chore: update Claude Code to 2.1.302 (nginx 1.31.7-alpine, python 3.15-alpine)

helm --set-file ではなく UI から SSH 秘密鍵 + known_hosts / HTTPS トークンを登録可能に。

- git.guiIdentities.enabled（既定 true）。UI に「認証情報」カード（一覧/追加/削除）
- GET/POST/DELETE /api/identities。登録分はセッション NS の Secret
  （ラベル identity-source=gui / identity-type）として保存。Helm 管理分と同一覧に統合
- manager.py: resolve_identity / list_identities / create_gui_identity / delete_gui_identity。
  build_pod と create_session は Helm 管理 + GUI 登録の両方を解決。
  /api/config の identities を {name,type,source} 配列に変更
- rbac.yaml: guiIdentities.enabled 時のみ manager Role に同 NS secrets の CRUD を付与
- 秘密鍵はリクエストボディで manager へ届くため README に経路 TLS 必須を明記
- helm lint / template 検証済み

CHANGELOG-2.1.263-d.md

@@ -0,0 +1,38 @@
+# CHANGELOG 2.1.263-d — 手動リリース
+
+## 背景
+
+セッション Pod がブート失敗（`git clone` エラー等）で `Failed` になると、reaper が
+即座に削除するため `kubectl logs` で死因を確認できなかった。「開く」で 502 になるだけで
+原因が分からない状態だった。
+
+## 追加 / 変更
+
+- **`session.reaper.terminatedRetentionSeconds`（既定 900）**
+  終了済み（Succeeded / Failed）のセッション Pod を、この秒数が経過するまで回収しない。
+  Pod の `containerStatuses[].state.terminated.finishedAt` を基準に判定。`0` で旧挙動（即回収）。
+  manager の回収ループと予備 CronJob の両方が尊重する。
+- **`GET /api/sessions/<id>/log`**
+  セッション Pod（`claude` コンテナ）の直近ログを text/plain で返す。manager は既に
+  `pods/log` の `get` 権限を持つ（追加権限なし）。
+- **Web UI**
+  - セッション一覧に **「ログ」ボタン**（インラインでログ表示）。
+  - 状態を色分け表示。`Failed` の行に `reason` / `exit <code>` / `message` を併記。
+  - `Running` 以外では「開く」を出さない。
+- **セッションブートスクリプト（`files/session-entrypoint.sh`）**
+  - URL のスキーム（`https://` / `git@` / `ssh://`）と選択された identity の型
+    （`ssh` / `https-token`）の不一致を検出して警告。
+  - `git clone` を `--progress ... 2>&1` で実行し、git / ssh の出力をそのまま Pod ログへ。
+    失敗時は代表的な原因（認証不足・権限なし・known_hosts 不一致・NetworkPolicy による
+    egress 遮断）をメッセージで提示。
+
+## トラブルシューティング追記（README）
+
+- 「開く」で 502 / 一覧が `Failed` → UI の「ログ」ボタンで死因確認。
+- clone が 60〜130 秒でタイムアウト → NetworkPolicy（Cilium 等）の egress 遮断を疑い、
+  `--set networkPolicy.enabled=false` で切り分け。
+- URL スキームと identity 型を一致させる（HTTPS ↔ `https-token` / SSH ↔ `ssh`）。
+
+## バージョン
+
+`version` = `2.1.263-d` / `appVersion` = `"2.1.263"`。

CHANGELOG-2.1.263-e.md

@@ -0,0 +1,30 @@
+# CHANGELOG 2.1.263-e — 手動リリース
+
+## 背景
+
+`claude@192.168.9.65:websites/e-stay-tours.git`（SSH ユーザーを自分のアカウント名にした URL）が
+`リポジトリ URL の形式が不正です` で弾かれ、理由が分かりにくかった。
+Gitea・GitHub の SSH ユーザーは常に `git` だが、それを案内していなかった。
+
+## 変更
+
+- **`REPO_RE`（manager の URL バリデーション）を緩和**
+  - `ssh://<user>@<host>[:port]/<path>` … `git` 以外のユーザーも受理
+  - `<user>@<host>:<path>` … SCP 記法。`git@` 固定をやめて任意ユーザー可
+  - `<host>:<path>` … ユーザー省略も受理
+  - `//` で始まるパスは引き続き拒否（URL 誤入力の検出）
+  - ホスト allowlist（`git.allowedHosts`）は従来どおり全形式に適用
+- **エラーメッセージを具体化**
+  - URL 形式エラー時に受理される 3 形式と「SSH ユーザーは常に `git`」を明記
+  - ホスト不許可時に許可済みホスト一覧を併記
+- **Web UI**: リポジトリ URL 入力欄の下に形式ヒントを表示
+
+## 注意
+
+`claude@…` のような不正ユーザーでも URL 形式としては通るようになったが、その場合の
+`git clone` は Gitea 側で失敗する。失敗ログは `2.1.263-d` で追加した「ログ」ボタンで確認できる。
+正しくは `git@<host>:<org>/<repo>.git`。
+
+## バージョン
+
+`version` = `2.1.263-e` / `appVersion` = `"2.1.263"`。

CHANGELOG-2.1.263-f.md

@@ -0,0 +1,36 @@
+# CHANGELOG 2.1.263-f — 手動リリース
+
+## 追加: GUI からの git identity 登録
+
+Web UI の **「認証情報（identity）」カード** から、`helm` を触らずに SSH 秘密鍵 +
+`known_hosts` / HTTPS トークンを登録・削除できるようにした。
+
+- `git.guiIdentities.enabled`（既定 `true`）
+- API:
+  - `GET /api/identities` … Helm 管理 + GUI 登録の identity 一覧（`{name, type, source}`）
+  - `POST /api/identities` … 登録（`{name, type, privateKey, knownHosts}` または
+    `{name, type, username, token}`）。`ssh` は `known_hosts` 必須、秘密鍵の簡易検証あり。
+    Helm 管理と同名は拒否。既存 GUI 分は置き換え。
+  - `DELETE /api/identities/<name>` … 削除（`identity-source=gui` のみ。Helm 管理は不可）
+- 保存先: セッション NS の Secret。ラベル
+  `claude-code.cafepieters.com/identity-source: gui|helm` /
+  `claude-code.cafepieters.com/identity-type: ssh|https-token` で区別。
+- `build_pod` / セッション作成のバリデーションは Helm 管理と GUI 登録の両方を解決する
+  （`resolve_identity` / `list_identities`）。
+- `/api/config` の `identities` は文字列配列 → `{name,type,source}` 配列に変更。UI も追従。
+
+## RBAC
+
+`git.guiIdentities.enabled: true` のとき、manager Role にセッション NS の
+`secrets` `["get","list","create","update","patch","delete"]` を追加（`false` なら付かない）。
+同 NS には Claude 認証情報 Secret も存在するため、不要なら無効化を推奨。
+
+## セキュリティ注意
+
+秘密鍵はブラウザ → gateway → manager をリクエストボディで通る。経路の TLS
+（Ingress の `tls` / LB の TLS 終端）を有効にすること。README「git — 接続先と認証
+アイデンティティ」に明記。
+
+## バージョン
+
+`version` = `2.1.263-f` / `appVersion` = `"2.1.263"`。

