Set-OPS-Public/requirements.yml

---
# Collections Ansible requises par Set-OPS.
# Installer : ansible-galaxy collection install -r requirements.yml
#
# CE FICHIER EST LA SEULE SOURCE POUR UN RUNNER (2026-08-24). Le poste d'exploitation
# n'installe QUE ce qui est declare ici — il n'herite pas du gros lot qui traine sur le
# poste du mainteneur. Une collection utilisee par un role et absente d'ici marche chez
# le mainteneur et echoue partout ailleurs : c'est le genre d'ecart qu'on ne voit qu'en
# portant le moteur sur une autre machine.
collections:
  - name: community.postgresql
  - name: community.general
  # `serveur_backup` : ansible.posix.authorized_key. Utilisee depuis longtemps, jamais
  # declaree — donc absente du runner, qui n'aurait pas pu deployer les sauvegardes.
  - name: ansible.posix
  # `community.docker` a ete RETIREE le 2026-08-24 : `serveur_collabora` etait la seule
  # exception conteneurisee de la flotte, et il tourne desormais en natif (paquet coolwsd
  # du depot amont Collabora). Plus aucun role n'a besoin de Docker.
Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale) 2026-06-24 20:17:46 -04:00			`---`
			`# Collections Ansible requises par Set-OPS.`
			`# Installer : ansible-galaxy collection install -r requirements.yml`
acces : le runner peut enfin entrer, et trois silences fermes ssh_baseline gere les cles d'administration declarees au plan, avec un `etat` par entree : revoquer devient un changement de plan, pas une visite sur chaque machine. Pas d'exclusive -- il effacerait la cle de cloud-init et fermerait la flotte a tout le monde. cloud-init reecrivait /etc/hosts a chaque demarrage et effacait le plancher de resolution. Constate sur infra-dns-01 apres un redemarrage : six entrees perdues, revelees deux jours plus tard par un apt update qui ne resolvait plus. requirements.yml ne declarait pas ansible.posix ni community.docker, pourtant utilisees. Ca marchait chez le mainteneur, pas sur un runner. Et le cache des collections suivait l'existence du fichier au lieu de son contenu. Enfin : deux `when` sur une meme tache, c'est un seul -- le dernier. Le check-mode avait disparu en silence. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> 2026-08-24 15:50:37 -04:00			`#`
			`# CE FICHIER EST LA SEULE SOURCE POUR UN RUNNER (2026-08-24). Le poste d'exploitation`
			`# n'installe QUE ce qui est declare ici — il n'herite pas du gros lot qui traine sur le`
			`# poste du mainteneur. Une collection utilisee par un role et absente d'ici marche chez`
			`# le mainteneur et echoue partout ailleurs : c'est le genre d'ecart qu'on ne voit qu'en`
			`# portant le moteur sur une autre machine.`
Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale) 2026-06-24 20:17:46 -04:00			`collections:`
			`- name: community.postgresql`
			`- name: community.general`
acces : le runner peut enfin entrer, et trois silences fermes ssh_baseline gere les cles d'administration declarees au plan, avec un `etat` par entree : revoquer devient un changement de plan, pas une visite sur chaque machine. Pas d'exclusive -- il effacerait la cle de cloud-init et fermerait la flotte a tout le monde. cloud-init reecrivait /etc/hosts a chaque demarrage et effacait le plancher de resolution. Constate sur infra-dns-01 apres un redemarrage : six entrees perdues, revelees deux jours plus tard par un apt update qui ne resolvait plus. requirements.yml ne declarait pas ansible.posix ni community.docker, pourtant utilisees. Ca marchait chez le mainteneur, pas sur un runner. Et le cache des collections suivait l'existence du fichier au lieu de son contenu. Enfin : deux `when` sur une meme tache, c'est un seul -- le dernier. Le check-mode avait disparu en silence. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> 2026-08-24 15:50:37 -04:00			# `serveur_backup` : ansible.posix.authorized_key. Utilisee depuis longtemps, jamais
			`# declaree — donc absente du runner, qui n'aurait pas pu deployer les sauvegardes.`
			`- name: ansible.posix`
collabora : en natif, la derniere exception conteneurisee tombe Le role lancait collabora/code dans Docker -- seule exception de la flotte au principe « logiciel libre en natif ». Desormais : paquet coolwsd du depot amont, systemd, derriere l'edge nginx. community.docker est retiree de requirements : plus aucun role n'a besoin de Docker. Eprouve avant d'ecrire, sur une Debian 13.6 reelle et sans rien installer : apt-get install --simulate coolwsd resout jusqu'a « Conf coolwsd (26.04.3.1-1) », libgcc1 est fourni par libgcc-s1, et le depot CODE-deb est PLAT. La configuration passe par un fragment systemd (--o:) : le coolwsd.xml livre, 439 lignes commentees, reste intact. Trois outils du harnais ont pese. voute.py lisait les COMMENTAIRES : documenter le nom d'une clef suffisait a l'exiger -- corrige, controle negatif fait. Et verifier_intrants avait raison : une garde ecrite en deux morceaux promettait un secret pour une console fermee ; reecrite en implication, elle dit le vrai contrat. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> 2026-08-24 16:23:35 -04:00			# `community.docker` a ete RETIREE le 2026-08-24 : `serveur_collabora` etait la seule
			`# exception conteneurisee de la flotte, et il tourne desormais en natif (paquet coolwsd`
			`# du depot amont Collabora). Plus aucun role n'a besoin de Docker.`