From 627ef00ec7986b7731b25c8b2ce6fe6ffea81d4c Mon Sep 17 00:00:00 2001 From: Daniel Allaire Date: Mon, 14 Sep 2026 19:27:28 -0400 Subject: [PATCH] la console d exploitation devient un service, et elle n avait aucune serrure MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Le GUI n a aucune authentification : GET / sert la page a qui la demande, jeton ecrit dedans, et POST /api exige ce jeton que la page vient de donner. Le jeton garde contre le CSRF, pas contre un visiteur — la seule serrure est --hote 127.0.0.1. Ce qu il offre a qui entre : deployer, creer, raser, editer le plan. La fabric entiere. Le service reste donc sur la boucle locale. Ce qui est publie est un nginx local qui authentifie d abord : oidc par defaut (oauth2-proxy, donc un groupe d annuaire qu on revoque sans deploiement), locale en repli pour un ecosysteme sans annuaire. L authentification est posee au niveau du server, pas d un location. La sonde console-ops mesure une SERRURE : une requete anonyme doit etre REFUSEE. Un 200 y est la pire des reponses, et il ne fait echouer personne. P54 a attrape une contrainte ratee : serveur_ops est insemine par le SITE, qui ne detient pas la voute du locataire. Le role ne nomme donc aucune voute — il declare un parametre, et la couche qui detient le secret le remplit. Co-Authored-By: Claude Opus 5 Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q --- CHANGELOG.md | 76 ++++++++ docs/audit/preuve-2026-09-14.md | 18 +- docs/registre-flux.md | 3 +- exemples/vault.exemple.yml | 9 + roles/serveur_ops/defaults/main.yml | 75 ++++++++ roles/serveur_ops/handlers/main.yml | 17 ++ roles/serveur_ops/meta/flux.yml | 20 +++ roles/serveur_ops/meta/supervision.yml | 16 ++ roles/serveur_ops/tasks/main.yml | 163 ++++++++++++++++++ roles/serveur_ops/templates/nginx-gui.conf.j2 | 48 ++++++ .../templates/setops-gui.service.j2 | 47 +++++ .../templates/sonde-console-ops.sh.j2 | 60 +++++++ 12 files changed, 542 insertions(+), 10 deletions(-) create mode 100644 roles/serveur_ops/handlers/main.yml create mode 100644 roles/serveur_ops/templates/nginx-gui.conf.j2 create mode 100644 roles/serveur_ops/templates/setops-gui.service.j2 create mode 100644 roles/serveur_ops/templates/sonde-console-ops.sh.j2 diff --git a/CHANGELOG.md b/CHANGELOG.md index 7d488a2..bd32ea9 100644 --- a/CHANGELOG.md +++ b/CHANGELOG.md @@ -1,5 +1,81 @@ # CHANGELOG — Set-OPS +## 2026-09-14 (20) — La console d'exploitation devient un service, et elle n'avait aucune serrure + +Decision de l'exploitant : *« j'aimerais que chaque runner expose le GUI de Set-OPS a +travers ce edge »*. La construire a d'abord demande de mesurer ce qu'on allait publier. + +### CE QUI A CHANGE LA FORME DE TOUT LE RESTE + +**Le GUI n'a AUCUNE authentification.** Mesure du 2026-09-14, dans son propre code : + + GET / sert la page A QUI LA DEMANDE, avec le jeton ECRIT DEDANS + POST /api/* exige ce jeton — que la page vient de donner a tout le monde + +Le jeton est une garde **CSRF**, pas une serrure. La seule serrure est +`--hote 127.0.0.1` : le GUI est sur parce qu'il n'est joignable que de sa propre machine. + +Ce qu'il offre a qui entre : `deployer`, `creer`, `instance-creer`, `instance-utiliser`, +`pousser`, et l'edition du plan. **La fabric entiere.** L'exposer tel quel aurait livre +un ecosysteme a quiconque trouve l'URL. + +### Ce qui est construit + +Le service reste sur la boucle locale, **toujours**. Ce qui est publie est un nginx local +qui authentifie D'ABORD et relaie ensuite. + +| | | +|---|---| +| `setops-gui.service` | le GUI, `127.0.0.1:8765`, sous le compte `setops`, dans le venv du runner | +| nginx local | port declare au plan, `server_name` derive du plan (P67) | +| vestibule | `oidc` (oauth2-proxy -> Keycloak) **par defaut**, `locale` (HTTP Basic) en repli | +| flux | `ingress [edge, admin]` — la meme paire que Grafana et la vigie, pour la meme raison | +| sonde | `console-ops` | + +`oidc` PAR DEFAUT, ET CE N'EST PAS UNE PREFERENCE. Cette console peut raser un +ecosysteme. Un mot de passe partage devant ce pouvoir est un accident qui attend ; un +groupe d'annuaire se revoque sans deploiement (D-66). `locale` existe pour un ecosysteme +qui n'a pas d'annuaire — un SITE — et c'est ecrit comme un repli, pas comme un choix. + +L'AUTHENTIFICATION EST POSEE AU NIVEAU DU `server`, pas d'un `location` : placee dans le +seul bloc de relais, elle laisserait passer tout chemin qu'un `location` plus specifique +attraperait en premier. Meme geste que pour la vigie, et meme raison. + +DEUX REGLAGES QUI NE SONT PAS DU CONFORT. `proxy_read_timeout` a 3600 s : un deploiement +dure, et le delai par defaut de nginx couperait la reponse au milieu — la page dirait +echec pendant que la fabric continue. `proxy_buffering off` : sans lui, la sortie d'un +deploiement arriverait d'un bloc a la fin, et la console resterait muette des minutes. + +### La sonde mesure une SERRURE, ce qu'aucun greffon ne pense a faire + +`console-ops` verifie deux choses, et la seconde est l'inverse d'une sonde ordinaire : + + 1. le GUI repond sur la boucle locale -> sinon plus personne ne pilote + 2. une requete ANONYME au vestibule est REFUSEE (401/403, ou renvoi en `oidc`) + +**Un 200 y est la pire des reponses.