# cloud_init_retrait

Retire `cloud-init` des machines **déployées**, dans le groupe `serveur_durci`.

**Pourquoi.** cloud-init est une source de vérité **externe** : à chaque démarrage il
relit le lecteur cloud-init attaché par l'hyperviseur, qui peut redéfinir comptes, clés
SSH, mots de passe et réseau. Sur une machine qu'Ansible possède, c'est un second maître
que le plan ne décrit pas et que `make valider` ne mesure pas.

**Pourquoi c'est sans risque.** Mesuré le 2026-09-09 sur `obs-01` :
`/etc/network/interfaces.d/50-cloud-init` n'appartient à aucun paquet (`dpkg -S` ne le
trouve pas) et le `postrm` de `cloud-init` ne le nomme jamais, même en `purge`. L'adresse
posée à la naissance survit. Le rôle le **vérifie** plutôt que de le supposer, et refuse
d'aller plus loin si le fichier a disparu.

**Ce qui n'est pas retiré.** `cloud-guest-utils` (`growpart`) : aucun service, aucune
source de données, aucun pouvoir. Le retirer ne fermerait rien.

**Le gabarit garde cloud-init** — il est le seul chemin vers la première seconde d'un
clone (P56). Le retrait n'intervient qu'après, sur la machine déployée. C'est pourquoi
`serveur_debian` ne l'applique plus : sinon le socle l'installerait et le durcissement le
retirerait à chaque passage, un va-et-vient à chaque déploiement. **P63** garde les trois
moitiés de cette décision.