Set-OPS-Public/roles/serveur_ops/meta/authentification.yml

---
# Position de ce role dans la directive d'authentification (D-38..D-41).
# Voir docs/authentification.md. Gardee par la preuve P29.
authentification:
  portee: sans-auth-humaine
  mecanisme: aucun
  formulaire_local: sans-objet
  secours: "Acces SSH a l'hote, puis `sudo -iu setops`"
  raison: >-
    Le poste d'exploitation n'expose aucune interface : il n'est ni serveur web ni
    service reseau, et rien ne s'y connecte. On y entre par SSH sur l'hote, comme sur
    n'importe quelle machine de la flotte, puis l'on devient l'utilisateur
    d'exploitation. Il n'y a donc rien a federer, et rien a fermer.
serveur_ops : la difference entre une archive et une matrice Un ecosysteme pouvait DETENIR son genome sans savoir l'executer. Le poste d'exploitation porte Ansible epingle, le genome clone depuis SA PROPRE forge, et une cle SSH qui n'appartient qu'a lui. Il n'emporte ni la voute ni son mot de passe : la structure se reconstruit depuis la forge, les secrets depuis la sauvegarde. Deux sources qu'un meme incident n'atteint pas ensemble. Une machine neuve traverse tout le moteur sans rien heriter, et revele ce qu'un etat anterieur masquait. Deux defauts silencieux en sont sortis. setops_plan_dir pointait le lien `instance` en dur : neuf roles lisaient donc le plan d'une AUTRE instance. Le plancher de patient 0 portait les FQDN de Chezlepro, et son edge publiait server_name forge.chezlepro.internal. La variable suit desormais l'inventaire reellement charge. Trois instances sur quatre declaraient les SAN d'exposition de leur edge ; la quatrieme et le modele public ne les avaient pas. La forge de patient 0 etait donc publiee derriere le certificat auto-signe de Debian, sans que rien ne le signale -- `git clone` fut le premier a refuser, a juste titre. P42 le reclame maintenant pour tout ecosysteme qui declare un edge. Le harnais a ecrit la moitie de ce role : 5 echecs sur la piece neuve, aucun n'empechait le code de tourner, tous la rendaient invisible a la carte, au graphe et au lecteur. 42 preuves, 0 echec. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> 2026-08-23 11:58:10 -04:00			`---`
			`# Position de ce role dans la directive d'authentification (D-38..D-41).`
			`# Voir docs/authentification.md. Gardee par la preuve P29.`
			`authentification:`
			`portee: sans-auth-humaine`
			`mecanisme: aucun`
			`formulaire_local: sans-objet`
			secours: "Acces SSH a l'hote, puis `sudo -iu setops`"
			`raison: >-`
			`Le poste d'exploitation n'expose aucune interface : il n'est ni serveur web ni`
			`service reseau, et rien ne s'y connecte. On y entre par SSH sur l'hote, comme sur`
			`n'importe quelle machine de la flotte, puis l'on devient l'utilisateur`
			`d'exploitation. Il n'y a donc rien a federer, et rien a fermer.`