環境変数

環境変数はデプロイメントレベルの判断を担います。どのイメージが動いているか、データがどこにあるか、このデプロイメントが何であることを認められているか。デプロイメントの稼働中にテナントや管理者が変更できるべきものは、代わりにシステム設定に置きます。

このページは契約です。各変数が何を決めるか、そして 2 つの変数が食い違ったときに何が起きるかを示します。エディションの列は、どのイメージがそれを読むかを示します。

• 両方：オープンな Community イメージ ghcr.io/objectstack-ai/objectstack と、ライセンスされた Enterprise イメージの両方。
• Enterprise：Enterprise イメージ、またはそれに付属するデプロイバンドルのみ。

Community では、設定する値は Docker に示しています。Enterprise では、コピーする値はリリースに付属するデプロイバンドルにあります。.env にコピーして編集する、注釈付きのテンプレートです。そのテンプレートはリリースに固定されていますが、このページはそうではありません。両者が異なる場合は、イメージとともに提供されたテンプレートが優先されます。

命名。 ObjectOS が所有する変数は OS_ の接頭辞を使います。1.0 より前の接頭辞のない名前のいくつかは引き続き機能し、一度だけ非推奨の警告を出します。レガシーな名前を参照してください。覚えている名前を使う前に知っておくべきグループが他に 2 つあります。何にも読まれないか起動をその場で拒否する廃止された名前と、まだ解決されるレガシーな名前です。

すべてのデプロイメントが下す判断

ライセンスとクラウドの姿勢

この 2 つはペアです。片方を設定するときにもう片方を読まないのは、このページで最も高くつく間違いです。サポートされない組み合わせは、劣化するのではなく起動時に拒否されるからです。

Community にはライセンスがないため、OS_CLOUD_URL が決めるのは、デプロイメントがコントロールプレーンに接続するかどうかだけです。Enterprise では 2 つの変数はペアであり、次の 2 つの帰結があります。どちらも人を驚かせます。

• 未設定は「off」ではありません。どちらのエディションでもです。未設定の OS_CLOUD_URL は公開コントロールプレーンに解決されます。中立な値だったことは一度もなく、接続された動作を選びます。誰とも通信しないはずのデプロイメントは、off をはっきりと書かなければなりません。
• 通常のライセンスと off の組み合わせは起動時に拒否され、両方の変数が名指しされます。これは劣化した状態ではなく不可能な状態です。オンラインライセンスはコントロールプレーンを必要とする交換によって検証されるため、コントロールプレーンが設定されていなければ交換は行われず（今回の起動でも以降の起動でも）、猶予期間も始まりません。猶予は最後に成功した検証から計測されるからです。

サポートされる組み合わせの完全な表と、拒否の理由はエアギャップデプロイメントにあります。

マルチ組織のデプロイメント

壁で区切られたテナンシーの姿勢は、組織ごとの分離の壁を立てます。これはライセンスされた機能であり、さらに 3 つの判断を必須にします。それぞれが宣言されるまで、ランタイムは起動を拒否します。どの値を宣言しても受け入れられますが、決めないことは受け入れられません。

単一組織のデプロイメントでは、これらのチェックは一切行われません。後の 3 つは未設定のままでかまいません。OS_PLATFORM_OWNER_EMAIL で指定されていない限り、最初に登録したアカウントがプラットフォーム管理者になります。指定されている場合は、その確認済みのアカウントがなります。

マルチノード

マルチノードは Enterprise の機能です。Community のデプロイメントはレプリカ 1 つで実行され、それ以上を宣言すると（OS_CLUSTER_REPLICAS が 1 より大きい）、プロセスごとのロックでレプリカを実行するのではなく、起動を拒否します。レプリカを 2 つ以上にスケールすると、必須となるものが変わります。クラスタードライバー、そしてすべてのレプリカで同じ OS_SECRET_KEY と OS_AUTH_SECRET です。

