24 lines
1.3 KiB
Markdown
24 lines
1.3 KiB
Markdown
|
# cloud_init_retrait
|
||
|
|
|
||
|
|
Retire `cloud-init` des machines **déployées**, dans le groupe `serveur_durci`.
|
||
|
|
|
||
|
|
**Pourquoi.** cloud-init est une source de vérité **externe** : à chaque démarrage il
|
||
|
|
relit le lecteur cloud-init attaché par l'hyperviseur, qui peut redéfinir comptes, clés
|
||
|
|
SSH, mots de passe et réseau. Sur une machine qu'Ansible possède, c'est un second maître
|
||
|
|
que le plan ne décrit pas et que `make valider` ne mesure pas.
|
||
|
|
|
||
|
|
**Pourquoi c'est sans risque.** Mesuré le 2026-09-09 sur `obs-01` :
|
||
|
|
`/etc/network/interfaces.d/50-cloud-init` n'appartient à aucun paquet (`dpkg -S` ne le
|
||
|
|
trouve pas) et le `postrm` de `cloud-init` ne le nomme jamais, même en `purge`. L'adresse
|
||
|
|
posée à la naissance survit. Le rôle le **vérifie** plutôt que de le supposer, et refuse
|
||
|
|
d'aller plus loin si le fichier a disparu.
|
||
|
|
|
||
|
|
**Ce qui n'est pas retiré.** `cloud-guest-utils` (`growpart`) : aucun service, aucune
|
||
|
|
source de données, aucun pouvoir. Le retirer ne fermerait rien.
|
||
|
|
|
||
|
|
**Le gabarit garde cloud-init** — il est le seul chemin vers la première seconde d'un
|
||
|
|
clone (P56). Le retrait n'intervient qu'après, sur la machine déployée. C'est pourquoi
|
||
|
|
`serveur_debian` ne l'applique plus : sinon le socle l'installerait et le durcissement le
|
||
|
|
retirerait à chaque passage, un va-et-vient à chaque déploiement. **P63** garde les trois
|
||
|
|
moitiés de cette décision.
|