---
# Supervision derivee du role. Voir docs/supervision-conception.md.
#
# CE QUE `serveur_backup` SURVEILLE DEJA : `depot` — le depot accepte-t-il vraiment une
# ecriture ? Vrai pour n'importe quel depot restic.
#
# CE ROLE PORTE DEUX VERITES QUE L'AUTRE NE PEUT PAS VOIR, parce qu'elles n'existent que
# la ou PLUSIEURS locataires deposent dans la meme machine.
#
#   1. L'ISOLATION. Chaque locataire a son compte Unix et son repertoire en 0700. Si un
#      seul de ces modes glisse, un locataire peut lire — ou effacer — les instantanes
#      d'un autre. Et RIEN ne se plaint : les sauvegardes continuent de reussir, des deux
#      cotes. C'est une panne qui n'a aucun symptome jusqu'au jour ou elle en a un seul,
#      definitif.
#
#   2. LA PLACE. `tasks/main.yml` exige un plancher au deploiement. Un depot qui se
#      remplit ensuite n'echoue pas a l'ouverture — il echoue AU MILIEU d'un instantane,
#      CHEZ LE LOCATAIRE, et la panne s'y lit comme une erreur reseau. Le site est le seul
#      a pouvoir la voir venir ; le locataire, lui, ne peut que la subir.
#
# CE QUE LA SONDE NE FAIT PAS, ET NE PEUT PAS FAIRE : juger les instantanes des
# locataires. Restic chiffre CHEZ EUX, avec un mot de passe qui ne quitte pas leur voute.
# Le site heberge des octets opaques. La verification suit la cle — elle appartient a
# celui qui detient la cle, et ce n'est pas le site.
#
# TTL de 5400 s pour un porteur qui passe aux 15 min : trois passages manques avant la
# peremption. Le silence alerte autant que l'echec.
sondes:
  - nom: depot-locataires
    metier: sauvegardes_locataires
    ttl: 5400
    raison: 'Les depots des locataires sont-ils toujours etanches, et reste-t-il de la
      place devant eux ? Un mode qui glisse laisse un locataire lire ou effacer les
      instantanes d''un autre, sans qu''aucune sauvegarde n''echoue. Un depot qui se
      remplit echoue AU MILIEU d''un instantane, chez le locataire, et sa panne s''y lit
      comme une erreur reseau.'