---
# Flux réseau de Grafana (tableaux de bord). Voir docs/flux-conception.md.
# Prometheus et Loki sont co-localisés (datasources en localhost) : aucun flux inter-nœud.
flux:
  # `edge` ET `admin` — PARCE QUE TOUS LES DEPLOIEMENTS N'ONT PAS D'EDGE (2026-09-10).
  #
  # Chez un tenant, le nginx d'edge termine le TLS et parle en clair a Grafana : `edge`
  # resout, et c'est le seul chemin. Le SITE, lui, n'a PAS d'edge — chaque service s'y
  # sert lui-meme. `edge` n'y resolvait donc rien, et une source vide produisait une regle
  # SANS `saddr` : la console ouverte a l'Internet, par accident, avec un commentaire qui
  # parlait d'un edge inexistant.
  #
  # Le jour ou le generateur a cesse d'ouvrir sur une source vide, la regle a disparu et
  # l'acces avec elle — mesure : `ss` ne montre que `*:3000`, rien sur 443. Ajouter `admin`
  # rend explicite ce qui etait accidentel : la console se joint depuis le plan
  # d'ADMINISTRATION, qui est d'ou l'exploitant la regarde. Chez un tenant, la ligne ne
  # retire rien — elle ajoute l'operateur a l'edge.
  - sens: ingress
    port: 3000
    protocole: tcp
    pair: [edge, admin]
    chiffrement: clair
    raison: >-
      Interface web : servie via l'edge la ou il y en a un, joignable depuis le plan
      d'administration partout — sans quoi un deploiement sans edge n'a plus de console.
  - sens: egress
    port: 443
    protocole: tcp
    pair: edge
    chiffrement: tls-requis
    raison: "Authentification OIDC auprès de Keycloak (via son FQDN publié à l'edge)."