Daniel Allaire
f05f505b88
Rend l'écosystème reconstructible en une commande (create+deploy idempotent) et ajoute la couche « accès » (nftables least-privilege) au zéro-confiance. Orchestrateur (phase 2) : - docs/couches-deploiement.yml : registre des couches (socle → pki → services → apps → agents) - scripts/orchestrer.py : tri par couche + topo intra-couche (graphe) → playbooks/site.yml ordonné - Makefile : site / deployer-tout / flotte-creer / reconstruire / myDay (+ gardes CONFIRMER) - docs/dependances-groupes.yml : graphe complété (keycloak→openldap, dovecot, postfix, icingaweb2, nextcloud) Audit codé-en-dur (phase 1b) : labels/slug OIDC dérivés de l'intrant `organisation` (serveur_forgejo/grafana/nextcloud) — le moteur ne porte plus de nom de tenant. Registre des flux réseau (phase 0) : - meta/flux.yml pour tous les rôles (29 rôles, 63 flux ; schéma + matrice validés) - scripts/resoudre_flux.py : matrice d'audit (docs/registre-flux.md) + rulesets nftables résolus par hôte - roles/nftables_baseline : déploie le ruleset résolu (moindre-privilège) quand activé, sinon repli Correctifs : détection du coffre Vault (chemin production → inventaire réellement résolu). Outillage : make wiki-publier (publication du wiki pédagogique dans Forgejo). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
82 lines
3.2 KiB
YAML
82 lines
3.2 KiB
YAML
---
|
|
groupes:
|
|
client_pki:
|
|
requiert_groupes_actifs:
|
|
- serveur_step_ca
|
|
raison: "La confiance CA et ACME client dependent de l'autorite interne."
|
|
surveillance: "Verifier validite CA, emission ACME et expiration des certificats."
|
|
|
|
client_metrique:
|
|
requiert_groupes_actifs:
|
|
- serveur_prometheus
|
|
raison: "Les exporters clients doivent etre collectes par Prometheus."
|
|
surveillance: "Verifier targets Prometheus, scrape duration et erreurs de collecte."
|
|
|
|
client_journal:
|
|
requiert_groupes_actifs:
|
|
- serveur_loki
|
|
raison: "L'expedition des journaux depend du collecteur central Loki."
|
|
surveillance: "Verifier ingestion Loki, retard et volume de journaux."
|
|
|
|
client_smtp:
|
|
requiert_groupes_actifs:
|
|
- serveur_postfix
|
|
raison: "Les notifications locales doivent relayer vers un MTA actif (Postfix)."
|
|
surveillance: "Verifier file d'attente, relais SMTP et echecs de livraison."
|
|
|
|
serveur_postfix:
|
|
requiert_groupes_actifs:
|
|
- serveur_dovecot
|
|
raison: "Postfix remet le courrier local via LMTP a Dovecot (mailstore) ; la remise exige Dovecot actif."
|
|
surveillance: "Verifier file d'attente, remise LMTP (status=sent) et rejets."
|
|
|
|
serveur_keycloak:
|
|
requiert_groupes_actifs:
|
|
- serveur_postgresql
|
|
- serveur_openldap
|
|
raison: "Keycloak persiste dans PostgreSQL et federe l'annuaire OpenLDAP (resoudre_annuaire_uri)."
|
|
surveillance: "Verifier connexion base, federation LDAP, etat realm et disponibilite OIDC."
|
|
|
|
serveur_dovecot:
|
|
requiert_groupes_actifs:
|
|
- serveur_openldap
|
|
raison: "Dovecot resout ses utilisateurs (userdb/passdb) sur l'annuaire OpenLDAP (resoudre_annuaire_*)."
|
|
surveillance: "Verifier bind LDAP, authentification IMAP et remise LMTP."
|
|
|
|
serveur_grafana:
|
|
requiert_groupes_actifs:
|
|
- serveur_prometheus
|
|
- serveur_loki
|
|
raison: "Grafana est utile comme interface aux metriques et journaux centraux."
|
|
surveillance: "Verifier datasources Prometheus/Loki et authentification."
|
|
|
|
serveur_icinga:
|
|
requiert_groupes_actifs:
|
|
- serveur_postgresql
|
|
raison: "La plateforme Icinga Web/BPM depend d'une base relationnelle."
|
|
surveillance: "Verifier moteur Icinga, base, interface web et notifications."
|
|
|
|
serveur_icingaweb2:
|
|
requiert_groupes_actifs:
|
|
- serveur_icinga
|
|
- serveur_postgresql
|
|
- serveur_openldap
|
|
raison: "Frontal web d'Icinga : lit IcingaDB (base), affiche le moteur Icinga et authentifie sur l'annuaire OpenLDAP (resoudre_annuaire)."
|
|
surveillance: "Verifier acces IcingaDB, connexion Icinga et authentification LDAP."
|
|
|
|
serveur_forgejo:
|
|
requiert_groupes_actifs:
|
|
- serveur_postgresql
|
|
- serveur_nginx
|
|
- serveur_postfix
|
|
raison: "Forgejo depend d'une base, d'une publication HTTP(S) et d'un relais courriel (MTA Postfix)."
|
|
surveillance: "Verifier HTTP(S), base, files Git et envoi courriel."
|
|
|
|
serveur_nextcloud:
|
|
requiert_groupes_actifs:
|
|
- serveur_postgresql
|
|
- serveur_keycloak
|
|
- serveur_collabora
|
|
raison: "Nextcloud persiste dans PostgreSQL (verify-full), federe l'identite par OIDC (Keycloak) et valide WOPI contre Collabora (edition en ligne)."
|
|
surveillance: "Verifier base, decouverte OIDC, autodetection WOPI et acces web."
|
|
|