CLAUDE.md

@@ -57,6 +57,57 @@ Git リポジトリ（GitHub / Gitea など互換 Git 全般）をチェック
 
 ## 改修履歴
 
+### GUI からの git identity 登録（2026-09-09, v2.1.263-f）
+
+**要望**: SSH 鍵を `helm --set-file` ではなく Web UI から登録したい。
+
+**修正内容**:
+- `git.guiIdentities.enabled`（既定 `true`）。UI に「認証情報」カード（一覧 + 追加フォーム +
+  削除）。`GET/POST/DELETE /api/identities`。
+- 保存先はセッション NS の Secret（ラベル `identity-source: gui|helm` /
+  `identity-type: ssh|https-token`）。`secret-git.yaml` の Helm 管理分にも同ラベルを付与。
+- `manager.py`: `resolve_identity` / `list_identities` / `create_gui_identity` /
+  `delete_gui_identity` を追加。`build_pod` と `create_session` は Helm 管理 + GUI 登録の
+  両方を解決。`/api/config` の `identities` を `{name,type,source}` 配列に変更（UI も追従）。
+- `rbac.yaml`: `guiIdentities.enabled` 時のみ manager Role に同 NS `secrets` の
+  get/list/create/update/patch/delete を追加。
+- 秘密鍵はリクエストボディで manager へ届く → README に「経路の TLS 必須」を明記。
+
+**対象ファイル**: `files/manager.py`, `values.yaml`, `values.schema.json`,
+`templates/rbac.yaml`, `templates/secret-git.yaml`, `templates/deployment.yaml`,
+`README.md`, `Chart.yaml`, `CHANGELOG-2.1.263-f.md`
+
+### リポジトリ URL バリデーション緩和 + エラーメッセージ具体化（2026-09-09, v2.1.263-e）
+
+**症状**: `claude@192.168.9.65:...`（SSH ユーザーをアカウント名にした URL）が
+`リポジトリ URL の形式が不正です` で弾かれ、原因が分かりにくい。Gitea/GitHub の SSH
+ユーザーは常に `git`。
+
+**修正内容**: `manager.py` の `REPO_RE` を `ssh://<user>@host/…` / `<user>@host:path` /
+`host:path` も受理するよう緩和（`//` 始まりは拒否、ホスト allowlist は全形式に適用）。
+URL 形式エラーで受理形式と「SSH ユーザーは常に `git`」を明記、ホスト不許可で許可済み
+一覧を併記。UI 入力欄にヒント追加。README の git セクションに URL 形式表を追加。
+
+**対象ファイル**: `files/manager.py`, `README.md`, `Chart.yaml`, `CHANGELOG-2.1.263-e.md`
+
+### 失敗セッションの調査性改善（終了 Pod の保持 + ログ API + UI）（2026-09-08, v2.1.263-d）
+
+**症状**: セッション Pod がブート失敗で `Failed` になると reaper が即削除し、`kubectl logs` で
+死因を追えない。UI では「開く」で 502 になるだけ。
+
+**修正内容**:
+- `session.reaper.terminatedRetentionSeconds`（既定 900）を追加。終了済み Pod を
+  `finishedAt` からこの秒数は残す。`manager.py` の `reap_once` と reaper CronJob の両方が尊重。
+- `GET /api/sessions/<id>/log`（`k8s_text` で pods/log を text 取得。追加 RBAC 不要）。
+- UI: 「ログ」ボタン、状態の色分け、`Failed` 行に reason/exitCode/message 併記、
+  `Running` 以外は「開く」非表示。
+- `session-entrypoint.sh`: URL スキームと identity 型の不一致を警告。`git clone` を
+  `--progress ... 2>&1` にして git/ssh 出力を Pod ログへ。
+
+**対象ファイル**: `files/manager.py`, `files/session-entrypoint.sh`, `values.yaml`,
+`values.schema.json`, `templates/deployment.yaml`, `templates/cronjob-reaper.yaml`,
+`README.md`, `Chart.yaml`, `CHANGELOG-2.1.263-d.md`
+
 ### gateway nginx クラッシュループ修正（location 正規表現のクォート）（2026-09-08, v2.1.263-c）
 
 **症状**: gateway コンテナが起動直後に

Chart.yaml

@@ -6,8 +6,8 @@ description: >-
   使い捨てコンテナで Git リポジトリ（GitHub / Gitea など）をチェックアウト・編集・
   検証・プッシュする。一定時間アイドルなセッションは自動破棄される。
 type: application
-version: 2.1.263-c
-appVersion: "2.1.263"
+version: 2.1.302
+appVersion: "2.1.302"
 keywords:
   - claude-code
   - claude

README.md

@@ -401,7 +401,8 @@ Secret は **セッション NS** に作成されます。`credentials` モー
 | `git.allowedHosts` | GitHub/GitLab/Gitea | clone を許可するホスト allow-list |
 | `git.allowArbitraryRepos` | `false` | allow-list を無効化し任意 URL を許可（非推奨） |
 | `git.defaultAuthorName` / `Email` | `Claude` / `claude@cafepieters.com` | コミット author 既定 |
-| `git.identities.<name>.type` | — | `ssh` / `https-token` |
+| `git.guiIdentities.enabled` | `true` | **Web UI から identity を登録・削除できるようにする**（下記） |
+| `git.identities.<name>.type` | — | `ssh` / `https-token`（Helm 管理・UI では読み取り専用） |
 | `…ssh.sshPrivateKey` / `knownHosts` | — | PEM 秘密鍵 / `ssh-keyscan` 出力（**`knownHosts` 必須**） |
 | `…https-token.username` / `token` | `x-access-token` / — | HTTPS ベーシック（GitHub PAT は username 任意） |
 | `…existingSecret` ほか | — | 既存 Secret 参照（キー名は `existingSecretKey*` で調整） |
@@ -409,6 +410,32 @@ Secret は **セッション NS** に作成されます。`credentials` モー
 GitHub でも Gitea でも GitLab でも、SSH か HTTPS トークンで認証できる Git ホストなら同じ仕組みで扱えます。
 セッション作成時に identity 名を選ぶと、その Secret だけがそのセッション Pod にマウントされます。
 
+#### GUI からの identity 登録（`git.guiIdentities.enabled: true`）
+
+Web UI の **「認証情報（identity）」カード** から、SSH 秘密鍵 + `known_hosts`、または
+HTTPS トークンを登録・削除できます。`helm` を触らずにセッションで使う鍵を追加できます。
+
+- 登録内容はセッション NS の Secret（ラベル `claude-code.cafepieters.com/identity-source: gui`）
+  として保存され、`git.identities`（Helm 管理・`identity-source: helm`）と同じ一覧に並びます。
+  Helm 管理のものは UI から削除できません。
+- **セキュリティ**: 秘密鍵はブラウザ → gateway → manager をリクエストボディで通ります。
+  **経路の TLS（Ingress の `tls` / LB の TLS 終端）を必ず有効に**してください。
+  有効化すると manager にセッション NS の `secrets` への `get`/`list`/`create`/`update`/`delete`
+  権限が付きます（同 NS には Claude 認証情報 Secret も存在）。不要なら `enabled: false`。
+- `known_hosts` は登録時必須です（`ssh-keyscan <host>` の出力を貼り付け。ホスト鍵 TOFU 無効化）。
+
+**URL の形式**（`git.identities` で選んだ鍵で認証されます）:
+
+| 形式 | 例 | identity |
+|---|---|---|
+| SSH（SCP 記法） | `git@192.168.9.65:websites/e-stay-tours.git` | `ssh` 型 |
+| SSH（URL 記法） | `ssh://git@192.168.9.65/websites/e-stay-tours.git` | `ssh` 型 |
+| HTTPS | `https://git.cafepieters.com/websites/e-stay-tours.git` | `https-token` 型（プライベート時） |
+
+> SSH のユーザー名は **常に `git`** です（Gitea・GitHub 共通）。自分の Gitea アカウント名
+> （`claude@…` など）ではありません。認証は identity の鍵で行われるため、その鍵を持つ
+> アカウントが対象リポジトリの参照権限を持っている必要があります。
+
 ### session — 使い捨てセッション
 
