Daniel Allaire 53c5f41a1a durcissement : le site recoit enfin serveur_durci ... Les six machines du SITE — racine de l AC, forge, cache, resolveur, depot de sauvegarde, runner — ne recevaient que serveur_debian. Ni auditd, ni fail2ban, ni apparmor, ni sysctl, ni pare-feu. Le commentaire au-dessus de GROUPE_SOCLE affirmait pourtant le contraire, ce qui rendait l ecart invisible. Le pare-feu du site n avait aucune des trois pieces qui le rendent applicable : - aucune regle generee (resoudre_flux lit un hosts.yml ; le site a un inventaire dynamique) -> commande nftables-site, branchee sur make flux - le chemin du jeu de regles sortait du depot (inventory_dir vaut scripts/ pour un inventaire dynamique) -> host_var explicite - aucun nftables_admin_ssh : l exploitant administre PAR REBOND, la connexion arrive avec l adresse de la patte de frontiere DANS LA ZONE VISEE. Le generateur refuse desormais de produire des regles sans cet intrant. Defaut attrape en LISANT le jeu de regles avant de l appliquer : la regle DNS de site-dns-01 omettait 10.17.0.0/16. _supernets_voisins retire l instance montee — juste chez un tenant, faux du cote du site, ou ca retire le locataire qu on pilote. L appliquer aurait prive de DNS les quinze machines reconstruites la veille. MaxStartups du depot passe en host_var : dans le meta du role, il ne portait que dans son play, et le passage de serveur_durci le remettait au defaut sans rien dire. Un reglage qui depend de l ordre des plays revient en arriere. Verifie depuis un locataire a travers le nouveau pare-feu : cache, forge, depot (2 snapshots) et resolveur repondent ; l AC du site refuse, et c est correct. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_019f91zs9SDdwSzL2CVei6on		2026-09-02 10:31:21 -04:00
..
amorcage_acces	identite : une declaration de politique de mot de passe, deux executants	2026-08-08 06:28:10 -04:00
apparmor	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
auditd	audit + timers : deux services en echec sur les quinze machines, muets depuis toujours	2026-08-31 16:16:13 -04:00
chrony	Découplage instance : realm centralisé + vars génériques	2026-07-05 00:47:44 -04:00
client_artefacts	reconstruction : quatre defauts que seule une flotte rasee pouvait montrer	2026-09-02 09:59:15 -04:00
client_backup	reconstruction from-zero : sept defauts, tous invisibles sur une flotte debout	2026-08-13 03:36:56 -04:00
client_journal	site : quatre zones d'autorite, et l'ordre inscrit dans les integrations	2026-08-25 17:31:07 -04:00
client_metrique	site : quatre zones d'autorite, et l'ordre inscrit dans les integrations	2026-08-25 17:31:07 -04:00
client_pki	site : le runner travaille, et le genome remonte chez lui	2026-08-26 08:52:37 -04:00
client_resolveur	site : quatre zones d'autorite, et l'ordre inscrit dans les integrations	2026-08-25 17:31:07 -04:00
client_smtp	Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu	2026-07-07 03:08:09 -04:00
cloud_init	site : le plancher survit au redemarrage, et la zone dit les vraies adresses	2026-08-25 20:31:01 -04:00
common_packages	audit + timers : deux services en echec sur les quinze machines, muets depuis toujours	2026-08-31 16:16:13 -04:00
core_dumps	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
fail2ban_ssh	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
hardening_packages	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
hosts_statiques	site : le plancher survit au redemarrage, et la zone dit les vraies adresses	2026-08-25 20:31:01 -04:00
journald	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
motd	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
nftables_baseline	nftables : armer le pare-feu coupait la main qui l arme	2026-08-30 10:00:18 -04:00
qemu_guest_agent	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
resoudre_annuaire	annuaire : l'hote se derive du plan, il ne s'ecrit plus	2026-08-07 12:46:48 -04:00
resoudre_base	deploiement : deux attentes de premier demarrage, et trois defauts leves	2026-08-07 09:30:48 -04:00
resoudre_idp	resoudre_idp : le nom invente etait dans QUATRE roles	2026-08-07 15:33:32 -04:00
