diff --git a/CHANGELOG.md b/CHANGELOG.md index 31a9f71..0b2753e 100644 --- a/CHANGELOG.md +++ b/CHANGELOG.md @@ -1,5 +1,75 @@ # CHANGELOG — Set-OPS +## 2026-08-28 — L'insémination : la parenté est la seule exception au zéro-confiance + +**52 preuves.** Entre tenants, la frontière refuse tout ce qui n'est pas déclaré. Mais un +écosystème neuf **ne peut pas s'amorcer lui-même** : quelqu'un doit poser sa première +machine. Ce geste n'avait pas de nom, et un geste sans nom ne se borne pas. + +``` +le SITE matérialise VNets, VM, routes, flux — le terrain +le SITE amorce ops-01 la première machine, et elle seule +le TENANT achève ses autres machines, ses rôles, ses intégrations +``` + +**Le partage d'intelligence qui le rend possible**, et qui est plus net que « le SITE ignore +les rôles » : les deux runners portent le même moteur, et n'en consomment pas la même face. +Le SITE lit `roles/*/meta/flux.yml` — ce que les rôles exigent du **réseau** — et en tire le +SDN, le pare-feu Proxmox, la frontière. Le tenant lit `tasks/`, `templates/`, +`meta/integration.yml` — ce qu'ils exigent de la **machine**. *C'est ce partage qui permet +au SITE de poser les bonnes règles sans jamais lire la configuration d'un tenant ni détenir +sa voûte.* + +### Le couplage existait déjà, sans être déclaré + +`make creer-vm` exige `_instance-requise`. Pour matérialiser les VM de Chezlepro, le runner +du SITE a donc dû basculer son symlink `instance` sur le dépôt de Chezlepro — alors que son +plan pose `serveur_ops_instance: ""` et que la doctrine dit qu'un SITE n'a pas de plan monté +par ce lien. Mesuré sur la machine : + +``` +/opt/setops/Set-OPS-public/instance -> ../OPS-Chezlepro (27 août 21:52) +``` + +Rien ne borne sur quels tenants ce lien porte, ni jusqu'à quand. *Le déclarer, c'est le +rendre limitable ; le taire ne l'a jamais empêché.* + +### L'émancipation exige la gouverne d'un humain + +J'avais proposé une **condition d'extinction mesurée** : le lien se ferme quand la machine +constate que le tenant se reproduit sans son parent. C'était l'erreur symétrique de celle +qu'on corrigeait, et ce document disait déjà pourquoi — *« chaque émancipation est une +décision du client, jamais une rupture technique »*. + +**Le fruit de l'émancipation est livré à quelqu'un.** Sans quelqu'un pour le recevoir, il +n'y a pas de livraison : seulement un lien qui tombe. *Une émancipation qui se déclencherait +toute seule ne serait pas une émancipation, ce serait une expulsion.* + +D'où quatre lignes qui ne se confondent pas : le moteur porte le **lien**, la machine +produit le **constat d'aptitude** — elle instruit, elle n'agit pas —, **l'humain** pose +l'**acte** sous `CONFIRMER=true`, et la machine **prouve** ensuite que le lien est coupé. +C'est la forme des autres gestes lourds d'ici : `raser` exige son nom d'instance, le mot de +passe de la voûte se tape à l'exécution. **L'émancipation est le deuxième objet de cette +liste.** + +### Deux limites nommées plutôt que tues + +**Qui est le parent ?** D-81 donne l'autorité du génome à la forge du SITE. Conséquence non +écrite : patient 0, dont la raison d'être est *« porter les dépôts qui fabriquent les +écosystèmes, et les servir à ses enfants »*, n'a plus un seul lecteur — Chezlepro était le +dernier, corrigé le 26. Et la machine hors flotte qu'il existe pour remplacer alimente +désormais la forge qui fait autorité : le point unique de défaillance n'a pas été éliminé, +**il a été promu**. Trois issues sont posées dans le document ; aucune n'est tranchée, et +aucune ne bloque la reconstruction en cours. + +**La séparation des voûtes est organisationnelle, pas cryptographique.** Les fichiers sont +bien séparés — vérifié sur `site-ops-01`, qui ne détient que `underlay.vault.yml`. Mais un +**seul mot de passe** ouvre la voûte du site et celles des tenants. « Deux pouvoirs, aucun +omnipotent » décrit la répartition des fichiers, pas celle des clés. + +*Un document qui nomme ce qu'il n'a pas encore résolu vaut mieux qu'un document dont on +découvrira le trou en s'appuyant dessus.* + ## 2026-08-27 — P52 : matérialiser n'exige pas d'entrer chez le tenant **52 preuves.