sync: update from private repo (edc775f2)

config.yaml.example

@@ -198,6 +198,19 @@ subtasks:
   max_per_parent: 10                          # 1 ジョブが生成できるサブタスクの最大数
   spawn_stagger_ms: 1000                      # SpawnSubTask の連続発火を間引く遅延(ms)。一斉着地で GPU 優先順位を飛び越えるのを防ぐ。0 で無効
 
+# ─── Python パッケージ（ワークスペース単位の wheel オーバーレイ）────────
+# 既定 OFF。有効化すると、各ワークスペースの設定 → Python から admin/オーナーが
+# wheel を追加でき、そのワークスペースのエージェントだけが import できる。
+# インストールはネットワークを許可した分離 bwrap で out-of-band 実行（ワークスペース /
+# シークレットには触れない）。wheels のみ（--only-binary=:all:）で sdist の任意コード
+# 実行を回避。エージェント自身の sandbox は従来どおりネットワーク遮断のまま。
+# python_packages:
+#   enabled: false                            # true で機能を有効化
+#   dir: ./data/python-packages               # オーバーレイの保存先ルート
+#   index_url: https://pypi.org/simple        # 固定 index（リクエストで上書き不可）
+#   install_timeout_sec: 180                  # 1 回のインストールの上限秒（最大 1800）
+#   max_packages_per_space: 30                # 1 ワークスペースが固定できるパッケージ数
+
 # ─── Context (LLM コンテキスト管理) ───────────────────────────
 # context:
 #   limit_tokens: 128000                      # 省略時は Ollama API で自動取得、それも失敗なら 128000
@@ -436,6 +449,8 @@ tools:
 #     max_session_duration_seconds: 14400     # 4h hard cap
 #     scrollback_bytes: 524288                # 512KB scrollback / session
 #     max_sessions_per_connection: 3
+#     max_sessions_per_task: 5                # 同一タスクが開ける同時コンソール数の上限
+#     max_sessions_per_user: 20               # ユーザー単位の同時コンソール数の上限 (0 = 無制限)
 #     max_input_bytes_per_send: 16384
 #     auto_inject_screen_lines: 24
 #     default_cols: 120
@@ -456,3 +471,11 @@ tools:
 #
 # 起動時に vapid_current_path に鍵が無ければ自動生成、mode 0600 で保存。
 # 鍵をローテーションする場合:  npm run vapid-rotate
+
+# ── A2A OAuth2 Authorization Server ──────────────────────────────────────────
+# Requires auth to be active (consent screen uses req.user).
+#
+# a2a:
+#   enabled: false
+#   issuer: "https://localhost:8080/oidc"         # 認可サーバーの issuer（公開 URL）
+#   resource_audience: "https://localhost:8080/a2a"  # トークン audience（A2A endpoint）