resoudre_politique_mdp	identite : une declaration de politique de mot de passe, deux executants	2026-08-08 06:28:10 -04:00
serveur_artefacts	artefacts : deux filets — un cache mort ne doit plus rendre un tenant irreparable	2026-08-31 18:31:21 -04:00
serveur_backup	sauvegarde : l etat d un locataire quitte enfin sa propre flotte	2026-09-01 22:16:20 -04:00
serveur_backup_site	durcissement : le site recoit enfin serveur_durci	2026-09-02 10:31:21 -04:00
serveur_cache_site	site : un ecosysteme complet — PKI, DNS, forge, cache, runner	2026-08-25 12:00:17 -04:00
serveur_collabora	collabora : en natif, la derniere exception conteneurisee tombe	2026-08-24 16:23:35 -04:00
serveur_debian	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_dovecot	courriel : routage local par identifiant, et la livraison interne remise en marche	2026-08-08 09:42:45 -04:00
serveur_forge_site	forge du site : le marqueur manquant — le genome n etait ouvert a personne	2026-08-28 16:15:42 -04:00
serveur_forgejo	forgejo : verifier l'etat du compte, ne pas faire confiance au drapeau	2026-08-25 13:33:10 -04:00
serveur_grafana	keycloak : un jeton frais la ou on s'en sert ; grafana : un echec lisible	2026-08-10 20:19:50 -04:00
serveur_icinga	reconstruction d'un trait : 43 groupes, 0 echec, 37 minutes	2026-08-13 08:49:12 -04:00
serveur_icingaweb2	icingaweb2 : habilitation par groupe d'annuaire, plus par liste d'uid	2026-08-07 19:54:41 -04:00
serveur_keycloak	keycloak : l'ancre de confiance existe — publiee hors du canal de livraison	2026-08-11 02:06:02 -04:00
serveur_loki	get_url : plus aucun sans garde — la dependance externe tombe a zero	2026-08-09 14:05:25 -04:00
serveur_nextcloud	nextcloud : epingle 34.0.2 (correctif amont)	2026-08-10 23:12:19 -04:00
serveur_nginx	nginx : dimensionner les tampons d'en-tetes pour les sessions OIDC	2026-08-08 11:06:05 -04:00
serveur_oauth2_proxy	artefacts : le controleur telecharge et pousse, la cible ne tire plus	2026-08-10 20:58:58 -04:00
serveur_openldap	identite : une declaration de politique de mot de passe, deux executants	2026-08-08 06:28:10 -04:00
serveur_ops	roues : pip par le meme chemin que les collections — le controleur telecharge, la cible n installe rien du dehors	2026-08-28 15:37:09 -04:00
serveur_ops_site	runner : armer un runner est un acte declare, jamais un defaut	2026-08-28 14:46:29 -04:00
serveur_ops_tenant	runner : armer un runner est un acte declare, jamais un defaut	2026-08-28 14:46:29 -04:00
serveur_postfix	flux + postfix : un port symbolique dans le pare-feu, un rechargement qui n applique rien	2026-08-30 13:00:54 -04:00
serveur_postgresql	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_powerdns	dns : quatre zones inverses pour le site, et rien de plus	2026-08-25 20:58:50 -04:00
serveur_prometheus	idempotence : Prometheus trie ses cibles, Forgejo conserve son secret JWT	2026-08-09 14:44:03 -04:00
serveur_redis	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_resolveur	reconstruction : quatre defauts que seule une flotte rasee pouvait montrer	2026-09-02 09:59:15 -04:00
serveur_resolveur_site	resolveur du site : le troisieme service prete pendant la jeunesse d un tenant	2026-08-30 12:37:33 -04:00
serveur_rspamd	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_step_ca	step-ca : la cle de signature versionnee — plus aucun appel sortant pour l obtenir	2026-08-30 12:13:39 -04:00
serveur_web_dorsal	empreintes muettes, courses de premier demarrage, collision de noms	2026-08-07 16:22:38 -04:00
serveur_web_frontal	empreintes muettes, courses de premier demarrage, collision de noms	2026-08-07 16:22:38 -04:00
ssh_baseline	ssh : retirer les drop-ins d'une nomenclature abandonnee	2026-08-25 03:40:24 -04:00
ssh_hardening	ssh : retirer les drop-ins d'une nomenclature abandonnee	2026-08-25 03:40:24 -04:00
sudo_ansible	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
sysctl_hardening	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
systemd_ssh_auto	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
template_cleanup	gabarit recapture : copie de travail preparee, nettoyee, convertie	2026-08-09 11:29:51 -04:00
unattended_upgrades	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00