Set-OPS-Public/roles/client_journal/defaults/main.yml

---
client_journal_paquets:
  - alloy

client_journal_service: "alloy"
client_journal_utilisateur: "alloy"
client_journal_config: "/etc/alloy/config.alloy"

# Point de collecte Loki (obs-01, serveur_loki, VLAN 14).
# Hôte Loki dérivé du groupe serveur_loki (FQDN via le plancher) ; override par instance au besoin.
client_journal_loki_url: "http://{{ (groups.get('serveur_loki') or ['obs-01']) | first }}.{{ domaine_interne }}:3100/loki/api/v1/push"

# Depot apt officiel Grafana (partage avec serveur_loki / serveur_grafana).
client_journal_depot_cle_url: "https://apt.grafana.com/gpg-full.key"
client_journal_depot_cle_fichier: "/etc/apt/keyrings/grafana.asc"
client_journal_depot_source: "deb [signed-by=/etc/apt/keyrings/grafana.asc] https://apt.grafana.com stable main"

# --- TLS (zero-confiance) : Alloy pousse vers Loki en https + verifie root_ca ---
client_journal_loki_tls: false
client_journal_loki_ca: "/etc/step/certs/root_ca.crt"

# Port de l'interface HTTP locale d'Alloy (diagnostic). DECLARE ici parce que son defaut
# amont — 12345 — entre en collision avec `serveur_dovecot_sasl_port`, qui vaut 12345 lui
# aussi et qui est un choix DELIBERE de Set-OPS (SASL reseau, pour la soumission :587).
#
# Sur `infra-mail-01`, les deux cohabitent : le premier demarre gagne, l'autre boucle sur
# « bind: address already in use ». Constate le 2026-08-08 lors de la premiere
# reconstruction from-zero, ou l'ordre des couches fait demarrer Dovecot bien avant Alloy.
# En exploitation courante le conflit dormait : Alloy tenait le port depuis toujours, et
# c'est l'ecoute SASL de Dovecot qui echouait — en silence.
#
# Le vrai defaut n'est pas le numero, c'est qu'un port SUBI ne se declare nulle part et
# qu'aucun controle ne peut donc voir la collision.
client_journal_http_port: 12346
client_journal_http_adresse: "127.0.0.1"