History

Daniel Allaire f04e790d2c icinga : l'AC et l'historique survivent a la reconstruction ; temoins par cle L'historique d'Icinga DB etait exclu de la restauration (2026-09-30) : son environnement derive de l'AC d'Icinga, recreee a chaque reconstruction. L'AC est desormais un jeu de sauvegarde, remis avant api setup ; la base d'Icinga est restauree, et son schema n'est importe que sur une base vierge. Les temoins comparaient PostgreSQL par nombre de lignes et n'ont pas vu 412 lignes d'historique remplacees par 380 neuves. Ils comparent desormais par cle. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>		2026-10-07 15:18:40 -04:00
..
defaults	icinga : l'AC et l'historique survivent a la reconstruction ; temoins par cle	2026-10-07 15:18:40 -04:00
handlers	meta/metriques.yml : le role declare son exportateur, le moteur derive	2026-09-14 11:35:14 -04:00
meta	vigie : vues métier par clientèle interne, dérivées du plan	2026-10-04 02:26:11 -04:00
tasks	restauration : la reconstruction remet l'etat de l'incarnation precedente	2026-09-30 02:39:22 -04:00
templates	sondes : les cinq qui manquaient le plus (autorite, base, annuaire, zones, edge)	2026-09-10 03:47:03 -04:00
README.md	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00

README.md

serveur_postgresql

Installe et configure PostgreSQL (paquet Debian 13) comme base relationnelle partagée interne.

Rôle

Installe postgresql, postgresql-contrib et python3-psycopg2.
Détecte le cluster installé par Debian (/etc/postgresql/<version>/main).
Configure via un fichier conf.d/99-setops.conf : listen_addresses, port, password_encryption.
Gère pg_hba.conf : socket local en peer (administration), boucle locale et réseaux internes autorisés en scram-sha-256.
Active et démarre le service.
Provisionne optionnellement comptes et bases applicatifs (vides par défaut).

Réseau et sécurité

Écoute par défaut sur 127.0.0.1 et l'IP interne de l'hôte (ansible_host).
serveur_postgresql_reseaux_autorises ouvre l'accès aux clients internes (défaut 10.0.0.0/16).
Authentification scram-sha-256 (jamais md5/trust).
pg_hba.conf et la conf sont entièrement gérés par le rôle ; les modifications manuelles sont écrasées.

Variables principales

Variable	Défaut	Rôle
`serveur_postgresql_version`	`""` (auto)	Version majeure du cluster
`serveur_postgresql_port`	`5432`	Port d'écoute
`serveur_postgresql_ecoute`	`127.0.0.1` + IP interne	`listen_addresses`
`serveur_postgresql_reseaux_autorises`	`["10.0.0.0/16"]`	Réseaux clients en `pg_hba`
`serveur_postgresql_methode_auth`	`scram-sha-256`	Méthode d'authentification
`serveur_postgresql_parametres`	`{}`	Réglages additionnels
`serveur_postgresql_comptes`	`[]`	Comptes applicatifs (mot de passe via Vault)
`serveur_postgresql_bases`	`[]`	Bases applicatives

Provisionnement applicatif

À déclarer quand un service en a besoin, mots de passe depuis Ansible Vault :

serveur_postgresql_comptes:
  - nom: keycloak
    mot_de_passe: "{{ vault_postgresql_keycloak }}"
serveur_postgresql_bases:
  - nom: keycloak
    proprietaire: keycloak

Registre partagé des bases applicatives

En plus des listes explicites, le rôle lit instance/plan/bases-donnees.yml (registre déclaratif) et crée chaque base + son compte propriétaire dont serveur vaut serveur_postgresql. Le mot de passe vient de la variable Vault nommée par le champ secret. Le rôle applicatif lit le même registre pour bâtir sa chaîne de connexion — secret partagé, source unique. Patron : 1 appli → 1 base → 1 owner → 1 chaîne de connexion. Voir l'en-tête de instance/plan/bases-donnees.yml.

Prérequis

Collection community.postgresql (ansible-galaxy collection install community.postgresql).

Hors périmètre

Sauvegardes (rôle/concern séparé), réplication, tuning avancé.