Daniel Allaire
f2c580235d
D-87 disait que l hebergeur n a pas le droit de voir les journaux de ses
locataires. La decision avait une face cachee : a force de refuser de voir
ceux des autres, le site s etait prive des siens. Ses sept machines
n expediaient nulle part.
Il prend donc sa propre pile : prometheus, loki et grafana sur site-mon-01,
sans aucun lien avec ceux d un tenant. L exemption qui bloquait portait sa
propre condition de levee, ecrite cinq jours plus tot dans le plan.
Grafana au site n a pas de SSO, et le role l ignorait : il reclamait l IdP
avant de regarder s il en voulait un. L interrupteur existait, il n etait
pas honore. Le role refuse desormais SSO eteint ET formulaire local eteint
- la combinaison deploie un Grafana en sante ou personne ne peut entrer -
et le reglage du formulaire sort du if du SSO, ou il disparaissait en
laissant le defaut amont decider en silence.
Deux manques se cachaient l un l autre dans le devis de la frontiere, et
Prometheus voyait 1 cible sur 7 :
- le devis derivait les groupes d une machine du site de applications.yml
seul, et ne voyait donc aucune integration universelle - alors que
client_metrique ouvre un port d ecoute ;
- une sortie vers un role du site visait !SETOPS_INTERNES, qui exclut
precisement la machine nommee. Le devis autorisait a expedier les
journaux du site a n importe quel Loki du monde, et a nul autre endroit
qu a celui-la. Neuf flux dans ce cas.
Et deux declarations justes ne font qu une regle : appliquer_opnsense pose
tout en direction: in (D-61).
Les deux agents se supervisent enfin eux-memes. La sonde des journaux ne
demande pas si Alloy tourne, elle lit ce qu il a du JETER. Elle a fait ses
preuves le jour meme : Alloy actif, /-/ready a 200, et cinquante lignes
perdues sur six machines.
Mesure : metriques 7/7 vert, journaux 1/7 - les six autres attendent la
regle de frontiere, et le disent. prouver 64 OK, ansible-lint 0 defaut.
Reste a la main de l exploitant : make frontiere-appliquer CONFIRMER=true,
et le secret vault_grafana_admin a deposer dans underlay.vault.yml.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
43 lines
2.3 KiB
YAML
43 lines
2.3 KiB
YAML
---
|
|
client_journal_paquets:
|
|
- alloy
|
|
|
|
client_journal_service: "alloy"
|
|
client_journal_utilisateur: "alloy"
|
|
client_journal_config: "/etc/alloy/config.alloy"
|
|
|
|
# Point de collecte Loki (obs-01, serveur_loki, VLAN 14).
|
|
# Hôte Loki dérivé du groupe serveur_loki (FQDN via le plancher) ; override par instance au besoin.
|
|
client_journal_loki_url: "http://{{ (groups.get('serveur_loki') or ['obs-01']) | first }}.{{ domaine_interne }}:3100/loki/api/v1/push"
|
|
|
|
# Depot apt officiel Grafana (partage avec serveur_loki / serveur_grafana).
|
|
client_journal_depot_cle_url: "https://apt.grafana.com/gpg-full.key"
|
|
client_journal_depot_cle_fichier: "/etc/apt/keyrings/grafana.asc"
|
|
client_journal_depot_source: "deb [signed-by=/etc/apt/keyrings/grafana.asc] https://apt.grafana.com stable main"
|
|
|
|
# --- TLS (zero-confiance) : Alloy pousse vers Loki en https + verifie root_ca ---
|
|
client_journal_loki_tls: false
|
|
client_journal_loki_ca: "/etc/step/certs/root_ca.crt"
|
|
|
|
# Port de l'interface HTTP locale d'Alloy (diagnostic). DECLARE ici parce que son defaut
|
|
# amont — 12345 — entre en collision avec `serveur_dovecot_sasl_port`, qui vaut 12345 lui
|
|
# aussi et qui est un choix DELIBERE de Set-OPS (SASL reseau, pour la soumission :587).
|
|
#
|
|
# Sur `infra-mail-01`, les deux cohabitent : le premier demarre gagne, l'autre boucle sur
|
|
# « bind: address already in use ». Constate le 2026-08-08 lors de la premiere
|
|
# reconstruction from-zero, ou l'ordre des couches fait demarrer Dovecot bien avant Alloy.
|
|
# En exploitation courante le conflit dormait : Alloy tenait le port depuis toujours, et
|
|
# c'est l'ecoute SASL de Dovecot qui echouait — en silence.
|
|
#
|
|
# Le vrai defaut n'est pas le numero, c'est qu'un port SUBI ne se declare nulle part et
|
|
# qu'aucun controle ne peut donc voir la collision.
|
|
client_journal_http_port: 12346
|
|
client_journal_http_adresse: "127.0.0.1"
|
|
|
|
# --- Sonde de supervision (voir meta/supervision.yml) ---
|
|
# L'interface de diagnostic d'Alloy, la ou il tient le compte de ce qu'il a expedie et de
|
|
# ce qu'il a jete. Locale : personne d'autre n'a a la joindre.
|
|
client_journal_sonde_url: >-
|
|
http://{{ client_journal_http_adresse }}:{{ client_journal_http_port }}
|
|
# La memoire d'un passage a l'autre : sans elle, un compteur cumulatif ne dit pas QUAND.
|
|
client_journal_sonde_etat: "/var/lib/setops/journaux-jetees"
|