Hermes Agent VPS セットアップガイド

┌──────────────── Xserver VPS (Ubuntu 24.04 / 26.04 LTS) ────┐
│                                                              │
│  ┌─ root 権限レイヤー ─────────────────────────────────┐    │
│  │                                                       │    │
│  │  cron (root)                                          │    │
│  │   └─ /usr/local/bin/hermes-health-collect.sh         │    │
│  │       ├─ fail2ban-client status                      │    │
│  │       ├─ journalctl _COMM=sshd                       │    │
│  │       ├─ systemctl is-active                         │    │
│  │       ├─ df / free / uptime                          │    │
│  │       └─ JSON 化 → /var/lib/hermes-health/           │    │
│  │                                                       │    │
│  └───────────────────────────────────────────────────────┘    │
│                              │                                │
│                              ▼ :ro mount                      │
│  ┌─ hermes system user レイヤー (sudo なし) ────────────┐    │
│  │                                                       │    │
│  │  Docker container: hermes                             │    │
│  │   ├─ entrypoint が HERMES_UID/HERMES_GID で          │    │
│  │   │  内部ユーザーを gosu リマップ                     │    │
│  │   ├─ /opt/hermes/.venv/bin/hermes  ← CLI バイナリ    │    │
│  │   ├─ /opt/data ← bind: ~/.hermes (rw)                │    │
│  │   │   ├─ config.yaml, .env                           │    │
│  │   │   ├─ memory/, skills/, sessions/                 │    │
│  │   │   ├─ workspace/    (gateway 作業ディレクトリ)     │    │
│  │   │   ├─ credentials/  (OAuth tokens)                │    │
│  │   │   └─ google/                                     │    │
│  │   ├─ /opt/data/health ← bind: /var/lib/hermes-health │    │
│  │   │                                          (ro)    │    │
│  │   └─ HERMES_DASHBOARD=1 で dashboard を同居起動       │    │
│  │     (gateway:8642 と dashboard:9119)                  │    │
│  │                                                       │    │
│  └───────────────────────────────────────────────────────┘    │
│                              │                                │
└──────────────────────────────┼────────────────────────────────┘
                               ▼
                  外部: OpenRouter / xAI / Anthropic /
                       Google API / Discord

lsb_release -a
# 期待: Ubuntu 24.04 LTS (Noble Numbat) または 26.04 LTS (Resolute Raccoon)

cat /etc/os-release | grep -E '^(VERSION_ID|UBUNTU_CODENAME|VERSION_CODENAME)'
# UBUNTU_CODENAME が Phase 2 の Docker リポジトリ登録で使われる
# 例: noble (24.04) または resolute (26.04)

# fail2ban 動作確認
sudo systemctl status fail2ban

# ufw 動作確認
sudo ufw status verbose

# SSH ポート（公開鍵認証のみ、パスワード認証無効）
sudo sshd -T | grep -iE "passwordauthentication|permitrootlogin|pubkey"

sudo -v

timedatectl status
# 「System clock synchronized: yes」になっていること
# 「Time zone: Asia/Tokyo (JST, +0900)」が望ましい

sudo apt remove -y \
  docker.io \
  docker-doc \
  docker-compose \
  docker-compose-v2 \
  podman-docker \
  containerd \
  runc \
  2>/dev/null || true

sudo apt update
sudo apt install -y ca-certificates curl

sudo install -m 0755 -d /etc/apt/keyrings
sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg \
  -o /etc/apt/keyrings/docker.asc
sudo chmod a+r /etc/apt/keyrings/docker.asc

# 確認: ファイルが存在し、サイズが約 1.7KB あること
ls -la /etc/apt/keyrings/docker.asc
sudo head -1 /etc/apt/keyrings/docker.asc
# "-----BEGIN PGP PUBLIC KEY BLOCK-----" が表示されること

echo \
  "Types: deb
URIs: https://download.docker.com/linux/ubuntu
Suites: $(. /etc/os-release && echo "${UBUNTU_CODENAME:-$VERSION_CODENAME}")
Components: stable
Architectures: $(dpkg --print-architecture)
Signed-By: /etc/apt/keyrings/docker.asc" | \
  sudo tee /etc/apt/sources.list.d/docker.sources > /dev/null

