Daniel Allaire
f815b069f7
La doctrine dit qu un greffon Nagios EST une sonde valide et compte sur les 54
de monitoring-plugins. Mesure : aucun n etait installe. Le document decrivait
une possibilite qui n existait pas, et chaque role ayant besoin d un controle
HTTP n avait d autre choix que d ecrire du shell.
Le PORTEUR les installe desormais — c est son affaire de pouvoir executer des
sondes, et les poser role par role en ferait autant de copies de la decision.
Trois sondes, trois enveloppes qui delegue a check_http et rendent son code tel
quel :
collabora edition /hosting/discovery — l adresse que Nextcloud interroge
lui-meme ; sans elle le bouton ouvrir meurt et
Nextcloud reste vert
rspamd filtrage un filtre muet ne bloque pas le courrier, il le laisse
passer
oauth2_proxy passerelle ce qui tombe avec elle n est pas elle : les services
derriere restent debout et deviennent injoignables
Chacune exige une CHAINE que seul le bon service produit — un 200 peut venir
d une page d erreur. Cette chaine est aussi la mise en defaut.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
104 lines
5.6 KiB
YAML
104 lines
5.6 KiB
YAML
---
|
|
# COLLABORA ONLINE, EN NATIF — plus de conteneur.
|
|
#
|
|
# Ce rôle lançait `collabora/code` dans Docker, ce qui contredisait le principe fondateur
|
|
# du dépôt : logiciel libre **en natif**, systemd + paquets + nginx, zéro conteneur. C'était
|
|
# la seule exception de la flotte, et elle traînait une dépendance entière
|
|
# (`community.docker`) qui n'était même pas déclarée dans `requirements.yml`.
|
|
#
|
|
# CE QUI A ÉTÉ ÉPROUVÉ AVANT D'ÉCRIRE CE RÔLE (2026-08-24), sur une Debian 13.6 réelle,
|
|
# sans rien installer :
|
|
#
|
|
# apt-get install --simulate coolwsd -> résout jusqu'à « Conf coolwsd (26.04.3.1-1) »
|
|
# libgcc1 (exigé) -> fourni par libgcc-s1 sur trixie
|
|
# le dépôt CODE-deb est PLAT -> Packages et Release à la racine, pas de dists/
|
|
#
|
|
# Le paquet livre aussi `/etc/nginx/snippets/coolwsd.conf` et un profil AppArmor — deux
|
|
# choses que cette flotte sait déjà exploiter, contrairement à une image opaque.
|
|
|
|
serveur_collabora_paquets:
|
|
- coolwsd
|
|
serveur_collabora_service: "coolwsd"
|
|
serveur_collabora_port: 9980
|
|
|
|
# --- LE DÉPÔT AMONT ----------------------------------------------------------
|
|
#
|
|
# Dépôt PLAT : `Suites: ./` et pas de composant. Une source classique (`deb … stable
|
|
# main`) ne le trouverait pas.
|
|
serveur_collabora_depot_uri: "{{ serveur_collabora_depot_schema }}://www.collaboraoffice.com/repos/CollaboraOnline/CODE-deb"
|
|
serveur_collabora_depot_cle_url: "{{ serveur_collabora_depot_schema }}://www.collaboraoffice.com/downloads/gpg/collaboraonline-release-keyring.gpg"
|
|
serveur_collabora_depot_cle_fichier: "/etc/apt/keyrings/collaboraonline.gpg"
|
|
|
|
# --- CONFIGURATION : PAR SURCHARGE, PAS PAR RÉÉCRITURE -----------------------
|
|
#
|
|
# Le `coolwsd.xml` livré fait 439 lignes richement commentées. Le remplacer par un gabarit
|
|
# maison, ce serait s'engager à suivre son évolution à chaque version amont — et perdre
|
|
# les commentaires qui expliquent chaque réglage.
|
|
#
|
|
# `coolwsd` accepte des surcharges `--o:<clé>=<valeur>` sur sa ligne de commande. On pose
|
|
# donc un fragment systemd : la configuration de Set-OPS tient en un seul fichier lisible,
|
|
# le fichier du paquet reste intact, et `apt purge` rend la machine à son état d'origine.
|
|
serveur_collabora_fragment: "/etc/systemd/system/coolwsd.service.d/setops.conf"
