docs: adopt clean PSD replacement model

docs/operations/psd-server-survey-remediation-checklist.md

@@ -58,7 +58,7 @@ Authentik, Aritmolab o repository esterni.
 | 4 | Topologia e responsabilità del load balancer | `BLOCKED` | Unassigned | Necessario per Project B/route opzionale |
 | 5 | Accesso read-only protetto ad Authentik | `BLOCKED` | Unassigned | Necessario per Project B, non per A privato |
 | 6 | Accesso catalog-only protetto a PostgreSQL | `BLOCKED` | Unassigned | DWH direct read-only ancora da provare |
-| 7 | Backup e rollback del vecchio ThothII | `BLOCKED` | Proprietario del progetto | Procedura e destinazione da approvare |
+| 7 | Confine temporaneo e cleanup del vecchio ThothII | `PASS` | Proprietario del progetto | Retain fino a Project B PASS; cleanup esatto separato |
 | 8 | Accesso Git read-only al workspace PSD | `BLOCKED` | Curator da confermare | Checkout/deploy key server mancanti |
 | 9 | Metadati Pi e LLM verificabili | `BLOCKED` | Unassigned | Policy e reachability redatte mancanti |
 | 10 | Conservazione evidenze e nuovo survey bounded | `PENDING` | Unassigned | Nuovo report e decisione proprietario |
@@ -281,23 +281,22 @@ Authentik, Aritmolab o repository esterni.
 - Next step: definire con il DBA ruolo, secret-file protetto, TLS/rete e query di grant da ripetere;
   non creare il ruolo durante il survey.
 
-## Activity 7: Prove legacy backup and rollback
+## Activity 7: Bind the disposable legacy boundary and cleanup exclusions
 
-- Status: `BLOCKED`
-- Accountable owner: Unassigned
-- Objective: dimostrare che il vecchio ThothII possa essere preservato e ripristinato prima di
-  qualsiasi stop.
-- Why this is required: source, container, bind e network sono inventariati, ma backup verificato,
-  controller e restart recipe non sono disponibili.
+- Status: `PASS`
+- Accountable owner: Proprietario del progetto (confermato dall'utente)
+- Objective: mantenere il vecchio ThothII solo come confine temporaneo di cutover e rimuovere
+  esclusivamente le sue risorse dopo il PASS reale di Aritmolab.
+- Why this is required: Aritmolab usa oggi i container legacy, ma il proprietario ha dichiarato
+  sacrificabili sessioni, configurazione e dati del vecchio ThothII.
 - Ordered actions:
-  1. identificare owner e meccanismo lifecycle compatibile;
-  2. confermare assenza di lavoro utente da preservare;
-  3. definire contenuti, destinazione e protezione del backup;
-  4. definire checksum e verifica di leggibilità;
-  5. scrivere comandi esatti di stop/start e ordine di chiusura/ripristino route;
-  6. eseguire il backup soltanto nella successiva fase autorizzata, prima dello stop.
-- Required redacted evidence: inventario, percorso backup, checksum, owner, restart recipe e
-  rollback route; nessun contenuto di secret.
+  1. inventariare nuovamente container, image ID, source e data immediatamente prima dello stop;
+  2. preservare invariati i due network condivisi e l'Evidence ETL esterna;
+  3. chiudere la route e fermare solo i container legacy nel gate Project A autorizzato;
+  4. conservare container, immagini, source e data fino al PASS automatico, umano e owner di B;
+  5. rimuovere poi soltanto gli exact target sotto un'autorizzazione cleanup separata.
+- Required redacted evidence: inventario esatto, owner, restart recipe, esclusioni shared, decisioni
+  Project A/B e manifest finale di cleanup; nessun contenuto di secret.
 - Discussion notes: il legacy stack è ancora attivo e invariato. Compose project `thothii` usa
   `/home/chirone/ThothII/compose.yaml`; i servizi sono `core` e `frontend`, senza named volume.
   Il solo bind applicativo RW è `/home/chirone/thothii-data` (con i bind Pi annidati); Evidence è
@@ -307,13 +306,13 @@ Authentik, Aritmolab o repository esterni.
   `PI_AUTH_FILE=/home/chirone/thothii-data/pi-config/agent/auth.json` insieme a
   `--env-file deploy/thothii.env -p thothii -f compose.yaml`; stop individua entrambi i container
   e start è sintatticamente valido (non trova container arrestati mentre lo stack è ancora attivo).
-- Decision: il controller e le radici da archiviare sono identificati; nessun backup o stop è stato
-  eseguito. Per un rollback normale i container restano esistenti e il controller usa `start`.
-- Blockers: scegliere/approvare la destinazione protetta, creare il backup con manifest/checksum,
-  verificare la leggibilità dell'archivio, definire la gestione della route durante lo stop e
-  ottenere il consenso separato prima di eseguire stop/start.
-- Next step: approvare manifest, destinazione e comandi; eseguire backup e checksum soltanto nel
-  successivo gate di mutazione.
+- Decision: nessun backup legacy è richiesto. I container, immagini, source e data già presenti
+  restano il solo rollback temporaneo fino al PASS Project B; non si crea alcun utente host. Le
+  risorse esclusive potranno essere cancellate dopo il collaudo Aritmolab, mentre network shared,
+  ETL Evidence, Omics, LocalLLM, DWH, `dwh-auth`, Supabase, Authentik e Superset sono esclusi.
+- Blockers: nessuno per questa decisione survey. Stop/start, route change e cleanup restano tre
+  autorizzazioni di mutazione separate e non sono autorizzati da questo PASS.
+- Next step: usare il design e piano clean-replacement approvati; non eseguire ancora mutazioni.
 
