Daniel Allaire
8d40c687e1
- client_sante : tasks/retirer.yml, joué sur hyperviseurs:!client_sante ; le minuteur resté depuis le 2026-09-10 visait 10.0.36.11 et échouait toutes les 15 min (une unité en échec permanente par hyperviseur) - site_inventaire : plus de client_sante_icinga_url pour les hyperviseurs - client_journal : loki.process jette le bruit de la sonde connectivite, phrase exacte et seulement depuis une machine de client_sante - serveur_loki : log_level warn (Loki réingérait ses propres requêtes) - auditd : règle never pour adjtimex de node_exporter (35 % de l'audit) ; nouveau handler augenrules --load, un restart d'auditd ne rechargeait pas les règles sur Debian 13 - audit : rapport de preuves du 2026-10-03, carte à 51 pièces Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
71 lines
3.9 KiB
YAML
71 lines
3.9 KiB
YAML
---
|
|
serveur_loki_paquets:
|
|
- loki
|
|
|
|
serveur_loki_service: "loki"
|
|
serveur_loki_config: "/etc/loki/config.yml"
|
|
serveur_loki_port: 3100
|
|
serveur_loki_chemin: "/var/lib/loki"
|
|
serveur_loki_retention: "744h" # 31 jours
|
|
|
|
# `warn`, PAS LE `info` AMONT (2026-10-03). A `info`, Loki ecrit QUATRE lignes par requete
|
|
# (`executing query`, `metrics.go`, `get or create table`...) dans le journal de sa propre
|
|
# machine — qu'Alloy lui renvoie aussitot. Mesure au site : 913 000 lignes en sept jours sur
|
|
# `site-mon-01`, cinq fois le journal de toutes les autres VM reunies, et un tableau ouvert
|
|
# suffisait a l'emballer. Pire que le volume : une recherche par motif SE TROUVAIT
|
|
# ELLE-MEME (« segfault » : 1 787 occurrences, toutes des requetes).
|
|
#
|
|
# Les erreurs et les avertissements restent : c'est eux qui disent qu'un composant souffre.
|
|
serveur_loki_log_level: "warn"
|
|
|
|
# Depot apt officiel Grafana (partage avec serveur_grafana).
|
|
serveur_loki_depot_cle_url: "{{ serveur_loki_depot_schema }}://apt.grafana.com/gpg-full.key"
|
|
serveur_loki_depot_cle_fichier: "/etc/apt/keyrings/grafana.asc"
|
|
serveur_loki_depot_source: "deb [signed-by=/etc/apt/keyrings/grafana.asc] {{ serveur_loki_depot_schema }}://apt.grafana.com stable main"
|
|
|
|
# --- TLS (zero-confiance) : Loki sert son API HTTP en HTTPS (cert step_ca) ---
|
|
serveur_loki_tls_actif: false
|
|
serveur_loki_tls_dir: "/etc/loki/tls"
|
|
serveur_loki_tls_source_cert: "/etc/step/certs/{{ ansible_fqdn | default(ansible_hostname) }}.crt"
|
|
serveur_loki_tls_source_cle: "/etc/step/certs/{{ ansible_fqdn | default(ansible_hostname) }}.key"
|
|
|
|
# --- Sonde de supervision -----------------------------------------------------------
|
|
# LE SCHEMA SE DERIVE DU COMMUTATEUR TLS, il ne s'ecrit pas (mesure du 2026-09-10).
|
|
#
|
|
# Cette ligne disait `https` en dur, alors que `serveur_loki_tls_actif` vaut `false` par
|
|
# defaut. Chez le tenant, qui l'active dans ses group_vars, l'accord etait fortuit ; au
|
|
# site, qui ne l'active pas, la sonde interrogeait en HTTPS un Loki qui sert en clair et
|
|
# rapportait « Loki ne repond pas » — un CRITICAL sur un service en parfaite sante.
|
|
#
|
|
# Une fausse alarme est pire qu'une sonde absente : elle apprend a ne plus lire la sonde.
|
|
# Meme forme que le reglage d'authentification de Grafana, corrige le meme jour — un
|
|
# parametre qui ne suit pas l'interrupteur dont il depend.
|
|
serveur_loki_sonde_schema: "{{ 'https' if serveur_loki_tls_actif | bool else 'http' }}"
|
|
serveur_loki_sonde_url: >-
|
|
{{ serveur_loki_sonde_schema }}://127.0.0.1:{{ serveur_loki_port }}
|
|
|
|
# --- SCHEMA DES DEPOTS TIERS (2026-09-10) --------------------------------------------
|
|
#
|
|
# `http` DES QU'UN CACHE EST DANS LE CHEMIN, `https` sinon. Ce n'est pas un relachement :
|
|
# le cache RELAIE ces depots en https vers le fournisseur (voir `serveur_artefacts`,
|
|
# `Remap-*`), et l'integrite vient des SIGNATURES du depot, qu'apt verifie de toute facon.
|
|
# Le meme raisonnement vaut deja pour `deb.debian.org` depuis toujours.
|
|
#
|
|
# Sans cette derivation, chaque machine sortait elle-meme sur Internet : le mandataire ne
|
|
# vaut que pour `http`, et le socle pose deliberement `Acquire::https::Proxy "DIRECT"`
|
|
# parce qu'un cache sans remap refuse les tunnels. Le remap leve ce refus ; encore
|
|
# faut-il DEMANDER en http.
|
|
#
|
|
# DEGRADE, JAMAIS DEVINE : pas de cache d'amorcage declare, pas de reecriture.
|
|
serveur_loki_depot_schema: >-
|
|
{{ 'http' if (artefacts_amorcage | default('') | string | length > 0) else 'https' }}
|
|
|
|
# --- Sonde « journaux-frontiere » (voir meta/supervision.yml) ---
|
|
# L'etiquette sous laquelle la frontiere apparait — la meme que celle posee sur l'ecouteur
|
|
# syslog par `client_journal`, derivee de la carte. Vide = pas de sonde a poser.
|
|
serveur_loki_sonde_frontiere_etiquette: ""
|
|
|
|
# LA FENETRE EST DERIVEE DU DEBIT OBSERVE, pas choisie. Mesure du 2026-09-10 : ~46 000
|
|
# lignes en trente minutes, soit environ 1 500 par minute. Une frontiere qui filtre ne se
|
|
# tait jamais dix minutes ; si elle le fait, c'est qu'elle ne parle plus a nous.
|
|
serveur_loki_sonde_frontiere_fenetre: "10m"
|