3 commits

Author	SHA1	Message	Date
Daniel Allaire	f05f505b88	Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu ... Rend l'écosystème reconstructible en une commande (create+deploy idempotent) et ajoute la couche « accès » (nftables least-privilege) au zéro-confiance. Orchestrateur (phase 2) : - docs/couches-deploiement.yml : registre des couches (socle → pki → services → apps → agents) - scripts/orchestrer.py : tri par couche + topo intra-couche (graphe) → playbooks/site.yml ordonné - Makefile : site / deployer-tout / flotte-creer / reconstruire / myDay (+ gardes CONFIRMER) - docs/dependances-groupes.yml : graphe complété (keycloak→openldap, dovecot, postfix, icingaweb2, nextcloud) Audit codé-en-dur (phase 1b) : labels/slug OIDC dérivés de l'intrant `organisation` (serveur_forgejo/grafana/nextcloud) — le moteur ne porte plus de nom de tenant. Registre des flux réseau (phase 0) : - meta/flux.yml pour tous les rôles (29 rôles, 63 flux ; schéma + matrice validés) - scripts/resoudre_flux.py : matrice d'audit (docs/registre-flux.md) + rulesets nftables résolus par hôte - roles/nftables_baseline : déploie le ruleset résolu (moindre-privilège) quand activé, sinon repli Correctifs : détection du coffre Vault (chemin production → inventaire réellement résolu). Outillage : make wiki-publier (publication du wiki pédagogique dans Forgejo). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-07 03:08:09 -04:00
Daniel Allaire	d95b26c243	bindings Phase 1 : résolveur de liens dans instancier (relations déclaratives) ... Une application déclare ses liens ([{vers, role}]) dans applications.yml ; chaque rôle décrit les liens acceptés dans meta/liens.yml. instancier résout la cible (FQDN interne dérivé de la nomenclature) et injecte les variables en host_vars du consommateur. Migration prouvée : les liens mail Postfix→Dovecot (mailstore) et Postfix→rspamd (milter) passent de group_vars codés en dur à des liens déclaratifs — make instancier donne DIFF VIDE (mêmes vars générées). Cf. docs/bindings-conception.md. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-03 08:33:30 -04:00
Daniel Allaire	9480e585a5	serveur_postfix (Postfix 3.x) : MTA edge-mta — cartes LDAP + LMTP + TLS step_ca ... Réception :25, validation des boîtes par carte LDAP (attribut mail), remise LMTP réseau vers le mail-store Dovecot (virtual_transport lmtp), TLS via step_ca (pont de cert), aucune boîte locale. main.cf + ldap-mailboxes.cf, validé par postfix check. Bind LDAP: vault_openldap_admin. Validé statiquement (ansible-lint, syntax, rendu main.cf) ; déploiement à suivre. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-02 15:34:24 -04:00