History

Daniel Allaire a68b9cd10e Some checks are pending verifier / verifier (push) Waiting to run Details CI : le harnais ne se declenchait que par memoire Trente-huit preuves, des tests, un lint — et RIEN ne les executait sans qu'un humain tape `make`. Le meilleur atout du depot dependait de ne pas oublier. Il a desormais une CI (.forgejo/workflows/verifier.yml) et une cible qui la rejoue a l'identique : `make ci`. CE QUE LA CI A TROUVE AVANT D'EXISTER. Ecrire le workflow supposait de repondre a une question jamais posee : est-ce qu'un depot PUBLIC, seul, se tient ? Mesure sur un clone nu : non, a cinq endroits. - `make instancier` echouait sur le modele public — le tout premier geste du QUICKSTART. Le Makefile forcait `principal/hosts.yml` alors que le modele vit en `production/` ; sa precedence suit desormais celle du code (fichier, puis REPERTOIRE existant, puis defaut). - P32 parcourait les 54 roles sans regarder ce que l'instance deploie. Elle passait sur l'ecosysteme de reference PARCE QU'IL PORTE TOUT. Or les modeles sont des OFFRES : toute offre plus petite que l'ecosysteme complet echouait son propre harnais, pour des services qu'elle ne vend pas. Le perimetre se lit maintenant du plan (groupes de l'inventaire, puis roles composes par leur playbook). - P24 : le modele public ne declarait aucun reseau d'administration — une flotte qu'on construit et ou l'on n'entre plus. `nftables_admin_ssh` est pose, avec le pourquoi. - P33 : verifier_ports.py codait `instance/inventories/principal/hosts.yml` en dur. - P32 et P24 lisaient le symlink `instance/` au lieu de SETOPS_INSTANCE. Toutes de la MEME FAMILLE que P03 avant-hier : une resolution d'inventaire recopiee, une variable d'environnement qui deborde de sa portee. Le depot en compte SEPT ; deux de plus sont corrigees ici, et la septieme le dit en commentaire plutot que de le taire. `make ci` NE TOUCHE AUCUN SYMLINK : le modele public est monte comme instance jetable, vise par SETOPS_INSTANCE/SETOPS_UNDERLAY, detruit en sortant. Deux details mesures parce que devines faux d'abord : l'instance jetable est un DOSSIER FRERE (la federation se decouvre ainsi ; ailleurs, quatre preuves tombent) ; et SETOPS_UNDERLAY n'est pose QUE pour la verification, sinon l'inventaire est ecrit avec une fabric et regenere avec une autre — la commande fabriquait l'ecart qu'elle denonce. RESULTAT : clone nu sans instance ni frere -> 38 OK, 0 echec, 0 saute. Depot de l'exploitant avec ses 3 instances -> 38 OK, 0 echec, 0 saute. Aucun residu. Et le lint du depot a refuse mon propre fichier de CI avant qu'il ne tourne une seule fois (`on:` lu par YAML comme le booleen vrai). Le harnais mordait deja. A AJUSTER AU PREMIER PASSAGE, ecrit en tete du workflow : l'etiquette `runs-on` doit correspondre a un runner Forgejo enregistre, et le runner a besoin du reseau pour pip et ansible-galaxy. Le vert de cette CI dira que le moteur et son modele public se tiennent — pas que la flotte va bien : aucune VM jointe, aucune voute. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>		2026-08-20 19:29:46 -04:00
..
affirmations.md	preuve : P34 — chaque document declare son lecteur (D-74)	2026-08-10 07:53:04 -04:00
plan-de-recette.md	recette : regenerer le plan apres l'ajout de l'unite de wiki (P22)	2026-08-09 15:22:02 -04:00
preuve-2026-07-20.md	Preuve complète (16/16) + détail P16 lisible	2026-07-20 20:47:36 -04:00
preuve-2026-07-22.md	Trois preuves qui regardent au-dela d'une seule instance + champ liens/websocket au GUI	2026-07-22 21:32:42 -04:00
preuve-2026-07-23.md	Créer une instance depuis un modèle (CLI + GUI)	2026-07-23 14:13:36 -04:00
preuve-2026-08-01.md	client_pki : l'empreinte du root CA n'est pas un secret de voûte	2026-08-01 22:37:27 -04:00
preuve-2026-08-02.md	modèles : l'underlay devient modélisable, et P17 le valide	2026-08-02 17:11:18 -04:00
preuve-2026-08-03.md	SDN : make devis-sdn — zone, VNets et sous-réseaux dérivés du seed (D-43/44, P30)	2026-08-04 11:06:42 -04:00
preuve-2026-08-04.md	réseau : le VNet d'une VM se dérive, un hyperviseur a plusieurs pattes (D-55 à D-59)	2026-08-04 16:20:56 -04:00
preuve-2026-08-06.md	dns : client_unbound universel, et un resolveur d'amorcage	2026-08-06 21:41:58 -04:00
preuve-2026-08-08.md	D-71 : PKI et DNS debout avant tout, et la zone inverse manquait	2026-08-08 15:29:57 -04:00
preuve-2026-08-09.md	frontiere : etanche — CONFORME sur 56 lignes, dans les deux sens	2026-08-09 21:33:04 -04:00
preuve-2026-08-10.md	preuve : P34 — chaque document declare son lecteur (D-74)	2026-08-10 07:53:04 -04:00
preuve-2026-08-11.md	supervision : c'est le DEPOT qui dit ou en sont les sauvegardes	2026-08-11 21:39:05 -04:00
preuve-2026-08-12.md	index : Technolibre 11->23, lab 1->13 — sortir des plages occupees par le materiel	2026-08-12 18:13:23 -04:00
preuve-2026-08-13.md	frontiere : poster en formulaire encode — independant de la version du boitier	2026-08-13 23:57:10 -04:00
preuve-2026-08-14.md	frontiere : une frontiere ne police que les tenants de SON site	2026-08-14 00:55:39 -04:00
preuve-2026-08-18.md	P03 : la preuve comparait chaque instance a l'inventaire d'UNE SEULE	2026-08-18 14:35:01 -04:00
preuve-2026-08-19.md	catalogue : la carte des services avait quatre mois de retard sur le moteur	2026-08-19 11:07:59 -04:00
preuve-2026-08-20.md	CI : le harnais ne se declenchait que par memoire	2026-08-20 19:29:46 -04:00
protocole-operateur-independant.md	preuve : P34 — chaque document declare son lecteur (D-74)	2026-08-10 07:53:04 -04:00
README.md	preuve : P34 — chaque document declare son lecteur (D-74)	2026-08-10 07:53:04 -04:00
reference-avant-reconstruction-2026-08-08.md	preuve : P34 — chaque document declare son lecteur (D-74)	2026-08-10 07:53:04 -04:00

