2026-07-05 09:41:42 -04:00
|
|
|
---
|
|
|
|
|
# Flux réseau de PostgreSQL (propriété du rôle). Voir docs/flux-conception.md.
|
|
|
|
|
flux:
|
|
|
|
|
- sens: ingress
|
|
|
|
|
port: 5432
|
|
|
|
|
protocole: tcp
|
|
|
|
|
pair: [serveur_keycloak, serveur_forgejo, serveur_icinga, serveur_nextcloud]
|
|
|
|
|
chiffrement: tls-requis
|
|
|
|
|
raison: "Connexions applicatives à PostgreSQL (verify-full ; pg_hba hostssl)."
|
2026-09-14 11:35:14 -04:00
|
|
|
# L'EXPORTATEUR DE METRIQUES — declare ICI, et pas dans `meta/metriques.yml`.
|
|
|
|
|
#
|
|
|
|
|
# Un flux est un flux : il vit la ou vivent les autres flux de ce role. `metriques.yml`
|
|
|
|
|
# declare QUOI mesurer et OU le lire ; ce fichier declare QUI a le droit d'y aller.
|
|
|
|
|
# Deux fichiers pour un meme fait finiraient par diverger — assez d'exemples ici.
|
|
|
|
|
#
|
|
|
|
|
# `serveur_prometheus` SEUL. Pas `flotte`, pas une source vide : l'exportateur publie
|
|
|
|
|
# l'etat interne de la base — nombre de connexions, tailles, ratios — et ca ne regarde
|
|
|
|
|
# que l'observatoire.
|
|
|
|
|
- sens: ingress
|
|
|
|
|
port: 9187
|
|
|
|
|
protocole: tcp
|
|
|
|
|
pair: [serveur_prometheus]
|
chiffrement : metriques et journaux du site en TLS, et la frontiere certifiee par sa propre autorite
Metriques et journaux (CHANGELOG 142). Le site pose les quatre interrupteurs TLS
que chaque locataire pose dans ses group_vars : node_exporter et Loki servaient
en HTTP sur les neuf VM, le certificat etait la, inutilise. test_parite_tls_site.py
compare desormais le site aux locataires. Les hyperviseurs poussent leurs
journaux en HTTPS verifie, avec la racine du site comme simple fichier.
L'exportateur PostgreSQL sert en HTTPS partout, sur l'interrupteur de PostgreSQL
lui-meme, que Prometheus lit pour choisir son schema.
La frontiere (CHANGELOG 143). Une autorite subordonnee signee par la racine du
site, bornee (pathlen 0, noms sous le domaine et adresses du site, contrainte
critique), cle nee sur la boite (scripts/frontiere_pki.py). Syslog vers Loki en
TLS mutuel (seule la frontiere peut ecrire), exportateur en HTTPS, interface web
sur le certificat de services ; les clients d'API verifient la frontiere contre
la racine du site. La lecture du magasin passe par config.xml : l'API de
recherche renvoie les cles privees.
Deploye et mesure au site, chez les deux locataires et sur la frontiere ; 95 preuves.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-10-12 14:25:28 -04:00
|
|
|
# DETTE FERMEE (2026-10-12). Inscrite `clair` le 2026-09-14 : l'exportateur sert
|
|
|
|
|
# desormais en HTTPS (`--web.config.file`, certificat de la machine resynchronise a chaque
|
|
|
|
|
# renouvellement), et Prometheus verifie contre l'autorite des que
|
|
|
|
|
# `serveur_postgresql_tls_actif` est vrai — partout, au site comme chez les locataires.
|
|
|
|
|
chiffrement: tls
|
2026-09-14 11:35:14 -04:00
|
|
|
raison: >-
|
chiffrement : metriques et journaux du site en TLS, et la frontiere certifiee par sa propre autorite
Metriques et journaux (CHANGELOG 142). Le site pose les quatre interrupteurs TLS
que chaque locataire pose dans ses group_vars : node_exporter et Loki servaient
en HTTP sur les neuf VM, le certificat etait la, inutilise. test_parite_tls_site.py
compare desormais le site aux locataires. Les hyperviseurs poussent leurs
journaux en HTTPS verifie, avec la racine du site comme simple fichier.
L'exportateur PostgreSQL sert en HTTPS partout, sur l'interrupteur de PostgreSQL
lui-meme, que Prometheus lit pour choisir son schema.
La frontiere (CHANGELOG 143). Une autorite subordonnee signee par la racine du
site, bornee (pathlen 0, noms sous le domaine et adresses du site, contrainte
critique), cle nee sur la boite (scripts/frontiere_pki.py). Syslog vers Loki en
TLS mutuel (seule la frontiere peut ecrire), exportateur en HTTPS, interface web
sur le certificat de services ; les clients d'API verifient la frontiere contre
la racine du site. La lecture du magasin passe par config.xml : l'API de
recherche renvoie les cles privees.
Deploye et mesure au site, chez les deux locataires et sur la frontiere ; 95 preuves.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-10-12 14:25:28 -04:00
|
|
|
Metriques PostgreSQL lues par l'observatoire, en HTTPS verifie. Series, pas verdicts :
|
|
|
|
|
ce qui derive lentement — cache qui decroche, connexions qui montent, bases qui
|
|
|
|
|
grossissent — n'a que le graphe pour se faire voir.
|