Set-OPS-Public/wiki/Glossaire.md

Glossaire

Tout mot que Set-OPS te met sous les yeux se trouve ici. Chaque entrée dit ce que c'est, et pourquoi ce dépôt s'en sert — pas seulement sa définition.

Les mots en italique renvoient à une autre entrée ; les liens mènent à l'unité d'apprentissage qui développe la notion.

Règle de ce glossaire. Un terme employé par le dépôt et absent d'ici est un défaut. La preuve P39 le vérifie. Ce qu'elle ne peut pas voir : un mot que personne n'a pensé à déclarer — elle garde une liste, elle ne devine pas.

---

Le plan, et ce qui en dérive

Plan — La source unique de vérité (instance/plan/ : serveurs, applications, bases, domaines, nomenclature). On l'édite ; l'inventaire en est généré, jamais l'inverse.

Index (seed) — Le seul intrant d'adressage d'une instance. Tout en descend : supernet 10.<index>.0.0/16, VLAN 1000+index×10+zone, VMID, VNet. Unique dans la fédération. Cf. Le plan & l'adressage dérivé.

Adressage dérivé — Les adresses ne sont pas saisies, elles se calculent. Deux valeurs ne peuvent donc pas se contredire : il n'y en a qu'une, et le reste en découle.

Nomenclature — Le registre du modèle réseau : zones, placement des fonctions, et l'index. Ne contient aucune adresse (preuve P20).

Zone — Un domaine de sécurité : un /24 et un VLAN. Frontière, Identité, Données, Services-infra, Observabilité, Applications. Un pare-feu les sépare.

Supernet — Le grand bloc d'adresses d'un tenant (10.29.0.0/16), dont ses zones découpent des tranches.

CIDR — La notation 10.29.16.0/24 : une adresse, puis le nombre de bits figés. /24 fige les trois premiers nombres — 254 machines possibles.

DIFF VIDE — État sain : le plan reproduit exactement l'inventaire appliqué. Vérifié par make instancier.

Instance — Un écosystème réel (../OPS-<nom>) : son domaine, son index, sa voûte. L'active est celle que pointe le lien instance/.

Tenant — Le même objet, vu depuis la fédération : un écosystème isolé parmi d'autres.

Fédération — L'ensemble des instances qui cohabitent sur une infrastructure partagée, chacune avec son index. Cf. Multi-instance & fédération.

federe: false — Drapeau qui exclut une instance des devis du site : ni VLAN, ni règles de frontière, ni VNet ne lui sont réservés. Pour un bac à sable local, ou pour un écosystème encore à l'état de plan.

Modèle — Un plan générique réutilisable, sans voûte, dans Set-OPS-Modeles. Les modèles sont les offres : forge, identite, collaboration…

Socle — Le modèle minimal public : DNS, PKI, edge TLS, relais courriel.

Liaison (binding) — Relation déclarée entre entités du plan (app→base, app→app), résolue par le moteur. Cf. Liaisons (bindings).

Hôte fantôme — Erreur de plan : une application posée sur un hôte non déclaré. Refusée par la preuve P06.

---

Les machines

VM — Machine virtuelle : un ordinateur complet simulé par un hyperviseur.

Hyperviseur — La machine physique qui fait tourner les VM. Ici : Proxmox.

Gabarit (template) — Une VM figée qui sert de moule. Chaque machine de la flotte en est un clone. Le gabarit doré de Set-OPS s'appelle modeleSetOPS.

Clone — La copie du gabarit qui devient une machine réelle. Deux minutes, contre une installation complète.

VMID — Le numéro d'une VM sur le cluster. Set-OPS le dérive (schéma ip-miroir) au lieu de le tirer au hasard.

ip-miroir — Schéma où le VMID contient l'adresse IP et le tenant : le numéro se lit d'un coup d'œil.

cloud-init — Le mécanisme qui configure une VM à sa toute première seconde : adresse IP, nom, clé SSH. Sans lui, un clone naîtrait identique à son moule, jumeau de tous les autres.

Snapshot — Photo d'une VM à un instant. Utile pour revenir en arrière ; ce n'est pas une sauvegarde (elle vit sur le même stockage).

systemd — Le chef d'orchestre des services d'une machine Linux : il démarre, arrête et surveille. « Un service » veut dire « une unité systemd ».