** Il veut dire que le vestibule laisse entrer. Ca ne +fait echouer personne — c'est exactement pourquoi il faut le mesurer. + +### P54 a attrape une contrainte que j'avais ratee + +`serveur_ops` est un role **d'insemination** : le SITE le pose sur le runner d'un +locataire qui vient de naitre, **sans detenir la voute de ce locataire**. Citer +`vault_setops_gui_admin` dans ce role rendait l'insemination impossible — le site +reclamait un secret qu'il n'a pas, et par construction ne doit pas avoir. + + serveur_ops cite vault_setops_gui_admin dans roles/serveur_ops/defaults/main.yml : + le SITE ne detient pas cette voute + +Le role declare donc un PARAMETRE vide, et la couche qui detient le secret est la seule a +le nommer. La garde a tenu deux fois : la seconde, le nom ne survivait plus que dans le +TEXTE d'un message d'erreur — ou il etait de toute facon faux, puisque la voute varie +selon qui publie. + +### Ce qui reste + +Le site n'a pas d'edge. L'exploitant vient d'en autoriser un : il publiera l'observatoire, +la vigie et la console du site sous leurs noms, en TLS. C'est la suite. + ## 2026-09-14 (19) — Une console pour le site, et un repli qui ouvrait vers l'Internet Le site calculait 88 verdicts que personne ne pouvait lire. Il a desormais sa console — diff --git a/docs/audit/preuve-2026-09-14.md b/docs/audit/preuve-2026-09-14.md index e6348d9..e526251 100644 --- a/docs/audit/preuve-2026-09-14.md +++ b/docs/audit/preuve-2026-09-14.md @@ -13,7 +13,7 @@ | # | Preuve | Affirmations | Statut | Detail | |---|---|---|---|---| -| P01 | Lint (ansible-lint) | AFF-006 | ✅ OK |  | +| P01 | Lint (ansible-lint) | AFF-006 | ✅ OK | } \| to_nice_json }}`. | | P02 | Tests unitaires (inventaire, raser, ecritures du plan, rendu du GUI) | — | ✅ OK | OK | | P03 | Diff-vide du plan — TOUTES les instances | AFF-001, AFF-004, AFF-030, AFF-031, AFF-032 | ✅ OK | 5 instance(s) verifiee(s) — instance-ci-1646753, OPS-Chezlepro-lab, OPS-Chezlepro, OPS-Technolibre, OPS-Patient0 : plan et inventaire applique coincident. | | P04 | Groupes <-> playbooks homonymes | AFF-008 | ✅ OK | | @@ -21,7 +21,7 @@ | P06 | Validateurs de registres (serveurs/apps/bases/domaines) | AFF-003 | ✅ OK | Registre des domaines valide. | | P07 | GUI (node --check) | AFF-033 | ✅ OK | JS du GUI : syntaxe valide (node --check), 1 nom(s) surveille(s) sans reference orpheline. | | P08 | Orchestration (couches + graphe) | AFF-070 | ✅ OK | Orchestration coherente : 41 groupes classes, aucun cycle, aucune arete en arriere. | -| P09 | Flux reseau (schema + matrice) | AFF-071 | ✅ OK | Flux coherents : 39 rôles, 110 flux, schéma + matrice OK. | +| P09 | Flux reseau (schema + matrice) | AFF-071 | ✅ OK | Flux coherents : 39 rôles, 111 flux, schéma + matrice OK. | | P10 | Handlers <-> notify | AFF-034, AFF-035 | ✅ OK | Tout notify pointe vers un handler du meme role (49 roles). | | P11 | Syntaxe des playbooks (--syntax-check) | AFF-083 | ✅ OK | serveur_resolveur_site | | P12 | Existence des runbooks cites | AFF-010, AFF-011, AFF-012, AFF-083 | ✅ OK | 17/17 runbooks/registres cites presents. | @@ -37,7 +37,7 @@ | P22 | Plan de recette a jour (genere du wiki) | AFF-002 | ✅ OK | Plan de recette à jour (22 sections). | | P23 | Underlay sans collision avec la plage tenant | AFF-103 | ✅ OK | Underlay conforme : 13 reseau(x), aucune collision avec la plage tenant. | | P24 | Frontiere nord/sud : acces d'administration declare | AFF-104 | ✅ OK | note : serveur_powerdns declare un port `derive` que le plan du site ne resout pas — aucune regle emise. | -| P25 | Pare-feu Proxmox : est-ouest intra-tenant derive | AFF-107 | ✅ OK | CONFORME : pare-feu Proxmox, 4 tenant(s), 49 groupe(s), 90 regle(s). | +| P25 | Pare-feu Proxmox : est-ouest intra-tenant derive | AFF-107 | ✅ OK | CONFORME : pare-feu Proxmox, 4 tenant(s), 52 groupe(s), 96 regle(s). | | P26 | Integrations universelles : aucun hote laisse de cote | AFF-108 | ✅ OK | 13 hote(s) x 6 integration(s) universelle(s) : aucune lacune, aucune recopie (0 exemption(s) derivee(s) du service rendu). | | P27 | Propriete des intrants : hebergeur et tenant separes | AFF-109 | ✅ OK | 8 cle(s) de cluster chez l'hebergeur, aucune recopiee dans les group_vars du tenant. | | P28 | Pools Proxmox : un par tenant, sans collision | AFF-110 | ✅ OK | CONFORME : 5 pool(s) Proxmox, 42 VM placee(s), aucun nom ni VMID en collision. | @@ -45,7 +45,7 @@ | P30 | SDN EVPN : zones, VNets et sous-reseaux derives | AFF-112 | ✅ OK | CONFORME : SDN EVPN, 3 zone(s), 15 VNet(s), 15 sous-reseau(x), aucune collision. | | P31 | Documentation : tout ce que le depot FAIT est nomme | — | ✅ OK | 67 scripts expliques et atteignables, 123 cibles make documentees, 68 roles avec README. | | P32 | Intrants exiges par les roles : tous fournis | — | ✅ OK | CONFORME : 36 exigence(s) de role, toutes satisfaites (142 cle(s) declaree(s) par l'instance). | -| P33 | Aucune collision de port entre roles