 | キー | 既定 | 説明 |
@@ -489,10 +516,13 @@ docker buildx build --platform linux/amd64,linux/arm64 \
 
 | 症状 | 原因と対処 |
 |---|---|
-| UI が 502 / セッションを開くと 502 | セッション Pod がまだ Ready でない（初回は `npm i` に時間）。数十秒待つ。恒久対策は事前ビルドイメージ |
+| セッションを「開く」と 502 / 一覧で `Failed` になる | セッション Pod のブートが失敗している。UI の **「ログ」ボタン**（または `kubectl logs -n <sessionsNamespace> claude-sess-<id>`）で死因を確認。終了 Pod は `session.reaper.terminatedRetentionSeconds`（既定 900s）残る |
+| clone が ~60〜130 秒後にタイムアウトして `Failed` | セッション Pod から Git ホストへの egress が届いていない。多くは **NetworkPolicy（Cilium 等）** が `ipBlock` egress を通していない。`--set networkPolicy.enabled=false` で切り分け。恒久対応は `networkPolicy.sessionEgressExtra` に対象 CIDR を追加、または Cilium 環境なら egress ルールの調整 |
+| clone が `could not read Username` / `Authentication failed` | プライベートリポジトリに認証情報が無い。HTTPS URL には `https-token` identity（Gitea/GitHub の PAT）を、SSH URL（`git@host:...` / `ssh://git@host/...`）には `ssh` identity を選ぶ。**URL のスキームと identity の型を一致させる** |
+| clone が `repository ... not found` / `does not appear to be a git repository` | パス誤り、またはその identity のアカウントに対象リポジトリの参照権限が無い |
+| UI が 502（`/s/...` のログが gateway に出ない） | 前段（LB / Ingress）が実体の無いセッションに返している。まず一覧で該当セッションが `Running` か、上記でブート失敗していないか確認 |
 | セッション作成が `許可されていない Git ホスト` | `git.allowedHosts` に対象ホストを追加（IP と FQDN は別物） |
 | clone が `Host key verification failed` | identity の `knownHosts` が対象ホストの鍵と不一致。`ssh-keyscan <host>` で取り直す |
-| clone が `terminated ... could not read Username` | HTTPS の場合 `git.identities.<name>` 未指定 or token 無効。SSH の場合は identity の type/秘密鍵を確認 |
 | WebSocket がすぐ切れる | Ingress の `proxy-read-timeout` を延長。`auth.mode: token` で Cookie 未設定なら一度 UI からログイン |
 | セッションが破棄されない | manager の RBAC / ログを確認。予備 CronJob（`session.reaper.cronjob`）が有効か |
 | `apk` エラーがログに出る | 既定イメージ + `readOnlyRootFilesystem` の制約。事前ビルドイメージを使う |
@@ -525,6 +555,15 @@ docker buildx build --platform linux/amd64,linux/arm64 \
 
 | バージョン | Claude Code | 変更内容 |
 |---|---|---|
+| 2.1.302 | 2.1.302 | 自動更新 |
+| 2.1.296 | 2.1.296 | 自動更新 |
+| 2.1.289 | 2.1.289 | 自動更新 |
+| 2.1.283 | 2.1.283 | 自動更新 |
+| 2.1.278 | 2.1.278 | 自動更新 |
+| 2.1.270 | 2.1.270 | 自動更新 |
+| 2.1.263-f | 2.1.263 | **Web UI から git identity（SSH 秘密鍵 + known_hosts / HTTPS トークン）を登録・削除**できる「認証情報」カードを追加（`git.guiIdentities.enabled`、既定 `true`）。`GET/POST/DELETE /api/identities`。GUI 登録分はセッション NS の Secret（`identity-source: gui`）として保存し、Helm 管理分と同じ一覧に統合。manager RBAC に同 NS の `secrets` CRUD を条件付き付与 |
+| 2.1.263-e | 2.1.263 | リポジトリ URL バリデーションを緩和（`ssh://user@…` / `user@host:path` / `host:path` も受理。ホスト allowlist は従来どおり適用）。エラーメッセージに受理形式と「SSH ユーザーは常に `git`」の注意を明記。UI の入力欄にヒントを追加 |
+| 2.1.263-d | 2.1.263 | 失敗したセッションの調査性を改善。`session.reaper.terminatedRetentionSeconds`（既定 900）で終了 Pod を即削除せず保持。UI に **「ログ」ボタン**（`GET /api/sessions/<id>/log`）を追加し、`Failed` の理由（exitCode / reason）を一覧に表示。セッションブートスクリプトが URL スキームと identity 型の不一致を警告し、`git clone` の出力をそのままログに出すよう変更 |
 | 2.1.263-c | 2.1.263 | 修正: gateway の nginx が起動時 `pcre2_compile() failed: missing closing parenthesis` でクラッシュループ。`location ~` の正規表現に `{10}` が含まれ、nginx がブロック区切りの `{}` と解釈していた。正規表現全体をダブルクォートで囲んで解消 |
 | 2.1.263-b | 2.1.263 | `anthropic.authMode: credentials`（既定）を追加。`~/.claude/.credentials.json` 全体を注入し、セッション内 `claude` の自己更新に加え、クラスタ内 refresher CronJob（`refreshToken` で Secret を定期更新）でトークン失効に自動追従。→ トークンが変わっても再デプロイ不要。refresher の RBAC は認証情報 Secret 1 個の get/patch に限定 |
 | 2.1.263-a | 2.1.263 | Service を `LoadBalancer` 対応（kube-vip 等でローカル LB の IP から管理画面へアクセス、`loadBalancerSourceRanges` で接続元制限、既定を `LoadBalancer` に変更）。Ingress は従来どおり併用可。API を使わないサブスクリプション認証（`claude setup-token` → `authMode: oauth`）の手順を README に追記 |

