Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests 1 Projects Releases Packages Wiki Activity
Set-OPS-Public/roles/client_journal/meta/flux.yml

19 lines
778 B
YAML
Raw Normal View History

Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu Rend l'écosystème reconstructible en une commande (create+deploy idempotent) et ajoute la couche « accès » (nftables least-privilege) au zéro-confiance. Orchestrateur (phase 2) : - docs/couches-deploiement.yml : registre des couches (socle → pki → services → apps → agents) - scripts/orchestrer.py : tri par couche + topo intra-couche (graphe) → playbooks/site.yml ordonné - Makefile : site / deployer-tout / flotte-creer / reconstruire / myDay (+ gardes CONFIRMER) - docs/dependances-groupes.yml : graphe complété (keycloak→openldap, dovecot, postfix, icingaweb2, nextcloud) Audit codé-en-dur (phase 1b) : labels/slug OIDC dérivés de l'intrant `organisation` (serveur_forgejo/grafana/nextcloud) — le moteur ne porte plus de nom de tenant. Registre des flux réseau (phase 0) : - meta/flux.yml pour tous les rôles (29 rôles, 63 flux ; schéma + matrice validés) - scripts/resoudre_flux.py : matrice d'audit (docs/registre-flux.md) + rulesets nftables résolus par hôte - roles/nftables_baseline : déploie le ruleset résolu (moindre-privilège) quand activé, sinon repli Correctifs : détection du coffre Vault (chemin production → inventaire réellement résolu). Outillage : make wiki-publier (publication du wiki pédagogique dans Forgejo). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
2026-07-07 03:08:09 -04:00
---
doc : rangee par lecteur, trois portes d'entree (architecture, setup, usage) et un index README reduit au role du projet et au demarrage rapide. docs/architecture.md (schemas Mermaid), docs/setup.md, docs/usage.md (154 cibles en 13 familles), docs/README.md (index). Documents ranges en conception/, exploitation/, hebergement/, projet/ ; 598 chemins suivis. QUICKSTART.md, SOLUTION.md, architecture-set-ops.md et la carte fondus puis retires. Preuves : P48 lit l'index et conception/mecanismes.md ; les gardes parcourent docs/ sous- dossiers compris (_documents) ; usage.md suit le Makefile dans les deux sens. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-10-15 01:01:34 -04:00
# Flux réseau du client journal (Alloy -> Loki). Voir docs/conception/flux-conception.md.
Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu Rend l'écosystème reconstructible en une commande (create+deploy idempotent) et ajoute la couche « accès » (nftables least-privilege) au zéro-confiance. Orchestrateur (phase 2) : - docs/couches-deploiement.yml : registre des couches (socle → pki → services → apps → agents) - scripts/orchestrer.py : tri par couche + topo intra-couche (graphe) → playbooks/site.yml ordonné - Makefile : site / deployer-tout / flotte-creer / reconstruire / myDay (+ gardes CONFIRMER) - docs/dependances-groupes.yml : graphe complété (keycloak→openldap, dovecot, postfix, icingaweb2, nextcloud) Audit codé-en-dur (phase 1b) : labels/slug OIDC dérivés de l'intrant `organisation` (serveur_forgejo/grafana/nextcloud) — le moteur ne porte plus de nom de tenant. Registre des flux réseau (phase 0) : - meta/flux.yml pour tous les rôles (29 rôles, 63 flux ; schéma + matrice validés) - scripts/resoudre_flux.py : matrice d'audit (docs/registre-flux.md) + rulesets nftables résolus par hôte - roles/nftables_baseline : déploie le ruleset résolu (moindre-privilège) quand activé, sinon repli Correctifs : détection du coffre Vault (chemin production → inventaire réellement résolu). Outillage : make wiki-publier (publication du wiki pédagogique dans Forgejo). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
2026-07-07 03:08:09 -04:00
flux:
- sens: egress
port: 3100
protocole: tcp
pair: serveur_loki
chiffrement: tls
raison: "Expédition des journaux par Alloy vers le collecteur central Loki (HTTPS, cert step-ca)."
client_journal : imposer et DECLARER le port d'Alloy — collision avec le SASL de Dovecot Sixieme et dernier arret de la reconstruction from-zero, et le seul qui ne soit ni un ordre ni une course : un vrai conflit de port. infra-mail-01 : dovecot ecoute 0.0.0.0:12345 (serveur_dovecot_sasl_port, choix delibere de Set-OPS pour la soumission :587) alloy : defaut amont 12345 -> bind: address already in use Le premier demarre gagne. En exploitation courante le conflit DORMAIT : Alloy tenait le port depuis toujours et c'est l'ecoute SASL de Dovecot qui echouait, en silence. L'ordre des couches d'une reconstruction inverse les roles et le rend visible. Le vrai defaut n'est pas le numero : c'est qu'un port SUBI ne se declare nulle part, donc aucun controle ne peut voir la collision. Le port est desormais IMPOSE (--server.http.listen-addr) et DECLARE dans meta/flux.yml avec pair: localhost — une revendication de port, pas un flux entre hotes. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-09 09:04:25 -04:00
# Interface de diagnostic d'Alloy, liee a la boucle locale. Ce n'est pas un flux entre
# hotes — c'est une REVENDICATION DE PORT, declaree pour qu'elle cesse d'etre invisible :
# son defaut amont (12345) entrait en collision avec le SASL de Dovecot sur le meme hote.
- sens: ingress
port: 12346
protocole: tcp
pair: localhost
chiffrement: clair
raison: "Interface de diagnostic locale d'Alloy — port declare pour rendre les collisions visibles."
Reference in a new issue Copy permalink