# 確認: Suites が noble (24.04) または resolute (26.04) になっていること
cat /etc/apt/sources.list.d/docker.sources

sudo apt update
sudo apt install -y \
  docker-ce \
  docker-ce-cli \
  containerd.io \
  docker-buildx-plugin \
  docker-compose-plugin

sudo systemctl enable --now docker
sudo systemctl enable containerd

sudo systemctl is-active docker
# → active

docker --version
docker compose version

sudo docker run --rm hello-world
# "Hello from Docker!" メッセージが出ればOK

getent group docker
# 例: docker:x:988:
#                ↑GID（環境により異なる）

ls -la /etc/apt/keyrings/docker.asc
# サイズが 0 や数バイトしか無ければ取得失敗

# 再取得
sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg \
  -o /etc/apt/keyrings/docker.asc
sudo chmod a+r /etc/apt/keyrings/docker.asc
sudo apt update

sudo sed -i 's/^Suites:.*/Suites: resolute/' /etc/apt/sources.list.d/docker.sources
# noble の場合は resolute → noble

sudo useradd \
  --system \
  --create-home \
  --home-dir /home/hermes \
  --shell /bin/bash \
  --user-group \
  --comment "Hermes Agent service account" \
  hermes

sudo passwd -S hermes
# 例: hermes L 2026-05-24 0 99999 7 -1
#            ↑
#            L = Locked

id hermes
# 例（Xserver VPS）: uid=999(hermes) gid=986(hermes) groups=986(hermes)
# 例（別 VPS）: uid=998(hermes) gid=998(hermes) groups=998(hermes)

sudo usermod -aG docker hermes

echo "DenyUsers hermes" | sudo tee -a /etc/ssh/sshd_config
sudo systemctl reload sshd

# ===== ここから管理者ユーザーで実行 =====

# UID が system 範囲（< 1000）か
id hermes

# パスワードロック確認
sudo passwd -S hermes | awk '{print $2}'
# → L

# ホームディレクトリ（HOME_MODE 0700 なので sudo 必須）
sudo ls -la /home/hermes
# 所有者が hermes:hermes になっていること
# ※ 所有者・モードの確認だけなら sudo 不要の `ls -ld /home/hermes` でも可

# docker グループ所属
groups hermes | grep -q docker && echo OK
# → OK

# SSH 直接ログイン不可（sudo を使うので必ず管理者ユーザーで）
sudo grep -E "^DenyUsers.*hermes" /etc/ssh/sshd_config && echo OK
# → OK

# ===== 最後に hermes に切り替えて確認（このブロックの末尾に配置）=====
# 注意: 以降は hermes ユーザー。sudo は一切使えない。
sudo -iu hermes
whoami
# → hermes
docker ps
# → 空のテーブル（CONTAINER ID, IMAGE, ...）
exit
# → exit で管理者プロンプトに戻る

# 管理者ユーザーから hermes に切り替え
sudo -iu hermes

# プロンプトが hermes になることを確認
whoami
# → hermes

# Phase 3 時点で動くコマンド
docker ps    # 空のテーブル
docker version

# 管理者に戻る
exit

/home/hermes/
├── .hermes/               # ← bind mount to /opt/data
│   ├── config.yaml
│   ├── .env               # setup wizard が書き込む（API キー or OAuth ref）
│   ├── credentials/       # OAuth tokens (Grok / Anthropic OAuth)
│   ├── memory/
│   ├── skills/
│   ├── sessions/
│   ├── workspace/         # gateway の作業ディレクトリ（自律作業の場）
│   └── google/            # Google OAuth tokens (Phase 5 で作られる)
└── hermes-stack/          # docker-compose 配置
    ├── docker-compose.yml
    └── .env               # compose 用変数（バージョンと UID/GID のみ）

