Daniel Allaire
22ef279464
Une règle qu'aucune garde ne vérifie finit par ne plus être vraie — c'est ce qui était arrivé aux 28 lignes d'intégration recopiées. Chaque rôle serveur_* porte un meta/authentification.yml, confronté à son code par P29. web-sso 5, socle-identite 2 (keycloak/openldap : ils SONT la chaîne d'identité), ldap-direct 2, interne-sans-auth 2, sans-auth-humaine 12. La preuve refuse l'oubli ET le mensonge. Éprouvée par sabotage sur sept cas : déclaration supprimée, portée inventée, secours retiré, posture de formulaire retirée, raison retirée, ldap-direct mensonger, réglage retiré des defaults. Les deux derniers passaient dans la première version : - le mensonge passait à cause d'un commentaire. Je cherchais le mot « ldap » dans le rôle, et serveur_grafana/defaults/main.yml contient « désactiver quelqu'un dans LDAP » : de la prose validait une déclaration fausse. La preuve exige maintenant un indice nommé — variable <rôle>_oidc / <rôle>_ldap, ou URI ldap:// - le réglage retiré passait parce que le gabarit citait encore la variable alors que plus rien ne lui donnait de valeur. La preuve lit defaults/main.yml en YAML et exige que la clé y soit définie, pas mentionnée. Elle a aussi forcé une valeur : oauth2-proxy était déclaré « formulaire local fermé » alors qu'il n'a aucun compte local. D'où formulaire_local: aucun, qui distingue « il n'y en a jamais eu » de « il y en a un, il est fermé ». Correction d'une note de la veille : Prometheus et Loki ne sont PAS exposés publiquement (aucun expose au plan). Seuls six groupes le sont. Le risque est intra-tenant, pas frontalier. Les deux lacunes sont comptées à chaque exécution, pas masquées. AFF-111, D-42. 29 preuves OK, ansible-lint (production) sur 375 fichiers. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> |
||
|---|---|---|
| .. | ||
| defaults | ||
| handlers | ||
| meta | ||
| tasks | ||
| templates | ||
| README.md | ||
serveur_rspamd
Antispam + signature DKIM : rspamd 3.x (Debian 13), branché en milter sur Postfix
(nœud edge-mta), avec Redis local comme backend. Ne stocke aucune boîte.
Cf. docs/courriel-conception.md.
Rôle
- Installe
rspamdetredis-server(backend local, non partagé). - Clé DKIM : génération idempotente — la clé n'est créée que si elle est absente, puis ses droits sont fixés. Un redéploiement ne casse jamais une signature en place.
- Affiche l'enregistrement DNS DKIM à publier (
<sélecteur>._domainkey) — la publication relève de la frontière publique (Étape B). - Configure par surcharges
local.d/uniquement (redis.conf,worker-proxy.inc,dkim_signing.conf) : les fichiers Debian d'origine ne sont jamais édités.
Variables
| Variable | Défaut | Rôle |
|---|---|---|
serveur_rspamd_redis_serveur |
127.0.0.1:6379 |
Backend Redis local |
serveur_rspamd_milter_port |
11332 |
Worker proxy consommé par Postfix |
serveur_rspamd_dkim_actif |
true |
Signature DKIM |
serveur_rspamd_dkim_domaine |
{{ domaine_interne }} |
Domaine signé (public en prod) |
serveur_rspamd_dkim_selecteur |
setops |
Sélecteur DKIM |
serveur_rspamd_dkim_repertoire |
/var/lib/rspamd/dkim |
Clés |
Flux (meta/flux.yml)
11332/tcp milter et 11334/tcp interface de contrôle — localhost uniquement.
Le couplage à Postfix est une co-localisation, pas un flux réseau.
Notes / limites
- Le Redis d'ici est local au nœud et distinct du groupe
serveur_redis(cache applicatif) : ne pas les confondre ni les fusionner. - Le domaine signé par défaut est le domaine interne (bac à sable). En production, il doit être le domaine public, et l'enregistrement DKIM publié dans la zone publique — sinon la signature ne vaut rien pour les MX distants.
- Côté Postfix, l'activation passe par le lien
milter(meta/liens.ymldeserveur_postfix), pas par une variable saisie à la main.
Prérequis
- Postfix co-localisé sur le même nœud (le milter n'écoute qu'en local).