files/manager.py

@@ -56,7 +56,9 @@ BOOTSTRAP_CM = env("SESSION_BOOTSTRAP_CONFIGMAP", FULLNAME + "-session")
 ANTHROPIC_SECRET = env("ANTHROPIC_SECRET", FULLNAME + "-anthropic")
 ANTHROPIC_AUTH_MODE = env("ANTHROPIC_AUTH_MODE", "apiKey")
 ANTHROPIC_CREDENTIALS_KEY = env("ANTHROPIC_CREDENTIALS_KEY", ".credentials.json")
-GIT_IDENTITIES = env_json("GIT_IDENTITIES_JSON", {})
+GIT_IDENTITIES = env_json("GIT_IDENTITIES_JSON", {})  # Helm 管理（読み取り専用）
+GUI_IDENTITIES_ENABLED = env("GUI_IDENTITIES_ENABLED", "false").lower() == "true"
+GIT_FULLNAME_PREFIX = env("GIT_FULLNAME_PREFIX", FULLNAME)
 GIT_ALLOWED_HOSTS = [h.strip().lower() for h in env("GIT_ALLOWED_HOSTS", "").split(",") if h.strip()]
 GIT_ALLOW_ARBITRARY = env("GIT_ALLOW_ARBITRARY", "false").lower() == "true"
 GIT_AUTHOR_NAME = env("GIT_DEFAULT_AUTHOR_NAME", "Claude")
@@ -64,6 +66,9 @@ GIT_AUTHOR_EMAIL = env("GIT_DEFAULT_AUTHOR_EMAIL", "claude@cafepieters.com")
 IDLE_TIMEOUT = int(env("IDLE_TIMEOUT_SECONDS", "1800"))
 MAX_LIFETIME = int(env("MAX_LIFETIME_SECONDS", "43200"))
 REAP_INTERVAL = int(env("REAP_INTERVAL_SECONDS", "60"))
+# 終了済み（Succeeded / Failed）セッション Pod を残す秒数。0 なら即回収。
+# 死因を kubectl logs / UI「ログ」で調べられるよう既定で猶予を持たせる。
+TERMINATED_RETENTION = int(env("TERMINATED_RETENTION_SECONDS", "900"))
 MAX_SESSIONS = int(env("MAX_SESSIONS", "10"))
 TTYD_PORT = int(env("TTYD_PORT", "7681"))
 SESSION_RESOURCES = env_json("SESSION_RESOURCES_JSON", {})
@@ -100,14 +105,26 @@ LABEL_COMPONENT = "app.kubernetes.io/component"
 LABEL_SID = "claude-code.cafepieters.com/session-id"
 ANN_PREFIX = "claude-code.cafepieters.com/"
 SESSION_SELECTOR = LABEL_COMPONENT + "=session," + LABEL_APP + "=claude-code"
+LABEL_GIT_IDENT = "claude-code.cafepieters.com/git-identity"
+LABEL_IDENT_SOURCE = "claude-code.cafepieters.com/identity-source"
+LABEL_IDENT_TYPE = "claude-code.cafepieters.com/identity-type"
 
 SID_RE = re.compile(r"^[a-f0-9]{10}$")
-# 受け入れる repo URL: https://host/... または ssh://git@host/... または git@host:path
+# identity 名は Secret 名の一部になるため DNS ラベル相当に制限
+IDENT_NAME_RE = re.compile(r"^[a-z0-9]([a-z0-9-]{0,38}[a-z0-9])?$")
+# 受け入れる repo URL:
+#   https://host[:port]/path
+#   ssh://[user@]host[:port]/path
+#   [user@]host:path        （SCP 形式。Gitea/GitHub の SSH ユーザーは常に "git"）
+_USER = r"(?:[A-Za-z0-9_.\-]+@)?"
 REPO_RE = re.compile(
     r"^(?:https://(?P<h1>[A-Za-z0-9.\-]+)(?::\d+)?/[\w./\-~%]+"
-    r"|ssh://git@(?P<h2>[A-Za-z0-9.\-]+)(?::\d+)?/[\w./\-~%]+"
-    r"|git@(?P<h3>[A-Za-z0-9.\-]+):[\w./\-~%]+)$"
+    r"|ssh://" + _USER + r"(?P<h2>[A-Za-z0-9.\-]+)(?::\d+)?/[\w./\-~%]+"
+    r"|" + _USER + r"(?P<h3>[A-Za-z0-9.\-]+):(?!//)[\w./\-~%]+)$"
 )
+REPO_HELP = ("URL の形式: https://<host>/<org>/<repo>.git / "
+             "ssh://git@<host>/<org>/<repo>.git / git@<host>:<org>/<repo>.git "
+             "（Gitea・GitHub の SSH ユーザーは常に 'git'。あなたのアカウント名ではありません）")
 REF_RE = re.compile(r"^[\w./\-]{1,200}$")
 
 # --------------------------------------------------------------------------
@@ -146,6 +163,154 @@ def k8s(method, path, body=None, ctype="application/json"):
 def core(path):
     return "/api/v1/namespaces/" + urllib.parse.quote(SESSIONS_NS) + path
 
