Daniel Allaire
840b21bfb6
Inventaire mesure de ce qu'une reconstruction de tenant telecharge — ~1,5 Gio : Nextcloud 230 Mio, image collabora/code 471 Mio (Docker Hub), Keycloak 140, Forgejo 101, oauth2-proxy 18, plus les paquets apt (Debian + Grafana + smallstep + Icinga) sur 14 hotes. Les quatre archives sont EPINGLEES EN VERSION et vont chacune sur UN SEUL hote. Les retelecharger a chaque reconstruction est un gaspillage et une dependance de plus sur le chemin critique — un serveur tiers lent a deja fait tomber un deploiement le 2026-08-09, sur le binaire Forgejo precisement. POURQUOI POUSSER PLUTOT QUE SERVIR UN CACHE. L'exploitant proposait son poste comme cache HTTP ; l'intention est juste mais elle butait sur ce qu'on avait ferme le matin meme : les regles sortantes visent !SETOPS_INTERNES, donc une VM de tenant ne peut plus atteindre le poste. Servir un cache aurait exige de ROUVRIR un flux vers le plan d'administration. L'inversion evite le probleme entier : le controleur telecharge dans son cache (~/.cache/setops, garde par un stat), puis pousse par le canal SSH qui existe deja. Aucun port, aucun service, aucune regle, aucun couplage. Et ces artefacts deviennent deployables HORS LIGNE une fois le cache rempli. Ce que ca ne couvre pas, et qu'il faut nommer : l'image collabora/code, seule entorse a la doctrine « zero Docker » du depot — elle merite sa propre decision, pas un contournement discret ; et les paquets apt, dont le cache a sa place cote HEBERGEUR, partage entre tenants. Et une mesure qui a contredit mon hypothese : le .zip de Nextcloud pese 271 Mio contre 230 pour le .tar.bz2. Il telecharge PLUS pour decompresser moins lentement. Le changement de format attend une mesure, pas une intuition. Verifie : cache rempli (491 Mio, 4/4), ansible-lint production sur 79 fichiers, prouver.py 35 OK, plus aucun get_url n'ecrit sur la cible. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
90 lines
4.1 KiB
YAML
90 lines
4.1 KiB
YAML
---
|
|
# Le chemin de destination PORTE la version : cet artefact est immuable une fois pose.
|
|
# Sans garde, `get_url` recontacte le serveur distant a CHAQUE deploiement — et un
|
|
# serveur tiers lent suffit alors a faire tomber un deploiement de flotte. Constate le
|
|
# 2026-08-09 sur le binaire Forgejo, meme motif ici.
|
|
- name: L artefact de cette version est-il deja pose ?
|
|
ansible.builtin.stat:
|
|
path: "/tmp/nextcloud-{{ serveur_nextcloud_version }}.tar.bz2"