# 管理者ユーザーから hermes に切り替え
sudo -iu hermes
whoami   # → hermes であること

# ディレクトリ作成
mkdir -p ~/hermes-stack ~/.hermes
cd ~/hermes-stack

# 確認
ls -la ~
# hermes-stack/ と .hermes/ が作られていること

cd ~/hermes-stack

cat > .env <<'EOF'
# Hermes バージョン（明示ピン留め）
HERMES_VERSION=v2026.5.16
EOF

# コンテナ内 hermes ユーザーをリマップするための UID/GID
# (環境ごとに 998 / 999 等で異なるので動的取得)
echo "HERMES_UID=$(id -u)" >> .env
echo "HERMES_GID=$(id -g)" >> .env
chmod 600 .env

# 確認
cat .env
# HERMES_UID, HERMES_GID がホストの id -u / id -g と一致すること

cd ~/hermes-stack

cat > docker-compose.yml <<'EOF'
services:
  hermes:
    image: nousresearch/hermes-agent:${HERMES_VERSION}
    container_name: hermes
    restart: unless-stopped
    # user: は指定しないこと
    # entrypoint が HERMES_UID/HERMES_GID を読んで内部ユーザーを gosu リマップする
    volumes:
      # Hermes の全データ（rw）
      - /home/hermes/.hermes:/opt/data
      # ホスト側 collector の出力（ro、Phase 6 で配置）
      - /var/lib/hermes-health:/opt/data/health:ro
    ports:
      # gateway（ローカルバインドのみ）
      - "127.0.0.1:8642:8642"
      # dashboard（同一コンテナ内で side-process として起動）
      - "127.0.0.1:9119:9119"
    environment:
      - HERMES_UID=${HERMES_UID}
      - HERMES_GID=${HERMES_GID}
      - HERMES_DASHBOARD=1
      - TZ=Asia/Tokyo
    command: gateway run
    healthcheck:
      # gateway は /health エンドポイントを提供しないため TCP 接続成立で判定
      # (curl ベースの健康診断は使えない)
      test: ["CMD-SHELL", "bash -c '</dev/tcp/localhost/8642'"]
      interval: 1m
      timeout: 10s
      retries: 3
      start_period: 30s
    logging:
      driver: "json-file"
      options:
        max-size: "10m"
        max-file: "5"
EOF

# 確認
cat docker-compose.yml
ls -la
# .env と docker-compose.yml が両方あること

# hermes から管理者に戻る
exit
whoami   # 管理者ユーザー名（例: <管理者ユーザー>）であること

sudo mkdir -p /var/lib/hermes-health
sudo chown root:hermes /var/lib/hermes-health
sudo chmod 750 /var/lib/hermes-health

# 確認
ls -ld /var/lib/hermes-health
# drwxr-x--- root hermes ... であること

sudo -iu hermes
whoami   # → hermes

docker run -it --rm \
  -v /home/hermes/.hermes:/opt/data \
  -e HERMES_UID=$(id -u) \
  -e HERMES_GID=$(id -g) \
  nousresearch/hermes-agent:v2026.5.16 \
  setup

sudo -iu hermes
whoami   # → hermes

docker run -it --rm \
  -v /home/hermes/.hermes:/opt/data \
  -e HERMES_UID=$(id -u) \
  -e HERMES_GID=$(id -g) \
  --network host \
  nousresearch/hermes-agent:v2026.5.16 \
  setup

Open this URL to authorize Hermes with xAI:
https://auth.x.ai/oauth2/authorize?response_type=code&client_id=...&redirect_uri=http%3A%2F%2F127.0.0.1%3A56121%2Fcallback&...

Waiting for callback on http://127.0.0.1:56121/callback
Could not open the browser automatically; use the URL above.

