Set-OPS-Public/docs/devis-services.md

Les devis de service : ce qui tourne correspond-il à ce qui est déclaré ?

Pour qui : l'exploitant qui veut savoir si ce qui tourne correspond à ce qui est déclaré.

Instrument ajouté le 2026-08-08, après une série de défauts qu'aucun test n'avait signalés. Lecture seule — il ne modifie rien.

make identite-plan       # realm, fédération, mappeurs, politique, comptes
make certificats-plan    # certificats sur disque contre certificats réellement servis
make expositions-plan    # chaque `expose:` du plan répond-il, depuis l'edge et depuis le poste
make postgresql-plan     # chiffrement imposé, et à quels réseaux
make courriel-plan       # Postfix → LDAP → LMTP → Dovecot → IMAP
make frontiere-mesurer   # ce qui n'est pas déclaré à la frontière est-il refusé ?
make mtu-mesurer         # l'invité porte-t-il le MTU de sa zone SDN ?
make versions-mesurer    # de combien nos épinglages ont-ils vieilli ?

Le trou qu'il comble

scripts/prouver.py porte 35 preuves. Elles sont toutes statiques : elles lisent le dépôt. Zéro appel réseau, zéro SSH, zéro ansible. Elles établissent que le dépôt est cohérent avec lui-même — que les handlers existent, que les intrants ont un propriétaire, que rien n'est codé en dur.

Aucune ne demande au système déployé s'il ressemble à ce que le dépôt annonce.

Les quatre défauts du 2026-08-08 vivaient tous dans cet angle :

Défaut	Le dépôt disait	La machine portait
politique de mot de passe	length(12)…	aucune — abcd accepté
entrée ppolicy figée	pwdMustChange: TRUE	FALSE
fédération en écriture	comptes écrits dans LDAP	syncRegistrations absent
prénom	givenName	cn (le nom complet)

Chacun a été trouvé en relisant après avoir écrit. Aucun n'a été signalé.

Ce qu'il vérifie

Le playbook playbooks/maintenance/devis-identite.yml relève deux dictionnaires — le déclaré et le réel — et les dépose en JSON. scripts/devis_identite.py compare. La séparation est délibérée : la comparaison en Jinja est illisible, et le dépôt a déjà cette forme pour les devis réseau (Python raisonne, Ansible relève).

• realm — politique de mot de passe, anti-force-brute, « mot de passe oublié », relais SMTP
• fédération — mode d'écriture et les six clés de durcissement
• mappeurs — chaque attribut LDAP projeté
• annuaire — l'entrée pwdPolicy, attribut par attribut
• comptes — ceux qui n'ont pas d'adresse, pour qui « mot de passe oublié » ne mène nulle part

Le déclaré n'est jamais recopié ici : le playbook charge les défauts du rôle et appelle les résolveurs. Un devis qui redéclare ce qu'il vérifie ne vérifie rien.

Le devis des certificats

Il traque un défaut connu et récurrent : un certificat renouvelé sur disque mais toujours servi périmé depuis la mémoire du service, tant que nginx / postfix / dovecot / slapd / step-ca n'ont pas été rechargés.

Ce qu'il a fallu désapprendre pour l'écrire. Les certificats step-ca vivent 24 h et le minuteur les renouvelle toutes les ~14 minutes. Une empreinte servie différente de celle sur disque est donc l'état normal : comparer les empreintes aurait produit un vérificateur qui crie en permanence, et qu'on aurait appris à ignorer. Le signal utile est l'échéance de ce qui est réellement servi, plus l'absence de client_pki_reload_services — car alors rien ne rafraîchira jamais la copie en mémoire.

Il a trouvé quelque chose à sa première exécution : sur infra-pki-01, l'autorité elle-même, le certificat était expiré depuis plus de huit heures et le renouvellement échouait toutes les quatorze minutes sur 'step ca renew' requires the '--ca-url' flag. Rien ne le signalait.

Le devis des versions

Il répond à une question posée le 2026-08-10 : « ne devrait-on pas prendre les versions les plus récentes ? » Non — résoudre « la dernière » au moment du déploiement détruirait la reproductibilité et ferait de chaque reconstruction une loterie. Mais l'écart, lui, était invisible : il a fallu quatre requêtes à la main pour découvrir que Forgejo avait six versions majeures de retard.

Ce devis ne juge pas, il renseigne. Un retard n'est pas une faute ; monter de version reste un acte explicite — on édite, on relit, on reconstruit, on repasse les devis.