|
|
register: serveur_nextcloud_archive_present
|
|
|
|
# LE CONTROLEUR TELECHARGE, PUIS POUSSE — la cible ne tire jamais d'Internet.
|
|
#
|
|
# Inventaire du 2026-08-10 : une reconstruction de tenant telecharge ~1,5 Gio, dont
|
|
# 490 Mio pour quatre archives EPINGLEES EN VERSION (Nextcloud 230, Keycloak 140,
|
|
# Forgejo 101, oauth2-proxy 18) qui vont chacune sur UN SEUL hote. Les retelecharger a
|
|
# chaque reconstruction est un pur gaspillage, et une dependance de plus sur le chemin
|
|
# critique — un serveur tiers lent a deja fait tomber un deploiement de flotte le
|
|
# 2026-08-09.
|
|
#
|
|
# POURQUOI POUSSER PLUTOT QUE SERVIR UN CACHE. Un cache HTTP sur le poste exigerait que
|
|
# les VM du tenant l'atteignent — donc de ROUVRIR un flux vers le plan d'administration,
|
|
# que les regles sortantes `!SETOPS_INTERNES` ferment depuis ce matin. Ici, rien de tel :
|
|
# on emprunte le canal SSH qui existe deja, aucun port, aucun service, aucune regle.
|
|
#
|
|
# Effet de bord recherche : ces artefacts deviennent deployables HORS LIGNE une fois le
|
|
# cache rempli. Sur une plateforme qui se veut souveraine, ce n'est pas un detail.
|
|
- name: Cache d artefacts du contrôleur
|
|
ansible.builtin.file:
|
|
path: "{{ serveur_nextcloud_cache_local }}"
|
|
state: directory
|
|
mode: "0700"
|
|
delegate_to: localhost
|
|
become: false
|
|
when: not serveur_nextcloud_archive_present.stat.exists
|
|
|
|
- name: L artefact est-il déjà dans le cache du contrôleur ?
|
|
ansible.builtin.stat:
|
|
path: "{{ serveur_nextcloud_cache_local }}/nextcloud-{{ serveur_nextcloud_version }}.tar.bz2"
|
|
register: serveur_nextcloud_cache_present
|
|
delegate_to: localhost
|
|
become: false
|
|
when: not serveur_nextcloud_archive_present.stat.exists
|
|
|
|
- name: Télécharger le tarball Nextcloud dans le cache du contrôleur (une seule fois)
|
|
ansible.builtin.get_url:
|
|
url: "{{ serveur_nextcloud_url }}"
|
|
dest: "{{ serveur_nextcloud_cache_local }}/nextcloud-{{ serveur_nextcloud_version }}.tar.bz2"
|
|
mode: "0644"
|
|
delegate_to: localhost
|
|
become: false
|
|
when:
|
|
- not serveur_nextcloud_archive_present.stat.exists
|
|
- not (serveur_nextcloud_cache_present.stat.exists | default(false))
|
|
|
|
- name: Déposer le tarball Nextcloud sur l hôte depuis le cache
|
|
ansible.builtin.copy:
|
|
src: "{{ serveur_nextcloud_cache_local }}/nextcloud-{{ serveur_nextcloud_version }}.tar.bz2"
|
|
dest: "/tmp/nextcloud-{{ serveur_nextcloud_version }}.tar.bz2"
|
|
mode: "0644"
|
|
when: not serveur_nextcloud_archive_present.stat.exists
|
|
|
|
- name: Extraire Nextcloud dans /var/www (si absent)
|
|
ansible.builtin.unarchive:
|
|
src: "/tmp/nextcloud-{{ serveur_nextcloud_version }}.tar.bz2"
|
|
dest: "/var/www/"
|
|
remote_src: true
|
|
owner: "{{ serveur_nextcloud_utilisateur }}"
|
|
group: "{{ serveur_nextcloud_utilisateur }}"
|
|
creates: "{{ serveur_nextcloud_racine }}/occ"
|
|
|
|
- name: Installer Nextcloud (occ maintenance:install, PG en TLS ; une seule fois)
|
|
ansible.builtin.command:
|
|
cmd: >-
|
|
php {{ serveur_nextcloud_racine }}/occ maintenance:install
|
|
--database pgsql
|
|
--database-host {{ serveur_nextcloud_db_host }}
|
|
--database-name {{ serveur_nextcloud_db_name }}
|
|
--database-user {{ serveur_nextcloud_db_user }}
|
|
--database-pass {{ serveur_nextcloud_db_password }}
|
|
--admin-user {{ serveur_nextcloud_admin_user }}
|
|
--admin-pass {{ serveur_nextcloud_admin_password }}
|
|
--data-dir {{ serveur_nextcloud_data_dir }}
|
|
creates: "{{ serveur_nextcloud_racine }}/config/config.php"
|
|
become: true
|
|
become_user: "{{ serveur_nextcloud_utilisateur }}"
|
|
environment:
|
|
PGSSLMODE: "{{ serveur_nextcloud_pg_sslmode }}"
|
|
PGSSLROOTCERT: "{{ serveur_nextcloud_ca_racine }}"
|
|
no_log: true
|
|
when: not ansible_check_mode
|