Daniel Allaire 6f2acafdb6 acces : les cinq meta/acces.yml, et le mecanisme qui manque a chacun ... Chaque role web declare le GROUPE qu'il reconnait et ce qu'il lui accorde. Un troisieme champ s'est impose en ecrivant : `porte_par` — le mecanisme qui transporte reellement l'habilitation. Sans lui, les declarations auraient decrit une chaine inexistante. Etat mesure : grafana `role-realm` (reel) ; forgejo, nextcloud et keycloak `aucun` ; icingaweb2 `liste-uid` — il NOMME DES PERSONNES, ce que D-66 interdit. Le maillon manquant est chez Keycloak : `role_assignments` assigne un role a un UTILISATEUR, et son propre commentaire l'admettait (« en prod, preferer l'assignation via groupe d'annuaire »). Sans group-ldap-mapper, les groupes LDAP n'atteignent jamais les services. Sa meta a donc une autre forme, `acces_projection` : Keycloak projette au lieu de consommer (D-65). Defaut corrige : `serveur_icingaweb2_admins` valait "testmail", un compte de test code en dur dans le moteur qu'aucune instance ne surchargeait — le seul administrateur declare de la supervision etait un utilisateur inexistant. Il suit desormais l'uid d'amorcage. Verifie sur mon-01 : users = "sysadmin". Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>		2026-08-07 13:59:33 -04:00
..
amorcage_acces	amorcage_acces : le role qui cree UN acces puis se retire	2026-08-07 13:42:27 -04:00
apparmor	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
auditd	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
chrony	Découplage instance : realm centralisé + vars génériques	2026-07-05 00:47:44 -04:00
client_backup	docs : un README par rôle (12 manquants) + carte remise à l'état du code	2026-07-29 11:32:06 -04:00
client_journal	intégrations : le rôle déclare sa politique ; le cluster passe à l'hébergeur	2026-08-03 14:09:22 -04:00
client_metrique	intégrations : le rôle déclare sa politique ; le cluster passe à l'hébergeur	2026-08-03 14:09:22 -04:00
client_pki	deploiement : deux attentes de premier demarrage, et trois defauts leves	2026-08-07 09:30:48 -04:00
client_smtp	Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu	2026-07-07 03:08:09 -04:00
client_unbound	dns : client_unbound universel, et un resolveur d'amorcage	2026-08-06 21:41:58 -04:00
cloud_init	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
common_packages	deploiement : deux attentes de premier demarrage, et trois defauts leves	2026-08-07 09:30:48 -04:00
core_dumps	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
fail2ban_ssh	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
hardening_packages	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
hosts_statiques	docs : un README par rôle (12 manquants) + carte remise à l'état du code	2026-07-29 11:32:06 -04:00
journald	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
motd	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
nftables_baseline	Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu	2026-07-07 03:08:09 -04:00
qemu_guest_agent	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
resoudre_annuaire	annuaire : l'hote se derive du plan, il ne s'ecrit plus	2026-08-07 12:46:48 -04:00
resoudre_base	deploiement : deux attentes de premier demarrage, et trois defauts leves	2026-08-07 09:30:48 -04:00
serveur_backup	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_collabora	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_debian	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_dovecot	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_forgejo	acces : les cinq meta/acces.yml, et le mecanisme qui manque a chacun	2026-08-07 13:59:33 -04:00
serveur_grafana	acces : les cinq meta/acces.yml, et le mecanisme qui manque a chacun	2026-08-07 13:59:33 -04:00
serveur_icinga	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_icingaweb2	acces : les cinq meta/acces.yml, et le mecanisme qui manque a chacun	2026-08-07 13:59:33 -04:00
serveur_keycloak	acces : les cinq meta/acces.yml, et le mecanisme qui manque a chacun	2026-08-07 13:59:33 -04:00
serveur_loki	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_nextcloud	acces : les cinq meta/acces.yml, et le mecanisme qui manque a chacun	2026-08-07 13:59:33 -04:00
serveur_nginx	sso : l'issuer et le nom d'hote se derivent de l'exposition declaree	2026-08-07 11:47:34 -04:00
serveur_oauth2_proxy	sso : l'issuer et le nom d'hote se derivent de l'exposition declaree	2026-08-07 11:47:34 -04:00
serveur_openldap	openldap : charge ppolicy — le jeton d'amorcage devient a usage unique	2026-08-07 13:52:00 -04:00
serveur_postfix	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_postgresql	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_powerdns	dns : client_unbound universel, et un resolveur d'amorcage	2026-08-06 21:41:58 -04:00
serveur_prometheus	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_redis	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_rspamd	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_step_ca	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_web_dorsal	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_web_frontal	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
ssh_baseline	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
ssh_hardening	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
sudo_ansible	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
sysctl_hardening	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
systemd_ssh_auto	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
template_cleanup	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
unattended_upgrades	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00