這張卡做什麼（白話）

寫客戶實際執行的安裝腳本 install.sh：客戶解開出貨包、跑這一支，它會檢查主機環境夠不夠格 → 載入所有 docker image 並驗完整性 → 產生資料庫密碼 → 建庫 → 起整組服務 → 最後印出「請開瀏覽器完成設定」＋一組一次性 setup token。純 bash、不做 TUI（D10）；不建 admin 帳號——那是 Web 精靈的事，密碼不經終端留痕。

• 母案 CM-1189：https://app.notion.com/p/FR-065-Installer-3bc346da4cd081c4abf3ce74a28ba384
• 所屬子需求卡 CM-1244：https://app.notion.com/p/FR-065-2-bundle-3be346da4cd08103adb2e1803cf7b42c
• 設計文件：docs/features/FR-065-2608-onprem-installer/design.md §4.5

具體實作內容

環境檢查清單（門檻數值本卡定案）：

• OS：Linux x86_64（glibc ≥ 2.35——實際約束的是 docker 本身，BE binary 跑在自帶 glibc 的基底鏡像內）
• Docker Engine（需支援 compose plugin v2）＋docker compose；systemctl enable docker（開機自起，D10：不另立 systemd unit）
• /etc/machine-id 非空：test -s /etc/machine-id 必過——CM-1242 實測：缺檔時 docker 會把掛載點建成目錄、license 指紋退回隨機 MAC 每次重啟漂移。極精簡系統用 systemd-machine-id-setup 補；⚠️ machine-id 一旦重生成，既有綁機憑證全部失效——只在「本來就沒有」時補
• 磁碟／記憶體／CPU 門檻（image tars＋DB volume＋上傳檔＋log＋pg_dump 備份；全 stack 最低規格實測定）
• 時區：主機 TZ 與部署一致（image 內建 Asia/Taipei）
• 網路：air-gap 前提可運作；對內開放單一入口 80/443

流程步驟：環境檢查 → docker load 全部 image＋逐一比對 bundle manifest sha256 digest（不符即拒裝，D3）→ 產生基礎設施密碼組（cmmgr/cm_app 分別產生，不沿用 DEV 同密碼慣例）＋寫 guidant.env → DB init（T-2.4 one-shot 容器：schema＋字典 seed，不建 admin）→ docker compose up -d（包裝過的指令，永遠帶 service 名）→ healthcheck 全綠

尾端印出：「請開 http://<主機>/ 完成設定」＋一次性 setup token（Jenkins 式防搶注——精靈開放期間防止非安裝者搶先建帳號）。不印 admin 密碼。

--config 非互動模式：參數由設定檔提供，供自動化／重跑。

易踩雷提醒

• digest 比對是 FR-064 D7 劃入本案的 image 層防竄改——不能做成警告後放行，必須拒裝
• machine-id 檢查不過必須在最前面擋（進到 up 之後才發現＝指紋漂移事故現場）
• up 指令永遠帶 service 名（recreate DB 事故防護，見 T-1.1）