La liste des versions épinglées est dérivée du dépôt (roles/*/defaults/*_version). La source amont de chacune, elle, ne peut pas se dériver — elle dépend de l'éditeur — et vit donc dans une table. Toute version épinglée sans entrée dans cette table fait sortir le devis en erreur : sans cette garde, un épinglage ajouté demain vieillirait sans que personne ne le voie, et on croirait tout surveillé. Une exemption reste possible, mais écrite et motivée.

Il rappelle enfin ce que l'on n'épingle pas : les paquets Debian, Grafana, smallstep et Icinga prennent ce que leur dépôt sert au moment du déploiement. Deux régimes coexistent, et les taire donnerait l'illusion que tout est maîtrisé.

Le devis d'étanchéité de la frontière

Le devis des expositions pose la question positive — chaque exposition déclarée répond-elle. Celui-ci pose la négative : la frontière laisse-t-elle passer ce que la politique n'autorise pas ? Les deux sont nécessaires. Un pare-feu peut très bien servir tout ce qu'on lui demande et laisser passer tout le reste.

Rien n'y est saisi. Les cibles sont les ports réellement en écoute dans la flotte — sonder un port fermé ne prouverait rien du pare-feu, le refus viendrait de la machine. La politique attendue est lue dans devis_opnsense.py, la source même qui configure la frontière.

scripts/sonde_tcp.py porte deux principes, tirés de trois faux diagnostics :

• Un contrôle avant tout verdict — une adresse où personne n'écoute. S'il livre des données, le relevé est déclaré NUL. Mieux vaut pas de mesure qu'une mesure fausse.
• Établir n'est pas livrer. La sonde fait parler le service : bannière, sinon requête HTTP minimale, sinon poignée TLS. Sans réponse, le verdict est AMBIGU, jamais « ouvert » — LDAP et PostgreSQL attendent un message qu'on ne fabrique pas ici, et un synproxy se comporte exactement pareil.

Seule la livraison compte, et c'est l'enseignement de la semaine. Sur ce réseau, la frontière répond elle-même à la poignée TCP pour toute destination qu'elle route, sans jamais relayer : le contrôle ressort AMBIGU à chaque exécution, et le rapport le dit. Vérifié à la destination le 2026-08-09 — pendant que le poste tenait une connexion « établie » vers idm-01:389, idm-01 n'en voyait aucune. Un port est donc conforme s'il livre quand il doit livrer et ne livre rien quand il ne doit pas ; ce que fait la poignée ne regarde personne.

Reste un écart de nature différente, et le devis le nomme comme tel : livré attendu, rien livré = la bordure autorise et l'hôte refuse. Rien ne fuit, mais les deux couches ne déclarent pas la même politique — et une politique qu'on ne peut plus lire est une politique qu'on ne tient plus. C'est ce qui a fait naître le mot-clé poste: false dans meta/flux.yml (voir frontiere-opnsense.md).

Le devis des expositions

Il pose la question que se pose vraiment un utilisateur : est-ce que mes services répondent ? Et quand la réponse est non, il dit où ça casse.

Une vraie requête, jamais un connect(). À travers l'OPNsense (anti-spoofing), toute connexion TCP réussit — y compris vers une adresse où aucune machine n'existe. Et « lire des données après connexion » ne vaut rien en TLS, où c'est le client qui parle en premier : le port 443 d'un edge sain se comporte exactement comme un port mort. Seul le code de retour d'une requête HTTPS complète tranche.

Deux points de vue, et c'est leur différence qui diagnostique :

Point de vue	Ce qu'il traverse
depuis l'edge	edge + dorsal
depuis le poste	DNS + frontière + edge + dorsal — le chemin d'un vrai utilisateur

L'un répond et pas l'autre : ce n'est pas le service, c'est le chemin.

Un code n'est pas un verdict. Un 502 ou un 504 est une réponse, et pourtant le dorsal est mort derrière. Le premier jet ne testait que la présence d'un code et laissait donc passer un dorsal tombé — trouvé par le test négatif, pas par la relecture. Un 302 ou un 401, en revanche, est un service parfaitement vivant qui redirige vers l'IdP ou exige une authentification.

Le devis PostgreSQL

Deux défauts déjà vécus dans ce dépôt, et qu'il rend visibles : un réseau écrit dans pg_hba.conf au lieu d'être dérivé (10.11.0.0/16 sous un commentaire « AJUSTER » que personne n'a suivi), et une ligne host en clair là où il faut hostssl — le verrou saute sans bruit, puisque les clients en verify-full continuent de fonctionner.

