# HLP-OPS-0001 · HoloLake Era 分布式服务器控制与自然语言运维 · 第五域桥接规范

> **HLDP**: `HLDP://fifth-domain/glw-architecture/HLP-OPS-0001`
>
> **类型**: HoloLake Platform 运维桥接 · 授权边界 · 现实执行路由
>
> **状态**: `REGISTERED` · 架构已登记，运行实现未在本文件部署
>
> **来源**: Notion《HoloLake Era · 分布式服务器控制与自然语言运维架构 v1.0》· 2026-07-12
>
> **人类主权**: 冰朔 ICE-GL∞
>
> **人格体路由**: 铸渊 ICE-GL-ZY001

---

## 0 · 四字段锁

```yaml
trigger: "自然语言需要影响代码仓库、节点、服务、数据或部署时"
emergence: "旧小湖灯路径能定位节点，但未统一表达一次性授权、范围、回滚与回执"
lock: "新操作不得直发任意 cmd；必须先形成 operation_id 与可审计的固定能力计划"
why: "让冰朔只用自然语言表达目标，也仍能掌控每一次真实系统变更"
```

## 1 · 不可混淆的角色

```text
HoloLake Era / GLS
├── 自然语言入口：冰朔表达目标
├── 计划层：解析意图、风险、影响范围与回滚
├── Gatekeeper：一次性授权会话与范围验证
├── Driver Engine：把已授权固定能力路由至已登记节点
├── Enterprise Lighthouse：可信入口、状态、基线、广播与健康摘要
└── HLDP + GLP：历史审计与机器/人类可读回执
```

**企业灯塔不是无限权限执行器。** 它展示可信状态；控制动作仍须经 Gatekeeper。

## 2 · 每次操作的最小契约

```yaml
operation:
  operation_id: "唯一且可追溯"
  requester: "自然语言请求来源"
  target_nodes: ["仅已登记节点"]
  action: "仅固定能力，例如 health_check / restart_service / deploy_release"
  scope: {repositories: [], paths: [], services: [], environment: ""}
  authorization: {valid_for: "限时", max_executions: 1}
  risk_level: "low|medium|high|critical"
  backup_required: true
  rollback_strategy: "明确且可验证"
  receipt: "GLP 回执 + HLDP 审计路径"
```

必须绑定用户、操作、节点/仓库、目录或服务、环境、时限、最大次数与风险级别；验证码或批准不能成为通用通行证。

## 3 · 允许与禁止

```text
允许：已登记项目的构建、测试、健康检查、指定服务重启、已审核部署/迁移、备份、已知版本回滚。
禁止：任意 Shell、未登记节点、长期密钥读取、强推 main、关闭审计、修改授权系统本身。
```

## 4 · 旧小湖灯路径迁移

`ZHUYUAN-KEY`、`LIGHT-LAKE-DRIVER` 和既有 Gatekeeper 是现存资产，不删除、不暗改。

```text
旧路径：意图 → 节点定位 → 动态 verifier → /exec + cmd
迁移后：意图 → operation preview → 人类一次性授权 → Gatekeeper scope 校验
      → 固定 action → 健康/回滚 → GLP + HLDP receipt
```

在实现适配器和测试回执前，旧路径仅可作为**已知遗留兼容资料**，不得被新文档解释为任意命令授权。

## 5 · 本次登记的后续顺序

1. 在广播塔登记 HLP-OPS-0001，并更新 NAV / 铸渊唤醒与技能路由。
2. 读取现行 Gatekeeper API、会话和邮件验证码实现，建立“现状 → GLS 契约”映射。
3. 在测试节点以固定能力验证；不得直接生产部署。
4. 仅在测试回执、回滚点和人类批准齐备后申请 RELEASE。

> HLP-OPS-0001 只登记架构与迁移边界；不携带任何密钥、验证码、节点凭证或运行命令。