# cloud_init_retrait

Retire `cloud-init` des machines **déployées**, dans le groupe `serveur_durci`.

**Pourquoi.** cloud-init est une source de vérité **externe** : à chaque démarrage il
relit le lecteur cloud-init attaché par l'hyperviseur, qui peut redéfinir comptes, clés
SSH, mots de passe et réseau. Sur une machine qu'Ansible possède, c'est un second maître
que le plan ne décrit pas et que `make valider` ne mesure pas.

**Pourquoi c'est sans risque.** Mesuré le 2026-09-09 sur `obs-01` :
`/etc/network/interfaces.d/50-cloud-init` n'appartient à aucun paquet (`dpkg -S` ne le
trouve pas) et le `postrm` de `cloud-init` ne le nomme jamais, même en `purge`. L'adresse
posée à la naissance survit. Le rôle le **vérifie** plutôt que de le supposer, et refuse
d'aller plus loin si le fichier a disparu.

**Ce qui n'est pas retiré.** `cloud-guest-utils` (`growpart`) : aucun service, aucune
source de données, aucun pouvoir. Le retirer ne fermerait rien.

## Ce que ce rôle ne ferme PAS

Il **n'ôte aucun pouvoir à l'hébergeur**, et le croire serait la mauvaise leçon.
`qemu-guest-agent` est au gabarit — il doit y être (P56) — et l'API Proxmox expose sur son
dos, sur toute VM vivante, un pouvoir **strictement plus grand** que le lecteur
cloud-init : `exec`, `file-write`, `file-read`, `set-user-password`, `shutdown` (relevé le
2026-09-09 sur `edge-mta-01`).

Ce que ce rôle ferme est précis et étroit :

1. une réapplication **automatique, à chaque démarrage**, depuis un support que le plan ne
   possède pas et qu'aucune preuve ne lit ;
2. le code de cloud-init lui-même — un interpréteur Python complet exécuté en root au
   démarrage, et ses ~29 dépendances.

La mainmise de l'hyperviseur sur ses invités est une propriété de la virtualisation, pas de
cloud-init. Elle appelle sa propre décision, qui n'est pas prise. Cf. **D-85**.

**Le gabarit garde cloud-init** — il est le seul chemin vers la première seconde d'un
clone (P56). Le retrait n'intervient qu'après, sur la machine déployée. C'est pourquoi
`serveur_debian` ne l'applique plus : sinon le socle l'installerait et le durcissement le
retirerait à chaque passage, un va-et-vient à chaque déploiement. **P63** garde les trois
moitiés de cette décision.