History

Daniel Allaire cc6026641f empreintes muettes, courses de premier demarrage, collision de noms Quatre meta/empreinte.yml declaraient leurs valeurs A LA RACINE, sans la cle `setops_empreinte:` : collabora, nextcloud, web_dorsal, web_frontal. Le lecteur les voyait vides et rendait {0,0,0} — en silence. collab-01 s'est retrouvee avec 1 coeur / 1 Go pour porter Nextcloud ET Collabora, et a cesse de repondre en SSH faute de memoire. Corrigee : 4c/5632Mo. Une garde refuse desormais cette forme. Un fichier qui existe mais ne dit rien est pire qu'un fichier absent : le repli aurait donne des valeurs sensees. Deux courses de premier demarrage : - le clone rend la main avant que son .conf existe -> attente active sur l'API ; - le verrou dpkg frappait hors de `common_packages` -> `lock_timeout` pose en module_defaults sur les 30 playbooks de groupe, une declaration au lieu de 30. Au passage, j'ai failli livrer pire que le defaut : une URL coupee avec `>-` inserait une ESPACE en son milieu. Le lint passait, la requete non. Enfin : `proxmox_kvm` identifie une VM par son NOM. Une VM heritee homonyme lui a fait rapporter `ok` sans rien cloner — un deploiement peut donc PARAITRE reussi alors qu'aucune VM n'existe. Touche D-37 directement. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>		2026-08-07 16:22:38 -04:00
..
defaults	resoudre_idp : le nom invente etait dans QUATRE roles	2026-08-07 15:33:32 -04:00
files	serveur_nextcloud : rôle codifié depuis le spike (13 gotchas encodés)	2026-07-05 15:00:39 -04:00
handlers	serveur_nextcloud : rôle codifié depuis le spike (13 gotchas encodés)	2026-07-05 15:00:39 -04:00
meta	empreintes muettes, courses de premier demarrage, collision de noms	2026-08-07 16:22:38 -04:00
tasks	resoudre_idp : le nom invente etait dans QUATRE roles	2026-08-07 15:33:32 -04:00
templates	serveur_nextcloud : rôle codifié depuis le spike (13 gotchas encodés)	2026-07-05 15:00:39 -04:00
README.md	serveur_nextcloud : rôle codifié depuis le spike (13 gotchas encodés)	2026-07-05 15:00:39 -04:00

README.md

serveur_nextcloud

Maison numérique souveraine : fichiers + collaboration (Nextcloud + Collabora), SSO Keycloak, base PostgreSQL chiffrée. Codifié depuis le spike empirique du 2026-07-05 (collab-01) — chaque réglage encode un gotcha prouvé sur du vrai. Cœur de l'offre maison-obnl (OBNL/coops) et cabinet (PME de professionnels).

Ce que le rôle fait

Paquets PHP-FPM 8.4 + extensions, nginx, redis (imagick tire ses deps — pas libmagickcore-6, absent de Debian 13) ;
tuning PHP 512M + opcache, et env[PGSSLMODE]/PGSSLROOTCERT dans le pool php-fpm (PDO pgsql lit libpq) ;
tarball épinglé → /var/www/nextcloud + occ maintenance:install sur PG en verify-full TLS ;
vhost nginx local avec MIME .mjs = text/javascript (sinon modules ES bloqués → pages blanches) ;
overwrite* + trusted_proxies (edge) + Redis + allow_local_remote_servers (anti-SSRF, IP privées) + import du root step-ca dans le bundle CA propre de Nextcloud ;
SSO user_oidc (Keycloak) ; richdocuments (WOPI : wopi_url local + public_wopi_url edge, posé après activate-config) ;
identité Alliance Boréale (theming + thème « ciel étoilé ») + whitelist anti-force-brute du sous-réseau d'admin.

Dépendances (à fournir avant déploiement)

Registre BD : une base nextcloud (consommateur serveur_nextcloud) dans bases-donnees.yml ;
Voûte : vault_nextcloud_admin, vault_nextcloud_oidc (secret du client Keycloak) ;
Keycloak : un client nextcloud (redirect …/apps/user_oidc/code) dans le realm de l'instance ;
serveur_collabora actif (le serveur WOPI) + son exposition bureau.<domaine> ;
Exposition edge : cloud.<domaine> → ce nœud:80, avec le FQDN dans les SAN du cert edge ;
Plancher : le nœud doit résoudre bureau.<domaine> (→ edge) ; client_pki pour le root_ca.

Robustesse (hygiène Nextcloud)

Version épinglée (serveur_nextcloud_version) — pas de mise à jour surprise ;
upgrades en escale (staging → prod), sauvegarde d'abord (restic), surveillance Icinga ;
l'app riche en config → traiter avec soin (le spike a documenté les pièges, on n'improvise pas).

Validation

ansible-lint : profil production (0 échec, 0 avertissement). --syntax-check : OK. Éprouvé bout-en-bout sur collab-01 (SSO, édition .odt, apps, identité visuelle).