co-localises | — | ✅ OK | CONFORME : 35 revendication(s) de port, aucune collision entre roles co-localises (35 groupes). | +| P33 | Aucune collision de port entre roles co-localises | — | ✅ OK | CONFORME : 36 revendication(s) de port, aucune collision entre roles co-localises (35 groupes). | | P34 | Chaque document declare son lecteur | — | ✅ OK | 46 document(s) declarent leur lecteur (40 genere(s) exempte(s)). | | P35 | Toute application exigeant une base en a une au plan | — | ✅ OK | 4 application(s) exigeant une base l'ont toutes (3 entree(s) au registre). | | P36 | Tout detenteur d'etat porte une sauvegarde | — | ✅ OK | 8 hote(s) de l'ecosysteme et 3 du site detiennent de l'etat, tous porteurs de `client_backup` (9 groupe(s) au catalogue). | @@ -55,14 +55,14 @@ | P40 | Parente : l'ecosysteme sait de quoi il descend | — | ✅ OK | Parente coherente : 4 depot(s), tous retrouves, tous porteurs d'un remote. | | P41 | Resolution d'instance : une seule, partagee | — | ✅ OK | Resolution unique : 63 script(s) passent par `inventory_rules`, 3 exemption(s) nommee(s). | | P42 | L'edge porte les noms qu'il publie | — | ✅ OK | 5 edge(s) emettent un certificat portant les noms publies (instance-ci-1646753/production, OPS-Chezlepro-lab/principal, OPS-Chezlepro/principal, OPS-Technolibre | -| P43 | Frontiere : le devis voit les machines du site | — | ✅ OK | Devis de la frontiere : 7 machine(s) du plan retrouvees, 153 regle(s) du site. | +| P43 | Frontiere : le devis voit les machines du site | — | ✅ OK | Devis de la frontiere : 7 machine(s) du plan retrouvees, 154 regle(s) du site. | | P44 | Integrations : le serveur avant ses clients | — | ✅ OK | 5 integration(s) appliquent leur serveur avant leurs clients. | | P45 | Pare-feu Proxmox : arme sur les VNet SDN, jamais ailleurs | — | ✅ OK | Le pare-feu Proxmox ne s'arme que sur un VNet SDN (4 cas evalues, dont un qui doit rendre VRAI). | | P46 | Plancher /etc/hosts : un seul role en decide | — | ✅ OK | Un seul maitre du plancher — roles/hosts_statiques/tasks/main.yml : manage_etc_hosts: false ; et le gabarit maitre est pose (roles/hosts_statiques/templates/hos | | P47 | Zones inverses : couvrir l'occupe, et rien de plus | — | ✅ OK | Les zones inverses couvrent l'occupe et rien de plus (5 cas evalues, dont un site a quatre zones et un tenant a une). | | P48 | La carte d'orientation designe ce qui existe, et compte juste | — | ✅ OK | La carte designe 92 chemin(s) qui existent, et ses 7 chiffres correspondent a la mesure. | -| P49 | Registre des flux : la matrice d'audit est a jour | — | ✅ OK | Le registre des flux reproduit exactement ce que les `meta/flux.yml` declarent (128 lignes). | -| P50 | Silences : un refus muet est declare, place en dernier, et motive | — | ✅ OK | 2 silence(s) declare(s), tous en sequence > 1 (la plus haute des 240 regles `pass`), tous non consignes et tous motives. | +| P49 | Registre des flux : la matrice d'audit est a jour | — | ✅ OK | Le registre des flux reproduit exactement ce que les `meta/flux.yml` declarent (129 lignes). | +| P50 | Silences : un refus muet est declare, place en dernier, et motive | — | ✅ OK | 2 silence(s) declare(s), tous en sequence > 1 (la plus haute des 241 regles `pass`), tous non consignes et tous motives. | | P51 | Collections : toutes declarees, toutes epinglees | — | ✅ OK | 3 collection(s) et 2 bibliotheque(s) Python declarees et epinglees : ansible.posix==1.6.2, community.general==10.3.0, community.postgresql==3.10.2 | | P52 | Materialiser n'exige pas d'entrer dans le tenant | — | ✅ OK | `creer-vm` confirme par l'agent invite (API des hyperviseurs, deja utilisee pour creer), sans exiger d'entrer dans le tenant. | | P53 | L'interne refuse a voix haute, la bordure se tait | — | ✅ OK | L'interne parle, la bordure se tait — 13 ruleset(s) nftables refusent a voix haute ; pare-feu est-ouest en REJECT, source unique ; frontiere muette (actions : b | @@ -76,7 +76,7 @@ | P61 | Schema du plan : il decrit tout ce que les plans contiennent | AFF-033 | ✅ OK | Le schema decrit 47 champ(s) sur 6 registres ; il couvre tout ce que les plans reels contiennent, et la FORME de chaque champ (scalaire / objet / table) corresp | | P62 | Schema du plan : il decrit tout ce que le MOTEUR accepte | AFF-033 | ✅ OK | Les 4 validateurs n'acceptent aucun champ que le schema ignore (applications:8, bases_donnees:4, domaines_publics:5, serveurs:3 champ(s) lus par validateur). | | P63 | cloud-init nait avec la VM et ne lui survit pas | — | ✅ OK | cloud-init est au gabarit (la premiere seconde), absent du socle (pas de va-et-vient), et retire par le durcissement — avec la garde qui verifie que le reseau s | -| P64 | Sondes de supervision : declarees ET deposees | — | ✅ OK | 39 sonde(s) declaree(s) ET deposee(s), chacune avec sa raison et son `ttl` : client_journal/journaux, client_metrique/metriques, client_pki/certificat, serveur_ | +| P64 | Sondes de supervision : declarees ET deposees | — | ✅ OK | 40 sonde(s) declaree(s) ET deposee(s), chacune avec sa raison et son `ttl` : client_journal/journaux, client_metrique/metriques, client_pki/certificat, serveur_ | | P65 | Depots tiers : demandes au cache, jamais en HTTPS direct | — | ✅ OK | 4 depot(s) tiers relaye(s) par le cache, aucun role ne les vise en https:// ecrit en dur. | | P66 | Clients OIDC : chaque URI vise un nom que le plan expose | — | ✅ OK | 3 client(s) OIDC, toutes leurs URI visent un FQDN que le plan expose (5 exposition(s)). | | P67 | Nom public : le service porte celui du plan, pas celui du role | — | ✅ OK | 11 service(s) expose(s) portent le nom du plan, sur 2 inventaire(s) : instance, SITE. | @@ -88,7 +88,7 @@ | P73 | Le locataire designe les services de son site REEL | — | ✅ OK | CONFORME : 6 intrant(s) du locataire concordent avec ce que le site expose (1 non declare(s), donc derive(s) ou non utilise(s)). | | P74 | Gabarit dore : une seule declaration, au plan du site | — | ✅ OK | Gabarit declare une seule fois : VMID 9006 « modeleSetOPS-minimal », precedent 99998. | | P75 | Les parametres de clonage traversent les trois maillons | — | ✅ OK | 14 parametre(s) de clonage, tous emis par l'inventaire. | -| P76 | Tout gabarit de role se rend vraiment | — | ✅ OK | 152 gabarits de role : tous se rendent. | +| P76 | Tout gabarit de role se rend vraiment | — | ✅ OK | 155 gabarits de role : tous se rendent. | | P77 | Panneaux declares : assemblables, et gradues | — | ✅ OK | 8 panneau(x) declare(s) dans 2 role(s), tous avec titre, expression, raison et une unite que la table sait traduire. | | P78 | Un consommateur de base suit le verrou TLS de son serveur | — | ✅ OK | 3 consommateur(s) suivent la posture de leur serveur ; 2 sans reglage TLS (serveur_icingaweb2, serveur_nextcloud). | diff --git a/docs/registre-flux.md b/docs/registre-flux.md index aa7fd61..55ddd6f 100644 --- a/docs/registre-flux.md +++ b/docs/registre-flux.md @@ -78,6 +78,7 @@ | `serveur_oauth2_proxy` | egress | 8080 | tcp | localhost | clair | Relais vers l'application co-localisée protégée (upstream en localhost). | | `serveur_openldap` | ingress | 389 | tcp | flotte | starttls | LDAP + STARTTLS pour les clients internes qui préfèrent la mise à niveau TLS sur 389. | | `serveur_openldap` | ingress | 636 | tcp | serveur_keycloak, serveur_dovecot, serveur_icingaweb2, serveur_postfix | tls-requis | LDAPS : fédération (Keycloak), userdb courriel (Dovecot), auth web (Icinga Web 2), tables virtuelles (Postfix). | +| `serveur_ops` | ingress | 8090 | tcp | edge, admin | clair | Console d'exploitation servie par l'edge (TLS terminé à l'edge), et joignable depuis le plan d'administration là où il n'y a pas d'edge. Le GUI lui-même reste sur la boucle locale : c'est nginx qui authentifie devant. | | `serveur_ops` | egress | 22 | tcp | flotte | ssh | Piloter la flotte — c'est la raison d'être du poste. | | `serveur_ops` | egress | 443 | tcp | edge | tls-requis | Cloner et resynchroniser le génome depuis la forge de l'écosystème. | | `serveur_ops` | egress | 443 | tcp | voisins_site | tls-requis | Cloner le genome depuis la forge du site, quand cet ecosysteme n'heberge pas la sienne. | @@ -119,7 +120,7 @@ ## Synthèse chiffrement -- **clair** : 40 flux +- **clair** : 41 flux - **n-a** : 8 flux - **ssh** : 8 flux - **starttls** : 6 flux diff --git a/exemples/vault.exemple.yml b/exemples/vault.exemple.yml index 811e5c0..5754e7b 100644 --- a/exemples/vault.exemple.yml +++ b/exemples/vault.exemple.yml @@ -49,6 +49,15 @@ vault_redis: "" # Inutile en mode `ldap` ou `external` : le rôle ne l'exige que dans le mode qui s'en sert. vault_icingaweb2_admin: "" +# LA CONSOLE D'EXPLOITATION, QUAND ELLE S'AUTHENTIFIE SEULE. +# +# `serveur_ops_gui_auth: locale` — le repli d'un ecosysteme SANS annuaire (un SITE). +# Un ecosysteme qui a Keycloak reste en `oidc` et laisse cette cle VIDE : la console +# lance des deploiements et peut raser, un mot de passe partage devant ce pouvoir est un +# accident qui attend. +vault_setops_gui_admin: "" + + # LE COMPTE DE METRIQUES DE POSTGRESQL — lecture seule, role `pg_monitor`. # # Il ne lit que les vues de statistiques : pas une ligne de donnee applicative. Faire diff --git a/roles/serveur_ops/defaults/main.yml b/roles/serveur_ops/defaults/main.yml index 88b5aa5..efc3724 100644 --- a/roles/serveur_ops/defaults/main.yml +++ b/roles/serveur_ops/defaults/main.yml @@ -201,3 +201,78 @@ serveur_ops_sonde_branches: >- {{ dict(serveur_ops_depots | map(attribute='dest') | zip(serveur_ops_depots | map(attribute='branche', default=serveur_ops_sonde_branche))) }} + +# --- LA CONSOLE D'EXPLOITATION, SERVIE PAR LE RUNNER (2026-09-14) --------------------- +# +# CE QU'ELLE ETAIT : une cible `make inventaire-ui` lancee a la main, qui ecoute sur la +# boucle locale du POSTE. Pour la voir, il fallait etre assis devant le controleur. +# +# CE QU'ELLE DEVIENT : un service du runner, publie par l'edge de son ecosysteme sous le +# nom que le plan lui donne. Chaque ecosysteme a sa console, chez lui, et c'est lui qui +# la gouverne. +# +# ═══ CE QUI NE PEUT PAS ETRE SAUTE ═══ +# +# LE GUI N'A AUCUNE AUTHENTIFICATION. Mesure du 2026-09-14, dans son code : +# +# `GET /` sert la