# XXXXX は wizard が表示した実際のポート番号
ssh -L XXXXX:127.0.0.1:XXXXX -N <管理者ユーザー>@<VPSアドレス>
# 例:
# ssh -L 56121:127.0.0.1:56121 -N <管理者ユーザー>@<VPSアドレス>

# config が作られたか
ls -la ~/.hermes/

# config.yaml の中身（Provider 等の確認）
cat ~/.hermes/config.yaml | head -30

# 認証情報の確認
# OAuth の場合は ~/.hermes/credentials/ に保存される（.env ではない）
ls -la ~/.hermes/credentials/ 2>/dev/null
# API キーの場合は ~/.hermes/.env に書かれる
grep -iE 'api_key|token' ~/.hermes/.env 2>/dev/null | sed 's/=.*/=***/'

cd ~/hermes-stack
docker compose pull
docker compose up -d

# ステータス確認（healthcheck の interval が 1m + start_period が 30s なので少し待つ）
sleep 90
docker compose ps
# STATUS が "Up X minutes (healthy)" になればOK
# (health: starting) のままなら、もう1分待ってから再確認

# dashboard が応答するか（HTML が返る）
curl -fsS http://127.0.0.1:9119 | head

# gateway は /health エンドポイントが無いので curl は失敗するが、
# 8642 で listen していることは docker compose ps の (healthy) で判定済み

# entrypoint が gosu でリマップした結果を確認
# (docker exec のデフォルトユーザーは root なので、-u hermes 指定が重要)
docker exec -u hermes hermes id
# uid=999(hermes) gid=986(hermes) など、ホスト側 (id) と一致すること

docker exec hermes env | grep -E '^HERMES_(UID|GID|DASHBOARD)'
# HERMES_UID, HERMES_GID, HERMES_DASHBOARD=1 が出ること

# 対話を1回試す
docker exec -u hermes -it hermes /opt/hermes/.venv/bin/hermes chat -q "hello"
# Hermes が応答を返せば成功

# hermes ユーザーの ~/.bashrc に alias を追加
echo "alias hermes='docker exec -u hermes -it hermes /opt/hermes/.venv/bin/hermes'" >> ~/.bashrc
source ~/.bashrc

# 以降は短く書ける
hermes chat -q "hello"
hermes --help
hermes sessions list

# 1. コンテナ内に印を書く
docker exec -u hermes hermes touch /opt/data/persistence-test.txt
docker exec -u hermes hermes ls -la /opt/data/persistence-test.txt

# 2. ホスト側でも見えるか
ls -la /home/hermes/.hermes/persistence-test.txt
# → 同じファイルが見えるはず（bind mount が効いている証拠）
# → 所有者が hermes:hermes であること（gosu リマップが効いている証拠）

# 3. mount 状態の inspect
docker inspect hermes | jq '.[0].Mounts'
# 期待値:
# [
#   { "Type": "bind", "Source": "/home/hermes/.hermes",
#     "Destination": "/opt/data", "RW": true, ... },
#   { "Type": "bind", "Source": "/var/lib/hermes-health",
#     "Destination": "/opt/data/health", "RW": false, ... }
# ]
# 重要: "Type": "bind" であること（"volume" だと named volume で別管理）

# 4. コンテナを完全削除
cd ~/hermes-stack
docker compose down

# 5. 新しくコンテナを起動
docker compose up -d
sleep 90
docker compose ps
# (healthy) であること

# 6. 印が残っているか
docker exec -u hermes hermes ls -la /opt/data/persistence-test.txt
# → ファイルが残っていればOK
# → 所有者も hermes:hermes のままであること

# 7. dashboard も再度応答するか
curl -fsS http://127.0.0.1:9119 | head

# 8. テストファイルを削除
docker exec -u hermes hermes rm /opt/data/persistence-test.txt

grep -A2 'healthcheck:' ~/hermes-stack/docker-compose.yml
# test: ["CMD-SHELL", "bash -c '</dev/tcp/localhost/8642'"]  ← この行があること

ls -la ~/.hermes/
# 全部 hermes:hermes になっているか

exit   # hermes から管理者へ
sudo chown -R hermes:hermes /home/hermes/.hermes
sudo -iu hermes

cd ~/hermes-stack
docker compose down

# docker-compose.yml から user: 行を削除して、environment に HERMES_UID/HERMES_GID を入れる
# (上記の docker-compose.yml と一致させる)
vi docker-compose.yml

