50 lines
2.2 KiB
Markdown
50 lines
2.2 KiB
Markdown
|
# serveur_backup_site
|
||
|
|
|
||
|
|
**Le marqueur du dépôt de sauvegarde du site.** Il dit que *ce* dépôt est celui où les
|
||
|
|
écosystèmes du site déposent leur état, et déclare le flux qui le permet. Il n'installe
|
||
|
|
rien.
|
||
|
|
|
||
|
|
## Le quatrième service prêté
|
||
|
|
|
||
|
|
| ce que le site prête | pendant la jeunesse du tenant |
|
||
|
|
|---|---|
|
||
|
|
| les paquets | `serveur_cache_site` |
|
||
|
|
| le génome | `serveur_forge_site` |
|
||
|
|
| les noms | `serveur_resolveur_site` |
|
||
|
|
| **l'état** | **ce rôle** |
|
||
|
|
|
||
|
|
## Ce qu'il a corrigé
|
||
|
|
|
||
|
|
Mesuré le 2026-09-01, en préparant un rasage de Chezlepro : **toutes ses sauvegardes
|
||
|
|
vivaient sur `backup-01`, une VM de sa propre flotte.** Raser l'écosystème aurait détruit
|
||
|
|
les données et leur seul filet dans le même geste.
|
||
|
|
|
||
|
|
La doctrine affirmait pourtant que `client_backup_cible` *« pointe déjà hors de
|
||
|
|
l'écosystème »*. C'était vrai pour patient 0, qui sauvegarde chez `eregion` — faux pour
|
||
|
|
Chezlepro. *Un document qui décrit une propriété que le réel n'a pas est exactement ce que
|
||
|
|
ce dépôt traque.*
|
||
|
|
|
||
|
|
## Pourquoi une zone à lui seul
|
||
|
|
|
||
|
|
`site-sauvegarde` (VLAN 35) n'existe que pour lui. Il détient l'état de **chaque** tenant :
|
||
|
|
clés d'autorité, annuaires, bases, courriel. C'est la machine dont la compromission coûte
|
||
|
|
le plus cher du site — davantage que la forge, dont le contenu est du code, et davantage
|
||
|
|
que l'AC, qui forge des noms sans détenir de données.
|
||
|
|
|
||
|
|
Le mettre avec le génome aurait partagé un domaine de diffusion entre ce que les tenants
|
||
|
|
**viennent chercher** et ce qu'ils **déposent**. Deux natures opposées : l'une est faite
|
||
|
|
pour être lue par tous, l'autre pour n'être lue par personne.
|
||
|
|
|
||
|
|
## Ce qui rend la mutualisation acceptable
|
||
|
|
|
||
|
|
Le site reçoit des **octets chiffrés par restic avant de partir**. Il héberge l'état de
|
||
|
|
ses locataires sans pouvoir le lire — c'est ce qui distingue ce service de la voûte, qui
|
||
|
|
ne se mutualise à aucun âge.
|
||
|
|
|
||
|
|
## Ce que ce rôle ne fait pas
|
||
|
|
|
||
|
|
Il n'installe rien. Il vérifie deux choses : que la racine des dépôts **existe**, et qu'il
|
||
|
|
reste de la **place** devant les locataires. *Un dépôt qui se remplit n'échoue pas à
|
||
|
|
l'ouverture — il échoue au milieu d'un instantané, chez le locataire, et la panne se lit
|
||
|
|
comme une erreur réseau.*
|