Daniel Allaire b9b0d87db2 trois reconstructions : trouver, verifier, prouver — 37 min 24 au tour 3 ... Tour 1 8 passages ~2 h 30 16 defauts Tour 2 3 passages 53 min 2 defauts Tour 3 2 passages 37 min 0 LE TOUR 2 EST CELUI QUI COMPTE LE PLUS. J avais annonce deux passages ; il en fallait trois, parce que les deux blocages connus sont EN SERIE : on ne peut pas amorcer une forge qui ne tourne pas, et elle ne tourne qu apres la convergence de la cle. Un runbook ecrit d apres un recit de depannage contenait une erreur qu aucune relecture n aurait montree — il fallait le SUIVRE pour la voir. DEUX MURS DE PLUS, invisibles au tour 1. site-creer rend la main avant que les machines repondent (3 min 20 mesurees). Et les cles d hote changent a chaque reconstruction : accept-new couvre la premiere rencontre, jamais un changement. LE CYCLE DE LA CLE EST DENOUE. Aucun ordre de couches n y pouvait rien — les certificats doivent venir tot. C est la propriete du geste qui a change de main : serveur_forgejo revendique la cle au moment ou il cree le groupe. client_pki garde la sienne et la repose a chaque passage, parce que step reecrit la cle a chaque renouvellement. Gain : un passage entier et 300 secondes d attente perdue. forge-amorcer purge desormais l entree perimee de l hote que GIT va contacter, lu dans git remote get-url — pas celle de l API, qui peut etre un tunnel. Et il rend les quatre premieres lignes de stderr : n afficher que la derniere m a coute un aller-retour, git terminant toujours par un message generique. Le runbook porte les six etapes du tour 3 avec leurs durees reelles et les dix-huit murs. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q		2026-09-12 20:55:59 -04:00
..
amorcage_acces	identite : une declaration de politique de mot de passe, deux executants	2026-08-08 06:28:10 -04:00
apparmor	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
auditd	audit : la piste sort de la machine auditee, et quelqu un regarde	2026-09-11 09:00:28 -04:00
chrony	l heure vient de la frontiere : la derniere dependance vivante tombe	2026-09-11 12:08:13 -04:00
client_artefacts	reconstruction : quatre defauts que seule une flotte rasee pouvait montrer	2026-09-02 09:59:15 -04:00
client_backup	sauvegarde : la verification suit la cle, pas le depot	2026-09-02 18:53:44 -04:00
client_journal	audit : la piste sort de la machine auditee, et quelqu un regarde	2026-09-11 09:00:28 -04:00
client_metrique	observabilite : le site cesse de ne rien voir de lui-meme	2026-09-10 04:43:01 -04:00
client_pki	le site reconstruit depuis zero : 7/7, 0 echec, et seize corrections	2026-09-12 19:08:31 -04:00
client_resolveur	site : quatre zones d'autorite, et l'ordre inscrit dans les integrations	2026-08-25 17:31:07 -04:00
client_sante	le site surveille enfin sa fabric	2026-09-10 18:50:43 -04:00
client_smtp	Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu	2026-07-07 03:08:09 -04:00
cloud_init	site : le plancher survit au redemarrage, et la zone dit les vraies adresses	2026-08-25 20:31:01 -04:00
cloud_init_retrait	D-85 : ce que le retrait de cloud-init NE ferme pas	2026-09-09 10:11:52 -04:00
common_packages	les correctifs de securite reviennent au quotidien, sans personne	2026-09-11 19:02:10 -04:00
core_dumps	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
fail2ban_ssh	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
hardening_packages	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
hosts_statiques	hosts_statiques : une garde qui survit a ce qu elle gardait	2026-09-10 13:29:25 -04:00
journald	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
motd	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
nftables_baseline	nftables : armer le pare-feu coupait la main qui l arme	2026-08-30 10:00:18 -04:00
paquets_tiers	paquets tiers : passer par le cache du controleur, plus par Internet	2026-09-05 08:22:14 -04:00
qemu_guest_agent	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
resoudre_annuaire	annuaire : l'hote se derive du plan, il ne s'ecrit plus	2026-08-07 12:46:48 -04:00
resoudre_base	deploiement : deux attentes de premier demarrage, et trois defauts leves	2026-08-07 09:30:48 -04:00
resoudre_idp	resoudre_idp : le nom invente etait dans QUATRE roles	2026-08-07 15:33:32 -04:00
