本卡屬 FR-193（母卡 FR-193 母案（同清單上一張）），卡 A5，階段 P1，批 4。只改 evidence-agent。依賴：A3、A4。

這張卡做什麼（白話）

升級流程：主系統發更新 → Agent 寫升級單 → 主機 systemd 單元接手驗簽、docker load、compose up 換版。三支單元維持 root 跑（staging 目錄與簽章驗證要 root），但裡面 docker load／tag／images／compose 全走 A3 的 dk()。從舊版帶資料升到新版跑一遍；中途拔電重開機 boot-check 要能退回。

reuse／extend／new

extend：單元仍以 root 跑（staging 目錄與簽章驗證要 root），裡面 docker load／tag／compose 走 A3 的 dk()

在哪裡

repo：/Users/chouraymond/Projects/Billows/Audit-Manager/evidence-agent
改既有：scripts/install/lib/upgrade_order.sh
改既有：scripts/install/lib/upgrade_runner.sh
改既有：scripts/install/lib/systemd/guidant-agent-upgrade-order.service
改既有：scripts/install/lib/systemd/guidant-agent-upgrade-boot-check.service

怎麼做

• ① lib/systemd/guidant-agent-upgrade-order.service 與 -boot-check.service 維持 User=root（D6），After=docker.service 改 After=user@@[email protected]，install 時代入。.path 不動。
• ② lib/upgrade_order.sh：第 0 步 docker load、_uo_tags、docker tag 已被 A3 換成 dk；確認 staging 目錄 agent-staging/ 仍 root 700、解包與 verify-tree 在 root 做完才 dk load。_uo_after_install 建 agent-order/ 走 A4 換算。
• ③ lib/upgrade_runner.sh：dc_up、docker images 走 dk；回滾段 以舊版映像重建容器 同。
• ④ 從舊版（現行出貨版，root Docker）升到本版：這條不支援（D7 不留相容），升級腳本第一步偵測到系統層 docker 在跑且容器屬 root 就 fail 印「本版起改 rootless，請 uninstall 後重新安裝」。寫進卡回寫與 A7 手冊。
• ⑤ 驗（A1～A4 做完的機器）：主系統發 Agent 更新 → Agent 寫單 → 單元接手 → 新版起來、進度檔 job_id 對、log.gz 上傳；中途 echo b > /proc/sysrq-trigger 硬重開 → boot-check 退回舊版且容器起來；回滾段 guidant-agent-compose upgrade --rollback（若有）正常。

驗收（首腦照這個驗）

主系統發更新指令 → Agent 寫單 → 主機單元接手 → 新版起來；中途拔電重開機 boot-check 退回舊版；進度檔與 log.gz 上傳正常

必讀

• 設計：docs/features/FR-193-2611-docker-rootless/design-v1.2.md（現行定稿）§1 決策 D1～D8、§2.2 接入點盤點、§3 詳細設計本卡那節、§4 主機六項、§6 拆卡表本卡那列；design.md／design-v1.1.md 已凍結只當沿革
• Agent 主機 rootless Docker 安裝手冊（Claude Docs）：https://claude.ai/artifact/3qmGkyVHP6TC2EhYpKpkiD —— 十節逐步手冊，A1 把第 2～4 節自動化、A9 照第 5 節十二項驗
• Docker 官方 rootless 文件：https://docs.docker.com/engine/security/rootless/ 與其 troubleshoot／tips 子頁（ping_group_range、cgroup 委派、privileged port、cap_add 只在 userns 內有效都在那裡）
• 先例：BE scripts/build/fetch_tpm2_debs.sh（離線套件抓法）、Agent scripts/install/lib/tpm.sh（離線裝法與 gate）、lib/upgrade_order.sh 檔頭（升級單不可信五條）、BE scripts/build/audit_nonroot_stack.sh --agent（總驗工具）