Daniel Allaire
aab1bcc83a
README reduit au role du projet et au demarrage rapide. docs/architecture.md (schemas Mermaid), docs/setup.md, docs/usage.md (154 cibles en 13 familles), docs/README.md (index). Documents ranges en conception/, exploitation/, hebergement/, projet/ ; 598 chemins suivis. QUICKSTART.md, SOLUTION.md, architecture-set-ops.md et la carte fondus puis retires. Preuves : P48 lit l'index et conception/mecanismes.md ; les gardes parcourent docs/ sous- dossiers compris (_documents) ; usage.md suit le Makefile dans les deux sens. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
41 lines
1.9 KiB
YAML
41 lines
1.9 KiB
YAML
---
|
|
# Flux réseau d'Icinga Web 2 (frontal de supervision). Voir docs/conception/flux-conception.md.
|
|
# Icinga 2 (API 5665) et IcingaDB (Redis 6380) sont co-localisés : consommés en localhost.
|
|
flux:
|
|
# `admin` EN PLUS DE `edge` — le meme raisonnement que `serveur_grafana`, qui le portait
|
|
# deja et dont la phrase vaut mot pour mot ici : *joignable depuis le plan
|
|
# d'administration partout, sans quoi un deploiement sans edge n'a plus de console*.
|
|
#
|
|
# CE QUE SON ABSENCE COUTAIT (2026-09-14) : le SITE n'a pas d'`infra-edge`. La console
|
|
# de supervision y a ete deployee, nginx ecoutait, php-fpm repondait — et le pare-feu
|
|
# ne laissait entrer PERSONNE. 88 verdicts lisibles par aucune machine au monde.
|
|
#
|
|
# Les deux consoles de l'observabilite avaient la meme contrainte et une seule des deux
|
|
# l'avait ecrite. En mode `locale`, nginx authentifie lui-meme : ce qui entre par le
|
|
# plan d'administration frappe un vestibule, pas l'application.
|
|
#
|
|
# SEULEMENT SI NGINX ECOUTE SUR LE RESEAU (2026-09-30). En SSO, il est lie a 127.0.0.1
|
|
# derriere la passerelle (`serveur_icingaweb2_nginx_bind: "127.0.0.1:"`) : ouvrir ce port
|
|
# depuis l'edge ne menait a rien — la sonde `connectivite` le disait chaque minute.
|
|
- sens: ingress
|
|
port: 8080
|
|
protocole: tcp
|
|
pair: [edge, admin]
|
|
seulement_si: {variable: serveur_icingaweb2_nginx_bind, egal: ""}
|
|
chiffrement: clair
|
|
raison: >-
|
|
Interface web servie via l'edge (TLS terminé à l'edge ; SSO possible via
|
|
oauth2-proxy), et joignable depuis le plan d'administration là où il n'y a pas
|
|
d'edge.
|
|
- sens: egress
|
|
port: 5432
|
|
protocole: tcp
|
|
pair: serveur_postgresql
|
|
chiffrement: tls-requis
|
|
raison: "Lecture d'IcingaDB (base relationnelle, verify-full)."
|
|
- sens: egress
|
|
port: 636
|
|
protocole: tcp
|
|
pair: serveur_openldap
|
|
chiffrement: tls-requis
|
|
raison: "Authentification des utilisateurs sur l'annuaire (LDAPS)."
|