# 管理者で所有権リセット
exit
sudo chown -R hermes:hermes /home/hermes/.hermes

sudo -iu hermes
cd ~/hermes-stack && docker compose up -d

# 環境変数が伝わっているか
docker exec hermes env | grep HERMES_DASHBOARD
# HERMES_DASHBOARD=1 が出ること

# プロセス確認
docker exec hermes ps -ef | grep dashboard
# /opt/hermes/.venv/bin/hermes dashboard ... が走っていること

# entrypoint のログで dashboard 起動を確認
docker logs hermes 2>&1 | grep -iE 'dashboard|9119'

# Hermes の dashboard side-process は supervised ではないため、
# 何らかの理由で落ちた場合はコンテナごと再起動
docker compose restart hermes

# ダウンロードした JSON を手元から VPS の管理者ユーザーへ scp 済みの前提
# (例: scp client_secret.json admin@vps:~/)

# 管理者から hermes 配下へコピーして所有権を整える
sudo cp ~/client_secret_xxx.json /home/hermes/.hermes/google_client_secret.json
sudo chown hermes:hermes /home/hermes/.hermes/google_client_secret.json
sudo chmod 600 /home/hermes/.hermes/google_client_secret.json

sudo -iu hermes
whoami   # → hermes

# alias を設定済みなら短く
hermes
# 設定していなければフルパスで
# docker exec -u hermes -it hermes /opt/hermes/.venv/bin/hermes

> Google Workspace のセットアップを始めて

> 今日のカレンダーの予定を見せて
> 未読のメールを5件サマリーして

ls -la /home/hermes/.hermes/google/

exit   # hermes から管理者へ
sudo chown -R hermes:hermes /home/hermes/.hermes/google/

sudo -iu hermes
cd ~/hermes-stack && docker compose restart hermes

sudo fail2ban-client status
# Jail list: の行に出てくる名前を控える
# 例: Jail list:    sshd  または  ssh

# どこに認証イベントが流れているか確認
sudo journalctl -u ssh --since "1 hour ago" --no-pager | tail -20
sudo journalctl -u ssh.socket --since "1 hour ago" --no-pager | tail -20
sudo journalctl _COMM=sshd --since "1 hour ago" --no-pager | tail -20

sudo tee /usr/local/bin/hermes-health-collect.sh > /dev/null <<'SCRIPT'
#!/bin/bash
# Hermes 用ヘルスチェック情報コレクタ
# root cron から実行され、JSON を /var/lib/hermes-health/ に書き出す

set -euo pipefail

OUT=/var/lib/hermes-health
TS=$(date -Iseconds)
mkdir -p "$OUT"

# 一時ディレクトリを mktemp で確保し、終了時に必ず削除（並行実行でも衝突しない）
TMP=$(mktemp -d)
trap 'rm -rf "$TMP"' EXIT

# --- fail2ban ---
{
  echo "{"
  echo "  \"timestamp\": \"$TS\","
  if fail2ban-client status sshd > "$TMP/f2b.txt" 2>/dev/null; then
    BANNED=$(grep -oP 'Banned IP list:\s*\K.*' "$TMP/f2b.txt" || echo "")
    TOTAL_BANNED=$(grep -oP 'Total banned:\s*\K\d+' "$TMP/f2b.txt" || echo "0")
    CURRENT_FAILED=$(grep -oP 'Currently failed:\s*\K\d+' "$TMP/f2b.txt" || echo "0")
    echo "  \"sshd\": {"
    echo "    \"banned_ips\": \"$BANNED\","
    echo "    \"total_banned\": $TOTAL_BANNED,"
    echo "    \"currently_failed\": $CURRENT_FAILED"
    echo "  }"
  else
    echo "  \"sshd\": null,"
    echo "  \"error\": \"fail2ban-client not available or sshd jail not running\""
  fi
  echo "}"
} > "$OUT/fail2ban.json.tmp"
mv "$OUT/fail2ban.json.tmp" "$OUT/fail2ban.json"

