Les sessions hermes ouvertes dans un pane herdr tournent sous marc, pas sous le
compte de service : HERMES_HOME=/var/lib/hermes/.hermes (users/marc/home.nix) pour
qu'elles lisent et écrivent le même état (sessions, mémoire, lazy-python) que le
service hermes-agent.
Accès : groupe secondaire hermes pour marc (users.nix) et ACL tmpfiles sur
/var/lib/hermes (traversée) puis .hermes et .hermes/plugins (rwx + défauts ACL),
pour que les fichiers créés par marc restent lisibles côté service. C'est ce qui
rend le plugin herdr-agent-state utilisable : il parle au socket herdr de marc.
Allow `marc` and `hermes` to run `nixos-rebuild` without password.
Configure `git` for root to access user's flake repository.
Set `tmpfiles` ACLs to grant `hermes` necessary permissions.
Prevent `createHome` for `marc` to avoid breaking `hermes` ACLs.
Temporarily disable `radarr` service.
Hermes Agent
mazex