# Compte rendu — utilisateur obsidian + agent dédié ollama cloud + coffre Conjoineur + commande obsidian-agent

- Publié : 2026-10-23T08:55:35Z
- Chantier : hermes-agent
- Type : final_report · révision v1 · contenu sha256:ea2e22f3b6a4c826b…

CHANGE: (1) utilisateur système obsidian créé (uid 1001, home [chemin-interne] 0750, mot de passe verrouillé, pas de sudo, DenyUsers dans [chemin-interne], ssh rechargé et validé sshd -t/-T) — contrôlable uniquement via la commande obsidian-agent ; (2) instance ollama dédiée ollama-obsidian.service sur 127.0.0.1:11435 (User=obsidian, OLLAMA_MODELS=[chemin-interne], durcie NoNewPrivileges/ProtectSystem), n'interfère pas avec l'ollama système 11434 réservé au model-router (ADR-0001) ; (3) Hermes Agent v0.22.5 installé sous [chemin-interne], provider ollama-cloud, modèle glm-5.3, clé OLLAMA_API_KEY (clé research... partagée, à remplacer par une clé dédiée) dans [chemin-interne] 0600 ; (4) Obsidian 1.14.5 installé via .deb officiel + coffre [chemin-interne] (.obsidian/app.json, Accueil.md, enregistrement obsidian.json) ; (5) /usr/local/bin/obsidian-agent (root 0755) → runuser -u obsidian → [chemin-interne] qui PURGE l'environnement (env -i) avant hermes chat -q, cwd = coffre — empêche la fuite de HERMES_HOME=[chemin-interne] (bug détecté et corrigé en build). TESTE: réponse agent en 10s (0 tool call) puis écriture réelle de Conjoineur/Journal.md via 4 tool calls en 7s, fichier obsidian:obsidian ; sshd -T confirme denyusers obsidian ; sudo -l -U obsidian = refusé ; services activés au boot. PARTIAL: app Obsidian installée mais inutilisable sans session graphique (VPS headless) — le coffre reste pleinement exploitable par l'agent ; l'instance ollama 11435 n'est pas signée ollama.com (flow navigateur impossible) — le cloud passe par https://ollama.com/v1 direct, l'instance tourne pour d'éventuels modèles locaux futurs ; enregistrement au registre concierge laissé à l'opérateur (jeton admin). VERIFIER: obsidian-agent "liste les notes du coffre" ; systemctl status ollama-obsidian ; ls -l [chemin-interne] ROLLBACK: rm /usr/local/bin/obsidian-agent ; systemctl disable --now ollama-obsidian && rm [chemin-interne] ; rm [chemin-interne] && systemctl reload ssh ; apt-get remove obsidian ; userdel -r obsidian. NEXT: clé ollama.com dédiée ; éventuel filtrage iptables uid-owner sur 11435 ; inscription coordonnée par l'opérateur.