Daniel Allaire
c7378ed7f7
user_oidc et richdocuments epinglees (version, sha256), tenues par site-cache-01 dans le depot de binaires, installees par app_tierce.yml : site d'abord, amont en repli dit, somme puis signature (occ integrity:check-app), activation. P70 comprend les listes d'artefacts. L'app store a 77 ko/s avait arrete la reconstruction de Technolibre. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com> |
||
|---|---|---|
| .. | ||
| defaults | ||
| handlers | ||
| meta | ||
| tasks | ||
| templates | ||
| README.md | ||
serveur_artefacts
La source d'artefacts de l'écosystème : un cache apt (apt-cacher-ng) qui sert à toute la flotte les paquets qu'elle installe, au lieu de les faire chercher chez Debian.
Principe
La forge héberge le code. Il manquait qui héberge les binaires. Pour poser une
seule machine, un écosystème allait chercher chez six serveurs étrangers :
deb.debian.org, security.debian.org, packages.smallstep.com, apt.grafana.com,
packages.icinga.com, codeberg.org.
Ce n'est pas théorique. packages.smallstep.com est intermittent — la même URL pend au
premier essai et répond en 0,48 s au second — et a fait échouer un déploiement de
quarante minutes sur la première machine.
Ce que ce rôle couvre, et ce qui est couvert ailleurs
| dépôts apt | ce rôle — un cache, servi à la flotte |
| téléchargements directs (Forgejo, Keycloak, Nextcloud, oauth2-proxy, collections) | le cache du contrôleur : il télécharge une fois et pousse par SSH |
Deux mécanismes parce que ce sont deux problèmes : on ne sert pas un dépôt apt par scp.
Ce qu'il ne couvre pas encore
Les dépôts tiers en HTTPS (Smallstep, Grafana, Icinga) continuent d'aller en direct.
Les faire passer par le cache exigerait soit de casser le TLS de bout en bout, soit de
réécrire leurs sources en http://cache/<remap>/…. La seconde voie est propre et reste à
faire. Le dire vaut mieux que le laisser croire.
Le mode hors ligne, qui est aussi l'épreuve
serveur_artefacts_hors_ligne: true
Le cache cesse d'aller en amont : il sert ce qu'il détient et refuse le reste. C'est
l'état d'un écosystème coupé du monde — et le seul moyen de prouver que le cache sert
vraiment. Tant qu'internet répond, un apt update qui réussit ne dit pas d'où vient
l'octet.
Pourquoi le trafic est en clair, et pourquoi c'est correct
L'intégrité d'un dépôt apt ne vient pas du transport mais des signatures, qu'apt
vérifie de toute façon. Un intermédiaire ne peut pas altérer un paquet sans se faire
prendre. Restreindre qui interroge le cache est le travail du pare-feu est-ouest,
dérivé de meta/flux.yml — pas d'une authentification.
Variables principales
| Variable | Défaut | Rôle |
|---|---|---|
serveur_artefacts_port |
3142 |
port d'écoute |
serveur_artefacts_cache |
/var/cache/apt-cacher-ng |
où les paquets sont retenus |
serveur_artefacts_expiration_jours |
30 |
rétention sans redemande |
serveur_artefacts_hors_ligne |
false |
couper l'amont (et éprouver) |
Ce que ce rôle ne fait pas
Il ne sauvegarde rien : un cache se reconstitue en le re-remplissant. Le sauvegarder reviendrait à sauvegarder les binaires de Debian.