Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions
Set-OPS-Public/roles/serveur_grafana
History
Daniel Allaire f05f505b88 Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu 
Rend l'écosystème reconstructible en une commande (create+deploy idempotent) et
ajoute la couche « accès » (nftables least-privilege) au zéro-confiance.

Orchestrateur (phase 2) :
- docs/couches-deploiement.yml : registre des couches (socle → pki → services → apps → agents)
- scripts/orchestrer.py : tri par couche + topo intra-couche (graphe) → playbooks/site.yml ordonné
- Makefile : site / deployer-tout / flotte-creer / reconstruire / myDay (+ gardes CONFIRMER)
- docs/dependances-groupes.yml : graphe complété (keycloak→openldap, dovecot, postfix, icingaweb2, nextcloud)

Audit codé-en-dur (phase 1b) : labels/slug OIDC dérivés de l'intrant `organisation`
(serveur_forgejo/grafana/nextcloud) — le moteur ne porte plus de nom de tenant.

Registre des flux réseau (phase 0) :
- meta/flux.yml pour tous les rôles (29 rôles, 63 flux ; schéma + matrice validés)
- scripts/resoudre_flux.py : matrice d'audit (docs/registre-flux.md) + rulesets nftables résolus par hôte
- roles/nftables_baseline : déploie le ruleset résolu (moindre-privilège) quand activé, sinon repli

Correctifs : détection du coffre Vault (chemin production → inventaire réellement résolu).
Outillage : make wiki-publier (publication du wiki pédagogique dans Forgejo).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
2026-07-07 03:08:09 -04:00
..
defaults Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu 2026-07-07 03:08:09 -04:00
files/dashboards Grafana : dashboard provisionné « Journaux de la flotte » (Loki, Viewer-friendly) 2026-07-04 16:10:59 -04:00
handlers Rendre le dry-run (--check) fiable sur les rôles applicatifs 2026-07-01 21:01:53 -04:00
meta Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu 2026-07-07 03:08:09 -04:00
tasks Grafana : dashboard provisionné « Journaux de la flotte » (Loki, Viewer-friendly) 2026-07-04 16:10:59 -04:00
templates RBAC via SSO : rôle de realm Keycloak → niveau Grafana (authZ) 2026-07-04 16:58:15 -04:00
README.md Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale) 2026-06-24 20:17:46 -04:00

README.md

serveur_grafana

Tableaux de bord Grafana (dépôt apt officiel Grafana). Interface d'observabilité au-dessus de Prometheus (métriques) et Loki (journaux).

Rôle

  • Ajoute le dépôt apt Grafana et installe grafana.
  • Provisionne les datasources Prometheus + Loki (/etc/grafana/provisioning/datasources/) — Grafana les câble au démarrage.
  • Domaine, root_url et mot de passe admin (Vault) via un drop-in systemd (non destructif, ne touche pas grafana.ini du paquet).
  • Inscriptions publiques désactivées.

Publication

  • Derrière serveur_nginx (TLS à l'edge) ; GF_SERVER_ROOT_URL=https://grafana.exemple.internal/.
  • Le site nginx se déclare côté serveur_nginx.

Secret requis (Vault)

serveur_grafana_admin_password: "{{ vault_grafana_admin }}"

Variables principales

Variable Défaut Rôle
serveur_grafana_hostname grafana.exemple.internal Domaine
serveur_grafana_prometheus_url http://localhost:9090 Datasource Prometheus
serveur_grafana_loki_url http://localhost:3100 Datasource Loki

Notes

  • Prometheus, Loki et Grafana sont co-localisés sur obs-01 → datasources en localhost.
  • Dépendance serveur_grafana requiert serveur_prometheus + serveur_loki actifs (déjà dans docs/dependances-groupes.yml).

Hors périmètre

  • Dashboards provisionnés (à ajouter ensuite), alerting Grafana, authentification OIDC via Keycloak (intégration ultérieure).