README.md

Audit de conformité — mode d'emploi

Pour qui : le mainteneur — comment le dispositif de preuve fonctionne, et comment l'étendre.

Ce dossier contient le dispositif qui garde Set-OPS honnête : il ne doit jamais affirmer plus que ce qu'il prouve.

Les pièces

Fichier	Rôle
`affirmations.md`	Le registre : chaque affirmation publique du dépôt (README, AGENTS, QUICKSTART, docs, wiki, aide `make`, GUI) tracée vers une commande de preuve et un statut (✅/🟡/❌/⚪), plus le journal des traitements (ce qui a été corrigé, quand, comment).
`scripts/prouver.py`	Le harnais : un orchestrateur mince qui rejoue les preuves automatisables du registre en appelant l'outillage existant (les mêmes scripts que `make verifier`). Il ne réimplémente aucune validation.
`preuve-AAAA-MM-JJ.md`	La pièce justificative : le rapport horodaté produit par `make prouver`. Rejouable et présentable (audit, certification, revue).
`protocole-operateur-independant.md`	L'épreuve humaine : le protocole qui met AFF-002 (« exploitable sans IA ») à l'épreuve d'un sysadmin qui n'est pas l'auteur. Aucune commande locale ne peut prouver cette affirmation ; produit un rapport `operateur-independant-AAAA-MM-JJ.md`.

Produire une preuve

make prouver

Cela exécute chaque preuve et écrit docs/audit/preuve-<date>.md. La commande sort en erreur (rc≠0) si une preuve automatisable échoue — utilisable en garde-fou (CI locale, pré-commit). Une preuve SAUTÉE (⚪) n'est pas un échec.

Prérequis Vault

La preuve P15 (inventaire Ansible complet, ansible-inventory --list) déchiffre le group_vars de l'instance. Sans ANSIBLE_VAULT_PASSWORD_FILE, elle est automatiquement sautée (⚪) avec la mention du prérequis — le reste du harnais reste vert, car les validateurs Python lisent le plan et l'inventaire directement, sans secret. Pour l'inclure :