クラスタードライバーが設定されると、OS_SECRET_KEY は必須になります。クラスタードライバーがない場合、各レプリカは独自のキーを生成して永続化します。レプリカ間ではそれらのキーが黙って食い違うことになるため、ランタイムは一貫しない暗号で提供する代わりに起動を拒否します。

公開済みアプリを実行する

ランタイムのイメージと、それが提供するアプリは、独立したリリースの軸です。1 つの変数が公開済みアーティファクトを指定し、アプリのアップグレードはその変数の変更と再起動で済みます。イメージの再ビルドは不要です。

完全性のハッシュ用の対となる変数は、意図的に用意していません。固定は URL フラグメントにあるため、コピーする値もローテーションする値も 1 つだけで、「URL は更新したがハッシュは更新していない」という状態は表現できません。

アーティファクトは不変でバージョン名の付いたオブジェクトとして公開し、アーティファクトのホストへの書き込み認証情報は公開パイプラインだけに与え、本番ではダイジェストを固定してください。この 3 つのルールがあるからこそ、ロールバック（古い URL を使った、アップグレードと同じ操作）が実際に機能します。

ランタイムのサービス

オブザーバビリティ

エクスポートはオプトインです。エクスポーターのデフォルトは noop なので、選択するまでデプロイメントは何も出力しません。エンドポイントを設定するだけでは何も起きません。

データ契約の抜け道

ObjectStack 17.0 で、プラットフォームは宣言された契約に反する値を、以前のように警告して受け入れるのではなく、拒否するようになりました。これらの変数は、今すぐには修正できない連携のために、古い動作を一時的に再び有効にします。それぞれ 1 だけを受け付け、それ以外では厳格な動作のままです。違反は引き続きログに記録されるため、ずれは見えたままです。

メディアと値の形は、17.x のランタイムが作成したデータベースでは厳格にチェックされます。以前のメジャーバージョンからアップグレードしたデータベースは、対応するマイグレーションがフラグを記録して初めて厳格にチェックされます。CLI → データマイグレーションを参照してください。そこへ早く到達するために OS_DATA_VALUE_SHAPE_STRICT_ENABLED=1 を使わないでください。これは、このデプロイメントのデータが実際に何を含んでいるかにかかわらず、すべての値の種類の厳格なチェックを一度にオンにします。

システム設定を固定する

システム設定（テナントと管理者が編集できる ai、email、feature_flags などの名前空間）は、OS_ に名前空間とキーを続け、大文字にして . と - を _ に置き換えた名前の変数で、デプロイメントレベルで固定できます。たとえば ai.openai_base_url は OS_AI_OPENAI_BASE_URL に、feature_flags.ai_enabled は OS_FEATURE_FLAGS_AI_ENABLED になります。固定された設定は Setup では読み取り専用です。

Setup → Authentication で設定できる Google サインインも、デプロイメントレベルで GOOGLE_CLIENT_ID と GOOGLE_CLIENT_SECRET を読み取ります。

廃止された名前

これらの名前は以前の ObjectOS のドキュメントに登場していました。ここに挙げるのは、引き継いだ設定ファイルを読んで修正できるようにするためであり、使えるようにするためではありません。行に別の記載がある場合を除き、いずれも両方のエディションで廃止されています。

OS_CLOUD_API_KEY は、セルフホストのデプロイメントが設定する変数ではありません。ホスト型のクラウドが自ら運用するランタイムに注入するサービスの認証情報であり、それとは別に、os package publish が CI からパッケージカタログに対して認証するために使うベアラートークンでもあります（パッケージを参照）。コントロールプレーンに接続するセルフホストのデプロイメントは、ファイルに貼り付けるキーではなく、デプロイメントがそのコントロールプレーンにバインドされたときに発行されたランタイムトークンを提示します。

レガシーな名前

これらは両方のエディションで引き続き解決されますが、正式な名前が推奨され、レガシーな名前は将来のメジャーバージョンで削除される可能性があります。