49 lines
2 KiB
Markdown
49 lines
2 KiB
Markdown
|
# serveur_ops_tenant — donner à un runner la voûte de SON écosystème
|
||
|
|
|
||
|
|
> **Pour qui :** l'exploitant qui monte le runner d'un tenant.
|
||
|
|
|
||
|
|
Marqueur, pas installateur. `serveur_ops` installe le poste — Ansible, les collections, les
|
||
|
|
dépôts du génome, les symlinks. Ce rôle-ci y ajoute **un pouvoir** : la voûte de
|
||
|
|
l'écosystème, déposée **chiffrée**, sans laquelle le runner peut tout calculer et ne rien
|
||
|
|
configurer.
|
||
|
|
|
||
|
|
## Les trois portées d'un runner
|
||
|
|
|
||
|
|
```
|
||
|
|
calculer plan → inventaire aucune voûte serveur_ops
|
||
|
|
configurer rôles sur ses machines voûte du TENANT serveur_ops_tenant
|
||
|
|
matérialiser créer/détruire des VM voûte du SITE serveur_ops_site
|
||
|
|
```
|
||
|
|
|
||
|
|
Aucun runner n'est omnipotent. Le runner d'un **site** matérialise le terrain et n'entre
|
||
|
|
jamais chez un tenant ; le runner d'un **tenant** configure son écosystème et ne touche
|
||
|
|
jamais la fabric.
|
||
|
|
|
||
|
|
## Pourquoi un rôle à part
|
||
|
|
|
||
|
|
Donner sa voûte à un runner est un **pouvoir**, pas un réglage. Le déclarer au plan force à
|
||
|
|
répondre à « cette machine a-t-elle le droit de configurer cet écosystème ? » — une option
|
||
|
|
activée par défaut y répondrait à notre place.
|
||
|
|
|
||
|
|
## Ce qu'il exige
|
||
|
|
|
||
|
|
| Variable | Ce que c'est |
|
||
|
|
|---|---|
|
||
|
|
| `serveur_ops_tenant_depot` | le dossier de cet écosystème chez le runner ; vaut `serveur_ops_instance` par défaut |
|
||
|
|
| `serveur_ops_tenant_voute_source` | le chemin du `vault.yml` **sur le contrôleur** |
|
||
|
|
|
||
|
|
Le dossier d'inventaire (`principal` ou `production`) se **découvre** sur la machine : il
|
||
|
|
n'est écrit nulle part.
|
||
|
|
|
||
|
|
## Ce qu'il garantit
|
||
|
|
|
||
|
|
`decrypt: false` sur la copie, puis **relecture de l'en-tête** du fichier déposé. Une voûte
|
||
|
|
déchiffrée par accident est une fuite silencieuse — le fichier existe, le rôle se dirait
|
||
|
|
satisfait, et les secrets dormiraient en clair sur une machine. Le rôle refuse plutôt.
|
||
|
|
|
||
|
|
## Voir aussi
|
||
|
|
|
||
|
|
- `roles/serveur_ops/README.md` — l'installateur
|
||
|
|
- `roles/serveur_ops_site/README.md` — le pouvoir symétrique, côté fabric
|
||
|
|
- `docs/implanter-un-tenant-sur-un-site.md` — la séquence complète
|