配置项
.env 中的关键配置：大模型、数据源、数据库、网关认证、反向代理、规则写回目录与可选项。
deploy.sh 生成 .env（权限 600）。改动后执行 docker compose -f docker-compose.prod.yml up -d 重建容器生效。数据源和大模型也可以在界面上改：数据源在 设置 > 数据源连接，大模型在 AI 设置。
| 变量 | 说明 |
|---|
LLM_API_KEY | 模型端点的 API key |
LLM_BASE_URL | OpenAI 兼容端点地址，例如火山方舟 https://ark.cn-beijing.volces.com/api/v3。配置模型时必填，没有内置默认值 |
LLM_MODEL | 模型名或推理接入点 ID |
LLM_TIMEOUT_S | 单次调用超时，默认 180 秒。思考模型较慢时调大 |
RST_TIMEZONE | 时区，默认 +08:00。模型理解「今天」「昨天」依赖它 |
三项都不填时，查询退回关键词生成，标为低可信度。
| 变量 | 说明 |
|---|
PROMETHEUS_URL | 例如 http://prometheus.corp.local:9090 |
PROMETHEUS_USER、PROMETHEUS_PASSWORD 或 PROMETHEUS_BEARER_TOKEN | 前面有反向代理做认证时使用，二选一 |
RST_PROMETHEUS_CA_CERT | 私有 CA，例如 /certs/ca.pem（文件放在安装目录的 ./certs）。不要关闭证书校验 |
ALERTMANAGER_URL | 例如 http://alertmanager.corp.local:9093 |
ALERTMANAGER_USER、ALERTMANAGER_PASSWORD 或 ALERTMANAGER_BEARER_TOKEN | 同上 |
GRAFANA_URL | 浏览器能打开的 Grafana 地址，只用于跳转链接 |
GRAFANA_DATASOURCE_UID | Grafana 中 Prometheus 数据源的 UID，默认 prometheus |
RST_ALERTS_POLL_S | 拉取 Alertmanager 告警的间隔，默认 15 秒，0 关闭 |
| 变量 | 说明 |
|---|
RST_PROM_RULES_DIR | 网关写规则文件的目录（审批通过的规则和网络规则包）。Prometheus 必须加载同一个目录（rule_files: [<目录>/*.yml]），并以 --web.enable-lifecycle 启动，网关才能热加载。留空时规则可以生成和审批，但不能写回 |
| 变量 | 说明 |
|---|
RST_DB_PASSWORD | 自带 PostgreSQL 的口令 |
RST_DB_URL | postgresql://rst:<口令>@postgres:5432/rst，口令与上一项一致。使用自己的 PostgreSQL 时指向它 |
| 变量 | 说明 |
|---|
RST_GATEWAY_SHARED_SECRET | 32 位以上随机串，deploy.sh 自动生成 |
RST_ADMIN_TOKEN | 32 位以上随机串，运维令牌 |
RST_ADMIN_PASSWORD_HASH | admin 口令的哈希。缺少时网关拒绝一切经浏览器的登录 |
RST_SESSION_TTL_HOURS | 登录会话有效期，默认 12 小时 |
生成口令哈希，并把输出写入 .env，其中每个 $ 写成 $$：
docker exec rst-ai-copilot-for-prometheus-gateway python -m backend.session_auth '<新口令>'
docker compose -f docker-compose.prod.yml up -d gateway
改口令会让所有已登录会话失效。多账号部署由管理员在用户页重置他人口令。
| 变量 | 说明 |
|---|
CADDY_SITE_ADDRESS | 访问用的域名或 IP |
CADDY_DEFAULT_SNI | 站点地址填了多个时设为其中一个，裸 IP 访问需要 |
CADDY_TLS | 证书来源，见系统要求 |
| 变量 | 说明 |
|---|
RST_AUDIT_ENABLED | 有数据库时审计默认开启，设 false 关闭 |
RST_MASKING_MODE | 发给模型前的脱敏档位：cloud（默认）、private、airgapped，也可在设置页改 |
RST_DISCOVERY_INTERVAL_SECONDS | 设备自动发现间隔，默认 3600 秒，最小 300，0 关闭定时发现（手动按钮仍可用） |
RST_METRICS_TOKEN | 设置后，抓取 /metrics 和 /metrics/inventory 需要带上这个 token |
RST_CONTENT_AUTO_APPLY | 设 0 时新内容包只保存不自动启用 |
RST_COMMUNITY_DAILY_QUOTA | 社区版每天的模型调用上限，默认不限 |
RST_GATEWAY_CPUS、RST_GATEWAY_MEM | 网关容器的 CPU 和内存上限，默认 2 CPU、2 GB |