---

Ansible : décrire au lieu d'exécuter

Ansible — L'outil qui applique une description à des machines, par SSH. Cf. Infra as Code & idempotence.

Playbook — Un fichier qui dit quoi appliquer, à qui. Ici : un par groupe (playbooks/groupes/<groupe>.yml).

Rôle — Le paquet qui sait installer et configurer une chose (serveur_nginx, client_backup). C'est l'unité réutilisable.

Inventaire — La liste des machines et de leurs groupes (hosts.yml). Généré depuis le plan : on ne l'édite jamais à la main.

group_vars — Les valeurs d'un groupe de machines, rangées par fichier. C'est là que vivent les intrants non secrets.

Handler — Une action qui ne se déclenche que si quelque chose a changé — typiquement recharger un service quand sa configuration a bougé.

Idempotence — Rejouer la même description dix fois donne le même résultat. La deuxième exécution ne change rien (changed=0). C'est ce qui rend une reconstruction sûre.

Voûte (vault) — Le fichier chiffré des secrets d'une instance. Jamais dans un modèle, jamais en clair. Seul le gabarit vault.yml.example — des noms, pas des valeurs — est versionné.

---

Le réseau

→ Unité complète : Le réseau des tenants

Underlay — Le réseau physique : câbles, commutateurs, adresses des hyperviseurs. Il ne connaît aucun tenant.

Overlay — Les réseaux virtuels des tenants, transportés par-dessus l'underlay.

VLAN — Une étiquette posée sur chaque trame pour séparer des réseaux qui partagent un câble. Limite : 4094 étiquettes, et chaque commutateur doit les connaître.

VXLAN — L'encapsulation : la trame d'un tenant voyage dans une enveloppe. Le réseau physique ne voit que des colis. L'enveloppe coûte 50 octets — d'où le MTU 1450.

EVPN — Le mécanisme par lequel les hyperviseurs s'annoncent les machines qu'ils hébergent. Sans lui, la table des destinations serait tenue à la main.

SDN — Software-Defined Networking : le réseau se décrit et se pose par API, au lieu de se câbler à la main.

VNet — Le réseau virtuel d'une zone d'un tenant (t29fron) : le point où la carte d'une VM se branche.

VRF — Une table de routage étanche. Dans celle du tenant A, les réseaux du tenant B n'existent pas. Ce n'est pas une interdiction, c'est une ignorance.

Strophe (FRR) — Le bloc de configuration qu'on pose par tenant dans /etc/frr/frr.conf.local, sur chaque hyperviseur : sa sortie et son puits.

FRR — Le démon de routage des hyperviseurs (FRRouting).

nexthop-vrf — Emprunter une seule adresse à une autre table de routage, au lieu d'importer celle-ci en entier. La différence entre une porte et un mur abattu.

Blackhole (puits) — Une route qui absorbe le trafic vers les adresses non attribuées d'un tenant, pour qu'il ne parte pas errer ailleurs.

MTU — La plus grosse trame qu'un lien accepte. 1500 par défaut ; 1450 dans l'overlay (l'enveloppe VXLAN prend 50). Se tromper suspend les grosses réponses sans casser les petites — la panne la plus déroutante du domaine.

SVI — L'adresse de passerelle portée par un commutateur pour un VLAN. Set-OPS ne s'en sert plus : le routage des tenants vit sur l'hyperviseur (VRF).

Pont (bridge) — Le commutateur virtuel d'un hyperviseur (vmbr1). Les VM de la flotte se branchent sur leur VNet, pas sur un pont nu.

IPAM — Le registre qui attribue les adresses. Ici, c'est la dérivation : personne ne tient de liste.

Spanning-tree (STP) — Le protocole qui empêche une boucle de commutateurs de saturer le réseau. Il élit une racine ; c'est ce que désigne routeur dans l'underlay.

MLAG — Deux commutateurs qui se font passer pour un seul. Set-OPS n'en a pas : d'où un seul commutateur qui route, et les chemins doublés ailleurs.

nftables — Le pare-feu de chaque machine Linux. Set-OPS le dérive du registre des flux.

