release: PLAN33 Orca 対応（コンテナを SSH target として接続可能に）

README.md

@@ -17,6 +17,7 @@ devbaseは、Docker Composeを使った再現性の高い開発環境を提供
 - **環境変数の自動収集**: `devbase env init`でAWS/Git/GCP認証情報を対話的に設定
 - **階層メニュー TUI**: `devbase list` のプロジェクト一覧（矢印キー移動・名前絞り込み対応）から起動・操作（up / down / login / ps / logs / scale / build / rebuild）を選択。画面最下部の常設メニュー（環境変数 / プラグイン / スナップショット / ステータス）へは ←→ キーで移動できます
 - **イメージ再ビルド**: `devbase build [name] --no-cache` でキャッシュ無効の完全再ビルド。`devbase rebuild [name]`（= `build --expires=7`）はイメージが既定 7 日より古いときのみ再ビルドします
+- **Orca 対応**: `ENABLE_SSH=true` でコンテナ内 sshd を publish し、[Orca](https://www.onorca.dev/) の SSH target として接続。`devbase orca sync` が隔離 SSH config を生成し、コンテナ内で worktree / AI エージェントを動かせます（[Orca 接続ガイド](docs/user/orca.md)）
 
 ## クイックスタート
 
@@ -148,6 +149,7 @@ devbaseのコマンドは4つのグループにまとめられています。
 | [環境変数の export/import ガイド](docs/user/env-export-import.md) | バンドル形式・age 暗号化・S3 連携・merge/replace の運用 |
 | [コンテナ操作ガイド](docs/user/container-operations.md) | ライフサイクル、並行開発、ボリューム構造 |
 | [スナップショットガイド](docs/user/snapshot-guide.md) | 増分バックアップ、世代管理、復元手順 |
+| [Orca 接続ガイド](docs/user/orca.md) | コンテナを SSH target として Orca から接続する手順 |
 | [トラブルシューティング](docs/user/troubleshooting.md) | カテゴリ別の問題と解決策 |
 
 ### プラグイン開発者向け

bin/devbase

@@ -246,7 +246,7 @@ run_python() {
 # Resolve abbreviated command to full command name via unique prefix matching
 resolve_command() {
     local input="$1"
-    local commands="init status project container ct env plugin pl snapshot ss up down login build rebuild ps scale list help"
+    local commands="init status project container ct env plugin pl snapshot ss orca up down login build rebuild ps scale list help"
     local matches=()
     for cmd in $commands; do
         [[ "$cmd" == "$input"* ]] && matches+=("$cmd")
@@ -402,7 +402,7 @@ case "$_resolved_cmd" in
     # Python-implemented commands
     --version|-V)
         run_python "$@" ;;
-    init|status|project|container|ct|env|plugin|pl|snapshot|ss|up|down|login|ps|scale|rebuild|list)
+    init|status|project|container|ct|env|plugin|pl|snapshot|ss|orca|up|down|login|ps|scale|rebuild|list)
         run_python "${_resolved_cmd}" "${_DEVBASE_ARGS[@]}" ;;
     # Shell-implemented commands
     #

containers/base/Dockerfile

@@ -13,6 +13,7 @@ RUN --mount=type=cache,target=/var/cache/apt,sharing=locked \
     apt-get update; \
     apt-get install -y --no-install-recommends \
     locales git wget vim sudo nano jq make unzip \
+    openssh-server \
     curl ca-certificates gnupg lsb-release \
     libnss3 libxrandr2 libxss1 \
     fonts-noto-cjk fonts-noto-cjk-extra; \
@@ -123,6 +124,12 @@ RUN groupadd -f users; \
     echo "$USERNAME ALL=(ALL:ALL) NOPASSWD: ALL" > /etc/sudoers.d/$USERNAME; \
     chmod 0440 /etc/sudoers.d/users /etc/sudoers.d/$USERNAME
 
+# sshd 設定（Orca 向け: 公開鍵認証のみ・Password 無効・TcpForwarding 有効）
+RUN set -eux; \
+    mkdir -p /run/sshd /etc/ssh/sshd_config.d; \
+    printf 'PasswordAuthentication no\nPubkeyAuthentication yes\nAllowTcpForwarding yes\nX11Forwarding no\nPermitRootLogin no\n' \
+    > /etc/ssh/sshd_config.d/10-devbase-orca.conf
+
 USER ${USERNAME}
 WORKDIR /tmp
 

containers/base/entrypoint.sh

@@ -261,6 +261,55 @@ done
 echo "AI agent settings symlinks setup completed"
 # ========================================
 