# --- 直近1時間の SSH 認証イベント（_COMM=sshd で絞り込み） ---
journalctl _COMM=sshd --since "1 hour ago" --no-pager -o json \
  > "$OUT/auth.json.tmp" 2>/dev/null || : > "$OUT/auth.json.tmp"
mv "$OUT/auth.json.tmp" "$OUT/auth.json"
# 注: -o json は NDJSON (各行が独立した JSON)。jq で読む際は jq -s で配列化するか、
# slurp なしで1行ずつ処理する。Hermes スキルでもこれを前提に解釈する。

# --- システムリソース ---
{
  echo "{"
  echo "  \"timestamp\": \"$TS\","
  echo "  \"disk\": {"
  df -B1 / | awk 'NR==2 {printf "    \"total\": %d, \"used\": %d, \"available\": %d, \"percent\": \"%s\"\n", $2, $3, $4, $5}'
  echo "  },"
  echo "  \"memory\": {"
  free -b | awk '/^Mem:/ {printf "    \"total\": %d, \"used\": %d, \"available\": %d\n", $2, $3, $7}'
  echo "  },"
  LOAD=$(uptime | grep -oP 'load average:\s*\K.*')
  echo "  \"load_average\": \"$LOAD\","
  UPTIME=$(uptime -p)
  echo "  \"uptime\": \"$UPTIME\""
  echo "}"
} > "$OUT/system.json.tmp"
mv "$OUT/system.json.tmp" "$OUT/system.json"

# --- 重要サービスの稼働状況 ---
SERVICES=(ssh fail2ban ufw docker)
{
  echo "{"
  echo "  \"timestamp\": \"$TS\","
  echo "  \"services\": {"
  LAST=$((${#SERVICES[@]} - 1))
  for i in "${!SERVICES[@]}"; do
    svc="${SERVICES[$i]}"
    STATUS=$(systemctl is-active "$svc" 2>/dev/null || echo "unknown")
    if [ "$i" -lt "$LAST" ]; then
      printf '    "%s": "%s",\n' "$svc" "$STATUS"
    else
      printf '    "%s": "%s"\n' "$svc" "$STATUS"
    fi
  done
  echo "  }"
  echo "}"
} > "$OUT/services.json.tmp"
mv "$OUT/services.json.tmp" "$OUT/services.json"

# --- 出力ファイルの mode 調整のみ（所有権は初回 chown -R で確定済み） ---
chmod 640 "$OUT"/*.json 2>/dev/null || true
SCRIPT

sudo chmod 755 /usr/local/bin/hermes-health-collect.sh

# 初回のみ、ディレクトリ全体の所有権を確定
# (Phase 4 でディレクトリ自体は作っているが、念のため再適用)
sudo chown -R root:hermes /var/lib/hermes-health
sudo chmod 750 /var/lib/hermes-health

# collector を1回走らせて生成確認
sudo /usr/local/bin/hermes-health-collect.sh
ls -la /var/lib/hermes-health/

# 各 JSON が valid であることを確認
for f in /var/lib/hermes-health/*.json; do
  if [ "$(basename "$f")" = "auth.json" ]; then
    if [ -s "$f" ]; then
      jq -e -s . "$f" >/dev/null && echo "OK: $f (NDJSON)" || echo "NG: $f"
    else
      echo "OK: $f (empty)"
    fi
  else
    jq -e . "$f" >/dev/null && echo "OK: $f" || echo "NG: $f"
  fi
done

# 中身を眺める
cat /var/lib/hermes-health/system.json | jq .
cat /var/lib/hermes-health/services.json | jq .

sudo tee /etc/cron.d/hermes-health > /dev/null <<'EOF'
# Hermes 用ヘルスチェック collector
*/5 * * * * root /usr/local/bin/hermes-health-collect.sh
EOF

sudo -iu hermes
docker exec -u hermes -it hermes ls -la /opt/data/health/
docker exec -u hermes -it hermes cat /opt/data/health/system.json
exit   # 管理者に戻る

sudo -iu hermes
whoami   # → hermes

mkdir -p ~/.hermes/skills/vps-health-check
cat > ~/.hermes/skills/vps-health-check/SKILL.md <<'EOF'
---
name: vps-health-check
description: Hermes 自身が動いている VPS のヘルスチェックを実施し、異常があれば Discord で報告する。
trigger: ヘルスチェック要求、または定期実行（1日1回 + 異常検出時）
---