 ## Activity 8: Provide read-only PSD workspace Git access
 
@@ -375,12 +374,13 @@ Authentik, Aritmolab o repository esterni.
   `/home/chirone/ThothII` at `6ca4275`; the only RW application bind is
   `/home/chirone/thothii-data`, plus the nested Pi binds. The source is about 1.05 GB and the data
   bind about 1.9 MB. No backup was created.
-- Recovery evidence: existing containers can be inventoried for a stopped-container restart, but
-  backup destination, checksum/restore procedure and route ordering are not yet approved.
-- Identity collision: legacy data and protected subtrees are numerically owned by UID/GID 10001.
-  The example in `docs/install/server.md` and the Project A Pi preparation use UID 10001 for the
-  new service. Do not create that host
-  identity or grant it access until a reviewed isolation/ownership strategy is approved.
+- Recovery decision: legacy state is disposable; no backup is required. Existing stopped
+  containers, images, source and data remain only as the temporary Project A/B rollback boundary.
+- Identity decision: neither UID nor GID 10001 maps to a host account. No host identity will be
+  created. The new image retains numeric `10001:10001`, confined to its distinct writable roots;
+  the existing operator owns source/configuration. Recheck both `getent` lookups before creating
+  paths and stop on any new mapping.
+- Shared exclusion: never remove the Omics/LocalLLM networks or external ETL Evidence bind.
 - Candidate paths: documented examples `/srv/thothii` and `/srv/thothii-backups` are absent and
   therefore only candidates; they have not been created. `127.0.0.1:18080` è il candidato
   frontend e risultava libero al momento del survey, ma non è riservato e va ricontrollato prima
@@ -425,10 +425,10 @@ Authentik, Aritmolab o repository esterni.
 
 Un nuovo `SURVEY_GO_PROJECT_A_PRIVATE` richiede:
 
-- owner e autorità di backup/stop/start/rollback identificati per il legacy e Project A;
+- owner e autorità di stop/start/rollback identificati per il legacy e Project A;
 - accessi read-only PostgreSQL, workspace Git e Pi/LLM verificati;
 - identità DWH dimostrata read-only;
-- backup e restart recipe legacy verificabili;
+- inventario, restart recipe e cleanup exclusions legacy verificabili;
 - risorse e percorsi della nuova installazione approvati;
 - report redatto, secret-scan valido e checksum verificato;
 - approvazione esplicita del proprietario.
@@ -452,3 +452,4 @@ registrata separatamente.
 |---|---|---|---|
 | 2026-08-20 | Initial | Creata checklist; Activity 1 aperta, Activity 2–10 pending | Sol |
 | 2026-08-21 | Sequencing amendment | Activity 1 deferred pre-B; survey ripreso read-only; Project A private resta NO-GO | Owner/Sol |
+| 2026-08-21 | Clean replacement | Activity 7 PASS; legacy disposable dopo B; nessun account host 10001 | Owner/Sol |