Daniel Allaire
f3bb9caee3
Metriques et journaux (CHANGELOG 142). Le site pose les quatre interrupteurs TLS que chaque locataire pose dans ses group_vars : node_exporter et Loki servaient en HTTP sur les neuf VM, le certificat etait la, inutilise. test_parite_tls_site.py compare desormais le site aux locataires. Les hyperviseurs poussent leurs journaux en HTTPS verifie, avec la racine du site comme simple fichier. L'exportateur PostgreSQL sert en HTTPS partout, sur l'interrupteur de PostgreSQL lui-meme, que Prometheus lit pour choisir son schema. La frontiere (CHANGELOG 143). Une autorite subordonnee signee par la racine du site, bornee (pathlen 0, noms sous le domaine et adresses du site, contrainte critique), cle nee sur la boite (scripts/frontiere_pki.py). Syslog vers Loki en TLS mutuel (seule la frontiere peut ecrire), exportateur en HTTPS, interface web sur le certificat de services ; les clients d'API verifient la frontiere contre la racine du site. La lecture du magasin passe par config.xml : l'API de recherche renvoie les cles privees. Deploye et mesure au site, chez les deux locataires et sur la frontiere ; 95 preuves. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
47 lines
2 KiB
YAML
47 lines
2 KiB
YAML
---
|
|
# Flux réseau de Prometheus (métriques). Voir docs/flux-conception.md.
|
|
flux:
|
|
- sens: egress
|
|
port: 9100
|
|
protocole: tcp
|
|
pair: client_metrique
|
|
chiffrement: tls
|
|
raison: "Scrape des node_exporter (HTTPS via cert step-ca) sur chaque nœud instrumenté."
|
|
- sens: ingress
|
|
port: 9090
|
|
protocole: tcp
|
|
pair: localhost
|
|
chiffrement: clair
|
|
raison: "Console Prometheus consommée en local par Grafana co-localisé (pas d'exposition inter-nœud)."
|
|
|
|
# LA FABRIC SE SURVEILLE EN LA TIRANT (2026-09-10).
|
|
#
|
|
# Les hyperviseurs portent `node_exporter` — D-48 l'autorise : « hors flotte » ne vaut
|
|
# que pour les commutateurs et la frontiere. Mais ils ne peuvent pas POUSSER : leur route
|
|
# par defaut vise le routeur du site, qui ne connait pas les reseaux du site, et cette
|
|
# route est GELEE (D-57). Mesure : le porteur de sante y expirait en 20 s.
|
|
#
|
|
# Prometheus tire donc, dans le sens que la frontiere route deja pour `serveur_ops_site`.
|
|
# 7887 lignes de metriques sur `asgard`, dont 1005 unites systemd avec leur etat — soit
|
|
# davantage que ce qu'un ping ou un porteur de sante auraient dit.
|
|
# LA FRONTIERE ELLE-MEME (2026-09-17) : ses temperatures, sa charge, ses interfaces. Le
|
|
# greffon `os-node_exporter` n'ecoute que sur sa patte de supervision.
|
|
- sens: egress
|
|
port: 9100
|
|
protocole: tcp
|
|
pair: frontiere
|
|
# HTTPS VERIFIE (2026-10-12) : certificat emis par l'autorite de la frontiere.
|
|
chiffrement: tls
|
|
raison: >-
|
|
Scrape de l'exportateur de la frontiere (os-node_exporter), sur sa seule patte de
|
|
supervision : l'equipement qui voit passer TOUT le trafic n'avait ni temperature ni
|
|
charge dans la supervision.
|
|
- sens: egress
|
|
port: 9100
|
|
protocole: tcp
|
|
pair: fabric
|
|
chiffrement: clair
|
|
raison: >-
|
|
Scrape des hyperviseurs : la machine qui PORTE les VM etait invisible de la
|
|
supervision qui les surveille. Elle ne peut pas pousser (route par defaut gelee,
|
|
D-57), donc on la tire.
|