Set-OPS-Public/docs/MISE-A-JOUR-CODEX-CLAUDE.md

Mise à jour pour Codex et Claude Code — Set-OPS

Pour qui : l'agent IA qui reprend le dépôt — et le mainteneur qui relit ce qu'on lui dit.

⚠️ Document HISTORIQUE — relu le 2026-09-06

Cette note était une passation datée de juillet 2026, écrite quand le chantier en cours était le gabarit Debian 13. Elle a continué d'être listée comme lecture de gouvernance longtemps après avoir cessé d'être vraie, et elle envoyait l'agent réparer un incident réglé, dans un rôle qui n'existe pas (roles/ssh_durcissement/ — le rôle s'appelle ssh_hardening).

Ce qui tient toujours : les fichiers de gouvernance à lire (ci-dessous), la règle de conduite finale (« lire l'existant, corriger petit, valider »), et la discipline des handlers — qui est désormais prouvée par P04 et le harnais, plus seulement recommandée.

Ce qui ne tient plus : « le chantier en cours est le template Debian 13 », l'« incident récent » et son correctif. Les deux handlers/main.yml existent (ssh_baseline, ssh_hardening) depuis longtemps.

Où aller à la place : AGENTS.md (autorité), docs/carte-set-ops.md (par où entrer pour modifier le moteur), docs/catalogue-services.md (ce qui est éprouvé et ce qui ne l'est pas).

État du dépôt (juillet 2026)

Set-OPS est le moteur Ansible global d’exploitation d’écosystèmes numériques souverains.

Il ne sert pas seulement à créer un template Proxmox. Il doit contenir progressivement les playbooks, rôles, inventaires et templates nécessaires à tous les systèmes d’une instance.

Le chantier en cours est le template Debian 13 Proxmox.

---

Fichiers de gouvernance

Les fichiers suivants doivent être lus avant toute modification :

AGENTS.md
CLAUDE.md
README.md
CHANGELOG.md
ansible.cfg

AGENTS.md est la source d’autorité principale.

---

État fonctionnel visé pour le template Debian 13

Le template Debian 13 Proxmox doit contenir :

• Debian minimal ;
• SSH ;
• sudo ;
• compte ansible ;
• sudo NOPASSWD pour ansible ;
• qemu-guest-agent ;
• cloud-init ;
• cloud-guest-utils ;
• chrony ;
• outils de diagnostic ;
• AppArmor ;
• auditd ;
• fail2ban SSH ;
• unattended-upgrades ;
• journald ;
• sysctl de sécurité ;
• nftables installé et préparé, mais désactivé par défaut.

Il ne doit pas contenir :

• NGINX ;
• PostgreSQL ;
• MariaDB ;
• Docker ;
• Podman ;
• Redis ;
• GitLab ;
• Nextcloud ;
• monitoring complet ;
• secrets ;
• clés privées ;
• données propres à un clone.

---

Incident de juillet 2026 — RÉGLÉ, conservé pour la leçon

Les deux handlers/main.yml existent. roles/ssh_durcissement/ cité plus bas n'a jamais existé sous ce nom : le rôle s'appelle ssh_hardening. Ce qui reste utile ici, c'est la classe d'erreur — un notify sans handler local — et le fait qu'elle est maintenant tenue par une preuve plutôt que par la vigilance.

Le playbook :

playbooks/modeles_vm/debian13_proxmox_preparer.yml

a échoué sur un handler manquant :

ERROR! The requested handler 'Validate and reload ssh' was not found

Le problème est relié à des rôles contenant :

notify: Validate and reload ssh

sans handler local correspondant.

Rôles à vérifier en priorité :

roles/ssh_baseline/
roles/ssh_durcissement/

Chaque rôle utilisant notify doit avoir son propre fichier :

roles/<role>/handlers/main.yml

---

Correctif minimal attendu

Ne pas régénérer tout le dépôt.

Créer ou corriger :

roles/ssh_baseline/handlers/main.yml
roles/ssh_durcissement/handlers/main.yml

Contenu attendu :

---
- name: Valider la configuration SSH
  ansible.builtin.command: sshd -t
  changed_when: false
  listen: Validate and reload ssh

- name: Recharger SSH
  ansible.builtin.systemd:
    name: ssh
    state: reloaded
  listen: Validate and reload ssh

Puis vérifier tous les notify :

find roles -path '*/tasks/*.yml' -exec grep -H "notify:" {} \;
find roles -path '*/handlers/main.yml' -print

---

Validation obligatoire

Après correction :

make syntaxe-modele

Puis relancer :

make preparer-modele

Puis vérifier :

make verifier-modele

---

Nettoyage final

Ne lancer le nettoyage final que lorsque la VM est validée :

make nettoyer-modele CONFIRMER=true

Ensuite seulement :

sudo shutdown -h now

Puis côté Proxmox :

qm template VMID

---

Règle de conduite

Ne pas faire de régénération massive.

Lire l’existant.

Corriger petit.

Valider.

Mettre à jour CHANGELOG.md.

Résumer clairement ce qui a été fait et ce qui n’a pas été testé.