export ANSIBLE_VAULT_PASSWORD_FILE=~/.config/setops-vault-pass
make prouver

Ce que couvre `make prouver`

#	Preuve	Ce qu'elle établit
P01	Lint (`ansible-lint`)	0 violation, profil `production`.
P02	Tests unitaires	`inventory_host` — cas nominal + refus.
P03	Diff-vide du plan	l'inventaire est généré depuis le plan (diff vide).
P04	Groupes ↔ playbooks	chaque groupe opérationnel a son playbook homonyme.
P05	Dépendances de groupes	graphe cohérent, aucune entrée orpheline.
P06	Validateurs de registres	serveurs / applications / bases / domaines valides.
P07	GUI	`node --check` du JS du GUI.
P08	Orchestration	couches + graphe : aucun cycle, aucune arête en arrière.
P09	Flux réseau	schéma + matrice d'audit cohérents.
P10	Handlers ↔ notify	tout `notify` pointe vers un handler du même rôle.
P11	Syntaxe	`--syntax-check` de tous les playbooks (via `make syntaxe`).
P12	Runbooks cités	les fichiers `docs/` référencés existent.
P13	Invariants structurels	LICENSE, socle en forme dossier, pas de couches parallèles, SSH clé-only, nftables désactivé par défaut.
P14	Chemins d'inventaire	aucun `instance/inventories/lab/group_vars` codé en dur.
P15	Modèle public `socle`	ses registres (domaines/serveurs/applications/bases) valident.
P16	Inventaire Ansible (voûte)	`ansible-inventory --list` — sauté sans mot de passe Vault.
P17	Tous les modèles d'instance	chaque modèle découvert valide (pas seulement `socle`). `SETOPS_MODELES=../Set-OPS-Modeles` inclut les modèles assemblés privés.
P18	Gabarit de voûte complet	`vault.yml.example` couvre exactement les secrets que le plan exige (rôles actifs + bases + group_vars).
P19	GUI couvre le plan	tout champ présent dans un plan réel est éditable par le GUI (nomenclature tolérée : le seed `index` est désormais un intrant ; l'adressage est dérivé, donc rien à éditer).
P20	Adressage dérivé du seed	aucune nomenclature ne stocke d'adressage (supernet, sous-réseau, passerelle, VLAN) : tout se dérive du seul `index`. Attrape toute rechute vers l'écriture manuelle.
P21	Fédération sans collision	aucune paire d'instances fédérées ne partage un `index` (mêmes VLAN/VMID sur le trunk). Le garde-fou du multi-instances ; vue avec `make instances`.
P22	Plan de recette à jour	`docs/audit/plan-de-recette.md` (les 78 gestes manuels, générés des exercices du wiki) est à jour — il ne peut pas dériver du wiki. Régénérer : `make plan-recette`.
P23	Underlay sans collision	la fabric physique (`underlay.yml` : mgmt/iSCSI/Ceph, cluster-global) n'empiète pas sur la plage tenant — VLAN < 1000 et sous-réseaux hors des supernets `10.(10+index).0.0/16`. Sautée si `underlay.yml` absent. Vue : `make underlay`.

P17, P18, P19 ferment les angles morts du harnais : il ne vérifiait qu'une instance et le seul modèle socle. P17 aurait attrapé l'hôte fantôme d'integral ; P18, les neuf secrets absents du gabarit Chezlepro ; P19, les champs liens / websocket que le GUI ne savait pas écrire. Chacune a une CLI dédiée (scripts/modeles.py, voute.py, couverture_gui.py) utilisable seule.

Le rapport relie chaque preuve aux affirmations qu'elle couvre (colonne « Affirmations »), et liste à part les déclarations d'intention (⚪ invérifiables localement : AFF-036, 091, 096, 007) — assumées comme intentions, jamais présentées comme prouvées.

Ajouter une preuve

Ajouter (ou corriger) l'affirmation dans affirmations.md avec sa commande de preuve.
Ajouter une entrée à la liste PREUVES de scripts/prouver.py : soit une ou plusieurs commandes (cmds, toutes doivent renvoyer 0), soit une fonction native func renvoyant (ok, détail) pour un invariant simple. Renseigner refs avec les ID d'affirmations.
Ne pas réimplémenter de logique de validation : appeler l'outillage existant (scripts/*.py, ansible-lint, cibles make). Le harnais orchestre, il ne valide pas.

Rapport avec `make verifier`

make verifier inclut désormais les preuves : il enchaîne ses vérifications au fil de l'eau (lint, tests, cohérence, syntaxe — arrêt au premier échec) puis termine par python3 scripts/prouver.py --verifier — les preuves du registre sans écrire de rapport (pour ne pas écraser la pièce justificative committée). Ainsi, make verifier échoue si une preuve échoue.

make prouver (sans --verifier) reste le mode pièce justificative : il exécute tout, horodate et écrit docs/audit/preuve-<date>.md. Les deux réutilisent le même outillage. (Quelques vérifications se recouvrent entre les deux étapes — coût assumé : la sortie détaillée de verifier est conservée, et prouver ajoute les preuves manquantes.)