Set-OPS-Public/roles/serveur_artefacts/templates/zzz-setops.conf.j2

# GÉNÉRÉ par Set-OPS (rôle serveur_artefacts). NE PAS éditer à la main.
#
# Lu APRÈS acng.conf et zz_debconf.conf : ces valeurs l'emportent.

Port: {{ serveur_artefacts_port }}
BindAddress: {{ serveur_artefacts_ecoute }}
CacheDir: {{ serveur_artefacts_cache }}
LogDir: {{ serveur_artefacts_journal }}

ExThreshold: {{ serveur_artefacts_expiration_jours }}

{% if serveur_artefacts_hors_ligne | bool %}
# MODE HORS LIGNE : le cache ne va plus rien chercher en amont. Il sert ce qu'il détient
# et refuse le reste — c'est l'état d'un écosystème coupé du monde, et l'épreuve qui
# montre ce que le cache détient VRAIMENT.
Offlinemode: 1
{% else %}
Offlinemode: 0
{% endif %}

{% if serveur_artefacts_amont %}
# CHAÎNAGE : ce cache passe par celui de l'hébergeur plutôt que d'aller chez Debian.
# Debian n'est ainsi téléchargé qu'une fois pour tout le site.
Proxy: {{ serveur_artefacts_amont }}
{% endif %}

{% if serveur_artefacts_remaps %}
# ETEND le motif des fichiers relayables — il ne le REMPLACE pas. Sans lui, une cle de
# signature en `.key` rend 403 la ou la meme en `.gpg` passe. Vaut pour TOUT cache de la
# chaine : celui qui relaie refuse avant meme de transmettre.
PfilePatternEx: {{ serveur_artefacts_motif_fichiers_sup }}

{% if not serveur_artefacts_amont %}
# --- DEPOTS TIERS : LE REMAP APPARTIENT AU CACHE QUI SORT (mesure du 2026-09-10) ---
#
# Le client demande en `http://`, ce cache va chercher en `https://` chez le fournisseur.
#
# POURQUOI SEULEMENT ICI. Un cache CHAINE (`Proxy:` vers l'amont) qui porte le meme remap
# tente le HTTPS A TRAVERS son amont — ce qui exige un tunnel CONNECT que l'amont ne fait
# pas. Mesure : le cache du tenant rendait alors 503 sur les trois fournisseurs, la ou il
# rendait 200 en se contentant de TRANSMETTRE la requete en clair.
#
#     remap sur le cache du tenant (chaine)  -> 503
#     remap sur le seul cache du site        -> 200
#
# Un cache qui relaie n'a rien a remapper : il passe la demande a qui sort. C'est la meme
# forme que la filiation elle-meme — le locataire emprunte, le site va chercher.
{% for r in serveur_artefacts_remaps %}
Remap-{{ r.nom }}: http://{{ r.hote }} ; https://{{ r.hote }}/
{% endfor %}
{% endif %}
{% endif %}

{% if serveur_artefacts_directs_actif | bool %}
# --- LE DEPOT DES BINAIRES DIRECTS ---------------------------------------------------
#
# `LocalDirs` publie un repertoire du disque sous un prefixe. C'est la seule facon de
# servir Forgejo, Keycloak, Nextcloud et oauth2-proxy sans monter un second service :
# ils ne vivent dans aucun depot apt, et GitHub redirige vers une URL signee valable une
# heure — qu'aucun relais transparent ne peut mettre en cache (voir defaults/main.yml).
#
# CE CHEMIN EST DEJA COUVERT PAR LE PARE-FEU : c'est le meme port 3142, la meme regle
# `ingress pair: flotte`. Rien de neuf a ouvrir.
LocalDirs: {{ serveur_artefacts_directs_prefixe }} {{ serveur_artefacts_directs_dir }}
{% endif %}