Daniel Allaire
5bc3bceac1
Some checks failed
verifier / verifier (push) Has been cancelled
La revision a commence par un balayage par motifs — chemins morts, cibles make absentes, comptes derives. Il a trouve une trentaine d ecarts et rate presque tout le reste : un motif ne voit que ce qui s exprime en motif. make hote-planifier en est l exemple. La cible EXISTE, donc le controle passait au vert. C est une cible depreciee qui refuse et sort en 2, recommandee par AGENTS.md, et qui contredit la REGLE D OR du meme fichier trois ecrans plus haut. Il fallait lire pour la voir. 74 documents lus un par un. 66 corriges, 8 exacts. CE QUI ETAIT FRANCHEMENT FAUX AGENTS.md, la source d autorite, annoncait la flotte pas encore executee contre des VM reelles. Elle a ete rasee et remontee depuis zero trois fois. ecosysteme-chezlepro.md, le document montre a un client, portait la meme phrase : il se sous-vendait gravement. courriel-conception.md s ouvrait sur aucun role n est encore ecrit, au-dessus de son propre paragraphe 1 qui les nomme. autorisation.md se terminait sur rien n est construit alors qu il rapporte des mesures datees du role en fonctionnement. hebergeur-exploitation.md disait rien n est fait d un depot qui existe. filiation-emancipation.md se contredisait a deux ecrans de distance. DES MODELES DECRITS D APRES UN MONDE ANTERIEUR Le resolveur : cinq documents decrivaient un Unbound par VM en opt-in, trois le donnaient en exemple d integration FACULTATIVE — il est universel depuis le 2026-08-24. L adressage de nomenclature-vm.md : reseau unique, VLAN 11-15, VMID a cinq chiffres. Le nommage SDN de sdn-evpn.md contre le code : c est le wiki qui avait raison. CE QUI CASSE AU PREMIER ESSAI Le nom du gabarit dore etait faux a quatre endroits, dont la procedure qui le FABRIQUE et le critere R2 de l epreuve d operateur independant. preparer-un-site-hebergeur.md avertissait qu une VM faite a la main serait detruite : raser derive du plan, il ne la detruira jamais — le risque est l inverse. Un mot de passe d essai en clair dans un depot public. DEUX PREUVES ETENDUES, ET UNE QUI SE TROMPAIT ELLE-MEME P57 couvre les groupes : elle a signale aussitot 29 groupes annonces au-dessus d un tableau qui en cite 40. P29 confronte le tableau de authentification.md aux declarations reelles : 12 annonces, 21 reels. Et P57 imposait un chiffre faux — 56 preuves alors que le depot en porte 57, la conditionnelle vivant hors de tout comptage. Un garde-fou qui fait respecter une erreur ajoute l assurance a l erreur. CE QUI RESTE, ET QU AUCUNE PREUVE NE TIENT Deux comptes trouves a la main. Et une lacune reelle : rien ne garde les meta/acces.yml — ni qu un service web-sso en porte un, ni que le groupe qu il nomme existe. P29 tient les positions d authentification, personne ne tient les habilitations. make prouver : CONFORME, 56 OK, 0 echec, 1 saute. 0 lien mort. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
81 lines
3.7 KiB
Markdown
81 lines
3.7 KiB
Markdown
# La méta-classe — une définition, tout l'écosystème
|
|
|
|
> **Pour qui :** le **mainteneur** — le concept qui explique pourquoi on écrit *un* plan et non onze serveurs.
|
|
|
|
Set-OPS se comporte comme une **méta-classe** : on n'écrit pas onze serveurs, on
|
|
écrit *une* **définition d'écosystème** (le plan déclaratif) ; l'instanciation
|
|
engendre la flotte entière, cohérente. Le réseau, la taille des VM, les groupes, les
|
|
liens de bases (DSN) et l'exposition DNS sont **dérivés** — jamais saisis deux fois.
|
|
|
|
> Concept acté dans [`positionnement.md`](positionnement.md) : « la définition
|
|
> instancie toute la flotte ». La dérivation des ressources est décrite dans
|
|
> [`dimensionnement-ressources.md`](dimensionnement-ressources.md).