+
+def k8s_text(path):
+    """text/plain を返すエンドポイント（Pod ログ）用。(status, text) を返す。"""
+    req = urllib.request.Request(url=K8S_HOST + path, method="GET")
+    req.add_header("Authorization", "Bearer " + K8S_TOKEN)
+    try:
+        with urllib.request.urlopen(req, context=_ssl_ctx, timeout=30) as resp:
+            return resp.status, resp.read().decode("utf-8", "replace")
+    except urllib.error.HTTPError as exc:
+        return exc.code, exc.read().decode("utf-8", "replace")
+
+
+def session_log(sid, tail=800):
+    if not SID_RE.match(sid):
+        return 400, "bad session id"
+    return k8s_text(core("/pods/claude-sess-" + sid + "/log?container=claude&tailLines=" + str(int(tail))))
+
+# --------------------------------------------------------------------------
+# git identity（Helm 管理 + GUI 登録）
+# --------------------------------------------------------------------------
+def gui_identity_secret(name):
+    return GIT_FULLNAME_PREFIX + "-git-" + name
+
+
+def list_gui_identities():
+    """GUI から登録された identity（source=gui ラベルの Secret）の一覧。"""
+    if not GUI_IDENTITIES_ENABLED:
+        return []
+    status, payload = k8s("GET", core("/secrets?labelSelector=" +
+                                      urllib.parse.quote(LABEL_IDENT_SOURCE + "=gui")))
+    if status != 200:
+        log.error("list identity secrets failed: %s", status)
+        return []
+    out = []
+    for sec in payload.get("items", []):
+        lbl = sec.get("metadata", {}).get("labels", {})
+        nm = lbl.get(LABEL_GIT_IDENT)
+        if nm:
+            out.append({"name": nm, "type": lbl.get(LABEL_IDENT_TYPE, "ssh"), "source": "gui"})
+    return out
+
+
+def list_identities():
+    """UI 用: Helm 管理 + GUI 登録の identity 一覧。"""
+    out = [{"name": n, "type": (v or {}).get("type", "ssh"), "source": "helm"}
+           for n, v in GIT_IDENTITIES.items()]
+    names = {i["name"] for i in out}
+    for i in list_gui_identities():
+        if i["name"] not in names:
+            out.append(i)
+    return sorted(out, key=lambda x: x["name"])
+
+
+def resolve_identity(name):
+    """build_pod 用にマウント情報を返す。無ければ None。"""
+    if not name:
+        return None
+    if name in GIT_IDENTITIES:
+        return GIT_IDENTITIES[name]
+    if not GUI_IDENTITIES_ENABLED:
+        return None
+    status, sec = k8s("GET", core("/secrets/" + gui_identity_secret(name)))
+    if status != 200:
+        return None
+    lbl = sec.get("metadata", {}).get("labels", {})
+    if lbl.get(LABEL_IDENT_SOURCE) != "gui":
+        return None
+    typ = lbl.get(LABEL_IDENT_TYPE, "ssh")
+    data = sec.get("data", {}) or {}
+    if typ == "https-token":
+        user = "x-access-token"
+        if data.get("username"):
+            try:
+                user = base64.b64decode(data["username"]).decode("utf-8").strip() or user
+            except Exception:  # noqa: BLE001
+                pass
+        return {"type": "https-token", "secret": gui_identity_secret(name),
+                "keyToken": "token", "username": user}
+    return {"type": "ssh", "secret": gui_identity_secret(name),
+            "keyPrivateKey": "id", "keyKnownHosts": "known_hosts"}
+
+
+def create_gui_identity(body):
+    if not GUI_IDENTITIES_ENABLED:
+        return 403, {"error": "GUI からの identity 登録は無効です（git.guiIdentities.enabled）"}
+    name = str(body.get("name", "")).strip()
+    typ = str(body.get("type", "")).strip()
+    if not IDENT_NAME_RE.match(name):
+        return 400, {"error": "identity 名は英小文字・数字・ハイフン（先頭末尾は英数字、40 文字以内）"}
+    if name in GIT_IDENTITIES:
+        return 409, {"error": "Helm 管理の identity と同名です: " + name}
+    if typ == "ssh":
+        key = str(body.get("privateKey", "")).strip()
+        kh = str(body.get("knownHosts", "")).strip()
+        if "PRIVATE KEY" not in key:
+            return 400, {"error": "privateKey が OpenSSH/PEM 秘密鍵ではありません"}
+        if not kh:
+            return 400, {"error": "knownHosts は必須です（`ssh-keyscan <host>` の出力）"}
+        string_data = {"id": key + ("\n" if not key.endswith("\n") else ""), "known_hosts": kh + "\n"}
+    elif typ == "https-token":
+        token = str(body.get("token", "")).strip()
+        if not token:
+            return 400, {"error": "token は必須です"}
+        string_data = {"username": str(body.get("username", "") or "x-access-token").strip(),
+                       "token": token}
+    else:
+        return 400, {"error": "type は ssh か https-token"}
+
+    manifest = {
+        "apiVersion": "v1", "kind": "Secret", "type": "Opaque",
+        "metadata": {
+            "name": gui_identity_secret(name),
+            "namespace": SESSIONS_NS,
+            "labels": {
+                LABEL_APP: "claude-code",
+                LABEL_GIT_IDENT: name,
+                LABEL_IDENT_SOURCE: "gui",
+                LABEL_IDENT_TYPE: typ,
+            },
+        },
+        "stringData": string_data,
+    }
+    # 既存なら置き換え（PUT）、無ければ作成（POST）
+    status, _ = k8s("GET", core("/secrets/" + gui_identity_secret(name)))
+    if status == 200:
+        st, payload = k8s("PUT", core("/secrets/" + gui_identity_secret(name)), manifest)
+    else:
+        st, payload = k8s("POST", core("/secrets"), manifest)
+    if st not in (200, 201):
+        return st, {"error": "Secret 保存に失敗: %s" % payload.get("message", st)}
+    log.info("gui identity %s (%s) saved", name, typ)
+    return 200, {"ok": True, "name": name, "type": typ}
+
+
+def delete_gui_identity(name):
+    if not GUI_IDENTITIES_ENABLED:
+        return 403, {"error": "無効です"}
+    if not IDENT_NAME_RE.match(name):
+        return 400, {"error": "bad name"}
+    status, sec = k8s("GET", core("/secrets/" + gui_identity_secret(name)))
+    if status != 200:
+        return 404, {"error": "見つかりません"}
+    if sec.get("metadata", {}).get("labels", {}).get(LABEL_IDENT_SOURCE) != "gui":
+        return 403, {"error": "Helm 管理の identity は GUI から削除できません"}
+    k8s("DELETE", core("/secrets/" + gui_identity_secret(name)))
+    log.info("gui identity %s deleted", name)
+    return 200, {"ok": True}
+
 # --------------------------------------------------------------------------
 # セッション操作
 # --------------------------------------------------------------------------
@@ -166,7 +331,7 @@ def list_sessions():
         meta = pod.get("metadata", {})
         ann = meta.get("annotations", {})
         st = pod.get("status", {})
-        out.append({
+        info = {
             "id": meta.get("labels", {}).get(LABEL_SID, ""),
             "phase": st.get("phase", "Unknown"),
             "repo": ann.get(ANN_PREFIX + "repo", ""),
@@ -175,10 +340,33 @@ def list_sessions():
             "owner": ann.get(ANN_PREFIX + "owner", ""),
             "createdAt": ann.get(ANN_PREFIX + "created-at", ""),
             "lastActivity": ann.get(ANN_PREFIX + "last-activity", ""),
-        })
+            "reason": st.get("reason", ""),          # DeadlineExceeded 等
+            "message": st.get("message", ""),
+            "finishedAt": "",
+            "exitCode": None,
+        }
+        for cs in st.get("containerStatuses", []) or []:
+            term = (cs.get("state") or {}).get("terminated")
+            if term:
+                info["finishedAt"] = term.get("finishedAt", "")
+                info["exitCode"] = term.get("exitCode")
+                if not info["reason"]:
+                    info["reason"] = term.get("reason", "")
+        out.append(info)
     return out
 
 
+def _rfc3339_epoch(value):
+    """RFC3339（...Z）→ epoch 秒。失敗時は 0。"""
+    if not value:
+        return 0
+    try:
+        import datetime
+        return int(datetime.datetime.fromisoformat(value.replace("Z", "+00:00")).timestamp())
+    except Exception:  # noqa: BLE001
+        return 0
+
+
 def active_session_count():
     return sum(1 for s in list_sessions() if s["phase"] in ("Pending", "Running"))
 
@@ -223,7 +411,7 @@ def build_pod(sid, repo, ref, identity_name, owner):
         {"name": "bootstrap", "mountPath": "/bootstrap", "readOnly": True},
     ]
 