|
|
|
|
# TLS TERMINÉ À L'EDGE, comme tout le reste de la flotte : `serveur_nginx` présente le
|
|
# certificat step-ca, Collabora écoute en clair derrière lui.
|
|
serveur_collabora_ssl_enable: false
|
|
serveur_collabora_ssl_termination: true
|
|
|
|
# Nom externe, tel que le navigateur l'atteint. Vide = déduit de la requête, ce qui échoue
|
|
# derrière un mandataire inverse — d'où la valeur explicite.
|
|
serveur_collabora_server_name: "bureau.{{ domaine_interne }}"
|
|
|
|
# Hôtes WOPI autorisés — qui a le droit de faire éditer un document.
|
|
#
|
|
# Les défauts du paquet couvrent déjà les plages privées (10/8, 172.16/12, 192.168/16,
|
|
# loopback), donc l'adressage dérivé de Set-OPS. On ajoute le FQDN de Nextcloud pour que
|
|
# l'autorisation soit LISIBLE dans le plan plutôt que déduite d'un masque.
|
|
serveur_collabora_domaine_nextcloud: "cloud.{{ domaine_interne }}"
|
|
|
|
# --- CONSOLE D'ADMINISTRATION : FERMÉE PAR DÉFAUT ----------------------------
|
|
#
|
|
# Elle sert à surveiller les sessions et les documents ouverts. Personne n'en a besoin au
|
|
# quotidien, et elle expose un formulaire identifiant/mot de passe de plus — hors de tout
|
|
# SSO, avec un secret à créer, à faire tourner et à surveiller.
|
|
#
|
|
# Même raisonnement que `serveur_forgejo_connexion_locale` : une porte ouverte en
|
|
# permanence contourne la politique centrale et ne se révoque nulle part. On la ferme, et
|
|
# l'on garde l'accès par SSH à l'hôte — le mécanisme de secours retenu par ce dépôt.
|
|
#
|
|
# L'ouvrir exige alors un secret en voûte, et de l'ajouter au gabarit de l'instance.
|
|
# LE MOT DE PASSE N'EST PAS TIRE D'UNE CLE DE VOUTE PAR DEFAUT, ET C'EST VOULU.
|
|
#
|
|
# `scripts/voute.py` exige de la voute TOUTE reference `vault_*` trouvee dans un role
|
|
# actif — c'est ce qui garantit qu'aucun secret n'est oublie. Mais une porte FERMEE ne
|
|
# doit pas reclamer de clef : nommer ici `vault_collabora_admin` obligerait chaque
|
|
# ecosysteme installant Collabora a inventer, chiffrer et faire tourner un secret pour
|
|
# une console que personne n'ouvre.
|
|
#
|
|
# Qui veut la console la declare chez lui :
|
|
#
|
|
# # group_vars/serveur_collabora.yml de l'instance
|
|
# serveur_collabora_admin_actif: true
|
|
# serveur_collabora_admin_mot_de_passe: "{{ vault_collabora_admin }}"
|
|
#
|
|
# et ajoute `vault_collabora_admin` a son gabarit de voute — ou P18 le lui rappellera.
|
|
serveur_collabora_admin_actif: false
|
|
serveur_collabora_admin_utilisateur: "collabora-admin"
|
|
serveur_collabora_admin_mot_de_passe: ""
|
|
|
|
# --- SCHEMA DU DEPOT TIERS (2026-09-10) ------------------------------------------------
|
|
# Meme derivation que les six autres roles a depot tiers : `http` des qu'un cache est dans
|
|
# le chemin, `https` sinon. Voir `serveur_artefacts_remaps` pour la moitie qui relaie.
|
|
serveur_collabora_depot_schema: >-
|
|
{{ 'http' if (artefacts_amorcage | default('') | string | length > 0) else 'https' }}
|
|
|
|
# --- SONDE DE SUPERVISION -------------------------------------------------------------
|
|
#
|
|
# CE QUE LA REPONSE DOIT CONTENIR. Un code 200 ne suffit pas : un serveur peut rendre 200
|
|
# sur une page d'erreur, une redirection de courtoisie ou un cache perime. On exige donc
|
|
# une chaine que SEUL le bon service produit.
|
|
#
|
|
# C'EST AUSSI LA MISE EN DEFAUT DE LA SONDE : y mettre une chaine introuvable la rend
|
|
# CRITIQUE sans rien casser, ce qui rend la seconde preuve REJOUABLE. Une sonde se prouve
|
|
# deux fois — verte sur le sain, rouge sur le casse.
|
|
serveur_collabora_sonde_attendu: "wopi-discovery"
|