Interroger l'état effectif, jamais le fichier. Un grep de postgresql.conf annonce ssl_cert_file = snakeoil sur data-sql-01, alors que le serveur sert bien le certificat de l'AC : la valeur vient d'un conf.d/99-setops.conf que le grep ne voyait pas. C'était l'instrument qui était incomplet, pas la configuration. Le devis lit pg_settings.

Le devis du courriel

La chaîne est longue — Postfix → LDAP → LMTP → Dovecot → IMAP — et chaque maillon peut casser sans que le suivant s'en aperçoive. Chacun est donc interrogé là où il dit la vérité : postmap -q pour la résolution LDAP de Postfix, doveadm user pour celle de Dovecot — précisément le maillon où la livraison avait bloqué — et une vraie conversation SMTP/IMAP pour ce que les serveurs annoncent.

Il vérifie aussi qu'une adresse inexistante ne résout pas. Ce n'est pas un luxe : Dovecot a allow_all_users = yes et accepte donc n'importe quelle partie locale — le garde-fou est entièrement chez Postfix.

Et il regarde la file d'attente. C'est la leçon la plus chère de la série : sa première version disait CONFORME pendant que toute livraison interne était différée. Résolution correcte, dialectes corrects, et rien qui arrive — Postfix exigeait TLS (lmtp_tls_security_level = verify) vers un port Dovecot qui écoutait en clair. Les deux côtés d'un même flux avaient été durcis séparément. Un devis qui ne regarde que les réglages ne dit pas si le service rend son service ; la file est le seul endroit qui révèle que le courrier ne bouge pas.

Le routage local se fait par identifiant (uid), pas par l'attribut mail — voir le gabarit ldap-mailboxes.cf.j2 pour la raison et le coût assumé.

La règle dont ces devis découlent (D-68)

Écrire, puis relire et comparer — quelle que soit l'interface. Choisir celle dont le chemin de lecture parle le même langage que le chemin d'écriture.

Ce n'est pas « toujours préférer l'API ». Cette règle-là n'aurait prédit aucune des pannes du 2026-08-08. Sur six familles de défauts ce jour-là, deux venaient d'un CLI :

Ce qui a menti	Interface
kcadm -s sur une map : succès, rien d'écrit	CLI
grafana-cli : « password changed ✔ » dans une base fantôme	CLI
ldap_entry : crée, ne modifie jamais	module Ansible
grep postgresql.conf : valeur fausse (surcharge conf.d)	lecture de fichier
include_vars : le devis rapportait le défaut, pas le réel	précédence Ansible
le comparateur d'expositions : un 502 compté comme vivant	mon propre code

Le facteur commun n'est pas l'interface, c'est d'avoir écrit sans relire. Et la plupart de la flotte n'a pas d'API du tout — Postfix, Dovecot, nginx, slapd, nftables. postconf -h et postconf -e sont parfaitement symétriques : lecture et écriture dans le même vocabulaire, c'est tout ce qu'on demande.

Une API est souvent préférable, mais pour une raison précise : elle rend la ressource entière, ce qui permet le patron qu'on retrouve dans chaque devis — fusionner l'attendu dans le réel ; si rien ne change, c'est conforme. Une interface qui n'accepte que des écritures ne peut pas le soutenir.

Les cinq devis sont cette relecture, faite après coup et par une autre main que celle qui a écrit. C'est ce qui les distingue d'un déploiement : make deployer réconcilie, les devis constatent.

Un piège de construction, à connaître avant d'écrire le prochain

include_vars au niveau du play prime sur les group_vars. Charger les défauts d'un rôle tels quels fait donc mentir le devis : il compare au défaut du dépôt au lieu de la valeur réellement déclarée par l'inventaire. Le premier jet rapportait client_pki_reload_services: [] sur les quatorze hôtes alors que quatre groupes le déclarent — le devis portait exactement le défaut qu'il est censé traquer.

La forme correcte, reprise dans les deux devis :

1. retenir ce que l'inventaire déclare, avant tout chargement de défauts ;
2. charger les défauts du rôle (include_vars, sans name: — les défauts se citent entre eux, et ces références ne se résolvent plus une fois enfermées dans un dictionnaire) ;
3. réimposer les valeurs de l'inventaire clé par clé, en boucle. set_fact n'accepte pas un dictionnaire entier passé en argument libre : il le prend sans erreur et n'en fait rien — c'est ainsi que le premier correctif a paru fonctionner tout en laissant le devis mentir.

Ce qu'ils ne font pas

Ils ne corrigent pas — c'est make deployer qui réconcilie. Ils répondent à l'autre question, et sortent en code 1 s'il y a un écart.

Ils couvrent l'identité et les certificats. Le courriel, la base de données et les expositions web attendent le même traitement ; le patron est là pour être repris.