-    ident = GIT_IDENTITIES.get(identity_name)
+    ident = resolve_identity(identity_name)
     if ident:
         env_list.append({"name": "GIT_IDENTITY_TYPE", "value": ident.get("type", "")})
         if ident.get("type") == "ssh":
@@ -368,13 +556,14 @@ def create_session(repo, ref, identity_name, owner):
     repo = (repo or "").strip()
     ref = (ref or "main").strip()
     if not REPO_RE.match(repo):
-        return None, "リポジトリ URL の形式が不正です"
+        return None, "リポジトリ URL の形式が不正です。" + REPO_HELP
     if not REF_RE.match(ref):
-        return None, "ref の形式が不正です"
+        return None, "ref（ブランチ / タグ）の形式が不正です"
     host = repo_host(repo)
     if not GIT_ALLOW_ARBITRARY and host not in GIT_ALLOWED_HOSTS:
-        return None, "許可されていない Git ホストです: " + str(host)
-    if identity_name and identity_name not in GIT_IDENTITIES:
+        return None, ("許可されていない Git ホストです: %s（許可済み: %s）"
+                      % (host, ", ".join(GIT_ALLOWED_HOSTS) or "なし"))
+    if identity_name and resolve_identity(identity_name) is None:
         return None, "未知の git identity: " + identity_name
     if active_session_count() >= MAX_SESSIONS:
         return None, "同時セッション数の上限（%d）に達しています" % MAX_SESSIONS
@@ -434,7 +623,10 @@ def reap_once():
         live_ids.add(sid)
         reason = None
         if s["phase"] in ("Succeeded", "Failed"):
-            reason = "phase=" + s["phase"]
+            # 終了済み Pod は TERMINATED_RETENTION の猶予後に回収（死因調査のため残す）
+            fin = _rfc3339_epoch(s.get("finishedAt")) or (int(s["createdAt"] or 0) + 120)
+            if now - fin >= TERMINATED_RETENTION:
+                reason = "phase=" + s["phase"]
         else:
             try:
                 created = int(s["createdAt"] or 0)
@@ -508,6 +700,10 @@ td,th{text-align:left;padding:.45rem .3rem;border-bottom:1px solid #8883;vertica
 a.open{display:inline-block;background:#0891b2;color:#fff;padding:.3rem .7rem;border-radius:6px;text-decoration:none}
 .muted{opacity:.65;font-size:.85rem}
 code{background:#8882;padding:.1rem .3rem;border-radius:4px}
+.st-Running{color:#059669;font-weight:600}
+.st-Failed{color:#dc2626;font-weight:600}
+.st-Pending,.st-Succeeded{color:#d97706;font-weight:600}
+pre#logbox{white-space:pre-wrap;background:#111;color:#eee;padding:.8rem;border-radius:8px;max-height:50vh;overflow:auto;font-size:.8rem}
 </style></head><body>
 <h1>Claude Code — Remote Sessions</h1>
 <div id="login" hidden>
@@ -520,13 +716,51 @@ code{background:#8882;padding:.1rem .3rem;border-radius:4px}
 <div id="app" hidden>
   <form onsubmit="return doCreate(event)">
     <label for="repo">リポジトリ URL</label>
-    <input id="repo" placeholder="https://github.com/owner/repo.git または git@host:owner/repo.git" required>
+    <input id="repo" placeholder="https://host/org/repo.git または git@host:org/repo.git（SSH ユーザーは常に git）" required>
+    <div class="muted">SSH は <code>git@&lt;host&gt;:&lt;org&gt;/&lt;repo&gt;.git</code>（ユーザー名は自分のアカウントではなく必ず <code>git</code>）。認証は下で選ぶ identity の鍵で行われます。</div>
     <div class="row">
       <div style="flex:1"><label for="ref">ブランチ / タグ</label><input id="ref" value="main"></div>
       <div style="flex:1"><label for="ident">認証 identity</label><select id="ident"></select></div>
     </div>
     <button type="submit">セッション作成</button>
   </form>
+  <div class="card" id="identcard" hidden>
+    <div class="row" style="justify-content:space-between">
+      <strong>認証情報（identity）</strong>
+      <button class="sec" style="width:auto;margin:0" onclick="loadIdents()">更新</button>
+    </div>
+    <table><tbody id="identrows"></tbody></table>
+    <details style="margin-top:.6rem">
+      <summary style="cursor:pointer;font-weight:600">＋ identity を追加</summary>
+      <form onsubmit="return addIdent(event)" style="border:0;padding:.4rem 0 0;margin:0">
+        <div class="row">
+          <div style="flex:1"><label for="idn">名前</label>
+            <input id="idn" placeholder="gitea-ssh" pattern="[a-z0-9][a-z0-9-]{0,38}[a-z0-9]" required></div>
+          <div style="flex:1"><label for="idt">種類</label>
+            <select id="idt" onchange="identFields()">
+              <option value="ssh">SSH 秘密鍵</option>
+              <option value="https-token">HTTPS トークン</option>
+            </select></div>
+        </div>
+        <div id="f-ssh">
+          <label for="idkey">SSH 秘密鍵（PEM / OpenSSH）</label>
+          <textarea id="idkey" rows="6" style="width:100%;font-family:monospace;font-size:.8rem"
+            placeholder="-----BEGIN OPENSSH PRIVATE KEY-----&#10;..."></textarea>
+          <label for="idkh">known_hosts（必須）</label>
+          <textarea id="idkh" rows="2" style="width:100%;font-family:monospace;font-size:.8rem"
+            placeholder="ssh-keyscan &lt;host&gt; の出力を貼り付け"></textarea>
+        </div>
+        <div id="f-tok" hidden>
+          <label for="idu">ユーザー名</label>
+          <input id="idu" value="x-access-token">
+          <label for="idtk">トークン（PAT）</label>
+          <input id="idtk" type="password" placeholder="Gitea / GitHub の Personal Access Token">
+        </div>
+        <button type="submit">保存</button>
+        <div class="muted">秘密鍵はブラウザ→サーバーへ送信され Secret として保存されます。経路の TLS を有効にしてください。</div>
+      </form>
+    </details>
+  </div>
   <div class="card">
     <div class="row" style="justify-content:space-between">
       <strong>セッション一覧</strong>
@@ -534,24 +768,69 @@ code{background:#8882;padding:.1rem .3rem;border-radius:4px}
     </div>
     <table><thead><tr><th>ID</th><th>状態</th><th>リポジトリ</th><th></th></tr></thead>
     <tbody id="rows"></tbody></table>
-    <p class="muted">アイドル <span id="idle"></span> 秒で自動破棄されます。</p>
+    <p class="muted">アイドル <span id="idle"></span> 秒で自動破棄されます。終了したセッションは調査用にしばらく残ります。</p>
+  </div>
+  <div class="card" id="logcard" hidden>
+    <div class="row" style="justify-content:space-between">
+      <strong>ログ: <code id="logid"></code></strong>
+      <button class="sec" style="width:auto;margin:0" onclick="$('#logcard').hidden=true">閉じる</button>
+    </div>
+    <pre id="logbox"></pre>
   </div>
 </div>
 <script>
 const $=s=>document.querySelector(s);
 let identities=[];
 function api(path,opts){opts=opts||{};opts.credentials='same-origin';return fetch(path,opts);}
+let guiIdents=false;
 async function boot(){
   const r=await api('/api/config');
   if(r.status===401){$('#login').hidden=false;return;}
   const c=await r.json();
-  identities=c.identities||[];
+  guiIdents=!!c.guiIdentities;
   $('#idle').textContent=c.idleTimeoutSeconds;
-  const sel=$('#ident');
-  sel.innerHTML='<option value="">(認証なし / 公開リポジトリ)</option>'+identities.map(i=>`<option>${i}</option>`).join('');
   $('#app').hidden=false;
+  $('#identcard').hidden=!guiIdents;
+  applyIdents(c.identities||[]);
+  if(guiIdents) loadIdents();
   refresh();
 }
+function applyIdents(list){
+  identities=list;
+  $('#ident').innerHTML='<option value="">(認証なし / 公開リポジトリ)</option>'+
+    list.map(i=>`<option>${esc(i.name)}</option>`).join('');
+}
+function identFields(){
+  const ssh=$('#idt').value==='ssh';
+  $('#f-ssh').hidden=!ssh;$('#f-tok').hidden=ssh;
+}
+async function loadIdents(){
+  const r=await api('/api/identities');if(!r.ok)return;
+  const list=(await r.json()).identities||[];
+  applyIdents(list);
+  $('#identrows').innerHTML=list.map(i=>`<tr>
+    <td><code>${esc(i.name)}</code></td><td class="muted">${i.type}</td>
+    <td class="muted">${i.source}</td>
+    <td style="text-align:right">${i.source==='gui'
+      ?`<button class="sec" style="width:auto;margin:0" onclick="delIdent('${esc(i.name)}')">削除</button>`
+      :'<span class="muted">Helm 管理</span>'}</td></tr>`).join('')
+    ||'<tr><td class="muted">未登録</td></tr>';
+}
+async function addIdent(e){e.preventDefault();
+  const t=$('#idt').value;
+  const body={name:$('#idn').value.trim(),type:t};
+  if(t==='ssh'){body.privateKey=$('#idkey').value;body.knownHosts=$('#idkh').value;}
+  else{body.username=$('#idu').value.trim();body.token=$('#idtk').value;}
+  const r=await api('/api/identities',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify(body)});
+  const j=await r.json();
+  if(!r.ok){alert(j.error||'保存に失敗しました');return false;}
+  $('#idn').value='';$('#idkey').value='';$('#idkh').value='';$('#idtk').value='';
+  loadIdents();return false;
+}
+async function delIdent(name){if(!confirm('identity '+name+' を削除しますか？'))return;
+  const r=await api('/api/identities/'+encodeURIComponent(name),{method:'DELETE'});
+  if(!r.ok){const j=await r.json();alert(j.error||'削除に失敗しました');}
+  loadIdents();}
 async function doLogin(e){e.preventDefault();
   const r=await api('/login',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({token:$('#tk').value})});
   if(r.ok){location.reload();}else{alert('トークンが違います');}
@@ -566,16 +845,34 @@ async function doCreate(e){e.preventDefault();
 }
 async function del(id){if(!confirm('セッション '+id+' を破棄しますか？'))return;
   await api('/api/sessions/'+id,{method:'DELETE'});refresh();}
+async function showLog(id){
+  $('#logcard').hidden=false;$('#logid').textContent=id;
+  $('#logbox').textContent='読み込み中...';
+  const r=await api('/api/sessions/'+id+'/log');
+  $('#logbox').textContent=await r.text();
+  $('#logbox').scrollTop=$('#logbox').scrollHeight;
+  $('#logcard').scrollIntoView({behavior:'smooth'});
+}
+function esc(s){return (s||'').replace(/[&<>]/g,c=>({'&':'&amp;','<':'&lt;','>':'&gt;'}[c]));}
 async function refresh(){
   const r=await api('/api/sessions');if(!r.ok)return;
   const list=(await r.json()).sessions||[];
-  $('#rows').innerHTML=list.map(s=>`<tr>
-    <td><code>${s.id}</code></td>
-    <td>${s.phase}</td>
-    <td style="word-break:break-all">${s.repo||''}<div class="muted">${s.ref||''}</div></td>
-    <td><a class="open" href="/s/${s.id}/" target="_blank" rel="noopener">開く</a>
-        <button class="sec" style="width:auto;margin:.3rem 0 0" onclick="del('${s.id}')">破棄</button></td>
-  </tr>`).join('')||'<tr><td colspan=4 class="muted">セッションはありません</td></tr>';
+  $('#rows').innerHTML=list.map(s=>{
+    let sub=esc(s.ref);
+    if(s.phase==='Failed'||s.reason){
+      const d=[s.reason,(s.exitCode!=null?'exit '+s.exitCode:''),esc(s.message)].filter(Boolean).join(' / ');
+      if(d) sub+=` — <span class="st-Failed">${d}</span>`;
+    }
+    const canOpen=s.phase==='Running';
+    return `<tr>
+      <td><code>${s.id}</code></td>
+      <td><span class="st-${s.phase}">${s.phase}</span></td>
+      <td style="word-break:break-all">${esc(s.repo)}<div class="muted">${sub}</div></td>
+      <td>${canOpen?`<a class="open" href="/s/${s.id}/" target="_blank" rel="noopener">開く</a> `:''}
+          <button class="sec" style="width:auto;margin:.3rem .3rem 0 0" onclick="showLog('${s.id}')">ログ</button>
+          <button class="sec" style="width:auto;margin:.3rem 0 0" onclick="del('${s.id}')">破棄</button></td>
+    </tr>`;
+  }).join('')||'<tr><td colspan=4 class="muted">セッションはありません</td></tr>';
 }
 boot();
 </script></body></html>
@@ -638,16 +935,28 @@ class Handler(BaseHTTPRequestHandler):
             if not token_ok(self):
                 return self._json(401, {"error": "unauthorized"})
             return self._json(200, {
-                "identities": sorted(GIT_IDENTITIES.keys()),
+                "identities": list_identities(),
+                "guiIdentities": GUI_IDENTITIES_ENABLED,
                 "idleTimeoutSeconds": IDLE_TIMEOUT,
                 "maxLifetimeSeconds": MAX_LIFETIME,
                 "maxSessions": MAX_SESSIONS,
                 "authMode": AUTH_MODE,
             })
+        if path == "/api/identities":
+            if not token_ok(self):
+                return self._json(401, {"error": "unauthorized"})
+            return self._json(200, {"identities": list_identities()})
         if path == "/api/sessions":
             if not token_ok(self):
                 return self._json(401, {"error": "unauthorized"})
             return self._json(200, {"sessions": list_sessions()})
+        m = re.match(r"^/api/sessions/([a-f0-9]{10})/log$", path)
+        if m:
+            if not token_ok(self):
+                return self._json(401, {"error": "unauthorized"})
+            status, text = session_log(m.group(1))
+            return self._send(status if status == 200 else 200,
+                              text or "(ログはまだありません)", "text/plain; charset=utf-8")
         return self._send(404, b'{"error":"not found"}')
 
