boc/intelligence/2026-06-15-infra-nedtaktning-rapport.md

# Infrastruktur-rapport — Nedtaktning 2026-06-14/15
**Utförd av:** Bernt (AI-agent)  
**Datum:** 2026-06-14 00:00 – 2026-06-15 03:50 UTC  
**Beslut av:** Erik Svensson  
**Syfte:** Maximera ekonomisk återhållsamhet. Behåll endast quiXzoom-kritisk infrastruktur.

---

## FÖRE — Maj 2026

### Månadskostnad (maj, faktisk)
| Post | USD/mån |
|---|---|
| Savings Plans (Compute, 1år No Upfront) | 2 461 |
| EC2 Compute (utöver SP) | 922 |
| EC2 Other | 502 |
| ECS | 305 |
| MSK Kafka (3 brokers) | 340 |
| VPC/NAT Gateway | 228 |
| RDS (2 instanser) | 156 |
| CloudWatch | 138 |
| ELB (4 st) | 39 |
| ElastiCache | 63 |
| EKS | 74 |
| Bedrock | 63 |
| Kinesis | 23 |
| GuardDuty | 105 |
| Övrigt (Route53/S3/KMS/ECR/etc) | 60 |
| **TOTALT (exkl. skatt)** | **~5 420 USD/mån** |

### EC2-instanser (maj)
| Instans | Typ | Status | Funktion |
|---|---|---|---|
| server-2 (i-09b2204a52c2f33c9) | r8g.4xlarge | running | quiXzoom + AAMOS — ALLT |
| server-1 (i-0f5b6425bc415ce20) | r8g.4xlarge | stopped | Dubblett, amos + nginx + ollama |
| server-3-redundancy (i-0fc20ddba6bb17ead) | r6g.xlarge | running→stopped | Standby utan syfte |
| graviton-worker ×2 | r6g.2xlarge | running | ECS/K8s workers |
| karpenter-graviton ×2 | r7g.4xlarge | running | EKS Spot nodes |
| ci-runner (i-0638c0beae4ce4a1c) | t3.medium | stopped | CI |
| gpu-training ×2 | g5.2xlarge | stopped | ML-träning |

### Databaser (maj)
| DB | Klass | Multi-AZ | Kostnad |
|---|---|---|---|
| platform-identity-core | db.r6g.large | JA | ~83 USD/mån |
| platform-plane | db.t4g.micro | nej | ~12 USD/mån |

### Övrig infrastruktur (maj)
- **EKS cluster "wavult"** — Kong gateway, buildkit, k8s platform
- **MSK Kafka** — 3 brokers, ej använd av quiXzoom
- **ElastiCache** — Redis, okänt syfte
- **NAT Gateway** — privata subnets
- **4× Load Balancers** — 3 k8s-relaterade, 1 quiXzoom (aamos-prod-alb)
- **7× Elastic IPs** — 4 orphaned
- **Kinesis** — vyra-shot-events, 0 aktivitet
- **Tor-proxy** (tor-argus.service) — installerad 2026-06-08 som root, Kina-kringgång
- **GuardDuty** — alla features aktiverade inkl. Malware/EKS/RDS

---

## ÅTGÄRDER UTFÖRDA 2026-06-14/15

### Säkerhet
| Åtgärd | Detalj |
|---|---|
| **Tor raderat** | tor-argus.service stoppad/disabled, /usr/local/bin/tor, /etc/tor, /var/lib/tor borttagna |
| **GuardDuty bantad** | Disabled: EBS_MALWARE_PROTECTION, RDS_LOGIN_EVENTS, EKS_AUDIT_LOGS, EKS_RUNTIME_MONITORING, LAMBDA_NETWORK_LOGS, RUNTIME_MONITORING. Kvar: CLOUD_TRAIL, DNS_LOGS, FLOW_LOGS, S3_DATA_EVENTS |

### AWS-resurser borttagna
| Resurs | Besparing |
|---|---|
| ALB aamos-prod-alb (+ listeners + target group) | −21 USD/mån |
| RDS platform-identity-core | −12 USD/mån |
| RDS platform-plane | −12 USD/mån |
| Kinesis vyra-shot-events | −23 USD/mån |
| server-1 terminerad (EIP releasad) | −4 USD/mån |
| 3× orphaned EIPs (försvann med ALB) | −11 USD/mån |
| GuardDuty features bantade | −90 USD/mån |

*Tidigare nedtaktat (före denna session): EKS, MSK, ECS, ElastiCache, NAT Gateway, graviton-workers, server-3*

