Set-OPS-Public

Alliance-Boreale/Set-OPS-Public

Fork 0

Commit graph

Author	SHA1	Message	Date
Daniel Allaire	57e3bd3d01	client_journal : imposer et DECLARER le port d'Alloy — collision avec le SASL de Dovecot Sixieme et dernier arret de la reconstruction from-zero, et le seul qui ne soit ni un ordre ni une course : un vrai conflit de port. infra-mail-01 : dovecot ecoute 0.0.0.0:12345 (serveur_dovecot_sasl_port, choix delibere de Set-OPS pour la soumission :587) alloy : defaut amont 12345 -> bind: address already in use Le premier demarre gagne. En exploitation courante le conflit DORMAIT : Alloy tenait le port depuis toujours et c'est l'ecoute SASL de Dovecot qui echouait, en silence. L'ordre des couches d'une reconstruction inverse les roles et le rend visible. Le vrai defaut n'est pas le numero : c'est qu'un port SUBI ne se declare nulle part, donc aucun controle ne peut voir la collision. Le port est desormais IMPOSE (--server.http.listen-addr) et DECLARE dans meta/flux.yml avec pair: localhost — une revendication de port, pas un flux entre hotes. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-09 09:04:25 -04:00
Daniel Allaire	f05f505b88	Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu Rend l'écosystème reconstructible en une commande (create+deploy idempotent) et ajoute la couche « accès » (nftables least-privilege) au zéro-confiance. Orchestrateur (phase 2) : - docs/couches-deploiement.yml : registre des couches (socle → pki → services → apps → agents) - scripts/orchestrer.py : tri par couche + topo intra-couche (graphe) → playbooks/site.yml ordonné - Makefile : site / deployer-tout / flotte-creer / reconstruire / myDay (+ gardes CONFIRMER) - docs/dependances-groupes.yml : graphe complété (keycloak→openldap, dovecot, postfix, icingaweb2, nextcloud) Audit codé-en-dur (phase 1b) : labels/slug OIDC dérivés de l'intrant `organisation` (serveur_forgejo/grafana/nextcloud) — le moteur ne porte plus de nom de tenant. Registre des flux réseau (phase 0) : - meta/flux.yml pour tous les rôles (29 rôles, 63 flux ; schéma + matrice validés) - scripts/resoudre_flux.py : matrice d'audit (docs/registre-flux.md) + rulesets nftables résolus par hôte - roles/nftables_baseline : déploie le ruleset résolu (moindre-privilège) quand activé, sinon repli Correctifs : détection du coffre Vault (chemin production → inventaire réellement résolu). Outillage : make wiki-publier (publication du wiki pédagogique dans Forgejo). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-07 03:08:09 -04:00

Author

SHA1

Message

Date

Daniel Allaire

57e3bd3d01

client_journal : imposer et DECLARER le port d'Alloy — collision avec le SASL de Dovecot

Sixieme et dernier arret de la reconstruction from-zero, et le seul qui ne soit
ni un ordre ni une course : un vrai conflit de port.

  infra-mail-01 : dovecot ecoute 0.0.0.0:12345  (serveur_dovecot_sasl_port,
                  choix delibere de Set-OPS pour la soumission :587)
  alloy         : defaut amont 12345 -> bind: address already in use

Le premier demarre gagne. En exploitation courante le conflit DORMAIT : Alloy
tenait le port depuis toujours et c'est l'ecoute SASL de Dovecot qui echouait,
en silence. L'ordre des couches d'une reconstruction inverse les roles et le
rend visible.

Le vrai defaut n'est pas le numero : c'est qu'un port SUBI ne se declare nulle
part, donc aucun controle ne peut voir la collision. Le port est desormais
IMPOSE (--server.http.listen-addr) et DECLARE dans meta/flux.yml avec
pair: localhost — une revendication de port, pas un flux entre hotes.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-09 09:04:25 -04:00

Daniel Allaire

f05f505b88

Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu

Rend l'écosystème reconstructible en une commande (create+deploy idempotent) et
ajoute la couche « accès » (nftables least-privilege) au zéro-confiance.

Orchestrateur (phase 2) :
- docs/couches-deploiement.yml : registre des couches (socle → pki → services → apps → agents)
- scripts/orchestrer.py : tri par couche + topo intra-couche (graphe) → playbooks/site.yml ordonné
- Makefile : site / deployer-tout / flotte-creer / reconstruire / myDay (+ gardes CONFIRMER)
- docs/dependances-groupes.yml : graphe complété (keycloak→openldap, dovecot, postfix, icingaweb2, nextcloud)

Audit codé-en-dur (phase 1b) : labels/slug OIDC dérivés de l'intrant `organisation`
(serveur_forgejo/grafana/nextcloud) — le moteur ne porte plus de nom de tenant.

Registre des flux réseau (phase 0) :
- meta/flux.yml pour tous les rôles (29 rôles, 63 flux ; schéma + matrice validés)
- scripts/resoudre_flux.py : matrice d'audit (docs/registre-flux.md) + rulesets nftables résolus par hôte
- roles/nftables_baseline : déploie le ruleset résolu (moindre-privilège) quand activé, sinon repli

Correctifs : détection du coffre Vault (chemin production → inventaire réellement résolu).
Outillage : make wiki-publier (publication du wiki pédagogique dans Forgejo).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

2026-07-07 03:08:09 -04:00

2 commits