Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions
Set-OPS-Public/roles/serveur_dovecot
History
Daniel Allaire 4a1d0836d0 docs : un README par rôle (12 manquants) + carte remise à l'état du code 
Solde la dette documentaire repérée à l'audit du 2026-07-03. Tous les rôles ont
désormais un README, au format maison (intention → rôle → variables →
notes/limites → prérequis). Ils documentent ce qui ne se lit PAS dans les tâches :

- serveur_debian : rôle-catégorie sans tâches — il ne porte que le flux SSH du
  plan de gestion, sans quoi les nftables générés couperaient l'accès Ansible à
  toute la flotte ; le vrai travail est dans le playbook de groupe.
- hosts_statiques : le plancher /etc/hosts comme CONDITION de l'ordre de
  reconstruction (résolution par nom avant que PowerDNS existe) ; fichier
  entièrement géré, alias d'exposition best-effort.
- resoudre_base / resoudre_annuaire : entrées, sorties (facts), et pourquoi le
  FQDN plutôt que le nom court (fédération + nom canonique pour verify-full).
- serveur_dovecot : les 3 réglages Dovecot 2.4 qui conditionnent la remise
  (static_allow_all_users, mail_inbox_path vide, mail_path par utilisateur) et
  le local-part seul comme chemin commun LMTP/IMAP ; limite mono-domaine.
- serveur_postfix : liens mailstore/milter, recopie de /etc/hosts dans le chroot.
- serveur_rspamd : clé DKIM idempotente ; le domaine signé doit être PUBLIC en
  prod, sinon la signature ne vaut rien pour les MX distants.
- client_backup / serveur_backup : jobs déclaratifs, chiffrement côté client,
  deux pièges (jobs vides = silencieux ; dépôt neuf vide après un from-zero) ;
  hors-nœud n'est pas hors-site.
- serveur_oauth2_proxy : le patron réutilisable Keycloak-devant-n'importe-quoi,
  et pourquoi allow_unverified_email est nécessaire avec un annuaire LDAP.
- serveur_icingaweb2 : modes ldap vs external, écoute à restreindre en SSO.
- client_unbound : le garde-fou de bascule (apply ET confirm, validation réelle
  avant de toucher /etc/resolv.conf).

docs/carte-set-ops.md ne décrivait plus l'état du code :
- expose EST consommé au déploiement (annoncé comme « Phase 3 à venir ») :
  expositions_des_applications + expositions.conf.j2, alias /etc/hosts, SANs
  d'edge dérivés par instancier.py ;
- 3 mécanismes transverses ajoutés (résolution d'annuaire, plancher de
  résolution, resoudre_base nommé dans les bindings app→base) ;
- 5 entrées d'index ajoutées : réseau/pare-feu, ordre de déploiement,
  preuve/recette, exploitation courante, wiki — pans du corpus non indexés ;
- ce qui reste ouvert est marqué : meta/liens.yml sur le seul serveur_postfix,
  requiert non consommé au déploiement (l'ordre vient des couches + du graphe).

make verifier vert : ansible-lint 514 fichiers, tests, syntax-check,
23 preuves CONFORME / 0 échec / 0 sauté.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-07-29 11:32:06 -04:00
..
defaults Soumission courriel :587 interne (authentifiée) — boucle souveraine bouclée 2026-07-03 23:17:36 -04:00
handlers serveur_dovecot (Dovecot 2.4) : IMAP + auth LDAP + TLS step_ca — prouvé 2026-07-02 15:09:37 -04:00
meta Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu 2026-07-07 03:08:09 -04:00
tasks Consolider : binding annuaire (resoudre_annuaire) — keycloak/dovecot/postfix 2026-07-03 22:23:22 -04:00
templates Soumission courriel :587 interne (authentifiée) — boucle souveraine bouclée 2026-07-03 23:17:36 -04:00
README.md docs : un README par rôle (12 manquants) + carte remise à l'état du code 2026-07-29 11:32:06 -04:00

README.md

serveur_dovecot

Mailstore : Dovecot 2.4 (Debian 13) — IMAP pour les utilisateurs, LMTP pour la remise depuis Postfix, authentification et résolution des comptes sur l'annuaire OpenLDAP. Stockage Maildir de boîtes virtuelles. Cf. docs/courriel-conception.md.

Rôle

  • Installe dovecot-core, -imapd, -lmtpd, -ldap.
  • Crée l'utilisateur/groupe système vmail (uid/gid 5000) et /var/vmail.
  • TLS : pont de certificat step_ca (client_pki) — script setops-dovecot-cert-sync
    • unités .service/.path qui recopient le certificat d'hôte dans /etc/dovecot/tls et rechargent Dovecot à chaque renouvellement.
  • Annuaire : connexion fournie par le rôle partagé resoudre_annuaire (uri, base, bind_dn, bind_password) — rien de codé en dur.
  • Déploie toute la configuration en un drop-in conf.d/99-setops.conf (syntaxe 2.4), valide avec doveconf avant d'activer le service.
  • Désactive l'auth système par défaut : LDAP est l'unique autorité.

Réglages Dovecot 2.4 qui comptent

La 2.4 a changé la donne par rapport à la 2.3 ; ces trois points conditionnent la remise :

  • static_allow_all_users pour le userdb static ;
  • mail_inbox_path laissé vide ;
  • mail_path par utilisateur — {{ vmail_base }}/%{user | username}.

Le local-part seul (| username) donne le même chemin pour la remise LMTP (destinataire local-part) et l'accès IMAP (adresse complète) — c'est ce qui fait fonctionner le flux bout-en-bout en mono-domaine.

Variables principales

Variable Défaut Rôle
serveur_dovecot_vmail_base /var/vmail Racine des boîtes
serveur_dovecot_mail_path <base>/%{user | username} Chemin Maildir par compte
serveur_dovecot_ldap_filter (&(objectClass=inetOrgPerson)(mail=%{user})) Login = adresse courriel
serveur_dovecot_tls_actif true Pont de certificat step_ca
serveur_dovecot_lmtp_reseau true LMTP :24 pour un MTA distant (edge-mta)
serveur_dovecot_sasl_reseau false Auth SASL réseau :12345 pour la soumission :587

Flux (meta/flux.yml)

993/tcp IMAPS (utilisateurs) · 24/tcp LMTP ← Postfix (TLS vérifié) · 12345/tcp SASL ← Postfix · 636/tcp → OpenLDAP (userdb/passdb).

Notes / limites

  • Mono-domaine : le chemin ne conserve pas le domaine. Le multi-domaine demandera de le préserver des deux côtés (raffinement Étape B).
  • LMTP et SASL réseau doivent être restreints au nœud MTA par pare-feu — c'est ce que fait nftables_baseline à partir de meta/flux.yml (pair: serveur_postfix).
  • Si Postfix est co-localisé, le rôle bascule sur les sockets sous le chroot (/var/spool/postfix/private) plutôt que sur le réseau (détection automatique).
  • Le certificat est exigé : sans client_pki sur le nœud, le rôle échoue explicitement.

Prérequis

  • serveur_dovecot requiert serveur_openldap actif (docs/dependances-groupes.yml).
  • client_pki appliqué sur le nœud (couche pki_client, avant la couche services).