Daniel Allaire
aab1bcc83a
README reduit au role du projet et au demarrage rapide. docs/architecture.md (schemas Mermaid), docs/setup.md, docs/usage.md (154 cibles en 13 familles), docs/README.md (index). Documents ranges en conception/, exploitation/, hebergement/, projet/ ; 598 chemins suivis. QUICKSTART.md, SOLUTION.md, architecture-set-ops.md et la carte fondus puis retires. Preuves : P48 lit l'index et conception/mecanismes.md ; les gardes parcourent docs/ sous- dossiers compris (_documents) ; usage.md suit le Makefile dans les deux sens. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com> |
||
|---|---|---|
| .. | ||
| defaults | ||
| handlers | ||
| meta | ||
| tasks | ||
| templates | ||
| README.md | ||
serveur_artefacts
La source d'artefacts de l'écosystème : un cache apt (apt-cacher-ng) qui sert à toute la flotte les paquets qu'elle installe, au lieu de les faire chercher chez Debian.
Principe
La forge héberge le code. Il manquait qui héberge les binaires. Pour poser une
seule machine, un écosystème allait chercher chez six serveurs étrangers :
deb.debian.org, security.debian.org, packages.smallstep.com, apt.grafana.com,
packages.icinga.com, codeberg.org.
Ce n'est pas théorique. packages.smallstep.com est intermittent — la même URL pend au
premier essai et répond en 0,48 s au second — et a fait échouer un déploiement de
quarante minutes sur la première machine.
Ce que ce rôle couvre, et ce qui est couvert ailleurs
| dépôts apt | ce rôle — un cache, servi à la flotte |
| téléchargements directs (Forgejo, Keycloak, Nextcloud et ses applications, oauth2-proxy) | ce rôle — le dépôt de binaires (/var/lib/setops/artefacts-directs, servi sous /setops-binaires sur le même port) |
ce que le runner installe (roues Python, collections Ansible, verrou-runner.yml) |
ce rôle — le même dépôt de binaires |
Les rôles consommateurs prennent ces fichiers au dépôt du site d'abord, vérifient leur somme (ou leur signature), et ne sortent sur Internet qu'en repli, en le disant. Depuis le 2026-10-09, une reconstruction ne demande plus rien à PyPI, Galaxy ni à l'app store de Nextcloud quand le dépôt est rempli.
Ce qu'il ne couvre pas encore
Les dépôts tiers en HTTPS (Smallstep, Grafana, Icinga) continuent d'aller en direct.
Les faire passer par le cache exigerait soit de casser le TLS de bout en bout, soit de
réécrire leurs sources en http://cache/<remap>/…. La seconde voie est propre et reste à
faire. Le dire vaut mieux que le laisser croire.
Le mode hors ligne, qui est aussi l'épreuve
serveur_artefacts_hors_ligne: true
Le cache cesse d'aller en amont : il sert ce qu'il détient et refuse le reste. C'est
l'état d'un écosystème coupé du monde — et le seul moyen de prouver que le cache sert
vraiment. Tant qu'internet répond, un apt update qui réussit ne dit pas d'où vient
l'octet.
Pourquoi le trafic est en clair, et pourquoi c'est correct
L'intégrité d'un dépôt apt ne vient pas du transport mais des signatures, qu'apt
vérifie de toute façon. Un intermédiaire ne peut pas altérer un paquet sans se faire
prendre. Restreindre qui interroge le cache est le travail du pare-feu est-ouest,
dérivé de meta/flux.yml — pas d'une authentification.
Variables principales
| Variable | Défaut | Rôle |
|---|---|---|
serveur_artefacts_port |
3142 |
port d'écoute |
serveur_artefacts_cache |
/var/cache/apt-cacher-ng |
où les paquets sont retenus |
serveur_artefacts_expiration_jours |
30 |
rétention sans redemande |
serveur_artefacts_hors_ligne |
false |
couper l'amont (et éprouver) |
Ce que ce rôle ne fait pas
Il ne sauvegarde rien : un cache se reconstitue en le re-remplissant. Le sauvegarder reviendrait à sauvegarder les binaires de Debian.