fix: never chmod 700 system dirs like /var/log (2.3.3-SAC)

Hardening state files under /var/log was applying chmod 700 to the parent directory, which broke syslog/logrotate and other services after agent update.
2026-07-25 13:20:05 +10:00
parent b0abf99d1b
commit c50bd6e9d8
8 changed files with 92 additions and 5 deletions
@@ -44,6 +44,7 @@ Backlog по ingest при массовом update (SAC + ops): [ingest-mass-upd
 ### 1.1 Права на state / spool (M4)

 - [x] При создании каталогов и файлов состояния: `chown root:root`, каталоги `chmod 700`, файлы `chmod 600`
+- [x] **2.3.3:** не делать `chmod 700` на системные каталоги (`/var/log`, `/etc`, …) при hardening файлов вроде `/var/log/last_heartbeat.txt`
 - [x] Затронуть: `SAC_SPOOL_DIR`, `SAC_FAIL_COUNT_FILE`, heartbeat / last_* (где создаёт `ssh-monitor` / `sac-client.sh` / deploy)
 - [x] **2.1.8:** `update_ssh_monitor.sh` → `apply_runtime_security_hardening` на **каждом** update (SAC, cron, вручную): retrofit `chmod`/`chown` существующих путей из конфига
 - [x] В `--check-config`: предупреждение, если существующие пути с ослабленными правами