Set-OPS-Public/roles/serveur_cache_site/meta/authentification.yml

---
# Position de ce role dans la directive d'authentification (D-38..D-41).
# Voir docs/authentification.md. Gardee par la preuve P29.
authentification:
  portee: sans-auth-humaine
  mecanisme: aucun
  formulaire_local: sans-objet
  secours: "Acces SSH a l'hote"
  raison: >-
    Un cache de paquets ne sert que des machines. Ce qui le protege n'est pas une
    authentification mais la LISTE de ses pairs : seuls les tenants de ce site le
    joignent, et la frontiere le fait respecter. Ce qu'il sert est public par nature.
artefacts : le chainage des caches, et la regle qui appartient au SITE Une regle inter-tenant n'appartient ni a l'emetteur ni au recepteur : c'est le site qui autorise un flux entre deux de ses tenants, et son runner qui prepare le terrain. Deux silences fermes dans le generateur de frontiere. flux_frontiere() ne retenait que les flux `externe` -- or deux tenants vivent sur des VLAN routes par la frontiere, leur trafic la traverse. Et un egress vers un voisin recevait !SETOPS_INTERNES en destination : le port ouvert vers l'INTERNET. La destination est desormais nommee. Deux roles parce que meta/flux.yml est statique : un role unique aurait declare l'ingress pour TOUS les caches -- maillage complet, visible au devis. serveur_artefacts_site porte l'ingress, serveur_artefacts l'egress vers l'amont. Debian est desormais telecharge une fois pour toute la fabric. Le cache du site ne voit que des requetes agregees, jamais quelle machine installe quoi. Rien n'est applique : le devis se lit avant. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> 2026-08-24 17:40:33 -04:00			`---`
			`# Position de ce role dans la directive d'authentification (D-38..D-41).`
			`# Voir docs/authentification.md. Gardee par la preuve P29.`
			`authentification:`
			`portee: sans-auth-humaine`
			`mecanisme: aucun`
			`formulaire_local: sans-objet`
			`secours: "Acces SSH a l'hote"`
			`raison: >-`
			`Un cache de paquets ne sert que des machines. Ce qui le protege n'est pas une`
			`authentification mais la LISTE de ses pairs : seuls les tenants de ce site le`
			`joignent, et la frontiere le fait respecter. Ce qu'il sert est public par nature.`