Aktualizacja

Przed każdą aktualizacją zrób kopię zapasową. Powrót do poprzedniej wersji po migracji bazy jest możliwy tylko przez odtworzenie kopii.

Aktualne wersje: gateway 2.0.1, portal 2.0.1, broker poświadczeń 2.0.0, serwery MCP i adapter 2.0.0.

Z 2.0.0 na 2.0.1

Wersja 2.0.1 zmienia gateway i portal. Gateway naprawia listę narzędzi dla klientów na MCP 2026-07-28: z wersją 2.0.0 Claude Code pokazywał serwer bez narzędzi. Portal dostaje nową ikonę w przeglądarce. Broker zostaje w 2.0.0. Changelogi nie wymieniają zmian polityk ani definicji narzędzi, więc nic nie trzeba zatwierdzać ponownie.

1. Zaktualizuj pliki pakietu (compose.yaml i katalogi obok) do nowej wersji. Zachowaj .env, certs/ i servers.yaml.

2. Jeśli .env ustawia MCP_GATEWAY_VERSION lub MCP_PORTAL_VERSION, zmień je na 2.0.1. Jeśli nie, obowiązują wartości domyślne nowego compose.yaml.

3. Pobierz obrazy i uruchom:

   docker compose pull
   docker compose up -d

   Przy pakietach offline zamiast docker compose pull załaduj obrazy z nowego zipa platformy (i zostaw PULL_POLICY=never).

Wygenerowane klucze i hasła zostają. openbao-unseal zapisuje politykę OpenBao od nowa.

Kolejność komponentów

Gdy zmieniasz kilka komponentów, wdrażaj broker i gateway przed portalem. Portal 2.x działa tylko z gatewayem 2.x i brokerem 2.x. Potem aktualizuj serwery. W pakiecie jedno docker compose up -d odtwarza zmienione usługi.

Realm jest importowany tylko wtedy, gdy nie istnieje. Późniejsze zmiany keycloak/realm-mcp.json nie trafiają do istniejącego realmu: wprowadź je w konsoli Keycloaka.

Z 1.x na 2.0

Wersja 2.0 łamie zgodność. Gateway nie czyta już serwerów, paczek polityk ani ustawień MCP_SERVER_*. Serwery i systemy to dane działające w czasie pracy, dodawane w portalu. Nie ma wzajemnego TLS między gatewayem a serwerem ani rejestracji z pipeline’u.

1. Zrób kopię baz PostgreSQL gatewaya i brokera.

2. Broker. Nadaj jego AppRole linie polityki dla secret/data/mcp/system-clients/* opisane w README brokera, krok 1. Zostaw ustawienia BROKER_SYSTEMS_* z 1.x na pierwszy start 2.0.0. Przy tym starcie broker jednorazowo importuje te systemy do bazy, kopiuje sekrety klientów OAuth pod nową ścieżkę w OpenBao i przejmuje istniejące połączenia. Po pierwszym starcie usuń te ustawienia. Bez nich nic się nie importuje: dodaj systemy w portalu (Systemy).

3. Gateway. Usuń z konfiguracji MCP_POLICY_*, MCP_REGISTRY_MODE, MCP_SERVER_* i certs/policies-main.public.pem, a także wolumen, który trzymał /app/state. Zatrzymaj serwer polityk dla gatewaya. MCP_ALLOWED_CLIENTS ustaw tylko wtedy, gdy Twoi klienci AI to nie claude-code i claude-ai. Każda instancja potrzebuje tej samej wartości.

4. Portal. Wersja 2.0 wymaga gatewaya 2.0.0 i brokera 2.0.0 lub nowszych. Wdróż ją po nich. Dostawca tożsamości musi wpisywać auth_time, acr i amr do tokenów, bo administracja wymaga świeżego logowania z drugim składnikiem.

5. Serwery MCP. Usuń MCP_GATEWAY_POLICY_DATA_URL, MCP_GATEWAY_TLS_NAME, MCP_INTERNAL_URL, MCP_TLS_TRUSTSTORE i usługę Redis ze starego pliku compose. Ustaw MCP_GATEWAY_JWKS_URI. Serwer nie startuje, dopóki zostaje stare ustawienie. Serwery budowane samodzielnie wymagają startera 4.0.0.

6. Dodaj każdy serwer ponownie w portalu po adresie (Serwery). Manifesty i zatwierdzenia zapisane pod tym samym identyfikatorem serwera są przejmowane, ale manifest z 1.x nie ma polityk. Zatwierdź połączenie, potem polityki, potem każde narzędzie.

7. Odtwórz mapowanie zakresów. Nazwy grup wynikają z ryzyka (mcp-<system>-read, -write, -destructive), a uprawnienia do zasobów to wpisy mapowania zakresów, nie nazwy grup w paczce polityk.

Co zatwierdzasz ponownie

Aktualizacja	Zatwierdź ponownie
2.0.0 na 2.0.1	Nic.
1.x na 2.0	Dla każdego serwera: połączenie (odcisk), polityki i narzędzia. Każde narzędzie czeka, także tylko do odczytu.
Obraz serwera ze zmienionymi politykami lub narzędziami	Zmienione polityki lub narzędzia. Serwer zostaje w pending_approval, a jego narzędzia są ukryte do zatwierdzenia.
Serwer z nowym certyfikatem	Nowy odcisk (certificate_changed), chyba że certyfikat łączy się z zaufanym CA.

Sprawdź po aktualizacji

1. Uruchom docker compose ps. Każda usługa jest zdrowa.
2. Otwórz portal, Administracja, Serwery. Żaden serwer nie czeka na zatwierdzenie, chyba że to zamierzone.
3. Wywołaj jedno narzędzie z klienta AI.