Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests 1 Projects Releases Packages Wiki Activity
Set-OPS-Public/roles/client_journal
History
Daniel Allaire 63f5fda091 courriel : les mots de passe de soumission ne quittent plus la machine de Postfix 
Postfix (edge-mta) faisait verifier chaque mot de passe de soumission par le
Dovecot du mailstore, sur :12345. Le client SASL Dovecot de Postfix ne chiffre
pas : chaque mot de passe traversait le reseau en clair, et le registre disait
ce flux tls.

Le flux est supprime, pas chiffre. serveur_postfix pose a cote de lui un
Dovecot d'authentification seule (serveur_dovecot/tasks/auth_locale.yml) :
coeur + LDAP, aucun protocole, aucun port, joint par private/auth, qui verifie
sur l'annuaire en LDAPS. Le 12345 disparait des deux roles et du pare-feu ;
serveur_dovecot_sasl_reseau est retire, et une garde arrete l'instance qui le
pose encore.

Deploye chez les deux locataires ; prouve par un envoi reel chez chacun
(sasl_username au journal, remise LMTP, relu par IMAP). test_sasl_local.py
garde le changement ; 95 preuves.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-10-12 11:26:18 -04:00
..
defaults courriel : les mots de passe de soumission ne quittent plus la machine de Postfix 2026-10-12 11:26:18 -04:00
handlers Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale) 2026-06-24 20:17:46 -04:00
meta vigie : vues métier par clientèle interne, dérivées du plan 2026-10-04 02:26:11 -04:00
tasks flux : plus aucune sortie vers Internet sans un role qui le dise 2026-10-10 23:11:13 -04:00
templates journaux : le bruit de sonde du courriel filtré ; make appliquer accepte ARGS 2026-10-03 19:01:07 -04:00
README.md Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale) 2026-06-24 20:17:46 -04:00

README.md

client_journal

Intégration cliente journaux : expédie le journal système (journald) de la VM vers serveur_loki, via Grafana Alloy.

Rôle

  • Ajoute le dépôt apt Grafana et installe alloy.
  • Ajoute l'utilisateur alloy au groupe systemd-journal (lecture du journal).
  • Déploie /etc/alloy/config.alloy : loki.source.journal → loki.write vers Loki.

Boucle

VM dans client_journal → Alloy lit journald → pousse vers Loki (obs-01) → visible dans Grafana (datasource Loki).

Variables

Variable Défaut Rôle
client_journal_loki_url http://10.0.14.11:3100/loki/api/v1/push Endpoint Loki (obs-01)

Notes / limites

  • La syntaxe de configuration Alloy évolue entre versions ; la config fournie cible un Alloy récent (loki.source.journal, loki.write). Ajustement mineur possible selon la version installée.
  • Étiquettes par défaut : job=systemd-journal, host=<inventory_hostname>.

Prérequis

  • Dépendance client_journal requiert serveur_loki actif (déjà dans docs/dependances-groupes.yml).