Daniel Allaire
90228cb55e
LE CONSTAT. 39 roles declarent leurs flux, 32 leur empreinte, 32 leur authentification — tous derives. Et 19 groupes sur 19 declaraient une surveillance en prose que RIEN n executait ; Icinga en surveillait deux. La carte disait ce qui etait surveille, et personne ne surveillait. LE MECANISME. Un role declare ses sondes dans meta/supervision.yml et depose lui-meme son script dans /usr/local/lib/setops/sondes/. Le porteur client_sante les fait toutes tourner et pousse un resultat passif par sonde, sans savoir ce qu elles mesurent. serveur_icinga derive les objets Service ET le filtre de permission d API des memes declarations. Ajouter une sonde ne demande de toucher ni au porteur ni a Icinga. PREMIERE SONDE : client_pki/certificat. Heures restantes sur le certificat reellement pose, chaine verifiee, et empreinte SERVIE comparee au disque quand un service le consomme. 14/14 au tenant, 7/7 au site. QUATRE OBSTACLES, ET TROIS SONT LA MEME LECON. La sonde a rendu 14/14 en CRITIQUE sur une PKI saine : openssl verify -CAfile racine ne trouve pas l intermediaire qui signe nos certificats. step certificate verify, lui, repond VALIDE. Deployee au site, elle a rendu 5/7 : le seuil d avertissement (12 h) etait AU-DESSUS du point de renouvellement (8 h, le tiers restant). Elle criait avant que le mecanisme ne soit cense agir. Seuils ramenes a 6 h et 3 h. Un seuil se DERIVE du moment ou le mecanisme surveille agit. Une alarme toujours allumee ne vaut pas mieux qu une alarme jamais allumee : elle apprend a ne plus regarder. Une sonde se prouve DEUX FOIS, verte sur le sain et rouge sur le casse. Le filtre d API etait ecrit avant la lecture des declarations : les services auraient existe et Icinga aurait refuse leurs resultats. Et mon controle negatif a casse un service reel : substituer le certificat d hote a fait propager un cert sans sa clef vers node_exporter. Un controle negatif se fait sur une COPIE. P64 tient les deux bouts : declaree sans etre deposee, ou deposee sans etre declaree. Trois controles negatifs rejoues. make prouver : CONFORME, 64 OK, 0 echec, 0 saute. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
37 lines
2 KiB
YAML
37 lines
2 KiB
YAML
---
|
|
# Supervision derivee du role. Voir docs/supervision-conception.md.
|
|
#
|
|
# CE QUE CETTE SONDE MESURE, ET POURQUOI CELA PLUTOT QUE LE RESTE.
|
|
#
|
|
# Nos certificats vivent 24 HEURES. Ce n'est pas un detail d'exploitation : c'est ce qui
|
|
# rend la chaine entiere dependante d'un minuteur qui tourne. Une machine dont le
|
|
# renouvellement s'arrete ne casse pas tout de suite — elle casse le LENDEMAIN, et alors
|
|
# tout ce qui parle TLS avec elle tombe en meme temps.
|
|
#
|
|
# CE QU'ON NE MESURE PAS, ET C'EST DELIBERE :
|
|
#
|
|
# - « le minuteur est-il actif ? » — un minuteur vert qui echoue chaque nuit est
|
|
# exactement le mensonge que ce depot a deja paye avec les sauvegardes. On mesure le
|
|
# RESULTAT, pas l'intention.
|
|
# - « le certificat existe-t-il ? » — un certificat perime existe.
|
|
# - la duree de la poignee TLS, l'algorithme, la taille de clef : ce sont des metriques
|
|
# ou des audits, pas la question « est-ce casse ? ».
|
|
#
|
|
# CE QU'ON MESURE : le temps qui reste avant expiration, sur le certificat REELLEMENT
|
|
# POSE. Un renouvellement qui s'est arrete se voit des la premiere fenetre manquee, et
|
|
# bien avant la panne.
|
|
#
|
|
# ET LE CERTIFICAT SERVI, PAS SEULEMENT CELUI DU DISQUE. Mesure du 2026-08 : un cert
|
|
# renouvele sur disque restait servi PERIME en memoire tant que nginx/postfix/slapd
|
|
# n'etaient pas recharges. Le fichier disait « tout va bien », le port disait le
|
|
# contraire. La sonde compare donc les deux quand un service consomme le certificat.
|
|
sondes:
|
|
- nom: certificat
|
|
# 5400 s = une heure et demie, soit six fois la periode du porteur (15 min). Cinq
|
|
# passages peuvent manquer avant qu'Icinga ne perime : on ne crie pas pour un hoquet,
|
|
# on crie pour un silence.
|
|
ttl: 5400
|
|
raison: >-
|
|
Le certificat d'hote est-il encore valide assez longtemps, et le service qui le
|
|
consomme sert-il bien CELUI-LA ? Nos certificats vivent 24 h : un renouvellement
|
|
arrete ne se voit qu'au lendemain, quand tout ce qui parle TLS tombe ensemble.
|