### Databasmigrering RDS → Lokal Postgres
| Steg | Detalj |
|---|---|
| Postgres 16 installerad | `dnf install postgresql16-server`, initierad, systemd-enable |
| Databaser skapade | `amos` (714 tabeller), `wavult_identity` (734 tabeller) |
| Dump från RDS | pg_dump med SSL: amos 258 MB, wavult_identity 598 MB |
| Restore lokalt | pg_restore -j 4, warnings normala (extensions/sequences) |
| pg_hba konfigurerad | scram-sha-256 på localhost |
| pgbouncer switchad | Pekar nu mot 127.0.0.1:5432 istället för RDS |
| .env uppdaterad | DATABASE_URL, AMOS_DB_URL, SUPABASE_DB_URL → 127.0.0.1 |
| .env backup | /opt/amos/.env.bak-rds-20260614-* |
| RDS deletion protection av | `modify-db-instance --no-deletion-protection` |
| RDS raderade | `delete-db-instance --skip-final-snapshot` |

---

## EFTER — Juni 2026

### Kvarvarande infrastruktur
| Resurs | Detalj |
|---|---|
| **server-2** (i-09b2204a52c2f33c9) | r8g.4xlarge, running, 16.170.83.169 |
| **Postgres 16 (lokal)** | /var/lib/pgsql/data, databaser: amos + wavult_identity |
| **pgbouncer** | 127.0.0.1:6432 → lokal Postgres |
| **NATS JetStream** | Lokal message bus |
| **nginx** | Reverse proxy, Let's Encrypt SSL |
| **aamos-prod-tg / ALB** | BORTTAGEN — DNS pekar direkt på 16.170.83.169 |
| **GuardDuty** | Aktiv, bantad kärna (CloudTrail + DNS + FlowLogs) |
| **Route53** | aamos.systems zon, alla A-records → 16.170.83.169 |
| **S3** | quiXzoom-buckets + platform-backups |
| **ECR** | Container images |
| **Savings Plans** | 3.418 USD/tim, löper t.o.m. 2027-04-30 |

### Stoppade instanser (kostar ingenting)
| Instans | Typ | Syfte |
|---|---|---|
| server-3-redundancy | r6g.xlarge | Standby (definieras senare) |
| ci-runner | t3.medium | CI/CD |
| gpu-training | g5.2xlarge | ML-träning (ALETHEIA/HEPHAISTOS) |
| ouroboros-gpu-training | g5.2xlarge | ML-träning backup |

### Tjänster på server-2 (aktiva)
```
amos-core.service              active  (port 3100)
quixzoom-api.service           active  (port 3209)
aamos-quixzoom-engine.service  active  (Rust)
aamos-ledger.service           active
aamos-billing-engine.service   active
aamos-api-gateway.service      active
postgresql.service             active  (port 5432, lokal)
pgbouncer.service              active  (port 6432)
nats-server.service            active
nginx.service                  active
openclaw-gateway.service       active
clickhouse.service             active  (Docker)
```

### Ny månadskostnad (estimerad)
| Post | USD/mån |
|---|---|
| Savings Plans (fast, ej påverkbar) | 2 461 |
| GuardDuty (kärna) | ~10 |
| Route53 | ~5 |
| S3 | ~5 |
| CloudWatch | ~5 |
| ECR | ~2 |
| Secrets Manager | ~2 |
| KMS | ~2 |
| **TOTALT** | **~2 492 USD/mån** |

**Besparing vs maj: −2 928 USD/mån (−54%)**

---

## ÅTERSKAPNINGSGUIDE — Framtida behov

### När quiXzoom växer och behöver mer compute

**SP täcker 3.418 USD/tim.** r8g.4xlarge = ~1.00 USD/tim.  
Du har headroom för **ytterligare ~2.4 USD/tim** compute täckt av SP utan extra kostnad.  
Det motsvarar: 2× r8g.2xlarge (0.50/tim styck) ELLER 1× r8g.8xlarge (2.01/tim).

```bash
# Starta server-3 (r6g.xlarge, stopped, redo direkt)
aws ec2 start-instances --instance-ids i-0fc20ddba6bb17ead

# Starta ci-runner (t3.medium, för CI/CD-behov)
aws ec2 start-instances --instance-ids i-0638c0beae4ce4a1c
```

### När ML-träning behövs (ALETHEIA/HEPHAISTOS)

```bash
# Starta gpu-training (g5.2xlarge, stopped — startar på sekunder)
aws ec2 start-instances --instance-ids i-04239ef03d26b218b
# eller ouroboros-gpu-training
aws ec2 start-instances --instance-ids i-0b96090f76c603b23

# VIKTIGT: Stoppa igen efter körning — g5.2xlarge kostar ~1.21 USD/tim
aws ec2 stop-instances --instance-ids i-04239ef03d26b218b
```