     def do_POST(self):
@@ -670,6 +979,9 @@ class Handler(BaseHTTPRequestHandler):
             if err:
                 return self._json(400, {"error": err})
             return self._json(201, {"id": sid, "url": "/s/" + sid + "/"})
+        if path == "/api/identities":
+            code, payload = create_gui_identity(self._body())
+            return self._json(code, payload)
         m = re.match(r"^/api/sessions/([a-f0-9]{10})/touch$", path)
         if m:
             touch_session(m.group(1), min_interval=0)
@@ -679,11 +991,16 @@ class Handler(BaseHTTPRequestHandler):
     def do_DELETE(self):
         if not token_ok(self):
             return self._json(401, {"error": "unauthorized"})
-        m = re.match(r"^/api/sessions/([a-f0-9]{10})$", urllib.parse.urlparse(self.path).path)
-        if not m:
-            return self._send(404, b'{"error":"not found"}')
-        delete_session(m.group(1))
-        return self._json(200, {"ok": True})
+        path = urllib.parse.urlparse(self.path).path
+        m = re.match(r"^/api/sessions/([a-f0-9]{10})$", path)
+        if m:
+            delete_session(m.group(1))
+            return self._json(200, {"ok": True})
+        m = re.match(r"^/api/identities/([a-z0-9][a-z0-9-]{0,39})$", path)
+        if m:
+            code, payload = delete_gui_identity(m.group(1))
+            return self._json(code, payload)
+        return self._send(404, b'{"error":"not found"}')
 
 
 def main():

files/session-entrypoint.sh

@@ -86,13 +86,30 @@ esac
 # --------------------------------------------------------------------------
 # 2. clone
 # --------------------------------------------------------------------------
+# URL のスキームと identity の型が食い違っていないか確認（よくある詰まり）
+case "$REPO_URL" in
+  https://*)
+    if [ "${GIT_IDENTITY_TYPE:-}" = "ssh" ]; then
+      err "HTTPS の URL ($REPO_URL) に SSH identity が選ばれています。"
+      err "→ プライベートリポジトリなら https-token の identity を選ぶか、URL を ssh://git@<host>/<org>/<repo>.git 形式にしてください。"
+    fi ;;
+  git@*|ssh://*)
+    if [ "${GIT_IDENTITY_TYPE:-}" != "ssh" ]; then
+      err "SSH の URL ($REPO_URL) に SSH identity が選ばれていません（identity=${GIT_IDENTITY_TYPE:-none}）。"
+      err "→ ssh 型の identity（秘密鍵 + known_hosts）を選んでください。"
+    fi ;;
+esac
+
 REPO_DIR="$WORKSPACE_DIR/$(basename "${REPO_URL%.git}")"
 if [ -d "$REPO_DIR/.git" ]; then
   log "既存チェックアウトを再利用: $REPO_DIR"
 else
   log "clone 中: $REPO_URL ($REPO_REF)"
-  if ! git clone --filter=blob:none --no-tags "$REPO_URL" "$REPO_DIR"; then
-    err "clone に失敗しました"; exit 1
+  # 進捗と失敗理由をそのまま Pod ログに出す（git のメッセージが死因の手がかり）
+  if ! GIT_SSH_COMMAND="${GIT_SSH_COMMAND:-ssh} -v" git clone --progress --filter=blob:none --no-tags "$REPO_URL" "$REPO_DIR" 2>&1; then
+    err "clone に失敗しました（上の git / ssh の出力を参照）。"
+    err "よくある原因: 認証情報の不足・権限なし / known_hosts 不一致 / NetworkPolicy による egress 遮断（接続タイムアウト）。"
+    exit 1
   fi
 fi
 cd "$REPO_DIR"

