Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests 1 Projects Releases Packages Wiki Activity
Set-OPS-Public/roles/serveur_postfix
History
Daniel Allaire 6120e6f006 sondes : quatorze, une par role, derivees en objets Icinga 
boites (dovecot) · cache-apt (artefacts) · certificat (client_pki, 14/14)
collaboration (nextcloud) · collecte (prometheus) · file-courriel (postfix)
forge (forgejo) · identite (keycloak) · ingestion (loki) · moteur (icinga)
resolution (resolveur) · runner (serveur_ops) · tableaux (grafana)
voute (ops_tenant) — toutes vertes, sans une ligne ecrite dans Icinga.

DEUX PRINCIPES QUE LA PREMIERE SONDE A IMPOSES.
Une sonde doit pouvoir etre mise en defaut PAR PARAMETRE : cible et seuils
sont des variables du role, on prouve le rouge avec un port ferme ou un
seuil impossible, sans rien casser. Et la sonde vit LA OU VIT LA VERITE :
« ce noeud est-il collecte ? » appartient a prometheus, pas au client —
une seule y voit les N noeuds, et surtout elle voit le cas SILENCIEUX.

ON DEMANDE AU SERVICE CE QU IL PENSE DE LUI-MEME quand il sait le dire
(healthz, /ready, status.php, decouverte OIDC). Quand il ne sait pas, on
va chercher la verite de terrain : « moteur » ne regarde ni le service ni
le port, il demande a la base depuis combien de temps elle n a pas ete
rafraichie — la lecon des sauvegardes appliquee a la supervision.

QUATRE FOIS J AI ECRIT LA SONDE AVANT DE MESURER, QUATRE FOIS ELLE A EU
TORT. La forge : port et chemin des depots inventes, elle ecoute en 3000
derriere l edge et n a legitimement aucun depot. Loki : « panne
persistante » conclue sur deux lectures a quelques secondes d intervalle
juste apres un redemarrage — deux mesures rapprochees ne distinguent pas
un etat d un instant. Keycloak : vise en 8443, il ecoute en 8080. Le
runner : git en root refuse un depot d un autre proprietaire. A chaque
fois le remede est le meme — lire la verite du role, ne pas la supposer.

Et le meme piege Jinja qu avec client_sante : ${#tableau[@]} contient {#.
Le remede etait deja au depot ; je l ai reecrit au lieu de le chercher.

RESTE : client_smtp, client_artefacts, client_journal, icingaweb2 et
ops_site. Ce sont des chemins de report, dont la panne se voit deja par le
silence des sondes qu ils portent.

make prouver : CONFORME, 64 OK, 0 echec, 0 saute (P64 : 14 sondes).

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
2026-09-10 03:00:21 -04:00
..
defaults sondes : quatorze, une par role, derivees en objets Icinga 2026-09-10 03:00:21 -04:00
handlers Soumission courriel :587 interne (authentifiée) — boucle souveraine bouclée 2026-07-03 23:17:36 -04:00
meta sondes : quatorze, une par role, derivees en objets Icinga 2026-09-10 03:00:21 -04:00
tasks sondes : quatorze, une par role, derivees en objets Icinga 2026-09-10 03:00:21 -04:00
templates sondes : quatorze, une par role, derivees en objets Icinga 2026-09-10 03:00:21 -04:00
README.md docs : un README par rôle (12 manquants) + carte remise à l'état du code 2026-07-29 11:32:06 -04:00

README.md

serveur_postfix

MTA : Postfix 3.x (Debian 13) sur le nœud edge-mta — réception SMTP :25, cartes LDAP (domaines, boîtes, alias), remise LMTP réseau vers le mailstore (serveur_dovecot). Ne stocke aucune boîte. Cf. docs/courriel-conception.md.

Rôle

  • Préconfigure Postfix par debconf (installation non interactive), installe postfix + postfix-ldap.
  • Chroot : recopie /etc/hosts dans /var/spool/postfix/etc/ — le MTA hérite du plancher de résolution (hosts_statiques), sinon il ne résout aucun nom interne.
  • TLS : pont de certificat step_ca (client_pki) — script setops-postfix-cert-sync
    • unités .service/.path, recharge Postfix à chaque renouvellement.
  • Annuaire : connexion fournie par resoudre_annuaire ; carte ldap-mailboxes.cf (validation des destinataires contre LDAP).
  • Soumission :587 optionnelle, avec SASL délégué à Dovecot (passdb LDAP).
  • Valide la configuration (postfix check) avant d'activer le service.

Liaisons (meta/liens.yml)

Le rôle accepte deux liens déclarés côté application dans plan/applications.yml :

Lien Effet
mailstore Injecte serveur_postfix_mailstore_hote = FQDN de la cible (Dovecot LMTP)
milter Passe serveur_postfix_rspamd_milter à true (rspamd co-localisé)

C'est le sens « app→app », résolu par scripts/instancier.py. Cf. docs/bindings-conception.md.

Variables principales

Variable Défaut Rôle
serveur_postfix_mailstore_hote (vide — obligatoire) Nœud Dovecot, normalement injecté par le lien mailstore
serveur_postfix_lmtp_port 24 LMTP vers le mailstore
serveur_postfix_reseaux_confiance 127.0.0.0/8 [::1]/128 mynetworks (relais autorisé)
serveur_postfix_submission_actif false Soumission :587 (SASL Dovecot)
serveur_postfix_rspamd_milter false Milter antispam/DKIM co-localisé
serveur_postfix_lmtp_tls_verify false Zéro-confiance : vérifier le certificat du mailstore

Flux (meta/flux.yml)

25/tcp entrant (externe + client_smtp) · 587/tcp soumission (flotte) · 24/tcp → Dovecot (TLS vérifié) · 12345/tcp → Dovecot (SASL) · 11332/tcp → rspamd local · 636/tcp → OpenLDAP · 25/tcp sortant (MX distants).

Notes / limites

  • Le rôle exige serveur_postfix_mailstore_hote (assertion) : pas de remise locale, la remise finale appartient au mailstore. C'est la scission edge-mta / mail-store.
  • serveur_postfix_reseaux_confiance est à adapter au réseau de l'instance — laissé au strict minimum par défaut.
  • serveur_postfix_lmtp_tls_verify: true demande que la racine step_ca soit lisible (/etc/step/certs/root_ca.crt, posée en 0644 par client_pki).
  • La frontière publique (MX, SPF/DKIM/DMARC publics, filtrage entrant) relève de l'OPNsense — Étape B, hors flotte Ansible.

Prérequis

  • serveur_postfix requiert serveur_dovecot actif (docs/dependances-groupes.yml).
  • client_pki appliqué sur le nœud.