rpi: Samba — сетевая папка бэкапа OneDrive для Mac (только чтение, только LAN)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

servers/rpi.md

@@ -185,6 +185,13 @@ Docker CE 29.9 + Compose v5.6 из репо download.docker.com (в Debian ст
 - Инструкция субагента — `~claude/.claude/CLAUDE.md` (исходник `codex/claude/CLAUDE.md`): правила хоста/infra/vault, не работать в клонах Astra, отчёт в конце. Скилл Astra — `claude-code` (делегирует по просьбе и сама при распараллеливании; каждый запуск — через кнопку подтверждения).
 - Проверено 2026-10-11: две фоновые задачи параллельно (место на дисках, таймеры) — обе код 0, 4 и 8 с.
 
+## Сетевая папка для Mac — Samba, только чтение (с 2026-10-11)
+- Зачем: смотреть бэкап OneDrive (фото «Пленки» и пр.) с Mac в Finder: «Подключиться к серверу» → `smb://rpi.local` (или `smb://192.168.10.25`).
+- Шары: **`onedrive`** → `/mnt/backup/onedrive/current` (зеркало OneDrive), **`onedrive-archive`** → `/mnt/backup/onedrive/archive` (удалённое/перезаписанное). Обе **`read only = yes`** — бэкап с Mac не стереть.
+- Доступ: только `rus`, пароль Samba отдельный от системного (`sudo smbpasswd -a rus`, задаёт владелец); гостей нет (`map to guest = never`, `restrict anonymous = 2`). Слушает только `192.168.10.25:445` и loopback (`bind interfaces only`), `hosts allow 192.168.10.0/24`; SMB ≥ 2.1; NetBIOS (`nmbd`) выключен, Mac находит по mDNS (`multicast dns register`). macOS-совместимость — `vfs objects = catia fruit streams_xattr`.
+- Конфиг — `stacks/rpi-share/smb.conf` → `/etc/samba/smb.conf` (исходный Debian — `smb.conf.orig`).
+- ⚠️ Где фото: живая фотопленка телефона идёт в OneDrive `Изображения/Пленка/<год>/<месяц>` (4393 файла, 39 ГБ на 2026-10-11); `Ruslan/Фотокамера` — разовая выгрузка 2022 г. (121 снимок 2017–2018), `Olya/Фотокамера` (5921, последний — 2025-11).
+
 ## Открытые хвосты (на 2026-10-11)
 - USB3-хаб с питанием — теперь только ради скорости: WD Elements 1 ТБ работает второй копией в роутере (~10 МБ/с); на малине через хаб было бы ~100 МБ/с (обновлено 2026-10-11, было «копия одна»).
 - Нет node-exporter (CPU/RAM/диск самой малины в Prometheus не видны) — пуш через pushgateway для node-метрик неудобен; решить, нужен ли.

stacks/rpi-share/smb.conf

@@ -0,0 +1,44 @@
+# Samba на rpi — просмотр бэкапа OneDrive с Mac (Finder → smb://rpi.local). Только чтение.
+# Доступ: только домашняя сеть, только пользователь rus (пароль Samba — отдельный, smbpasswd -a rus).
+[global]
+   workgroup = WORKGROUP
+   server string = rpi
+   server role = standalone server
+   interfaces = lo eth0
+   bind interfaces only = yes
+   hosts allow = 192.168.10.0/24 127.0.0.1
+   hosts deny = 0.0.0.0/0
+   server min protocol = SMB2_10
+   map to guest = never
+   restrict anonymous = 2
+   load printers = no
+   printing = bsd
+   printcap name = /dev/null
+   disable spoolss = yes
+   log file = /var/log/samba/log.%m
+   max log size = 1000
+   logging = file
+   # macOS: Finder, Quick Look, превью, корректные имена с «:» и др.
+   vfs objects = catia fruit streams_xattr
+   fruit:metadata = stream
+   fruit:model = MacSamba
+   fruit:posix_rename = yes
+   fruit:veto_appledouble = no
+   fruit:nfs_aces = no
+   fruit:wipe_intentionally_left_blank_rfork = yes
+   fruit:delete_empty_adfiles = yes
+   multicast dns register = yes
+
+[onedrive]
+   comment = Зеркало OneDrive (бэкап rpi), только чтение
+   path = /mnt/backup/onedrive/current
+   read only = yes
+   valid users = rus
+   browseable = yes
+
+[onedrive-archive]
+   comment = Всё, что удалили или перезаписали в OneDrive (вечный архив), только чтение
+   path = /mnt/backup/onedrive/archive
+   read only = yes
+   valid users = rus
+   browseable = yes