Daniel Allaire
f2c580235d
D-87 disait que l hebergeur n a pas le droit de voir les journaux de ses
locataires. La decision avait une face cachee : a force de refuser de voir
ceux des autres, le site s etait prive des siens. Ses sept machines
n expediaient nulle part.
Il prend donc sa propre pile : prometheus, loki et grafana sur site-mon-01,
sans aucun lien avec ceux d un tenant. L exemption qui bloquait portait sa
propre condition de levee, ecrite cinq jours plus tot dans le plan.
Grafana au site n a pas de SSO, et le role l ignorait : il reclamait l IdP
avant de regarder s il en voulait un. L interrupteur existait, il n etait
pas honore. Le role refuse desormais SSO eteint ET formulaire local eteint
- la combinaison deploie un Grafana en sante ou personne ne peut entrer -
et le reglage du formulaire sort du if du SSO, ou il disparaissait en
laissant le defaut amont decider en silence.
Deux manques se cachaient l un l autre dans le devis de la frontiere, et
Prometheus voyait 1 cible sur 7 :
- le devis derivait les groupes d une machine du site de applications.yml
seul, et ne voyait donc aucune integration universelle - alors que
client_metrique ouvre un port d ecoute ;
- une sortie vers un role du site visait !SETOPS_INTERNES, qui exclut
precisement la machine nommee. Le devis autorisait a expedier les
journaux du site a n importe quel Loki du monde, et a nul autre endroit
qu a celui-la. Neuf flux dans ce cas.
Et deux declarations justes ne font qu une regle : appliquer_opnsense pose
tout en direction: in (D-61).
Les deux agents se supervisent enfin eux-memes. La sonde des journaux ne
demande pas si Alloy tourne, elle lit ce qu il a du JETER. Elle a fait ses
preuves le jour meme : Alloy actif, /-/ready a 200, et cinquante lignes
perdues sur six machines.
Mesure : metriques 7/7 vert, journaux 1/7 - les six autres attendent la
regle de frontiere, et le disent. prouver 64 OK, ansible-lint 0 defaut.
Reste a la main de l exploitant : make frontiere-appliquer CONFIRMER=true,
et le secret vault_grafana_admin a deposer dans underlay.vault.yml.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
36 lines
2.3 KiB
Django/Jinja
36 lines
2.3 KiB
Django/Jinja
[Service]
|
|
# `Restart=on-failure` vient du paquet, SANS `RestartSec` — donc 100 ms par defaut.
|
|
# Le 2026-08-10, une migration de base a echoue au premier demarrage : systemd a relance
|
|
# six fois en une seconde, chaque relance rejouant les migrations sur la meme base SQLite.
|
|
# Un echec unique s'est ainsi presente comme un desastre, et il a fallu remonter tout le
|
|
# journal pour retrouver la PREMIERE erreur — la seule qui disait quelque chose.
|
|
#
|
|
# Dix secondes laissent le temps de voir, de journaliser, et n'empilent pas les migrations.
|
|
RestartSec=10
|
|
Environment=GF_SERVER_DOMAIN={{ serveur_grafana_hostname }}
|
|
Environment=GF_SERVER_ROOT_URL={{ serveur_grafana_root_url }}
|
|
Environment=GF_SECURITY_ADMIN_PASSWORD={{ serveur_grafana_admin_password }}
|
|
Environment=GF_USERS_ALLOW_SIGN_UP=false
|
|
{# Le formulaire local est offert, ou il ne l'est pas — et le gabarit le DIT dans
|
|
les deux cas. Cette ligne vivait sous le `if` du SSO : SSO eteint, elle
|
|
disparaissait, et c'est le defaut de Grafana qui decidait en silence. Un
|
|
reglage d'authentification qu'aucun fichier n'ecrit est un reglage que
|
|
personne ne peut relire.
|
|
Masquer le formulaire ne supprime pas le compte : `grafana-cli admin
|
|
reset-admin-password` reste utilisable sur l'hote. #}
|
|
Environment=GF_AUTH_DISABLE_LOGIN_FORM={{ 'false' if serveur_grafana_connexion_locale | bool else 'true' }}
|
|
{% if serveur_grafana_oidc_actif %}
|
|
Environment=GF_AUTH_GENERIC_OAUTH_ENABLED=true
|
|
Environment=GF_AUTH_GENERIC_OAUTH_NAME={{ serveur_grafana_oidc_nom }}
|
|
Environment=GF_AUTH_GENERIC_OAUTH_CLIENT_ID={{ serveur_grafana_oidc_client_id }}
|
|
Environment=GF_AUTH_GENERIC_OAUTH_CLIENT_SECRET={{ serveur_grafana_oidc_client_secret }}
|
|
Environment="GF_AUTH_GENERIC_OAUTH_SCOPES={{ serveur_grafana_oidc_scopes }}"
|
|
Environment=GF_AUTH_GENERIC_OAUTH_AUTH_URL={{ serveur_grafana_oidc_base }}/auth
|
|
Environment=GF_AUTH_GENERIC_OAUTH_TOKEN_URL={{ serveur_grafana_oidc_base }}/token
|
|
Environment=GF_AUTH_GENERIC_OAUTH_API_URL={{ serveur_grafana_oidc_base }}/userinfo
|
|
Environment=GF_AUTH_GENERIC_OAUTH_LOGIN_ATTRIBUTE_PATH=preferred_username
|
|
{% if serveur_grafana_oidc_role_path %}
|
|
Environment="GF_AUTH_GENERIC_OAUTH_ROLE_ATTRIBUTE_PATH={{ serveur_grafana_oidc_role_path }}"
|
|
Environment=GF_AUTH_GENERIC_OAUTH_ROLE_ATTRIBUTE_STRICT=false
|
|
{% endif %}
|
|
{% endif %}
|