page A QUI LA DEMANDE, avec le jeton ECRIT DEDANS. +# `POST /api/*` exige ce jeton — que la page vient de donner a tout le monde. +# +# Le jeton est une garde CSRF, pas une serrure. La seule serrure est +# `--hote 127.0.0.1` : le GUI est sur parce qu'il n'est joignable que de sa propre +# machine. L'exposer sans vestibule livrerait `deployer`, `creer`, `instance-utiliser` et +# l'edition du plan — la fabric entiere — a quiconque atteint l'URL. +# +# LE SERVICE RESTE DONC SUR LA BOUCLE LOCALE, TOUJOURS. Ce qui est publie, c'est un +# nginx local qui authentifie D'ABORD et relaie ensuite. Aucun chemin ne contourne le +# vestibule : il est pose au niveau du `server`, pas d'un `location`. +# LE DOSSIER DU MOTEUR, DERIVE DE `serveur_ops_depots` ET PAS ECRIT DEUX FOIS. C'est la +# meme liste qui decide ou le genome est clone ; la console doit demarrer LA, pas dans un +# chemin qu'on aurait recopie et qui prendrait du retard le jour ou le dossier change. +serveur_ops_depot_moteur: >- + {{ (serveur_ops_depots | selectattr('role', 'equalto', 'moteur') + | map(attribute='dest') | first) | default('Set-OPS-public', true) }} + +serveur_ops_gui_actif: false +serveur_ops_gui_ecoute: "127.0.0.1" +serveur_ops_gui_port: 8765 + +# LE PORT QUE L'EDGE VA CHERCHER. C'est nginx qui l'ouvre, jamais le GUI lui-meme. +serveur_ops_gui_port_public: 8090 + +# DEUX VESTIBULES, ET LE PREMIER EST LE BON. +# +# `oidc` — `serveur_oauth2_proxy` devant, donc Keycloak, donc un GROUPE d'annuaire. +# Revoquer quelqu'un ne demande alors aucun deploiement (D-66). +# `locale` — HTTP Basic, pour un ecosysteme SANS annuaire (un SITE). Un mot de passe +# vaut alors pour toute la fabric : c'est un repli, pas un choix. +# +# `oidc` PAR DEFAUT, et ce n'est pas une preference : la console peut RASER un +# ecosysteme. Un seul mot de passe partage devant ce pouvoir est un accident qui attend. +serveur_ops_gui_auth: "oidc" +serveur_ops_gui_admin_utilisateur: "setops-admin" +# LE MOT DE PASSE N'EST PAS NOMME ICI, ET P54 A RAISON DE L'EXIGER. +# +# `serveur_ops` est un role D'INSEMINATION : le SITE le pose sur le runner d'un locataire +# qui vient de naitre, SANS detenir la voute de ce locataire. Citer `vault_...` dans ce +# role rendrait l'insemination impossible — le site reclamerait un secret qu'il n'a pas, +# et par construction ne doit pas avoir. +# +# Le role declare donc un PARAMETRE VIDE. Qui le remplit est l'affaire de l'inventaire : +# `site_inventaire.py` y met la cle de la voute du SITE, un tenant la sienne dans ses +# `group_vars`. La couche qui detient le secret est la seule a le nommer. +# +# L'assertion en tete des taches refuse de deployer un vestibule `locale` sans mot de +# passe : le parametre peut rester vide, il ne peut pas rester vide ET actif. +serveur_ops_gui_admin_motdepasse: "" +serveur_ops_gui_htpasswd: "/etc/nginx/.setops-gui.htpasswd" +serveur_ops_gui_realm: "Console Set-OPS" + +# LE NOM SOUS LEQUEL L'EDGE LE SERT — derive du plan par `instancier` et par +# `site_inventaire`, comme tout nom public (P67). Le defaut n'est qu'un repli. +serveur_ops_hostname: "console.{{ domaine_interne }}" + +# Le vestibule et de quoi hacher son mot de passe. +serveur_ops_gui_paquets: + - nginx + - apache2-utils diff --git a/roles/serveur_ops/handlers/main.yml b/roles/serveur_ops/handlers/main.yml new file mode 100644 index 0000000..0ba619c --- /dev/null +++ b/roles/serveur_ops/handlers/main.yml @@ -0,0 +1,17 @@ +--- +- name: Redemarrer la console Set-OPS + ansible.builtin.systemd: + name: setops-gui.service + state: restarted + daemon_reload: true + when: not ansible_check_mode + +# `reload`, PAS `restart` : le vestibule est un vhost, pas une ecoute nouvelle. Le jour ou +# `serveur_ops_gui_port_public` change, c'est une autre affaire — nginx ne reapplique pas +# un `listen` sur un `reload`, et le service resterait vert sur l'ancien port. +- name: Recharger le vestibule de la console + ansible.builtin.systemd: + name: nginx + state: reloaded + failed_when: false + when: not ansible_check_mode diff --git a/roles/serveur_ops/meta/flux.yml b/roles/serveur_ops/meta/flux.yml index b6fc5b3..b17b60a 100644 --- a/roles/serveur_ops/meta/flux.yml +++ b/roles/serveur_ops/meta/flux.yml @@ -4,6 +4,26 @@ # Le poste est presque tout en sortie : il va chercher son génome, puis il pilote. Rien # ne s'y connecte, sinon l'administration elle-même. flux: + # LA CONSOLE D'EXPLOITATION, PUBLIEE PAR L'EDGE DE L'ECOSYSTEME (2026-09-14). + # + # `[edge, admin]` — la meme paire que `serveur_grafana` et `serveur_icingaweb2`, et + # pour la meme raison : sans edge, un ecosysteme n'aurait plus de console du tout. + # + # CE PORT N'EST PAS CELUI DU GUI. Le GUI ecoute `127.0.0.1:8765` et n'est joignable de + # nulle part ailleurs — c'est sa seule serrure, il sert sa page a qui la demande. Ce + # qui s'ouvre ici est le NGINX qui authentifie devant. + # + # LA REGLE N'EST EMISE QUE SI LE PLAN L'EXPOSE : un runner qui ne publie pas sa console + # n'a pas ce port ouvert, et `serveur_ops_gui_actif` reste faux. + - sens: ingress + port: 8090 + protocole: