Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests 1 Projects Releases Packages Wiki Activity
Set-OPS-Public/roles/serveur_forgejo
History
Daniel Allaire 43666cff6e site : un SITE a bien un plan — et huit defauts que lui seul pouvait reveler 
J'ai repete toute la journee qu'un SITE n'est pas un plan. C'etait faux : j'en
reconstruisais un morceau par morceau dans underlay.yml sans le nommer. Ce qui est vrai,
c'est qu'un site ne DERIVE pas — il declare ses adresses parce qu'il EST le terrain — et
ne passe donc pas par `instancier`. Mais ne pas deriver n'est pas ne pas avoir de plan.

SITE-Chezlepro/plan/{10-intrants,serveurs,applications}.yml ; underlay.yml ne garde que
la fabric. Ce qui est MESURE d'un cote, ce qui est VOULU de l'autre. Les groupes viennent
du registre des applications, les gardes ont suivi le plan (4 controles negatifs).

Huit defauts, tous invisibles chez un tenant parce qu'il a toujours tout :
  - client_pki codait `infra-pki-01` EN DUR — vrai par coincidence de nomenclature ;
  - aucun moyen pour un service non-root de lire la cle (Forgejo tourne en `git`) ;
  - le certificat, PUBLIC par nature, restait en 0600 ;
  - l'unite Forgejo n'avait pas d'ExecReload : un cert renouvele aurait ete servi perime ;
  - le role ne savait pas servir TLS lui-meme (il y avait toujours un edge) ;
  - le cert ne couvrait pas le nom de SERVICE, faute d'`expose:` ;
  - les registres se chargeaient en tout-ou-rien : sans domaines.yml, plancher vide ;
  - le flux declarait 3000 en dur.

Le message accusait presque toujours autre chose : le DNS quand c'etait un nom faux, une
permission de fichier quand c'etait un port privilegie, rien du tout quand le plancher
s'ecrivait vide.

ROOT_URL est gravee dans les URL de clonage : la forge sert desormais sur 443, avec
CAP_NET_BIND_SERVICE, et son URL n'a plus de port.

Verifie depuis le reseau : Verify return code 0, https://forge.genese.internal/ -> 200.

42 preuves vertes, flux coherents (34 roles, 92 flux).

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-25 13:15:34 -04:00
..
defaults site : un SITE a bien un plan — et huit defauts que lui seul pouvait reveler 2026-08-25 13:15:34 -04:00
files forgejo : epingle 16.0.2, et le verificateur accepte la cle PRIMAIRE 2026-08-11 01:04:16 -04:00
handlers Rendre le dry-run (--check) fiable sur les rôles applicatifs 2026-07-01 21:01:53 -04:00
meta site : un SITE a bien un plan — et huit defauts que lui seul pouvait reveler 2026-08-25 13:15:34 -04:00
tasks site : un ecosysteme complet — PKI, DNS, forge, cache, runner 2026-08-25 12:00:17 -04:00
templates site : un SITE a bien un plan — et huit defauts que lui seul pouvait reveler 2026-08-25 13:15:34 -04:00
README.md forgejo : apprendre SQLite, et retirer ce qui ne servait pas 2026-08-22 13:10:05 -04:00

README.md

serveur_forgejo

Forge Git Forgejo (binaire officiel) — dépôts Git, CI, revue de code.

Rôle

  • Installe le binaire Forgejo (version épinglée, lien symbolique courant), utilisateur git.
  • Crée l'arborescence (/var/lib/forgejo, /etc/forgejo).
  • Base PostgreSQL via le registre (instance/plan/bases-donnees.yml, entrée forgejo).
  • app.ini : serveur derrière nginx (HTTP_ADDR=127.0.0.1, ROOT_URL https), DB, secrets, mailer vers serveur_postfix, inscription désactivée, INSTALL_LOCK (pas d'assistant web).
  • Service systemd + création du compte administrateur initial (une fois).