templates/cronjob-reaper.yaml

@@ -46,6 +46,8 @@ spec:
                   value: {{ .Values.session.idleTimeoutSeconds | quote }}
                 - name: MAX_LIFETIME_SECONDS
                   value: {{ .Values.session.maxLifetimeSeconds | quote }}
+                - name: TERMINATED_RETENTION_SECONDS
+                  value: {{ .Values.session.reaper.terminatedRetentionSeconds | quote }}
                 - name: TTYD_PORT
                   value: {{ .Values.session.ttydPort | quote }}
               securityContext:

templates/deployment.yaml

@@ -137,6 +137,10 @@ spec:
               value: {{ .Values.anthropic.existingSecretKeyCredentials | default ".credentials.json" | quote }}
             - name: GIT_IDENTITIES_JSON
               value: {{ $idents | toJson | quote }}
+            - name: GUI_IDENTITIES_ENABLED
+              value: {{ .Values.git.guiIdentities.enabled | quote }}
+            - name: GIT_FULLNAME_PREFIX
+              value: {{ include "claude-code.fullname" . | quote }}
             - name: GIT_ALLOWED_HOSTS
               value: {{ join "," .Values.git.allowedHosts | quote }}
             - name: GIT_ALLOW_ARBITRARY
@@ -151,6 +155,8 @@ spec:
               value: {{ .Values.session.maxLifetimeSeconds | quote }}
             - name: REAP_INTERVAL_SECONDS
               value: {{ .Values.session.reaper.intervalSeconds | quote }}
+            - name: TERMINATED_RETENTION_SECONDS
+              value: {{ .Values.session.reaper.terminatedRetentionSeconds | quote }}
             - name: MAX_SESSIONS
               value: {{ .Values.session.maxSessions | quote }}
             - name: TTYD_PORT

templates/rbac.yaml

@@ -22,6 +22,14 @@ rules:
   - apiGroups: [""]
     resources: ["events"]
     verbs: ["get", "list", "watch"]
+  {{- if .Values.git.guiIdentities.enabled }}
+  # GUI からの git identity 登録（Secret の作成/更新/削除）。
+  # list は同 NS の他 Secret も対象になりうるが、manager コードは
+  # ラベル claude-code.cafepieters.com/identity-source=gui のものだけを操作する。
+  - apiGroups: [""]
+    resources: ["secrets"]
+    verbs: ["get", "list", "create", "update", "patch", "delete"]
+  {{- end }}
 ---
 apiVersion: rbac.authorization.k8s.io/v1
 kind: RoleBinding

templates/secret-git.yaml

@@ -12,6 +12,8 @@ metadata:
   labels:
     {{- include "claude-code.labels" $ctx | nindent 4 }}
     claude-code.cafepieters.com/git-identity: {{ $name | quote }}
+    claude-code.cafepieters.com/identity-source: helm
+    claude-code.cafepieters.com/identity-type: {{ $id.type }}
 type: Opaque
 stringData:
   {{- if eq $id.type "ssh" }}

values.schema.json

@@ -141,6 +141,11 @@
         "allowArbitraryRepos": { "type": "boolean" },
         "defaultAuthorName": { "type": "string" },
         "defaultAuthorEmail": { "type": "string" },
+        "guiIdentities": {
+          "type": "object",
+          "additionalProperties": false,
+          "properties": { "enabled": { "type": "boolean" } }
+        },
         "identities": {
           "type": "object",
           "additionalProperties": {
@@ -180,6 +185,7 @@
           "additionalProperties": false,
           "properties": {
             "intervalSeconds": { "type": "integer", "minimum": 10 },
+            "terminatedRetentionSeconds": { "type": "integer", "minimum": 0 },
             "cronjob": {
               "type": "object",
               "additionalProperties": false,

values.yaml

@@ -30,13 +30,13 @@ image:
   gateway:
     registry: docker.io
     repository: nginxinc/nginx-unprivileged
-    tag: "1.31.5-alpine"
+    tag: "1.31.7-alpine"
     pullPolicy: IfNotPresent
   # 制御プレーン（Python 標準ライブラリのみ・追加 pip 不要）
   manager:
     registry: docker.io
     repository: library/python
-    tag: "3.14-alpine"
+    tag: "3.15-alpine"
     pullPolicy: IfNotPresent
   # セッションの使い捨てコンテナ。
   # 既定は CI（session-image.yaml）がビルドする事前ビルドイメージ
@@ -50,7 +50,7 @@ image:
   session:
     registry: git.cafepieters.com
     repository: helmchart/claude-code/session
-    tag: "2.1.263"
+    tag: "2.1.302"
     pullPolicy: IfNotPresent
 
 imagePullSecrets: []
@@ -216,8 +216,21 @@ git:
   defaultAuthorName: "Claude"
   defaultAuthorEmail: "claude@cafepieters.com"
 
-  # 認証アイデンティティ。セッション作成時に名前で選択する。
+  # GUI（Web UI）からの認証情報 identity 登録を許可する。
+  # 有効にすると、UI の「認証情報」カードから SSH 秘密鍵 + known_hosts / HTTPS トークンを
+  # 登録・削除できる。登録内容はセッション NS の Secret として保存される。
+  # トレードオフ:
+  #   - manager にセッション NS の secrets への get/list/create/update/delete 権限が付く
+  #     （同 NS には Claude 認証情報 Secret も存在する点に留意）。
+  #   - 秘密鍵はブラウザ→gateway→manager をリクエストボディで通る。経路の TLS
+  #     （Ingress の tls / LB の TLS 終端）を必ず有効にすること。
+  # 下の git.identities（Helm 管理）は常に読み取り専用で UI に表示される。
+  guiIdentities:
+    enabled: true
+
+  # 認証アイデンティティ（Helm 管理）。セッション作成時に名前で選択する。
   # GitHub / Gitea / GitLab など SSH または HTTPS トークンで認証する任意のホストに対応。
+  # GUI から登録したものと合わせて使える（同名は不可）。
   identities: {}
   #  gitea-ssh:
   #    type: ssh                       # ssh | https-token
@@ -268,6 +281,10 @@ session:
   reaper:
     # manager 内アイドル回収ループの実行間隔
     intervalSeconds: 60
+    # 終了済み（Succeeded / Failed）セッション Pod を回収せず残す秒数。
+    # 死因を UI の「ログ」ボタンや kubectl logs で確認できるよう猶予を持たせる。
+    # 0 にすると即回収（旧挙動）。
+    terminatedRetentionSeconds: 900
     # 予備の孤児掃除 CronJob（manager 障害時の保険）
     cronjob:
       enabled: true