# La solution Set-OPS

> **Document historique de décision.** Le parcours opérationnel à jour vit dans
> [`README.md`](README.md) et [`QUICKSTART.md`](QUICKSTART.md) ; l'autorité est
> [`AGENTS.md`](AGENTS.md). Les commandes brutes ci-dessous sont **supplantées** par les
> cibles `make` (`preparer-modele` / `verifier-modele` / `nettoyer-modele`). Conservé pour
> tracer la décision fondatrice.

## Décision

`Set-OPS` est le moteur Ansible global d’exploitation d’écosystèmes numériques souverains.

Le template Debian 13 Proxmox est seulement un chantier dans ce dépôt.

## Ce qu'on fait maintenant

On garde une seule structure simple :

```text
inventories/
playbooks/
roles/
docs/
```

Les rôles sont nommés clairement, sans sous-arborescence complexe.

> Réalité actuelle du dépôt : au-delà de ces quatre dossiers, le moteur comporte aussi
> `scripts/` (plan + GUI), `filter_plugins/`, `exemples/`, `wiki/` et l'instance montée
> (`instance/`). Vue d'ensemble : [`docs/carte-set-ops.md`](docs/carte-set-ops.md).

## Commande principale pour construire le template

Le template se construit avec un **accès SSH par clé dès le départ** (clé injectée par
cloud-init) — pas par mot de passe. La cible opérateur est :

```bash
make preparer-modele
```

Elle exécute `playbooks/modeles_vm/debian13_proxmox_preparer.yml` sur l'inventaire modèle,
après avoir vérifié l'accès SSH par clé et les privilèges sudo du compte `ansible`. Voir
[`AGENTS.md`](AGENTS.md) § SSH pour l'état cible (`PasswordAuthentication no`,
`AuthenticationMethods publickey`).

## Vérification

```bash
ansible-playbook -i instance/inventories/lab/hosts.yml playbooks/modeles_vm/debian13_proxmox_verifier.yml
```

## Nettoyage final avant conversion

```bash
ansible-playbook -i instance/inventories/lab/hosts.yml playbooks/modeles_vm/debian13_proxmox_nettoyer.yml -e template_cleanup_confirm=true
```

Ensuite :

```bash
sudo shutdown -h now
```

Puis côté Proxmox :

```bash
qm template VMID
```

## Important

Le pare-feu `nftables` est installé et préparé, mais il n'est pas activé par défaut dans le template.

C'est volontaire pour éviter de couper SSH pendant la construction.