Set-OPS-Public

Alliance-Boreale/Set-OPS-Public

Fork 0

Commit graph

Author	SHA1	Message	Date
Daniel Allaire	72a5fdbbc4	Portabilité from-zero : 4 correctifs débusqués par la reconstruction Reconstruction complète prouvée (14 VM + sauvegardes + AC supprimées, puis `make myDay` rebâtit tout ; `make valider` entièrement vert). Bugs corrigés : - client_pki : empreinte du root CA dérivée dynamiquement de l'autorité (au lieu d'une valeur figée en Vault) — une AC régénérée a une empreinte neuve. - serveur_keycloak : assignation de rôle tolérante aux utilisateurs absents (annuaire vide sur un from-zero). - serveur_prometheus : ne scrute que les hôtes ACTIFS (client_metrique ∩ hotes_actifs). - nftables résolu : compatible Docker — remplace la seule table setops_flux (pas de flush ruleset, préserve les tables Docker) + forward autorise docker0/established. Sans ça, forward policy drop coupait Collabora (conteneur). Ajoute playbooks/proxmox/supprimer_vm_debian.yml (suppression par VMID, garde-fous). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-07 06:45:12 -04:00
Daniel Allaire	f05f505b88	Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu Rend l'écosystème reconstructible en une commande (create+deploy idempotent) et ajoute la couche « accès » (nftables least-privilege) au zéro-confiance. Orchestrateur (phase 2) : - docs/couches-deploiement.yml : registre des couches (socle → pki → services → apps → agents) - scripts/orchestrer.py : tri par couche + topo intra-couche (graphe) → playbooks/site.yml ordonné - Makefile : site / deployer-tout / flotte-creer / reconstruire / myDay (+ gardes CONFIRMER) - docs/dependances-groupes.yml : graphe complété (keycloak→openldap, dovecot, postfix, icingaweb2, nextcloud) Audit codé-en-dur (phase 1b) : labels/slug OIDC dérivés de l'intrant `organisation` (serveur_forgejo/grafana/nextcloud) — le moteur ne porte plus de nom de tenant. Registre des flux réseau (phase 0) : - meta/flux.yml pour tous les rôles (29 rôles, 63 flux ; schéma + matrice validés) - scripts/resoudre_flux.py : matrice d'audit (docs/registre-flux.md) + rulesets nftables résolus par hôte - roles/nftables_baseline : déploie le ruleset résolu (moindre-privilège) quand activé, sinon repli Correctifs : détection du coffre Vault (chemin production → inventaire réellement résolu). Outillage : make wiki-publier (publication du wiki pédagogique dans Forgejo). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-07 03:08:09 -04:00

Author

SHA1

Message

Date

Daniel Allaire

72a5fdbbc4

Portabilité from-zero : 4 correctifs débusqués par la reconstruction

Reconstruction complète prouvée (14 VM + sauvegardes + AC supprimées, puis
`make myDay` rebâtit tout ; `make valider` entièrement vert). Bugs corrigés :

- client_pki : empreinte du root CA dérivée dynamiquement de l'autorité
  (au lieu d'une valeur figée en Vault) — une AC régénérée a une empreinte neuve.
- serveur_keycloak : assignation de rôle tolérante aux utilisateurs absents
  (annuaire vide sur un from-zero).
- serveur_prometheus : ne scrute que les hôtes ACTIFS (client_metrique ∩ hotes_actifs).
- nftables résolu : compatible Docker — remplace la seule table setops_flux (pas de
  flush ruleset, préserve les tables Docker) + forward autorise docker0/established.
  Sans ça, forward policy drop coupait Collabora (conteneur).

Ajoute playbooks/proxmox/supprimer_vm_debian.yml (suppression par VMID, garde-fous).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

2026-07-07 06:45:12 -04:00

Daniel Allaire

f05f505b88

Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu

Rend l'écosystème reconstructible en une commande (create+deploy idempotent) et
ajoute la couche « accès » (nftables least-privilege) au zéro-confiance.

Orchestrateur (phase 2) :
- docs/couches-deploiement.yml : registre des couches (socle → pki → services → apps → agents)
- scripts/orchestrer.py : tri par couche + topo intra-couche (graphe) → playbooks/site.yml ordonné
- Makefile : site / deployer-tout / flotte-creer / reconstruire / myDay (+ gardes CONFIRMER)
- docs/dependances-groupes.yml : graphe complété (keycloak→openldap, dovecot, postfix, icingaweb2, nextcloud)

Audit codé-en-dur (phase 1b) : labels/slug OIDC dérivés de l'intrant `organisation`
(serveur_forgejo/grafana/nextcloud) — le moteur ne porte plus de nom de tenant.

Registre des flux réseau (phase 0) :
- meta/flux.yml pour tous les rôles (29 rôles, 63 flux ; schéma + matrice validés)
- scripts/resoudre_flux.py : matrice d'audit (docs/registre-flux.md) + rulesets nftables résolus par hôte
- roles/nftables_baseline : déploie le ruleset résolu (moindre-privilège) quand activé, sinon repli

Correctifs : détection du coffre Vault (chemin production → inventaire réellement résolu).
Outillage : make wiki-publier (publication du wiki pédagogique dans Forgejo).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

2026-07-07 03:08:09 -04:00

2 commits