Secrets requis (Vault)

serveur_forgejo_secret_key: "{{ vault_forgejo_secret_key }}"        # forgejo generate secret SECRET_KEY
serveur_forgejo_internal_token: "{{ vault_forgejo_internal_token }}" # forgejo generate secret INTERNAL_TOKEN
serveur_forgejo_admin_password: "{{ vault_forgejo_admin }}"
vault_bd_forgejo: "..."   # mot de passe BD (partage avec serveur_postgresql)

Variables principales

Variable Défaut Rôle
serveur_forgejo_version 10.0.0 Version (à vérifier/bumper)
serveur_forgejo_hostname forge.exemple.internal Domaine (via nginx)
serveur_forgejo_db_host 10.0.13.11 data-01

Identité visuelle (thème Alliance Boréale)

Désactivée par défaut : serveur_forgejo_branding: false. À true, le rôle copie files/custom/ vers {{ serveur_forgejo_data }}/custom/ — logo, favicon, page d'accueil et la feuille public/assets/css/alliance.css, injectée sur toutes les pages par templates/custom/header.tmpl.

Le wiki n'a donc pas de thème distinct : Forgejo le rend avec le même habillage, et la feuille le couvre au même titre que les dépôts, les tickets et les README.

alliance.css est en deux sections, de risque différent :

Section Contenu Risque État
§1 Variables surcharge des variables de couleur officielles (--color-primary, --color-body…) Sûr — aucune classe interne touchée, résiste aux mises à jour Éprouvé sur forge-01 (CHANGELOG 2026-07-03 : alliance.css servi, cyan aurore rendu)
§2 Décor fond aurore (body), filet sous les titres, citations, tableaux et code en ligne du contenu rendu (.markup) Fragile — sélecteurs internes de Forgejo, à revérifier après chaque montée de version majeure Jamais rendu — ajouté le 2026-07-21, validé en syntaxe CSS seulement

Supprimer §2 ramène au thème sobre d'origine : §1 se suffit à elle-même.

Le ciel nocturne ne s'applique qu'aux thèmes sombres (theme-forgejo-dark, theme-forgejo-auto) pour ne pas casser le thème clair.

Pour une forge hors flotte (instance Forgejo non gérée par Set-OPS), la pose manuelle des mêmes fichiers est décrite dans docs/theme-forgejo-hors-flotte.md.

Notes / limites

  • Version à confirmer sur forgejo.org/download ; l'URL suit le motif officiel des releases.
  • Le site nginx publiant Forgejo se déclare côté serveur_nginx.
  • Mailer en SMTP simple vers le relais interne (sans TLS pour l'instant).
  • forge-01 a existé, puis a été supprimée. L'hôte est donc etat: planifie dans instance/plan/serveurs.yml (état actuel) alors que CHANGELOG.md (2026-07-03) affirme le branding « prouvé sur forge-01 » (état passé, accueil 200, alliance.css servi). Les deux disent vrai : ce n'est pas une contradiction, c'est un enregistrement historique face à un état courant. La preuve reste valable — elle ne sera simplement rejouable qu'après recréation de l'hôte.

Prérequis

  • Dépendances serveur_postgresql, serveur_nginx, serveur_postfix (cf. docs/dependances-groupes.yml).

Quelle base de données — serveur_forgejo_bd

Valeur Ce que ça donne
postgres (défaut) la base vit dans le registre du plan, sur un serveur dédié : une VM, une zone, un secret, une sauvegarde
sqlite un fichier sous serveur_forgejo_data — aucun serveur, aucun secret de base, aucune entrée au registre

sqlite est le défaut documenté de Forgejo pour une petite instance. Il a été ajouté le 2026-08-22 parce qu'une offre forge destinée à un petit organisme exigeait une VM PostgreSQL entière pour une base que trois personnes sollicitent.

Ce que ça change ailleurs : rien. Le job de sauvegarde serveur_forgejo emporte déjà serveur_forgejo_data, où le fichier se trouve. Et P35 lit l'interrupteur : elle n'attend aucune entrée de registre quand la base est un fichier.

Une valeur inconnue est refusée au début du rôle, plutôt que de retomber en silence sur PostgreSQL — qui déploierait le contraire de ce qu'on croyait choisir.