---
# Flux réseau du runner de TENANT. Voir docs/flux-conception.md.
#
# UN SEUL FLUX, ET C'EST LE LIEN DE FILIATION.
#
# Ce rôle ne fait que déposer un fichier ; ce qui consomme la voûte, c'est `serveur_ops`
# quand il configure les machines de l'écosystème, et ses flux sont déclarés chez lui.
# Ce rôle n'atteint NI la fabric NI la frontière — c'est exactement ce qui le sépare de
# `serveur_ops_site`.
#
# Mais il porte la marque de l'INSÉMINATION. Un écosystème neuf ne peut pas s'amorcer
# lui-même : quelqu'un doit poser sa première machine et lui donner de quoi continuer.
# Ce quelqu'un est le runner du SITE, et ce flux est le seul chemin par lequel il entre —
# vers cette machine-ci, et vers aucune autre du tenant.
#
# POURQUOI IL EST DÉCLARÉ ICI ET PAS AU SOCLE. Au socle, il ouvrirait le SSH du site vers
# TOUTES les machines du tenant, ce que l'isolation refuse. Déclaré sur ce rôle, il ne
# vaut que pour les hôtes qui le portent — un seul par écosystème. La portée du pouvoir
# est celle du groupe, et le groupe est écrit au plan.
#
# CE QU'IL NE TRANSPORTE JAMAIS : un secret. Le runner du SITE peut poser le socle, le
# moteur, le plan et le plancher de résolution — tout cela est public. Il ne détient pas
# la voûte du tenant (elle est hors dépôt) et n'en connaît pas le mot de passe. C'est
# l'humain qui arme ce runner, et c'est voulu : voir `docs/filiation-emancipation.md`.
flux:
  - sens: ingress
    port: 22
    protocole: tcp
    pair: runner_site
    chiffrement: ssh
    # CE ROLE N'OUVRE AUCUNE ECOUTE — il emprunte le sshd du socle, comme
    # `serveur_backup`. Sans ce mot, P33 y voit deux roles qui se disputent le port 22
    # sur la meme machine, et elle a raison de le demander : il n'y a que le registre
    # pour distinguer « j'ouvre une ecoute » de « j'autorise une source de plus sur
    # l'ecoute d'un autre ».
    partage: true
    raison: >-
      Insémination : le runner du SITE amorce ce runner-ci — socle, moteur, plan,
      plancher de résolution — jusqu'à ce qu'un humain lui remette sa voûte. Vers cette
      machine seule, jamais vers le reste de l'écosystème.