fix ca export & mount

scripts/export-trino-ca.sh

@@ -11,6 +11,10 @@
 #     → /api/query mengembalikan 500 "fetch failed"
 #     → kartu "Data Catalog" di SQL IDE tampil "gagal load catalog"
 #
+# Mode file 0644 (sertifikat PUBLIK, bukan secret) supaya terbaca oleh proses
+# panel yang berjalan sebagai user LAIN di container (uid 1001) — dengan 0600
+# panel di container mendapat "Permission denied" → CA dianggap tak ada.
+#
 # Script ini mengekspor cert Trino yang berlaku ke file pin, dengan backup, dan
 # idempoten (tidak menulis bila sudah sinkron).
 #
@@ -96,7 +100,7 @@ if [ -f "$TRINO_CA_FILE" ]; then
     echo "→ Backup pin lama: $BAK"
     echo "   (fingerprint lama: $(fp_of "$BAK"))"
 fi
-install -m 600 "$TMP" "$TRINO_CA_FILE"
+install -m 644 "$TMP" "$TRINO_CA_FILE"
 echo "✓ Pin CA diperbarui: $TRINO_CA_FILE"
 
 # ── 3. Cross-check dengan endpoint live (bila sumbernya keystore) ────────────