resoudre_politique_mdp	identite : une declaration de politique de mot de passe, deux executants	2026-08-08 06:28:10 -04:00
serveur_artefacts	les depots tiers passent par le cache, et le tenant n a plus le sien	2026-09-10 14:53:48 -04:00
serveur_backup	sauvegarde : l etat d un locataire quitte enfin sa propre flotte	2026-09-01 22:16:20 -04:00
serveur_backup_site	supervision du site, et la panne qui dormait dans un mot	2026-09-02 17:34:01 -04:00
serveur_cache_site	site : un ecosysteme complet — PKI, DNS, forge, cache, runner	2026-08-25 12:00:17 -04:00
serveur_collabora	reconstruction a froid : les noms derives naissent justes, et une cle vide tombe	2026-09-11 07:57:24 -04:00
serveur_debian	le site reconstruit depuis zero : 7/7, 0 echec, et seize corrections	2026-09-12 19:08:31 -04:00
serveur_dovecot	sondes : quatorze, une par role, derivees en objets Icinga	2026-09-10 03:00:21 -04:00
serveur_durci	audit : la piste sort de la machine auditee, et quelqu un regarde	2026-09-11 09:00:28 -04:00
serveur_forge_site	forge du site : le marqueur manquant — le genome n etait ouvert a personne	2026-08-28 16:15:42 -04:00
serveur_forgejo	trois reconstructions : trouver, verifier, prouver — 37 min 24 au tour 3	2026-09-12 20:55:59 -04:00
serveur_grafana	reconstruction a froid : les noms derives naissent justes, et une cle vide tombe	2026-09-11 07:57:24 -04:00
serveur_icinga	le site reconstruit depuis zero : 7/7, 0 echec, et seize corrections	2026-09-12 19:08:31 -04:00
serveur_icingaweb2	paquets tiers : passer par le cache du controleur, plus par Internet	2026-09-05 08:22:14 -04:00
serveur_keycloak	sondes : quatorze, une par role, derivees en objets Icinga	2026-09-10 03:00:21 -04:00
serveur_loki	reconstruction a froid : les noms derives naissent justes, et une cle vide tombe	2026-09-11 07:57:24 -04:00
serveur_nextcloud	sondes : quatorze, une par role, derivees en objets Icinga	2026-09-10 03:00:21 -04:00
serveur_nginx	sondes : les cinq qui manquaient le plus (autorite, base, annuaire, zones, edge)	2026-09-10 03:47:03 -04:00
serveur_oauth2_proxy	vigie : la console de supervision porte enfin un nom de fonction	2026-09-10 21:05:47 -04:00
serveur_openldap	sondes : les cinq qui manquaient le plus (autorite, base, annuaire, zones, edge)	2026-09-10 03:47:03 -04:00
serveur_ops	frontiere posee, et cinq sondes qui disaient faux	2026-09-10 10:27:12 -04:00
serveur_ops_site	runner : armer un runner est un acte declare, jamais un defaut	2026-08-28 14:46:29 -04:00
serveur_ops_tenant	sondes : quatorze, une par role, derivees en objets Icinga	2026-09-10 03:00:21 -04:00
serveur_postfix	sondes : quatorze, une par role, derivees en objets Icinga	2026-09-10 03:00:21 -04:00
serveur_postgresql	sondes : les cinq qui manquaient le plus (autorite, base, annuaire, zones, edge)	2026-09-10 03:47:03 -04:00
serveur_powerdns	sondes : les cinq qui manquaient le plus (autorite, base, annuaire, zones, edge)	2026-09-10 03:47:03 -04:00
serveur_prometheus	le site surveille enfin sa fabric	2026-09-10 18:50:43 -04:00
serveur_redis	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_resolveur	sondes : les six premieres, et le patron qui les rend eprouvables	2026-09-10 02:48:55 -04:00
serveur_resolveur_site	resolveur du site : le troisieme service prete pendant la jeunesse d un tenant	2026-08-30 12:37:33 -04:00
serveur_rspamd	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_step_ca	les depots tiers passent par le cache, et le tenant n a plus le sien	2026-09-10 14:53:48 -04:00
serveur_web_dorsal	empreintes muettes, courses de premier demarrage, collision de noms	2026-08-07 16:22:38 -04:00
serveur_web_frontal	empreintes muettes, courses de premier demarrage, collision de noms	2026-08-07 16:22:38 -04:00
ssh_baseline	ssh : retirer les drop-ins d'une nomenclature abandonnee	2026-08-25 03:40:24 -04:00
ssh_hardening	ssh : retirer les drop-ins d'une nomenclature abandonnee	2026-08-25 03:40:24 -04:00
sudo_ansible	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
sysctl_hardening	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
systemd_ssh_auto	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
template_cleanup	gabarit recapture : copie de travail preparee, nettoyee, convertie	2026-08-09 11:29:51 -04:00
unattended_upgrades	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00