Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests 1 Projects Releases Packages Wiki Activity
Set-OPS-Public/roles/serveur_nextcloud
History
Daniel Allaire 6120e6f006 sondes : quatorze, une par role, derivees en objets Icinga 
boites (dovecot) · cache-apt (artefacts) · certificat (client_pki, 14/14)
collaboration (nextcloud) · collecte (prometheus) · file-courriel (postfix)
forge (forgejo) · identite (keycloak) · ingestion (loki) · moteur (icinga)
resolution (resolveur) · runner (serveur_ops) · tableaux (grafana)
voute (ops_tenant) — toutes vertes, sans une ligne ecrite dans Icinga.

DEUX PRINCIPES QUE LA PREMIERE SONDE A IMPOSES.
Une sonde doit pouvoir etre mise en defaut PAR PARAMETRE : cible et seuils
sont des variables du role, on prouve le rouge avec un port ferme ou un
seuil impossible, sans rien casser. Et la sonde vit LA OU VIT LA VERITE :
« ce noeud est-il collecte ? » appartient a prometheus, pas au client —
une seule y voit les N noeuds, et surtout elle voit le cas SILENCIEUX.

ON DEMANDE AU SERVICE CE QU IL PENSE DE LUI-MEME quand il sait le dire
(healthz, /ready, status.php, decouverte OIDC). Quand il ne sait pas, on
va chercher la verite de terrain : « moteur » ne regarde ni le service ni
le port, il demande a la base depuis combien de temps elle n a pas ete
rafraichie — la lecon des sauvegardes appliquee a la supervision.

QUATRE FOIS J AI ECRIT LA SONDE AVANT DE MESURER, QUATRE FOIS ELLE A EU
TORT. La forge : port et chemin des depots inventes, elle ecoute en 3000
derriere l edge et n a legitimement aucun depot. Loki : « panne
persistante » conclue sur deux lectures a quelques secondes d intervalle
juste apres un redemarrage — deux mesures rapprochees ne distinguent pas
un etat d un instant. Keycloak : vise en 8443, il ecoute en 8080. Le
runner : git en root refuse un depot d un autre proprietaire. A chaque
fois le remede est le meme — lire la verite du role, ne pas la supposer.

Et le meme piege Jinja qu avec client_sante : ${#tableau[@]} contient {#.
Le remede etait deja au depot ; je l ai reecrit au lieu de le chercher.

RESTE : client_smtp, client_artefacts, client_journal, icingaweb2 et
ops_site. Ce sont des chemins de report, dont la panne se voit deja par le
silence des sondes qu ils portent.

make prouver : CONFORME, 64 OK, 0 echec, 0 saute (P64 : 14 sondes).

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
2026-09-10 03:00:21 -04:00
..
defaults sondes : quatorze, une par role, derivees en objets Icinga 2026-09-10 03:00:21 -04:00
files serveur_nextcloud : rôle codifié depuis le spike (13 gotchas encodés) 2026-07-05 15:00:39 -04:00
handlers serveur_nextcloud : rôle codifié depuis le spike (13 gotchas encodés) 2026-07-05 15:00:39 -04:00
meta sondes : quatorze, une par role, derivees en objets Icinga 2026-09-10 03:00:21 -04:00
tasks sondes : quatorze, une par role, derivees en objets Icinga 2026-09-10 03:00:21 -04:00
templates sondes : quatorze, une par role, derivees en objets Icinga 2026-09-10 03:00:21 -04:00
README.md serveur_nextcloud : rôle codifié depuis le spike (13 gotchas encodés) 2026-07-05 15:00:39 -04:00

README.md

serveur_nextcloud

Maison numérique souveraine : fichiers + collaboration (Nextcloud + Collabora), SSO Keycloak, base PostgreSQL chiffrée. Codifié depuis le spike empirique du 2026-07-05 (collab-01) — chaque réglage encode un gotcha prouvé sur du vrai. Cœur de l'offre maison-obnl (OBNL/coops) et cabinet (PME de professionnels).

Ce que le rôle fait

  1. Paquets PHP-FPM 8.4 + extensions, nginx, redis (imagick tire ses deps — pas libmagickcore-6, absent de Debian 13) ;
  2. tuning PHP 512M + opcache, et env[PGSSLMODE]/PGSSLROOTCERT dans le pool php-fpm (PDO pgsql lit libpq) ;
  3. tarball épinglé → /var/www/nextcloud + occ maintenance:install sur PG en verify-full TLS ;
  4. vhost nginx local avec MIME .mjs = text/javascript (sinon modules ES bloqués → pages blanches) ;
  5. overwrite* + trusted_proxies (edge) + Redis + allow_local_remote_servers (anti-SSRF, IP privées) + import du root step-ca dans le bundle CA propre de Nextcloud ;
  6. SSO user_oidc (Keycloak) ; richdocuments (WOPI : wopi_url local + public_wopi_url edge, posé après activate-config) ;
  7. identité Alliance Boréale (theming + thème « ciel étoilé ») + whitelist anti-force-brute du sous-réseau d'admin.

Dépendances (à fournir avant déploiement)

  • Registre BD : une base nextcloud (consommateur serveur_nextcloud) dans bases-donnees.yml ;
  • Voûte : vault_nextcloud_admin, vault_nextcloud_oidc (secret du client Keycloak) ;
  • Keycloak : un client nextcloud (redirect …/apps/user_oidc/code) dans le realm de l'instance ;
  • serveur_collabora actif (le serveur WOPI) + son exposition bureau.<domaine> ;
  • Exposition edge : cloud.<domaine> → ce nœud:80, avec le FQDN dans les SAN du cert edge ;
  • Plancher : le nœud doit résoudre bureau.<domaine> (→ edge) ; client_pki pour le root_ca.

Robustesse (hygiène Nextcloud)

  • Version épinglée (serveur_nextcloud_version) — pas de mise à jour surprise ;
  • upgrades en escale (staging → prod), sauvegarde d'abord (restic), surveillance Icinga ;
  • l'app riche en config → traiter avec soin (le spike a documenté les pièges, on n'improvise pas).

Validation

ansible-lint : profil production (0 échec, 0 avertissement). --syntax-check : OK. Éprouvé bout-en-bout sur collab-01 (SSO, édition .odt, apps, identité visuelle).