|
|
|
|
## Schéma
|
|
|
|
```mermaid
|
|
flowchart TB
|
|
subgraph DEF["① DÉFINITION — la méta-classe (le plan déclaratif)"]
|
|
direction LR
|
|
NOM["nomenclature.yml<br/>catégories · VLAN · fonctions"]
|
|
SRV["serveurs.yml<br/>VM = fonction + état + overrides"]
|
|
APP["applications.yml<br/>app → rôle · hôte · expose"]
|
|
BD["bases-donnees.yml<br/>serveurs_bd · DSN · portée"]
|
|
DOM["domaines.yml<br/>domaines publics · edge"]
|
|
EMP["roles/*/meta/empreinte.yml<br/>empreinte ressources"]
|
|
TPL[("golden template<br/>Debian 13 durci")]
|
|
end
|
|
|
|
subgraph GEN["② DÉRIVATION — make instancier (le constructeur)"]
|
|
direction LR
|
|
R1["réseau<br/>VMID · VLAN · IP · gw"]
|
|
R2["ressources<br/>cœurs · RAM · disque"]
|
|
R3["groupes<br/>socle + services + état"]
|
|
R4["liens<br/>DSN + exposition DNS"]
|
|
end
|
|
|
|
subgraph INST["③ INSTANCES — la flotte (inventory hosts.yml)"]
|
|
direction LR
|
|
INV[["hosts.yml"]]
|
|
VMS(("14 VM<br/>infra-pki · infra-dns · infra-mail · infra-edge · edge-mta<br/>idm · data-sql · obs · mon · forge · collab<br/>web-frontal · web-dorsal · ops"))
|
|
end
|
|
|
|
ECO["④ ÉCOSYSTÈME souverain en service<br/>PKI · DNS · IdM/SSO · Données · Observabilité · Forge · Web"]
|
|
|
|
DEF --> GEN --> INST
|
|
TPL -. "clone + cloud-init" .-> VMS
|
|
INV --> VMS
|
|
INST -- "make deployer · rôles par groupe" --> ECO
|
|
```
|
|
|
|
## Le même schéma en texte
|
|
|
|
```
|
|
① DÉFINITION — la « méta-classe » (instance/plan/ + roles/*/meta/empreinte.yml)
|
|
nomenclature · serveurs · applications · bases-données · domaines
|
|
⟦ golden template Debian 13 durci ⟧
|
|
│ make instancier
|
|
▼
|
|
② DÉRIVATION — le constructeur (instancier.py · inventory_rules · filter_plugins)
|
|
réseau (VMID·VLAN·IP·gw) · ressources (cœurs·RAM·disque) · groupes · DSN+DNS
|
|
│ = instanciation
|
|
▼
|
|
③ INSTANCES — la flotte (inventory hosts.yml : 14 VM cohérentes)
|
|
infra-pki · infra-dns · infra-mail · infra-edge · edge-mta · idm · data-sql
|
|
obs · mon · forge · collab · web-frontal · web-dorsal · ops
|
|
▲ clone du golden template + identité cloud-init
|
|
│ make deployer (rôles Ansible par groupe)
|
|
▼
|
|
④ ÉCOSYSTÈME souverain en service
|
|
PKI · DNS interne · IdM+SSO · Bases · Observabilité · Forge · Web
|
|
|
|
1 définition ───────────────▶ N VM : réseau, taille, groupes, DSN, DNS
|
|
(édite le plan) tout dérivé, rien saisi deux fois.
|
|
```
|
|
|
|
## Pourquoi c'est une *méta*-classe
|
|
|
|
Une classe ordinaire instancie **un** objet. Ici, **une** définition instancie un
|
|
**ensemble cohérent** d'objets (VM + services + liens), avec leurs invariants garantis
|
|
par dérivation plutôt que par discipline humaine. Éditer le plan, c'est faire évoluer
|
|
la classe ; régénérer, c'est ré-instancier — de façon idempotente.
|