# VPS ヘルスチェック手順

## 入力データ

すべて `/opt/data/health/` 配下の JSON ファイルから読み取る。**シェルコマンドを直接実行してはならない**。生データは root 側の collector が事前整形している。

- `system.json`: disk, memory, load, uptime
- `fail2ban.json`: sshd jail の状態
- `auth.json`: 直近1時間の認証イベント (NDJSON 形式)
- `services.json`: 主要サービスの稼働状況

## チェック項目と閾値

### システムリソース

- ディスク使用率 > 80% → 警告
- ディスク使用率 > 90% → 緊急
- メモリ available < 10% → 警告
- load average 1min > CPU 数 × 2 → 警告

### セキュリティ

- fail2ban の total_banned が前回チェック時より +5 以上 → 警告
- currently_failed > 10 → 攻撃継続中の可能性、警告
- ssh service が active でない → 緊急

### サービス

- docker / ssh / fail2ban のいずれかが active でない → 緊急

## 出力

異常検出時、Discord に以下フォーマットで送信:

```
🚨 [VPS Health Alert] severity={warning|critical}
- 検出時刻: ISO8601
- 該当項目: <chronological list>
- 推奨対応: <Hermes が状況から判断>
- 詳細: <該当 JSON の関連部分>
```

正常時は何もしない（毎日朝9時の定期サマリーを除く）。

## 状態の永続化

前回チェック時の `total_banned` 値を `~/.hermes/memory/vps-health-state.json` に保存し、次回チェック時に差分を計算する。

## 禁止事項

- ホスト側コマンドを実行しようとしない（コンテナの中なので物理的に不可能だが、念のため明示）
- 認証ファイルの内容（auth.json）の生エントリを Discord に流さない（IP 等の情報漏洩防止のため、件数のみ報告）
EOF

hermes   # alias 経由

> このスキルを毎日朝9時に実行する cron スケジュールを設定して
> また毎時5分に異常検知だけ実行するスケジュールも追加して

exit   # hermes から管理者へ

sudo tee /usr/local/bin/hermes-backup.sh > /dev/null <<'SCRIPT'
#!/bin/bash
set -euo pipefail

BACKUP_DIR=/var/backups/hermes
DATE=$(date +%Y%m%d-%H%M)
RETENTION_DAYS=14

mkdir -p "$BACKUP_DIR"

# DB の一貫性のため、Hermes を一時停止
docker stop hermes >/dev/null

# tarball 作成
tar czf "$BACKUP_DIR/hermes-$DATE.tar.gz" \
  -C /home/hermes \
  --exclude='.hermes/sessions/cache' \
  --exclude='.hermes/logs' \
  .hermes hermes-stack

docker start hermes >/dev/null

# 保持期間超過分を削除
find "$BACKUP_DIR" -name "hermes-*.tar.gz" -mtime +$RETENTION_DAYS -delete

# サイズと整合性チェック
SIZE=$(du -h "$BACKUP_DIR/hermes-$DATE.tar.gz" | cut -f1)
tar tzf "$BACKUP_DIR/hermes-$DATE.tar.gz" >/dev/null

echo "[$(date -Iseconds)] Backup OK: hermes-$DATE.tar.gz ($SIZE)"
SCRIPT

sudo chmod 755 /usr/local/bin/hermes-backup.sh

# cron 登録（毎日 4:00）
sudo tee /etc/cron.d/hermes-backup > /dev/null <<'EOF'
0 4 * * * root /usr/local/bin/hermes-backup.sh >> /var/log/hermes-backup.log 2>&1
EOF

sudo apt install rclone
sudo rclone config  # gdrive リモート等を作成

# backup スクリプトの末尾に追加（例）
# rclone copy "$BACKUP_DIR/hermes-$DATE.tar.gz" gdrive:hermes-vps-backup/

sudo tee /etc/logrotate.d/hermes > /dev/null <<'EOF'
/var/log/hermes-backup.log {
    weekly
    rotate 8
    compress
    delaycompress
    missingok
    notifempty
    create 644 root root
}
EOF