Policy drop — Politique par défaut : tout ce qui n'est pas autorisé est refusé. Sans règles chargées, elle mure la machine — d'où l'importance de make flux.

Frontière — Le pare-feu de bordure (OPNsense), entre l'écosystème et l'extérieur. Hors flotte Ansible : piloté par API.

FQDN — Le nom complet d'une machine, forge.genese.internal — pas seulement forge.

---

Les noms

→ Unité complète : DNS & résolution

DNS — L'annuaire qui traduit un nom en adresse.

Le plancher — La première couche de résolution : /etc/hosts, posé par le socle avant que le DNS existe. Sans lui, rien ne peut s'amorcer.

Résolveur — Le service qui pose les questions au DNS pour une machine (ici Unbound, local à chaque hôte).

Reverse proxy — Le portier : il reçoit toutes les requêtes web et les distribue au bon service derrière. Cf. Reverse-proxy & TLS.

vhost — La configuration d'un site dans le reverse proxy : quel nom, vers quel service.

WAF — Filtre qui inspecte les requêtes web et bloque les attaques connues.

Edge — La machine de bordure qui publie les services web (ici nginx).

---

La confiance

→ Unité complète : PKI & confiance

PKI — L'ensemble qui fabrique et gère les certificats.

CA (autorité de certification) — Celle qui signe les certificats. Ici, step-ca, interne : l'écosystème est sa propre autorité.

Certificat — Une pièce d'identité pour une machine : ce nom, cette clé, signé par la CA.

ACME — Le protocole qui automatise la demande et le renouvellement d'un certificat. Personne ne le fait à la main.

SAN — Les noms qu'un certificat couvre. Set-OPS les dérive du plan.

TLS — Le chiffrement d'une connexion (le « s » de https).

mTLS — TLS des deux côtés : le client prouve aussi son identité. C'est le zéro-confiance entre serveurs.

---

L'identité

→ Unité complète : Identité & SSO

LDAP — L'annuaire des personnes et des groupes : la source de vérité des identités.

LDAPS — LDAP chiffré.

SSO — Single Sign-On : une seule authentification pour toutes les applications.

OIDC — Le protocole moderne du SSO sur le web. C'est lui derrière « Se connecter avec… ».

SAML — L'ancêtre d'OIDC, encore répandu en entreprise.

Realm — Le « royaume » d'un serveur d'identité : un espace de comptes, de groupes et de règles. Un par écosystème.

RBAC — Donner des droits à des rôles, pas à des personnes. Cf. Autorisation & RBAC.

---

Le courriel

→ Unité complète : Courriel (SMTP/IMAP)

SMTP — Le protocole qui transporte un courriel d'un serveur à l'autre.

MTA — Le serveur qui fait ce transport (ici Postfix).

IMAP — Le protocole par lequel tu lis ta boîte, depuis ton téléphone ou ton client.

LMTP — Le dernier mètre : le MTA remet le message au serveur qui détient les boîtes (ici Dovecot).

DKIM — La signature qui prouve qu'un courriel vient bien de ton domaine.

---

L'état, et sa preuve

restic — L'outil de sauvegarde chiffrée et dédupliquée. Cf. Sauvegardes.

Sauvegarde vs snapshot — L'infrastructure se reconstruit depuis le code ; seul l'état (annuaire, bases, courriel, forge) se sauvegarde. Cf. Sauvegardes.

Devis — Une commande qui interroge le système réel et montre l'écart avec le plan, sans rien écrire (make sdn-plan, make placement-plan).

Preuve (Pxx) — Une vérification rejouable de make prouver qui garde une classe d'erreur. Cf. La preuve.

Harnais — L'ensemble des preuves. Un make prouver vert veut dire : aucune des classes d'erreur connues n'est présente.

Chèque vert sur un périmètre vide — Le piège central de ce dépôt : une vérification qui réussit sans rien avoir mesuré. Une sauvegarde de zéro fichier, un devis qui lit un intrant périmé, une preuve qui ne peut pas échouer. À chaque « ✅ », se demander sur quoi il a porté.

GUI — La console web d'exploitation (make inventaire-ui). Cf. Le GUI.

CI — La vérification automatique à chaque poussée (make ci la rejoue à l'identique).