BATCH-167 — Escape do cgroup do PHP-FPM no disparo desacoplado (REQ-040, Pilar 4)

• Status: implementado-validado-aguardando-homologacao

• Intake: conn2flow-site → sdd/human-requests/host-manager/req-040-ssl-painel-pma-sso-desacoplamento-cgroup-e-host-url.md

• Data de abertura: 2026-09-03

• Classificação: resiliência de infraestrutura / correção de rumo do BATCH-166

• Modo de autonomia: supervisionado

• Lote irmão: BATCH-033 no conn2flow-site (Pilares 1, 2, 3 e 5)

Objetivo

Fazer o disparo manual de uma rotina de provisionamento sobreviver ao systemctl restart php8.5-fpm que o próprio HestiaCP executa no meio da esteira.

Diagnóstico: o BATCH-166 resolveu a metade errada

O lote anterior tirou o processo da sessão do worker, com setsid. A conta do Transforma MP continuou congelada em provisioning.

Sessão não é cgroup. setsid cria uma sessão nova e um novo grupo de processos, mas o filho permanece no cgroup php8.5-fpm.service. Quando o systemd reinicia essa unidade, ele encerra todo o cgroup — o instalador morre no meio de v-add-web-domain, exatamente como antes. O setsid desacoplou de verdade; só não do que importava.

Resposta à pergunta do operador ("ele executa e marca para a segunda execução, ou está parado por erro?"): nem um nem outro no momento da morte. O processo é morto sem chance de gravar nada, e a conta fica reservada em provisioning sem ninguém executando. Quem a resgata é o reaper entregue no BATCH-032: passados stale_after_minutes (30), ele faz rollback dos recursos parciais e re-enfileira enquanto tentativas < max_tentativas. Ou seja, a conta se recupera sozinha — só depois de meia hora, e sem que o clique do operador tenha produzido efeito.

Implementação

Três estratégias, da mais isolada para a menos, escolhidas por sondagem e não por suposição:

Decisões tomadas na implementação

1. Sondar, não supor. systemd-run --scope depende de autorização do systemd, e o pool roda como usuário sem privilégio: numa instalação típica ele é negado. Anunciar isolamento sem verificar reproduziria a falha silenciosa que este lote existe para acabar. Cada candidata é exercitada com um comando trivial (/bin/true, command -v) antes de ser adotada, e a sonda usa o mesmo prefixo do disparo real — sondar com flags diferentes aprovaria uma configuração que falharia adiante, em background, sem ninguém ver.

2. setsid continua na lista, mas não mente. admin_cron_disparo_isola_cgroup() devolve false para ele, e a resposta da tela troca a mensagem por msg-run-detached-no-isolation, dizendo ao operador que um reinício de serviço pode interromper a tarefa e que o agendamento retoma. Remover a estratégia seria pior: ela funciona na maioria dos disparos, que não reiniciam serviço nenhum.

3. Montar e verificar viraram funções separadas. admin_cron_disparo_systemd_montar() e admin_cron_disparo_ssh_montar() são puras; a disponibilidade do binário fica na sondagem. Sem essa separação, nada disso seria verificável num [REDACTED] desenvolvimento sem systemd.

4. A escolha forçada é lida antes do cache. Memorizar a sondagem por requisição faz sentido (o ambiente não muda no meio de um disparo); mascarar a configuração do operador com um resultado anterior, não.

5. A configuração passou a vir do .env. Achado durante a implementação: o núcleo não popula $_GESTOR['config'] — essa chave é uma convenção que o config-loader do [REDACTED] cria para si. As opções do BATCH-166 (cron_php_binary, cron_tarefas_desacopladas) e as novas deste lote estavam lendo de um lugar que ninguém preenche: seriam inertes, sem erro visível. admin_cron_config() lê $_ENV → getenv() → $_GESTOR['config'].

6. Envelope de retorno uniforme. Achado pelo próprio teste: três retornos de erro precoces não declaravam estrategia/isolado. O chamador atual só os lê no ramo de sucesso, mas a assimetria é um footgun barato de eliminar.

Configuração disponível ao operador

Arquivos tocados

Validação executada

Guarda validada por mutação

Pendências

• Homologação na VM Lab: disparar host-manager-provisionamento em /admin-cron/ e verificar, na resposta, qual estratégia foi escolhida. Se vier setsid, o isolamento não está disponível e o caminho a habilitar é o SSH (CRON_DISPATCH_SSH_HOST=[REDACTED] com chave pública instalada para o usuário do pool) — é a rota que não pede privilégio de systemd.

• Confirmar em seguida que o provisionamento atravessa o systemctl restart php8.5-fpm sem interrupção, com a conta chegando a active sem passar pelo reaper.

Nota de concorrência

Outro agente segue alterando arquivos fora do escopo nesta árvore (cli/src/Commands/CssRebuildCommand.php, gestor/controladores/agents/arquitetura/*.php, ai-workspace/en/scripts/projects/sync-core-to-project.sh e testes correlatos). Não foram tocados nem revertidos; o staging deste lote deve listar apenas os quatro arquivos da tabela acima, mais gestor/db/data/VariaveisData.json, gestor/db/data/schema-metadata.json e os arquivos sdd/.