# 構文チェック（dry run）
sudo logrotate -d /etc/logrotate.d/hermes

# === 作業ユーザー: hermes ===
sudo -iu hermes
cd ~/hermes-stack
docker compose down

# 現状を退避（万一に備えて）
mv ~/.hermes ~/.hermes.broken-$(date +%Y%m%d)

# === 作業ユーザー: 管理者 ===
exit
whoami   # 管理者であること

# バックアップから復元
sudo tar xzf /var/backups/hermes/hermes-20260520-0400.tar.gz \
  -C /home/hermes
sudo chown -R hermes:hermes /home/hermes/.hermes /home/hermes/hermes-stack

# === 作業ユーザー: hermes ===
sudo -iu hermes
cd ~/hermes-stack
docker compose up -d
sleep 90
docker compose ps

# 動作確認
hermes chat -q "hello"   # alias 設定済みなら

# === 作業ユーザー: hermes ===
sudo -iu hermes
cd ~/hermes-stack

# 1. 最新版のリリースノートを確認
# https://github.com/NousResearch/hermes-agent/releases

# === 作業ユーザー: 管理者（バックアップ取得のため） ===
exit
sudo /usr/local/bin/hermes-backup.sh

# === 作業ユーザー: hermes ===
sudo -iu hermes
cd ~/hermes-stack

# 2. .env の HERMES_VERSION を新バージョンに書き換え
sed -i 's/^HERMES_VERSION=.*/HERMES_VERSION=v2026.6.0/' .env
cat .env   # 確認

# 3. イメージ取得とコンテナ再作成
docker compose pull
docker compose up -d
sleep 90

# 4. ステータス
docker compose ps   # (healthy) になること
docker compose logs --tail 50

# 5. 動作確認
hermes --help
hermes chat -q "hello"

healthcheck:
  test: ["CMD-SHELL", "bash -c '</dev/tcp/localhost/8642'"]

docker exec -u hermes -it hermes /opt/hermes/.venv/bin/hermes ...

# フルパス指定
docker exec -u hermes -it hermes /opt/hermes/.venv/bin/hermes chat -q "..."

# または alias 経由
hermes chat -q "..."

ls -la ~/.hermes/credentials/ 2>/dev/null
cat ~/.hermes/config.yaml | grep -A2 provider

ssh -L 9119:127.0.0.1:9119 admin@your-vps
# ブラウザで http://localhost:9119

whoami
# 期待値:
# - 管理者作業中: 自分の通常ユーザー名（例: <管理者ユーザー>）
# - hermes 作業中: hermes

# === 作業ユーザー: 管理者 ===

# Hermes に切り替え
sudo -iu hermes

# === 以下は作業ユーザー: hermes ===
# (alias `hermes` が .bashrc 設定済みの前提)

# 状態確認
cd ~/hermes-stack
docker compose ps
docker compose logs --tail 50 hermes

# Hermes と対話
hermes                                # インタラクティブ
hermes chat -q "なにかつぶやいて"       # ワンショット
hermes sessions list                  # 過去セッション
hermes --resume <session_id>          # 再開

# 設定確認
hermes config show
hermes doctor

# 完全再起動
docker compose restart hermes

# 完全リセット（データ保持）
docker compose down
docker compose up -d
sleep 90 && docker compose ps   # healthy 確認

# バージョンアップ
vi .env                                # HERMES_VERSION 書き換え
docker compose pull && docker compose up -d
sleep 90 && docker compose ps
hermes doctor

# === 作業ユーザー: 管理者（戻る場合は exit） ===
exit

# ヘルスチェック手動実行
sudo /usr/local/bin/hermes-health-collect.sh
cat /var/lib/hermes-health/*.json | jq .

# バックアップ手動実行
sudo /usr/local/bin/hermes-backup.sh

# ログ確認
sudo tail -f /var/log/hermes-backup.log
sudo journalctl -u docker -f