From 5f3af67322774f830309e4f254494a0f71e16738 Mon Sep 17 00:00:00 2001 From: Daniel Allaire Date: Sun, 5 Jul 2026 01:14:49 -0400 Subject: [PATCH] =?UTF-8?q?CHANGELOG=202026-07-05=20:=20z=C3=A9ro-confianc?= =?UTF-8?q?e=20(m=C3=A9triques/logs/courriel),=20VMID=20ip-miroir,=20Techn?= =?UTF-8?q?olibre,=20FQDN,=20d=C3=A9couplage=20tenant,=20mod=C3=A8les?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Co-Authored-By: Claude Opus 4.8 --- CHANGELOG.md | 34 ++++++++++++++++++++++++++++++++++ 1 file changed, 34 insertions(+) diff --git a/CHANGELOG.md b/CHANGELOG.md index 36f942a..00d2efc 100644 --- a/CHANGELOG.md +++ b/CHANGELOG.md @@ -1,5 +1,39 @@ # CHANGELOG — Set-OPS +## 2026-07-05 + +### Ajouté +- **Zéro-confiance est-ouest — flux Métriques, Logs et Courriel chiffrés.** Suite du chantier + (après PostgreSQL) : **métriques** (node_exporter sert en HTTPS via cert step-ca + + `--web.config.file` + cert-sync owned prometheus ; Prometheus scrape `scheme: https` + + `tls_config`), **logs** (Loki `http_tls_config` + cert-sync owned loki ; Alloy push `https` + + `tls_config`), **courriel** (LMTP `edge-mta→infra-mail:24` en `lmtp_tls_security_level=verify` + + `lmtp_tls_CAfile` ; `client_smtp` en STARTTLS vérifié). Chacun prouvé de bout en bout (200 HTTPS, + cibles UP, livraison `status=sent`, HTTP rejeté). Motif cert-sync `.path` industrialisé. Reste : + edge→backends + DNS (DoT). +- **VMID 9 chiffres mnémotechnique (schéma `ip-miroir`, opt-in).** `vmid_schema: ip-miroir` dans la + nomenclature → VMID `I·VVV·HHH·NN` (index·VLAN·octet-hôte·séquence) : le VMID *contient* l'IP + (`10.(10+index).VLAN.hôte`) + le tenant, lisible d'un coup d'œil. Défaut `compact` rétro-compatible + (instances déployées inchangées). +- **Instance partenaire Technolibre.** Écosystème complet (12 VM, `etat: planifie`) dans + `10.12.16.0/20`, **6 zones de sécurité** (Frontière/Identité/Données/Services-infra/Observabilité/ + Applications, un /24 + VLAN chacune), index de fédération 2, VMID ip-miroir. Preuve de portabilité + d'un tenant. + +### Modifié +- **Références par FQDN partout (fin des IP codées en dur).** Décision d'archi : FQDN pour toute + référence inter-services (non ambigu en fédération, canonique pour TLS ; nom court = hostname OS). + `resoudre_base` renvoie le FQDN (→ keycloak/forgejo/icinga) ; `client_journal_loki_url` dérivé du + groupe `serveur_loki` ; defaults db_host IP morts nettoyés. **Aucune IP littérale dans les defaults.** +- **Découplage du tenant d'origine.** Realm SSO centralisé sur l'intrant **`identite_realm`** (défaut + `chezlepro` ; les 4 rôles keycloak/forgejo/grafana/oauth2_proxy en dérivent ; exposé dans la GUI). + Vars brandées renommées génériques : `chezlepro_timezone→fuseau_horaire`, + `chezlepro_organisation→organisation`. Le moteur ne porte plus le nom d'un tenant. +- **Modèles d'instance rafraîchis.** `integral` régénéré depuis le cas prouvé (6 zones, fonctions + éprouvées `data-sql`/`id-ldap`/`id-sso`/`sup`, ip-miroir, nouveaux intrants) ; `socle`/`identite`/ + `observabilite`/`forge` réalignés sur le même moule (prouvés : dérivation + `valider_serveurs`). + `presence-web` marqué **aspirationnel** (rôles web-frontal/dorsal absents) plutôt que faussement prêt. + ## 2026-07-04 ### Ajouté