---
serveur_loki_paquets:
  - loki

serveur_loki_service: "loki"
serveur_loki_config: "/etc/loki/config.yml"
serveur_loki_port: 3100
serveur_loki_chemin: "/var/lib/loki"
serveur_loki_retention: "744h"  # 31 jours

# Depot apt officiel Grafana (partage avec serveur_grafana).
serveur_loki_depot_cle_url: "https://apt.grafana.com/gpg-full.key"
serveur_loki_depot_cle_fichier: "/etc/apt/keyrings/grafana.asc"
serveur_loki_depot_source: "deb [signed-by=/etc/apt/keyrings/grafana.asc] https://apt.grafana.com stable main"

# --- TLS (zero-confiance) : Loki sert son API HTTP en HTTPS (cert step_ca) ---
serveur_loki_tls_actif: false
serveur_loki_tls_dir: "/etc/loki/tls"
serveur_loki_tls_source_cert: "/etc/step/certs/{{ ansible_fqdn | default(ansible_hostname) }}.crt"
serveur_loki_tls_source_cle: "/etc/step/certs/{{ ansible_fqdn | default(ansible_hostname) }}.key"

# --- Sonde de supervision -----------------------------------------------------------
# LE SCHEMA SE DERIVE DU COMMUTATEUR TLS, il ne s'ecrit pas (mesure du 2026-09-10).
#
# Cette ligne disait `https` en dur, alors que `serveur_loki_tls_actif` vaut `false` par
# defaut. Chez le tenant, qui l'active dans ses group_vars, l'accord etait fortuit ; au
# site, qui ne l'active pas, la sonde interrogeait en HTTPS un Loki qui sert en clair et
# rapportait « Loki ne repond pas » — un CRITICAL sur un service en parfaite sante.
#
# Une fausse alarme est pire qu'une sonde absente : elle apprend a ne plus lire la sonde.
# Meme forme que le reglage d'authentification de Grafana, corrige le meme jour — un
# parametre qui ne suit pas l'interrupteur dont il depend.
serveur_loki_sonde_schema: "{{ 'https' if serveur_loki_tls_actif | bool else 'http' }}"
serveur_loki_sonde_url: >-
  {{ serveur_loki_sonde_schema }}://127.0.0.1:{{ serveur_loki_port }}