** `creer-vm` confirmait son succès en attendant une réponse SSH. Le runner du diff --git a/docs/filiation-emancipation.md b/docs/filiation-emancipation.md index 4cd2c66..065381d 100644 --- a/docs/filiation-emancipation.md +++ b/docs/filiation-emancipation.md @@ -66,18 +66,80 @@ soi dès le premier jour. | **identité** (LDAP/SSO) | le plus intime | mutualiser l'annuaire, c'est confier ses gens | | **la voûte** | **jamais** | les secrets ne se mutualisent pas, à aucun âge | -## Ce que l'émancipation doit prouver +## L'insémination — le premier lien, et le seul que le SITE ait le droit d'avoir -Basculer une déclaration ne suffit pas. Une émancipation est un **acte outillé** en trois -temps : +Entre tenants, le zéro-confiance est le défaut : la frontière refuse tout ce qui n'est pas +déclaré, et c'est cette règle qui rend l'hébergement mutualisé défendable. **La parenté est +la seule exception, et elle est asymétrique** : un écosystème neuf ne peut pas s'amorcer +lui-même. Quelqu'un doit poser sa première machine et lui donner de quoi continuer. -1. **déclarer** — lever le drapeau au plan, déployer le service chez soi ; -2. **migrer l'état** — le génome, les sauvegardes, les certificats existants ; -3. **prouver que le lien est coupé** — et c'est le temps qu'on oublie. +Ce geste s'appelle l'**insémination** : -Sans cette troisième preuve, on croirait s'être émancipé en restant dépendant sans le -savoir. C'est exactement le défaut que ce dépôt traque partout ailleurs : un vert sur un -périmètre vide. Une émancipation non prouvée est une émancipation non faite. +``` +le SITE matérialise VNets, VM, routes, flux — le terrain +le SITE amorce ops-01 la première machine, et elle seule +le TENANT achève ses autres machines, ses rôles, ses intégrations +``` + +**Le partage d'intelligence qui le rend possible.** Les deux runners portent le même +moteur ; ils n'en consomment pas la même face : + +| | ce qu'il lit du moteur | ce qu'il en fait | +|---|---|---| +| runner du **SITE** | `roles/*/meta/flux.yml` — la face **réseau** des rôles | SDN, pare-feu Proxmox, frontière OPNsense | +| runner du **TENANT** | `tasks/`, `templates/`, `meta/integration.yml` — la face **machine** | configure ses services | + +C'est ce partage qui permet au SITE de poser les bonnes règles pour un tenant **sans jamais +lire sa configuration ni détenir sa voûte**. Il sait de quoi les rôles ont besoin sur le +fil ; il ignore ce qu'ils font sur la machine. + +**Ce que le lien doit être, pour ne pas devenir un pouvoir permanent :** + +- **étroit** — vers le seul `ops-01` du tenant, jamais vers ses autres machines ; +- **déclaré** — dans `meta/flux.yml`, comme tout le reste, pour que la frontière et + `nftables` le connaissent au lieu de le subir ; +- **borné par un acte**, et cet acte appartient à un humain (voir ci-dessous). + +> **Ce qui existe déjà sans être déclaré, au 2026-08-28.** `make creer-vm` exige +> `_instance-requise` : pour matérialiser les VM d'un tenant, le runner du SITE doit +> basculer son symlink `instance` sur le dépôt de ce tenant — alors que son plan pose +> `serveur_ops_instance: ""` et que la doctrine dit qu'un SITE n'a pas de plan monté par ce +> lien. Le couplage est donc **déjà là**, et rien ne borne sur quels tenants il porte ni +> jusqu'à quand. Le déclarer, c'est le rendre limitable ; le taire ne l'a jamais empêché. + +## Ce que l'émancipation exige — et de qui + +Basculer une déclaration ne suffit pas. Mais l'erreur symétrique est plus tentante encore : +faire de l'émancipation un **automatisme**, que la machine déclencherait dès qu'elle +constate que le tenant se reproduit sans son parent. + +**L'émancipation exige toujours la gouverne d'un humain.** Le fruit de l'émancipation est +livré à quelqu'un — un client qui reprend ses clés, sa forge, son écosystème. Sans +quelqu'un pour le recevoir, il n'y a pas de livraison : seulement un lien qui tombe. *Une +émancipation qui se déclencherait toute seule ne serait pas une émancipation, ce serait une +expulsion.* + +C'est déjà la forme des gestes lourds de ce dépôt : `raser` exige `CONFIRMER=true` et le +nom de l'instance ; le mot de passe de la voûte se tape à l'exécution — « le seul objet que +la reproduction exige d'un humain ». **L'émancipation est le deuxième objet de cette +liste.