs, so `autonas01.madagascar.xdev.ro` also publishes `autonas01` without declaring it separately.
88	87
89		-Name removals with operational impact go through a Work Order. A WO records intent first; the operational checklist must be completed before confirmation can update the SQLite registry, mark the WO as confirmed, and regenerate `local-hosts.tsv`. Resolver sync remains an explicit operator step and reads the runtime manifest from the jumper database.
	88	+Name removals with operational impact go through a Work Order. A WO records intent first; the operational checklist must be completed before confirmation can update the SQLite registry, mark the WO as confirmed, and queue resolver sync. Resolver sync remains an explicit operator action and reads runtime records from the jumper database.
90	89
91	90	The local host CA stores private material outside git under `var/ca`. Initialize it on jumper with:
92	91

	@@ -32,7 +32,6 @@ sudo dnf install nginx
32	32	```text
33	33	/usr/local/xdev-host-manager
34	34	config/hosts.yaml
35		- config/local-hosts.tsv
36	35	var/host-manager.sqlite
37	36	scripts/host_manager.pl
38	37	scripts/mdns_host_seed.pl
	@@ -88,7 +87,7 @@ curl -k -o /dev/null -w '%{http_code}\n' https://madagascar.xdev.ro/healthz
88	87	Verificări de securitate de bază:
89	88
90	89	```bash
91		-curl -k -o /dev/null -w '%{http_code}\n' -X POST https://madagascar.xdev.ro/api/render/local-hosts-tsv
	90	+curl -k -o /dev/null -w '%{http_code}\n' -X POST https://madagascar.xdev.ro/api/dns/publish
92	91	# trebuie să întoarcă 401 fără sesiune OTP
93	92	```
94	93
	@@ -102,8 +101,7 @@ madagascar.xdev.ro -> jumper.madagascar.xdev.ro
102	101
103	102	Nu se adaugă wildcard local. Doar acest nume exact trebuie publicat.
104	103
105		-Schimbările DNS făcute prin aplicație regenerează `config/local-hosts.tsv` și
106		-ating `var/dns-publish.trigger`. Pe jumper,
	104	+Schimbările DNS făcute prin aplicație ating `var/dns-publish.trigger`. Pe jumper,
107	105	`host-manager-dns-publish.path` pornește imediat
108	106	`host-manager-dns-publish.service`, care rulează:
109	107
	@@ -120,7 +118,7 @@ Serviciul oneshot rulează ca root prin systemd, deoarece publicarea atinge
120	118
121	119	## mDNS discovery
122	120
123		-`host-manager-mdns` este un listener separat care observă mDNS și scrie direct în tabelul SQLite `mdns_observations`. Listenerul nu modifică host registry-ul, `config/hosts.yaml` sau `config/local-hosts.tsv`. Sync-ul resolverului citește manifestul runtime din SQLite, nu din exportul static.
	121	+`host-manager-mdns` este un listener separat care observă mDNS și scrie direct în tabelul SQLite `mdns_observations`. Listenerul nu modifică host registry-ul sau `config/hosts.yaml`. Sync-ul resolverului generează recorduri efemere din SQLite, nu dintr-un export static.
124	122
125	123	## DHCP lease push
126	124

	@@ -5,7 +5,6 @@ HOST_MANAGER_BIND=127.0.0.1
5	5	HOST_MANAGER_PORT=8088
6	6	HOST_MANAGER_DB=/usr/local/xdev-host-manager/var/host-manager.sqlite
7	7	HOST_MANAGER_DATA=/usr/local/xdev-host-manager/config/hosts.yaml
8		-HOST_MANAGER_LOCAL_HOSTS_TSV=/usr/local/xdev-host-manager/config/local-hosts.tsv
9	8	HOST_MANAGER_DNS_PUBLISH_TRIGGER=/usr/local/xdev-host-manager/var/dns-publish.trigger
10	9
11	10	# Base32 TOTP secret. Required for write access.

	@@ -21,7 +21,7 @@ usage() {
21	21	Usage: $0 [--apply] [--verify] [--target all\|jumper\|as01] [--source jumper\|local]
22	22
23	23	Default mode is dry-run. Use --apply to change remote resolvers.
24		-The default manifest source is the runtime SQLite database on jumper.
	24	+Resolver records are generated at runtime from the SQLite database on jumper.
25	25
26	26	Examples:
27	27	$0
	@@ -69,7 +69,7 @@ fi
69	69	WORK_DIR="$(mktemp -d)"
70	70	trap 'rm -rf "$WORK_DIR"' EXIT
71	71
72		-MANIFEST_FILE="$WORK_DIR/local-hosts.tsv"
	72	+RESOLVER_RECORDS="$WORK_DIR/resolver-records.tsv"
73	73	HOSTS_ROWS="$WORK_DIR/hosts.rows"
74	74	CLOAK_ROWS="$WORK_DIR/cloak.rows"
75	75	NAMES_FILE="$WORK_DIR/names.txt"
	@@ -104,22 +104,22 @@ run_jumper_payload() {
104	104	fi
105	105	}
106	106
107		-fetch_manifest() {
	107	+fetch_resolver_records() {
108	108	case "$SOURCE" in
109	109	local)
110		- perl "$HOST_MANAGER" --print-local-hosts-tsv
	110	+ perl "$HOST_MANAGER" --print-resolver-records
111	111	;;
112	112	jumper)
113	113	if is_local_jumper; then
114		- perl "$HOST_MANAGER" --print-local-hosts-tsv
	114	+ perl "$HOST_MANAGER" --print-resolver-records
115	115	else
116		- ssh "$JUMPER_HOST" "perl /usr/local/xdev-host-manager/scripts/host_manager.pl --print-local-hosts-tsv"
	116	+ ssh "$JUMPER_HOST" "perl /usr/local/xdev-host-manager/scripts/host_manager.pl --print-resolver-records"
117	117	fi
118	118	;;
119		- esac > "$MANIFEST_FILE"
	119	+ esac > "$RESOLVER_RECORDS"
120	120	}
121	121
122		-fetch_manifest
	122	+fetch_resolver_records
123	123
124	124	while IFS= read -r line \|\| [[ -n "$line" ]]; do
125	125	[[ -z "${line//[[:space:]]/}" ]] && continue
	@@ -173,7 +173,7 @@ while IFS= read -r line \|\| [[ -n "$line" ]]; do
173	173	printf '/ip dns static add name="%s" type=A address=%s comment="xdev-local managed"\n' "$ros_name" "$ros_ip"
174	174	} >> "$MIKROTIK_RSC"
175	175	done
176		-done < "$MANIFEST_FILE"
	176	+done < "$RESOLVER_RECORDS"
177	177
178	178	sort -u "$NAMES_FILE" -o "$NAMES_FILE"
179	179	printf '/ip dns cache flush\n' >> "$MIKROTIK_RSC"