History

Daniel Allaire 22ef279464 authentification : chaque rôle déclare sa position, gardé par P29 Une règle qu'aucune garde ne vérifie finit par ne plus être vraie — c'est ce qui était arrivé aux 28 lignes d'intégration recopiées. Chaque rôle serveur_* porte un meta/authentification.yml, confronté à son code par P29. web-sso 5, socle-identite 2 (keycloak/openldap : ils SONT la chaîne d'identité), ldap-direct 2, interne-sans-auth 2, sans-auth-humaine 12. La preuve refuse l'oubli ET le mensonge. Éprouvée par sabotage sur sept cas : déclaration supprimée, portée inventée, secours retiré, posture de formulaire retirée, raison retirée, ldap-direct mensonger, réglage retiré des defaults. Les deux derniers passaient dans la première version : - le mensonge passait à cause d'un commentaire. Je cherchais le mot « ldap » dans le rôle, et serveur_grafana/defaults/main.yml contient « désactiver quelqu'un dans LDAP » : de la prose validait une déclaration fausse. La preuve exige maintenant un indice nommé — variable <rôle>_oidc / <rôle>_ldap, ou URI ldap:// - le réglage retiré passait parce que le gabarit citait encore la variable alors que plus rien ne lui donnait de valeur. La preuve lit defaults/main.yml en YAML et exige que la clé y soit définie, pas mentionnée. Elle a aussi forcé une valeur : oauth2-proxy était déclaré « formulaire local fermé » alors qu'il n'a aucun compte local. D'où formulaire_local: aucun, qui distingue « il n'y en a jamais eu » de « il y en a un, il est fermé ». Correction d'une note de la veille : Prometheus et Loki ne sont PAS exposés publiquement (aucun expose au plan). Seuls six groupes le sont. Le risque est intra-tenant, pas frontalier. Les deux lacunes sont comptées à chaque exécution, pas masquées. AFF-111, D-42. 29 preuves OK, ansible-lint (production) sur 375 fichiers. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>		2026-08-03 17:05:43 -04:00
..
defaults	Soumission courriel :587 interne (authentifiée) — boucle souveraine bouclée	2026-07-03 23:17:36 -04:00
handlers	serveur_dovecot (Dovecot 2.4) : IMAP + auth LDAP + TLS step_ca — prouvé	2026-07-02 15:09:37 -04:00
meta	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
tasks	Consolider : binding annuaire (resoudre_annuaire) — keycloak/dovecot/postfix	2026-07-03 22:23:22 -04:00
templates	Soumission courriel :587 interne (authentifiée) — boucle souveraine bouclée	2026-07-03 23:17:36 -04:00
README.md	docs : un README par rôle (12 manquants) + carte remise à l'état du code	2026-07-29 11:32:06 -04:00

README.md

serveur_dovecot

Mailstore : Dovecot 2.4 (Debian 13) — IMAP pour les utilisateurs, LMTP pour la remise depuis Postfix, authentification et résolution des comptes sur l'annuaire OpenLDAP. Stockage Maildir de boîtes virtuelles. Cf. docs/courriel-conception.md.

Rôle

Installe dovecot-core, -imapd, -lmtpd, -ldap.
Crée l'utilisateur/groupe système vmail (uid/gid 5000) et /var/vmail.
TLS : pont de certificat step_ca (client_pki) — script setops-dovecot-cert-sync
- unités .service/.path qui recopient le certificat d'hôte dans /etc/dovecot/tls et rechargent Dovecot à chaque renouvellement.
Annuaire : connexion fournie par le rôle partagé resoudre_annuaire (uri, base, bind_dn, bind_password) — rien de codé en dur.
Déploie toute la configuration en un drop-in conf.d/99-setops.conf (syntaxe 2.4), valide avec doveconf avant d'activer le service.
Désactive l'auth système par défaut : LDAP est l'unique autorité.

Réglages Dovecot 2.4 qui comptent

La 2.4 a changé la donne par rapport à la 2.3 ; ces trois points conditionnent la remise :

static_allow_all_users pour le userdb static ;
mail_inbox_path laissé vide ;
mail_path par utilisateur — {{ vmail_base }}/%{user | username}.

Le local-part seul (| username) donne le même chemin pour la remise LMTP (destinataire local-part) et l'accès IMAP (adresse complète) — c'est ce qui fait fonctionner le flux bout-en-bout en mono-domaine.

Variables principales

Variable	Défaut	Rôle
`serveur_dovecot_vmail_base`	`/var/vmail`	Racine des boîtes
`serveur_dovecot_mail_path`	`<base>/%{user \| username}`	Chemin Maildir par compte
`serveur_dovecot_ldap_filter`	`(&(objectClass=inetOrgPerson)(mail=%{user}))`	Login = adresse courriel
`serveur_dovecot_tls_actif`	`true`	Pont de certificat step_ca
`serveur_dovecot_lmtp_reseau`	`true`	LMTP :24 pour un MTA distant (edge-mta)
`serveur_dovecot_sasl_reseau`	`false`	Auth SASL réseau :12345 pour la soumission :587

Flux (`meta/flux.yml`)

993/tcp IMAPS (utilisateurs) · 24/tcp LMTP ← Postfix (TLS vérifié) · 12345/tcp SASL ← Postfix · 636/tcp → OpenLDAP (userdb/passdb).

Notes / limites

Mono-domaine : le chemin ne conserve pas le domaine. Le multi-domaine demandera de le préserver des deux côtés (raffinement Étape B).
LMTP et SASL réseau doivent être restreints au nœud MTA par pare-feu — c'est ce que fait nftables_baseline à partir de meta/flux.yml (pair: serveur_postfix).
Si Postfix est co-localisé, le rôle bascule sur les sockets sous le chroot (/var/spool/postfix/private) plutôt que sur le réseau (détection automatique).
Le certificat est exigé : sans client_pki sur le nœud, le rôle échoue explicitement.

Prérequis

serveur_dovecot requiert serveur_openldap actif (docs/dependances-groupes.yml).
client_pki appliqué sur le nœud (couche pki_client, avant la couche services).