** + +D'où la répartition, qui ne se confond pas : + +| | qui l'exécute | +|---|---| +| **le lien de filiation** — déclaré, étroit, visible au plan | le moteur | +| **le constat d'aptitude** — « ce tenant se reproduit sans son parent » | la machine — elle **instruit**, elle n'agit pas | +| **l'acte d'émancipation** — retirer le lien, remettre les clés | **l'humain**, garde `CONFIRMER=true` | +| **la preuve que le lien est coupé** | la machine, **après** l'acte | + +La quatrième ligne est celle qu'on oublie, et c'est elle qui décide si les trois autres ont +servi. Sans elle, on croirait s'être émancipé en restant dépendant sans le savoir — +exactement le défaut que ce dépôt traque partout ailleurs : un vert sur un périmètre vide. +**Une émancipation non prouvée est une émancipation non faite.** + +*L'instrument de la quatrième ligne n'existe pas encore. C'est la pièce manquante nommée +au bas de ce document.* ## Forme attendue d'une déclaration @@ -93,9 +155,63 @@ l'état de son écosystème d'un coup d'œil plutôt qu'en fouillant chaque rôl le drapeau est levé sans que l'amont soit nommé : emprunter sans dire à qui, c'est ne rien déclarer du tout. -## État au 2026-08-24 +## Qui est le parent ? — dilemme ouvert au 2026-08-28 + +Ce document décrit la filiation sans dire **de qui** un écosystème descend. La question +n'est plus théorique depuis que les runners savent reconstruire : chaque écosystème rebâti +grave sa réponse dans son plan (`serveur_ops_forge_amont`), et N réponses différentes font +N lignées qu'on ne saura plus rapprocher. + +La chaîne réelle, mesurée : + +``` +poste de l'exploitant ──push──▶ eregion.chezlepro.ca:2222 + = forge.alliance-boreale.ca ◀── HORS FLOTTE + │ git bundle │ miroir 8 h + ▼ ▼ + forge du SITE ★ autorité (D-81) forge de patient 0 ★ « la forge mère » + │ │ + ▼ ▼ + les tenants du site (plus aucun lecteur) +``` + +Trois faits qui ne tiennent pas ensemble : + +1. **Patient 0 ne sert plus personne.** Chezlepro était son dernier lecteur, corrigé le + 2026-08-26 vers la forge du site. Son dépôt affirme toujours sa raison d'être — *« porter + les dépôts qui fabriquent les écosystèmes, et les servir à ses enfants »*. +2. **Le point unique de défaillance n'a pas été éliminé, il a été promu.** Patient 0 existe + explicitement pour remplacer une machine hors flotte que Set-OPS ne déploie ni ne prouve + — or c'est de cette machine que la forge faisant autorité tire son contenu. +3. **Le parent est locataire de son enfant.** Patient 0 est un tenant de la fabric d'un + site qui descend de lui. L'ancêtre ne peut pas être le chemin de reprise de son hôte. + +Trois issues, à trancher par l'exploitant — et par lui seul, comme toute émancipation : + +| issue | ce qu'elle impose | +|---|---| +| **patient 0 redevient la source** ; chaque forge de SITE en miroite | le rendre atteignable depuis **tout** site — il vit aujourd'hui dans la fabric d'un seul | +| **le SITE est la source** ; patient 0 devient une **référence**, non un ancêtre | assumer que la racine est le poste + la machine hors flotte, donc l'intégrer à la flotte ou la remplacer | +| **pas de racine — une famille de pairs** ; D-81 se restreint à « autorité pour les tenants d'un site » | bâtir non pas une hiérarchie mais une **preuve de convergence** entre toutes les copies vivantes | + +*Aucune n'est bloquante pour la reconstruction en cours : les tenants pointent déjà sur la +forge de leur site, ce qui reste vrai dans les trois.* + +## État au 2026-08-28 Seule la forge porte cette déclaration complète (`serveur_ops`). Les autres services mutualisés le sont par des mécanismes antérieurs, cohérents mais non uniformes. Les -aligner sur la forme ci-dessus reste à faire — et l'instrument de preuve de l'étape 3 -n'existe pas encore. +aligner sur la forme ci-dessus reste à faire. + +**Les deux pièces manquantes**, l'une et l'autre nommées plus haut : + +- le **lien d'insémination** n'est pas déclaré — il existe pourtant, par le symlink + `instance` du runner du SITE, sans borne ni visibilité ; +- l'**instrument de preuve** de la dernière ligne — « le lien est coupé » — n'existe pas. + Tant qu'il manque, aucune émancipation ne peut être déclarée faite. + +**Une limite mesurée le 2026-08-28, à connaître avant de s'appuyer sur cette frontière :** +la séparation des voûtes est **organisationnelle, pas cryptographique**. Les fichiers sont +bien séparés — le runner du SITE ne détient que `underlay.vault.yml`, vérifié sur la +machine — mais **un seul mot de passe ouvre la voûte du site et celles des tenants**. « Deux +pouvoirs, aucun omnipotent » décrit donc la répartition des fichiers, pas celle des clés.