### När RDS-liknande managed DB behövs igen

```bash
# Skapa ny RDS t4g.micro (billigaste, ~12 USD/mån)
aws rds create-db-instance \
  --db-instance-identifier <namn> \
  --db-instance-class db.t4g.micro \
  --engine postgres \
  --engine-version 16 \
  --master-username wavult_admin \
  --master-user-password <lösen> \
  --allocated-storage 20 \
  --no-multi-az \
  --no-publicly-accessible \
  --region eu-north-1

# Dump från lokal Postgres till ny RDS:
pg_dump -h 127.0.0.1 -U wavult_admin -d amos -Fc -f /tmp/amos.pgc
pg_restore -h <rds-endpoint> -U wavult_admin -d amos /tmp/amos.pgc
```

### När Load Balancer behövs igen (multi-server setup)

```bash
# Skapa ny ALB
aws elbv2 create-load-balancer \
  --name aamos-prod-alb \
  --subnets subnet-XXXX subnet-YYYY \
  --security-groups sg-XXXX \
  --scheme internet-facing \
  --type application

# Skapa target group mot server-2
aws elbv2 create-target-group \
  --name aamos-prod-tg \
  --protocol HTTPS \
  --port 443 \
  --vpc-id vpc-XXXX \
  --target-type instance \
  --health-check-path /health

# OBS: Utan ALB går trafik direkt via nginx på server-2.
# ALB behövs bara vid horisontell skalning (flera instanser).
```

### När MSK Kafka behövs (event streaming i skala)

```bash
# NATS JetStream räcker för quiXzoom-volymer.
# MSK motiveras när: >100k events/sek ELLER multi-region ELLER extern integration.
# Kostnad: ~340 USD/mån (3 brokers). Starta först när det är motiverat.

aws kafka create-cluster-v2 \
  --cluster-name aamos-events \
  --provisioned BrokerNodeGroupInfo={InstanceType=kafka.t3.small,...},NumberOfBrokerNodes=3
```

### Savings Plan — vad händer april 2027

SP löper ut **2027-04-30**. Från maj 2027:
- Kostnad för server-2 tillkommer: ~722 USD/mån
- Total kostnad utan SP: ~750–800 USD/mån (server-2 + övrigt)
- **Beslut att ta mars 2027:** Köp ny SP (om compute-footprint motiverar) eller kör on-demand

```
Påminnelse att sätta: mars 2027 — utvärdera ny Savings Plan
Nuvarande SP-id: 77610c74-2f99-4ae5-a3c3-4019c08302b4
```

---

## SÄKERHETSNOTERINGAR

### GuardDuty findings kvar (ej åtgärdade)
- **S3 public anonymous access** på quiXzoom-buckets (quixzoom.de, .fr, .eu, etc) — HIGH 8.0
  - Dessa är troligen avsiktliga static-site buckets. Verifiera att de inte exponerar känslig data.
- **CompromisedInstanceGroup** (9.0) — härstammar från Tor-trafiken som nu är borttagen.
  - Archivera dessa findings i GuardDuty efter att du bekräftat att Tor är borttaget.

### Kvarstående secrets i .env
- .env på server-2 innehåller klartext-credentials för många tjänster
- Rekommendation: migrera till AWS Secrets Manager successivt
- Backup av .env finns i /opt/amos/.env.bak-rds-*

---

## TIDSLINJE

| Tid (UTC) | Åtgärd |
|---|---|
| 2026-06-14 00:52 | Erik beslutar om absolut ekonomisk återhållsamhet |
| 2026-06-14 05:30 | Tor-analys, GuardDuty CRITICAL 9.0 identifierat |
| 2026-06-14 05:45 | Tor raderat från server-2 |
| 2026-06-14 05:47 | GuardDuty bantad (−90 USD/mån) |
| 2026-06-14 05:48 | Kinesis borttagen (−23 USD/mån) |
| 2026-06-14 05:50 | ALB borttagen (−21 USD/mån) |
| 2026-06-14 05:52 | server-1 terminerad, EIP releasad (−4 USD/mån) |
| 2026-06-14 05:54 | Postgres 16 installerad på server-2 |
| 2026-06-14 05:59 | RDS-dump klar (amos 258 MB, identity 598 MB) |
| 2026-06-14 06:03 | Restore till lokal Postgres (714+734 tabeller) |
| 2026-06-14 06:05 | .env + pgbouncer switchad till localhost |
| 2026-06-14 06:06 | RDS deletion protection av, båda RDS raderade |
| 2026-06-15 03:50 | Verifiering — allt rent, rapport klar |