tcp + pair: [edge, admin] + chiffrement: clair + raison: >- + Console d'exploitation servie par l'edge (TLS terminé à l'edge), et joignable + depuis le plan d'administration là où il n'y a pas d'edge. Le GUI lui-même reste + sur la boucle locale : c'est nginx qui authentifie devant. - sens: egress port: 443 protocole: tcp diff --git a/roles/serveur_ops/meta/supervision.yml b/roles/serveur_ops/meta/supervision.yml index b38005c..da0890d 100644 --- a/roles/serveur_ops/meta/supervision.yml +++ b/roles/serveur_ops/meta/supervision.yml @@ -6,3 +6,19 @@ sondes: raison: 'Le poste d''exploitation peut-il encore agir ? Deux choses : ses depots sont-ils PROPRES et sur leur branche (une modification locale fait diverger le runner du depot que tout le monde lit), et Ansible repond-il dans son venv.' + + # LA CONSOLE, SURVEILLEE PAR CELUI QUI LA SERT (2026-09-14). + # + # DEUX PROCESSUS, UNE SEULE CAUSE D'ACTION : aller voir ce runner. Le GUI et son + # vestibule tombent separement, et le second cas est le plus retors — nginx repond + # parfaitement, et relaie vers un service mort. + # + # CE QUI COMPTE VRAIMENT : que le vestibule TIENNE. Un nginx qui laisserait passer sans + # authentifier ne fait echouer personne — il ouvre la fabric. La sonde exige donc un + # REFUS sur une requete anonyme : c'est la seule facon de mesurer une serrure. + - nom: console-ops + ttl: 5400 + raison: 'La console d''exploitation repond-elle, et son vestibule tient-il ? Un GUI + mort derriere un nginx vivant rend une page d''erreur a qui sait deja entrer ; un + vestibule tombe rend la fabric entiere a qui trouve l''URL. Le second ne fait + echouer personne — c''est pourquoi il faut le mesurer.' diff --git a/roles/serveur_ops/tasks/main.yml b/roles/serveur_ops/tasks/main.yml index 8e54ec4..de84792 100644 --- a/roles/serveur_ops/tasks/main.yml +++ b/roles/serveur_ops/tasks/main.yml @@ -549,3 +549,166 @@ owner: root group: root mode: "0750" + +# --- LA CONSOLE D'EXPLOITATION, SERVIE PAR CE RUNNER (2026-09-14) --------------------- +# +# CE QU'ELLE ETAIT : `make inventaire-ui`, lancee a la main, ecoutant la boucle locale du +# POSTE. Pour la voir, il fallait etre assis devant le controleur. +# +# CE QU'ELLE DEVIENT : un service du runner, publie par l'edge de son ecosysteme sous le +# nom que le plan lui donne. Chaque ecosysteme a sa console, chez lui. +# +# ELLE RESTE SUR LA BOUCLE LOCALE. Voir `serveur_ops_gui_actif` dans les defauts : le GUI +# sert sa page a qui la demande, jeton compris — ce jeton garde contre le CSRF, pas +# contre un visiteur. Ce qui est publie, c'est le nginx qui authentifie devant. +- name: Exiger un vestibule devant la console + ansible.builtin.assert: + that: + - (serveur_ops_gui_auth != 'locale') or (serveur_ops_gui_admin_motdepasse | length > 0) + fail_msg: >- + `serveur_ops_gui_auth: locale` mais `serveur_ops_gui_admin_motdepasse` est vide. + Cette console lance des deploiements et peut raser un ecosysteme : elle ne s'ouvre + pas avec un mot de passe devine. Le renseigner depuis la voute de l'ECOSYSTEME QUI + LA PUBLIE — ce role n'en nomme aucune, il est insemine par un site qui ne la + detient pas — ou passer en `oidc`. + when: serveur_ops_gui_actif | bool + +- name: Installer le vestibule de la console + ansible.builtin.apt: + name: "{{ serveur_ops_gui_paquets }}" + state: present + when: serveur_ops_gui_actif | bool + +- name: Déployer le service de la console + ansible.builtin.template: + src: setops-gui.service.j2 + dest: /etc/systemd/system/setops-gui.service + owner: root + group: root + mode: "0644" + when: serveur_ops_gui_actif | bool + notify: Redemarrer la console Set-OPS + +# LE MOT DE PASSE DU VESTIBULE, QUAND IL N'Y A PAS D'ANNUAIRE. +# +# `htpasswd -v` VERIFIE sans rien reecrire : c'est lui qui rend la pose idempotente. Une +# comparaison de fichiers ne le pourrait pas — bcrypt sale a chaque hachage, et deux +# fichiers justes different toujours. +- name: Le mot de passe deja pose est-il le bon ? + ansible.builtin.command: + argv: + - htpasswd + - -vb + - "{{ serveur_ops_gui_htpasswd }}" + - "{{ serveur_ops_gui_admin_utilisateur }}" + - "{{ serveur_ops_gui_admin_motdepasse }}" + register: serveur_ops_gui_verif + changed_when: false + failed_when: false + no_log: true + when: + - serveur_ops_gui_actif | bool + - serveur_ops_gui_auth == 'locale' + +- name: Poser le mot de passe du vestibule + ansible.builtin.command: + argv: + - htpasswd + - -cbB + - "{{ serveur_ops_gui_htpasswd }}" + - "{{ serveur_ops_gui_admin_utilisateur }}" + - "{{ serveur_ops_gui_admin_motdepasse }}" + no_log: true + # Elle ne tourne que si la verification a echoue : quand elle tourne, elle change + # vraiment quelque chose. L'idempotence vit dans le `when`, pas dans un test de sortie. + changed_when: true + when: + - serveur_ops_gui_actif | bool + - serveur_ops_gui_auth == 'locale' + - (serveur_ops_gui_verif.rc | default(1)) != 0 + notify: Recharger le vestibule de la console + +- name: Refermer le fichier de mots de passe sur nginx + ansible.builtin.file: + path: "{{ serveur_ops_gui_htpasswd }}" + owner: root + group: www-data + mode: "0640" + when: + - serveur_ops_gui_actif | bool + - serveur_ops_gui_auth == 'locale' + +- name: Déployer le vestibule de la console + ansible.builtin.template: + src: nginx-gui.conf.j2 + dest: /etc/nginx/sites-available/setops-gui.conf + owner: root + group: root + mode: "0644" + when: serveur_ops_gui_actif | bool + notify: Recharger le vestibule de la console + +- name: Activer le vestibule de la console + ansible.builtin.file: + src: /etc/nginx/sites-available/setops-gui.conf + dest: /etc/nginx/sites-enabled/setops-gui.conf + state: link + when: serveur_ops_gui_actif | bool + notify: Recharger le vestibule de la console + +# LE SITE PAR DEFAUT SERT TOUT CE QU'ON NE LUI A PAS DEMANDE. Le laisser en place +# donnerait une seconde porte, sans vestibule, sur le meme port. +- name: Retirer le site nginx par defaut + ansible.builtin.file: + path: /etc/nginx/sites-enabled/default + state: absent + when: serveur_ops_gui_actif | bool + notify: Recharger le vestibule de la console + +- name: Activer et demarrer la console + ansible.builtin.systemd: + name: setops-gui.service + enabled: true + state: started + daemon_reload: true + when: + - serveur_ops_gui_actif | bool + - not ansible_check_mode + +# UN RUNNER QUI CESSE DE PUBLIER SA CONSOLE DOIT L'ETEINDRE. Sans ce retrait, retirer +# l'exposition du plan laisserait le service tourner et le vestibule ouvert — la console +# resterait joignable alors que plus rien ne la declare. +- name: Éteindre la console quand ce runner ne la publie plus + ansible.builtin.systemd: + name: setops-gui.service + enabled: false + state: stopped + failed_when: false + when: + - not (serveur_ops_gui_actif | bool) + - not ansible_check_mode + +- name: Retirer le vestibule quand ce runner ne publie plus + ansible.builtin.file: + path: /etc/nginx/sites-enabled/setops-gui.conf + state: absent + when: not (serveur_ops_gui_actif | bool) + notify: Recharger le vestibule de la console + +- name: Deposer la sonde « console-ops » + ansible.builtin.template: + src: sonde-console-ops.sh.j2 + dest: /usr/local/lib/setops/sondes/console-ops.sh + owner: root + group: root + mode: "0750" + when: serveur_ops_gui_actif | bool + +# LA SONDE SUIT LA DECLARATION, DANS LES DEUX SENS. Un runner qui cesse de publier sa +# console garderait sinon une sonde orpheline : `client_sante` continuerait de la jouer +# et de pousser un resultat pour un service qu'Icinga ne definit plus. +- name: Retirer la sonde « console-ops » quand ce runner ne publie plus + ansible.builtin.file: + path: /usr/local/lib/setops/sondes/console-ops.sh + state: absent + when: not (serveur_ops_gui_actif | bool) diff --git a/roles/serveur_ops/templates/nginx-gui.conf.j2 b/roles/serveur_ops/templates/nginx-gui.conf.j2 new file mode 100644 index 0000000..2417844 --- /dev/null +++ b/roles/serveur_ops/templates/nginx-gui.conf.j2 @@ -0,0 +1,48 @@ +# GENERE par Set-OPS (role serveur_ops). Ne pas editer a la main. +# +# LE VESTIBULE DE LA CONSOLE. Le GUI, lui, n'ecoute que la boucle locale. +# +# TOUT CE QUI EST PUBLIE PASSE PAR ICI, et l'authentification est posee au niveau du +# `server` — pas d'un `location`. Placee dans le seul bloc de relais, elle laisserait +# passer tout chemin qu'un `location` plus specifique attraperait en premier. Une +# serrure qu'on contourne par la porte d'a cote n'est pas une serrure. +server { + listen {{ serveur_ops_gui_port_public }}; + listen [::]:{{ serveur_ops_gui_port_public }}; + server_name {{ serveur_ops_hostname }}; +{% if serveur_ops_gui_auth == 'locale' %} + + # SANS ANNUAIRE : un mot de passe, et il vaut pour toute la fabric. C'est un repli + # assume, pas un choix — voir `serveur_ops_gui_auth` dans les defauts du role. + auth_basic "{{ serveur_ops_gui_realm }}"; + auth_basic_user_file {{ serveur_ops_gui_htpasswd }}; +{% else %} + + # AVEC ANNUAIRE : c'est `serveur_oauth2_proxy` qui se tient devant, et lui seul doit + # pouvoir frapper ce port. Le pare-feu de l'hote le dit deja (`meta/flux.yml`), et on + # ne le redit pas ici : deux couches qui declarent la meme politique finissent par + # en declarer deux differentes. +{% endif %} + + # LA CONSOLE DEPLOIE, ET UN DEPLOIEMENT EST LONG. Les delais par defaut de nginx + # (60 s) couperaient la reponse au milieu d'un `deployer`, et la page afficherait une + # erreur reseau pour une operation qui, elle, continue sur la machine. La pire forme + # de mensonge : l'ecran dit echec, la fabric dit succes. + proxy_read_timeout {{ serveur_ops_gui_delai | default(3600) }}s; + proxy_send_timeout {{ serveur_ops_gui_delai | default(3600) }}s; + + # LA SORTIE D'UN DEPLOIEMENT ARRIVE AU FIL DE L'EAU. Sans ces deux lignes, nginx la + # retiendrait pour l'envoyer d'un bloc : la console resterait muette pendant des + # minutes, puis tout apparaitrait d'un coup. + proxy_buffering off; + gzip off; + + location / { + proxy_pass http://{{ serveur_ops_gui_ecoute }}:{{ serveur_ops_gui_port }}; + proxy_http_version 1.1; + proxy_set_header Host $host; + proxy_set_header X-Real-IP $remote_addr; + proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; + proxy_set_header X-Forwarded-Proto $scheme; + } +} diff --git a/roles/serveur_ops/templates/setops-gui.service.j2 b/roles/serveur_ops/templates/setops-gui.service.j2 new file mode 100644 index 0000000..8ab9598 --- /dev/null +++ b/roles/serveur_ops/templates/setops-gui.service.j2 @@ -0,0 +1,47 @@ +# GENERE par Set-OPS (role serveur_ops). Ne pas editer a la main. +# +# LA CONSOLE D'EXPLOITATION DE CET ECOSYSTEME. +# +# ELLE N'ECOUTE QUE SA PROPRE MACHINE, et ce n'est pas un reglage : c'est SA SEULE +# SERRURE. Le GUI sert sa page a qui la demande, avec son jeton ecrit dedans — le jeton +# garde contre le CSRF, pas contre un visiteur. Ce qui protege la fabric, c'est que +# personne d'autre que `127.0.0.1` ne peut frapper. +# +# Ce qui est publie est le nginx local, qui authentifie d'abord. +[Unit] +Description=Console d'exploitation Set-OPS ({{ setops_instance | default('instance') }}) +Documentation=file://{{ serveur_ops_racine }}/{{ serveur_ops_depot_moteur }}/docs/carte-set-ops.md +After=network-online.target +Wants=network-online.target + +[Service] +Type=simple +User={{ serveur_ops_utilisateur }} +Group={{ serveur_ops_utilisateur }} +WorkingDirectory={{ serveur_ops_racine }}/{{ serveur_ops_depot_moteur }} + +# LE PYTHON DE L'ENVIRONNEMENT ISOLE, pas celui du systeme : le GUI importe `yaml` et +# les modules du moteur, et c'est cet environnement-la qui les porte. +ExecStart={{ serveur_ops_venv }}/bin/python3 scripts/inventory_gui.py \ + --hote {{ serveur_ops_gui_ecoute }} --port {{ serveur_ops_gui_port }} + +Restart=on-failure +RestartSec=5 + +# CE QU'ELLE PEUT FAIRE, ET CE QU'ON LUI RETIRE. La console LANCE des deploiements : on +# ne peut donc pas la priver d'executables ni de reseau. Ce qu'on peut lui retirer sans +# la casser, on le retire — un service qui deploie merite plus de soin que les autres, +# pas moins. +NoNewPrivileges=yes +PrivateTmp=yes +ProtectHome=read-only +ProtectSystem=full +ProtectKernelTunables=yes +ProtectKernelModules=yes +ProtectControlGroups=yes +RestrictSUIDSGID=yes +RemoveIPC=yes +LockPersonality=yes + +[Install] +WantedBy=multi-user.target diff --git a/roles/serveur_ops/templates/sonde-console-ops.sh.j2 b/roles/serveur_ops/templates/sonde-console-ops.sh.j2 new file mode 100644 index 0000000..5d84bfc --- /dev/null +++ b/roles/serveur_ops/templates/sonde-console-ops.sh.j2 @@ -0,0 +1,60 @@ +#!/bin/bash +# GENERE par Set-OPS (role serveur_ops). Ne pas editer a la main. +# +# SONDE « console-ops » — la console repond-elle, et son vestibule tient-il ? +# +# PAS UNE ENVELOPPE DE GREFFON, ET C'EST ASSUME. `check_http` sait dire « ce service +# repond ». La verite d'ici est l'inverse : « ce service REFUSE-t-il encore ceux qui +# n'ont pas de quoi entrer ». Aucun greffon standard ne pense a mesurer une serrure. +set -uo pipefail + +GUI={{ serveur_ops_gui_ecoute }}:{{ serveur_ops_gui_port }} +VESTIBULE=127.0.0.1:{{ serveur_ops_gui_port_public }} +NOM='{{ serveur_ops_hostname }}' +MODE='{{ serveur_ops_gui_auth }}' + +# 1. LE GUI VIT-IL ? On frappe la boucle locale, la ou il est le seul a pouvoir repondre. +code=$(curl -s -o /dev/null -w '%{http_code}' --max-time 10 "http://${GUI}/" 2>/dev/null) +if [[ "${code}" != "200" ]]; then + echo "La console ne repond pas sur ${GUI} (HTTP ${code:-aucune reponse}) — plus personne ne pilote cet ecosysteme depuis le navigateur." + exit 2 +fi + +# 2. LE VESTIBULE REFUSE-T-IL ? On frappe SANS justificatif, avec le bon `Host` : c'est +# ainsi que nginx choisit son vhost, et sans cet en-tete on mesurerait le serveur par +# defaut — c'est-a-dire autre chose. +# +# UN 200 ICI EST LA PIRE DES REPONSES. Il veut dire que le vestibule laisse entrer : la +# console est alors ouverte a quiconque atteint l'adresse, avec `deployer`, `creer` et +# l'edition du plan. On le traite comme une panne, parce que c'en est une. +vu=$(curl -s -o /dev/null -w '%{http_code}' --max-time 10 \ + -H "Host: ${NOM}" "http://${VESTIBULE}/" 2>/dev/null) +case "${vu}" in + 401|403) + echo "Console vivante, vestibule (${MODE}) en place : une requete anonyme rend HTTP ${vu}." + exit 0 + ;; + 30[12478]) + # Une passerelle SSO renvoie vers son fournisseur d'identite : c'est un refus, dit + # autrement. On l'accepte seulement quand c'est le mode declare — en `locale`, une + # redirection signifierait que le `auth_basic` n'est plus applique. + if [[ "${MODE}" != "locale" ]]; then + echo "Console vivante, vestibule (${MODE}) en place : une requete anonyme est renvoyee (HTTP ${vu})." + exit 0 + fi + echo "LE VESTIBULE NE DEMANDE PLUS RIEN : en mode locale, une requete anonyme devrait rendre 401, elle rend ${vu}." + exit 2 + ;; + 200) + echo "LE VESTIBULE EST OUVERT : une requete anonyme obtient la console (HTTP 200). Deployer, creer et raser sont a la portee de qui trouve l'adresse." + exit 2 + ;; + "" | 000) + echo "Le vestibule ne repond pas sur ${VESTIBULE} — la console vit, mais l'edge ne peut plus l'atteindre." + exit 2 + ;; + *) + echo "Reponse inattendue du vestibule : HTTP ${vu}." + exit 1 + ;; +esac