+# ========================================
+# SSH server (Orca 連携) — enabled by ENABLE_SSH=true
+# ========================================
+# NOTE: ~/.ssh は上の symlink setup で /persistent/ai/.ssh に張り替え済みのため、
+# authorized_keys の書き込みはこのブロック（symlink 生成後）で行う必要がある。
+if [ "$ENABLE_SSH" = "true" ] || [ "$ENABLE_SSH" = "1" ]; then
+    echo "Starting sshd for Orca..."
+
+    # host key を永続領域から復元、無ければ生成して保存する。
+    # 再ビルド/再作成で host key が変わると Orca 側 known_hosts が壊れるのを防ぐ。
+    # HOST_KEY_DIR は .ssh symlink とは別の独立ディレクトリ（ドット無し）。
+    HOST_KEY_DIR="/persistent/ai/ssh"
+    sudo mkdir -p "$HOST_KEY_DIR" || true
+    # host key の生成/復元と永続化を flock で直列化する。
+    # 同一ボリュームを共有する複数インスタンス間の競合 (TOCTOU) を防ぐ。
+    # flock は root 権限で lockfile を生成/取得する (HOST_KEY_DIR は root 所有)。
+    sudo flock "$HOST_KEY_DIR/.hostkey.lock" -c '
+        if ! ls /persistent/ai/ssh/ssh_host_*_key >/dev/null 2>&1; then
+            echo "Generating new install-unique sshd host keys..."
+            # イメージにビルド時焼き込みされた host key を先に除去してから再生成する。
+            # 除去しないと ssh-keygen -A が既存キーを検出して何も生成せず、
+            # イメージ由来の同一 (予測可能) な host key を全 install が共有してしまう。
+            rm -f /etc/ssh/ssh_host_*_key /etc/ssh/ssh_host_*_key.pub
+            ssh-keygen -A
+            cp /etc/ssh/ssh_host_*_key* /persistent/ai/ssh/ 2>/dev/null || true
+        fi
+        # 永続領域から /etc/ssh へ復元（毎回）
+        cp /persistent/ai/ssh/ssh_host_*_key* /etc/ssh/ 2>/dev/null || true
+    ' || true
+
+    # authorized_keys の展開（.ssh は /persistent/ai/.ssh へ symlink 済み）
+    if [ -n "$SSH_AUTHORIZED_KEYS" ]; then
+        mkdir -p ~/.ssh && chmod 700 ~/.ssh
+        printf '%s\n' "$SSH_AUTHORIZED_KEYS" > ~/.ssh/authorized_keys
+        chmod 600 ~/.ssh/authorized_keys
+        echo "authorized_keys installed"
+    else
+        # ~/.ssh は永続ストレージへの symlink のため、空にしただけでは前回書いた
+        # authorized_keys が残り、失効させたはずの鍵で login できてしまう。
+        # env を空にしたら永続化された鍵を確実に削除して失効を反映する。
+        rm -f ~/.ssh/authorized_keys
+        echo "Warning: SSH_AUTHORIZED_KEYS is empty; cleared persisted authorized_keys (public-key login disabled)"
+    fi
+
+    # sshd 起動（daemonize するため exec "$@" をブロックしない）
+    sudo /usr/sbin/sshd -e
+    echo "sshd started"
+fi
+
 # Git operations (optional, don't fail if they error)
 if [ -n "$GIT_USER" ] && [ -n "$GIT_REPO" ]; then
     # Clone repository only if it doesn't exist

docs/README.md

@@ -48,6 +48,7 @@ graph TD
 | [環境変数ガイド](user/environment-variables.md) | 3レベル構造、コレクター、ソース同期 |
 | [コンテナ操作ガイド](user/container-operations.md) | ライフサイクル、並行開発、ボリューム構造 |
 | [スナップショットガイド](user/snapshot-guide.md) | 増分バックアップ、世代管理、復元手順 |
+| [Orca 接続ガイド](user/orca.md) | コンテナを SSH target として Orca から接続する手順 |
 | [トラブルシューティング](user/troubleshooting.md) | カテゴリ別の問題と解決策 |
 
 **推奨の読み順:**
@@ -95,6 +96,7 @@ docs/
 │   ├── environment-variables.md       ← 環境変数ガイド
 │   ├── container-operations.md        ← コンテナ操作ガイド
 │   ├── snapshot-guide.md              ← スナップショットガイド
+│   ├── orca.md                        ← Orca 接続ガイド
 │   └── troubleshooting.md             ← トラブルシューティング
 ├── plugin-dev/                        ← プラグイン開発者向け
 │   ├── quickstart.md                  ← クイックスタート
@@ -117,6 +119,7 @@ docs/
 | 環境変数を設定する | [環境変数ガイド](user/environment-variables.md#環境変数の操作) |
 | 複数コンテナで並行開発する | [コンテナ操作ガイド](user/container-operations.md#並行開発) |
 | データをバックアップ・復元する | [スナップショットガイド](user/snapshot-guide.md) |
+| Orca からコンテナへ接続する | [Orca 接続ガイド](user/orca.md) |
 | エラーが発生した | [トラブルシューティング](user/troubleshooting.md) |
 | プラグインを作りたい | [プラグイン開発クイックスタート](plugin-dev/quickstart.md) |
 | devbase 本体に貢献したい | [コントリビューション](developer/contributing.md) |

docs/user/container-operations.md

@@ -218,6 +218,15 @@ graph TD
 | **go** | base | Go 開発環境 | Go 開発 |
 | **snapshot** | Ubuntu Noble | zstd のみ（約 80MB） | スナップショット専用 |
 
+### SSH サーバー（Orca 連携）
+
+base イメージには `openssh-server` が含まれます。環境変数 `ENABLE_SSH=true`（または `1`）を指定してコンテナを起動すると、entrypoint が sshd を起動します（既定は無効）。
+
+- 認証は公開鍵のみ（`SSH_AUTHORIZED_KEYS` に手元の公開鍵を設定）。
+- host key は初回起動時に install ごとに新規生成され（イメージ焼き込みの共通鍵は破棄）、`/persistent/ai/ssh/` に永続化されて再ビルド/再作成後も維持されます（Orca の known_hosts が壊れない）。
+
+> **Note:** `openssh-server` の追加は base イメージの変更のため、既存イメージには `devbase build --no-cache`（base 再ビルド）が必要です。
+
 ### AI CLI エイリアス
 
 general イメージ以降のコンテナ内では、以下の AI CLI ツールがエイリアスとして利用可能です。