History

Daniel Allaire 42becd0c02 Some checks are pending verifier / verifier (push) Waiting to run Details paquets tiers : passer par le cache du controleur, plus par Internet Trois depots tiers etaient en HTTPS, et client_artefacts pose Acquire::https::Proxy DIRECT — sans quoi le cache du site refuse les tunnels et aucun depot tiers n est joignable. La ligne est juste ; sa consequence ne l avait pas ete vue : ces trois depots CONTOURNENT le cache, et chaque VM neuve allait les chercher sur Internet a sa naissance. step-cli et alloy sont poses par des integrations UNIVERSELLES. Sans lien, une machine neuve n obtenait ni son client d autorite ni ses metriques — elle n entrait dans aucun flux chiffre. Dernier obstacle a une reconstruction hors ligne, et il tenait dans un mot. make cacher-paquets tire les 21 deb aux versions epinglees, empreinte SHA256 verifiee depuis l index du depot. Le role partage paquets_tiers les depose et les installe EN UN SEUL appel a apt — il sait resoudre un ensemble de fichiers locaux qui se dependent, la ou paquet par paquet echouerait sur l ordre (Icinga en apporte dix-sept). Six roles branches ; chacun retombe sur le depot distant pour ce que le cache n a PAS fourni, et rien d autre. Eprouve pour de vrai : packages.smallstep.com renvoye vers 127.0.0.1, step-cli desinstalle, cache local efface. Le role rejoue installe 0.30.6-1 depuis le cache et la machine obtient ses certificats. Zero echec. Deux defauts de mon propre outil, trouves en le construisant : Smallstep sert son index NON COMPRESSE (404 sur .gz) donc step-cli n etait jamais mis en cache ; et un depot injoignable faisait continue AVANT d incrementer le total, si bien que le script rapportait 20 sur 20 alors qu il en manquait un. Une garde qui ne peut pas echouer ne garde rien — troisieme fois cette semaine. Corrige puis eprouve en le faisant echouer. Reste hors ligne : NTP externe, et l expedition des alertes. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_019f91zs9SDdwSzL2CVei6on		2026-09-05 08:22:14 -04:00
..
defaults	icingaweb2 : habilitation par groupe d'annuaire, plus par liste d'uid	2026-08-07 19:54:41 -04:00
handlers	serveur_oauth2_proxy : passerelle SSO OIDC générique + Icinga Web 2 au SSO	2026-07-03 19:05:04 -04:00
meta	icingaweb2 : habilitation par groupe d'annuaire, plus par liste d'uid	2026-08-07 19:54:41 -04:00
tasks	paquets tiers : passer par le cache du controleur, plus par Internet	2026-09-05 08:22:14 -04:00
templates	icingaweb2 : habilitation par groupe d'annuaire, plus par liste d'uid	2026-08-07 19:54:41 -04:00
README.md	docs : un README par rôle (12 manquants) + carte remise à l'état du code	2026-07-29 11:32:06 -04:00

README.md

serveur_icingaweb2

Frontal de supervision : Icinga Web 2 + module IcingaDB + module Business Process, co-localisé avec le moteur serveur_icinga. Application PHP servie par un nginx local et php-fpm ; l'edge nginx proxifie par nom.

Rôle

Résout sa base IcingaDB via resoudre_base (même consommateur que le moteur) et l'annuaire via resoudre_annuaire — aucun câblage en dur.
Installe icingadb-web (qui tire icingaweb2), le module BPM, PHP 8.4 (fpm, pgsql, ldap, intl, gd, curl, xml, mbstring) et nginx.
Déploie la configuration .ini (ressources, authentification, rôles, IcingaDB, Redis), active les modules, déploie le vhost nginx local et retire le site par défaut.
Processus métier (BPM) : peut en semer en IaC (serveur_icingaweb2_bpm_processes), tout en laissant le répertoire éditable depuis l'UI.

Deux modes d'authentification

`serveur_icingaweb2_auth`	Fonctionnement
`ldap` (défaut)	Connexion directe à OpenLDAP (LDAPS) — Icinga Web 2 n'a pas d'OIDC natif
`external`	L'utilisateur est fourni par une passerelle SSO devant (`serveur_oauth2_proxy` → Keycloak) ; nginx pose `REMOTE_USER`

En mode external, restreindre l'écoute de nginx à la boucle locale (serveur_icingaweb2_nginx_bind: "127.0.0.1:") — sinon l'application reste joignable en contournant la passerelle.

Variables principales

Variable	Défaut	Rôle
`serveur_icingaweb2_hostname`	`icinga.{{ domaine_interne }}`	Nom servi
`serveur_icingaweb2_http_port`	`8080`	nginx local (l'edge proxifie ici)
`serveur_icingaweb2_auth`	`ldap`	Backend d'authentification
`serveur_icingaweb2_remote_user`	`$remote_user`	Variable nginx source de `REMOTE_USER`
`serveur_icingaweb2_nginx_bind`	`""`	`"127.0.0.1:"` derrière une passerelle
`serveur_icingaweb2_admins`	`testmail`	uid recevant le rôle Administrateur (liste séparée par virgules)
`serveur_icingaweb2_redis_port`	`6380`	Redis IcingaDB local
`serveur_icingaweb2_modules`	`[icingadb, businessprocess]`	Modules activés
`serveur_icingaweb2_bpm_processes`	`{}`	Processus métier semés en IaC

Flux (`meta/flux.yml`)

8080/tcp entrant depuis l'edge · 5432/tcp → PostgreSQL (IcingaDB, verify-full) · 636/tcp → OpenLDAP. Icinga 2 (API 5665) et le Redis IcingaDB (6380) sont co-localisés : consommés en localhost, donc absents du registre des flux.

Notes / limites

serveur_icingaweb2_admins doit désigner de vrais uid de l'annuaire — sinon plus personne n'est administrateur de l'interface.
Les versions PHP sont épinglées à 8.4 (Debian 13) dans les noms de paquets, de service et de socket : une montée de Debian demandera de les changer ensemble.
Le Redis IcingaDB (6380) est distinct du groupe serveur_redis (cache applicatif) et du Redis de serveur_rspamd.
Semer un processus BPM ici le met sous gestion Ansible : il sera réécrit à chaque passage, même modifié dans l'UI. Par défaut, le rôle n'en sème aucun.

Prérequis

serveur_icingaweb2 requiert serveur_icinga, serveur_postgresql, serveur_openldap actifs (docs/dependances-groupes.yml).
client_pki (LDAPS + PostgreSQL verify-full). Couche apps.