Daniel Allaire fa7e656844 artefacts : le chainage des caches, et la regle qui appartient au SITE ... Une regle inter-tenant n'appartient ni a l'emetteur ni au recepteur : c'est le site qui autorise un flux entre deux de ses tenants, et son runner qui prepare le terrain. Deux silences fermes dans le generateur de frontiere. flux_frontiere() ne retenait que les flux `externe` -- or deux tenants vivent sur des VLAN routes par la frontiere, leur trafic la traverse. Et un egress vers un voisin recevait !SETOPS_INTERNES en destination : le port ouvert vers l'INTERNET. La destination est desormais nommee. Deux roles parce que meta/flux.yml est statique : un role unique aurait declare l'ingress pour TOUS les caches -- maillage complet, visible au devis. serveur_artefacts_site porte l'ingress, serveur_artefacts l'egress vers l'amont. Debian est desormais telecharge une fois pour toute la fabric. Le cache du site ne voit que des requetes agregees, jamais quelle machine installe quoi. Rien n'est applique : le devis se lit avant. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>		2026-08-24 17:40:33 -04:00
..
amorcage_acces	identite : une declaration de politique de mot de passe, deux executants	2026-08-08 06:28:10 -04:00
apparmor	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
auditd	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
chrony	Découplage instance : realm centralisé + vars génériques	2026-07-05 00:47:44 -04:00
client_artefacts	artefacts : la forge sert le code, il manquait qui sert les binaires	2026-08-23 14:41:56 -04:00
client_backup	reconstruction from-zero : sept defauts, tous invisibles sur une flotte debout	2026-08-13 03:36:56 -04:00
client_journal	get_url : plus aucun sans garde — la dependance externe tombe a zero	2026-08-09 14:05:25 -04:00
client_metrique	metriques : node_exporter mourait a chaque renouvellement de certificat	2026-08-09 14:14:16 -04:00
client_pki	patient 0 debout — et quatre defauts que seul un ecosysteme DIFFERENT pouvait montrer	2026-08-23 02:53:44 -04:00
client_resolveur	resolveur : un par tenant, et non plus un par machine	2026-08-24 16:59:34 -04:00
client_smtp	Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu	2026-07-07 03:08:09 -04:00
cloud_init	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
common_packages	deploiement : deux attentes de premier demarrage, et trois defauts leves	2026-08-07 09:30:48 -04:00
core_dumps	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
fail2ban_ssh	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
hardening_packages	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
hosts_statiques	resolveur : un par tenant, et non plus un par machine	2026-08-24 16:59:34 -04:00
journald	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
motd	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
nftables_baseline	Reconstruction propre : orchestrateur ordonné, registre des flux + pare-feu	2026-07-07 03:08:09 -04:00
qemu_guest_agent	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
resoudre_annuaire	annuaire : l'hote se derive du plan, il ne s'ecrit plus	2026-08-07 12:46:48 -04:00
resoudre_base	deploiement : deux attentes de premier demarrage, et trois defauts leves	2026-08-07 09:30:48 -04:00
resoudre_idp	resoudre_idp : le nom invente etait dans QUATRE roles	2026-08-07 15:33:32 -04:00
resoudre_politique_mdp	identite : une declaration de politique de mot de passe, deux executants	2026-08-08 06:28:10 -04:00
serveur_artefacts	artefacts : le chainage des caches, et la regle qui appartient au SITE	2026-08-24 17:40:33 -04:00
serveur_artefacts_site	artefacts : le chainage des caches, et la regle qui appartient au SITE	2026-08-24 17:40:33 -04:00
serveur_backup	reconstruction d'un trait : 43 groupes, 0 echec, 37 minutes	2026-08-13 08:49:12 -04:00
serveur_collabora	collabora : en natif, la derniere exception conteneurisee tombe	2026-08-24 16:23:35 -04:00
serveur_debian	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_dovecot	courriel : routage local par identifiant, et la livraison interne remise en marche	2026-08-08 09:42:45 -04:00
serveur_forgejo	genome : les cinq depots vivent sur la forge de patient 0	2026-08-23 03:09:34 -04:00
serveur_grafana	keycloak : un jeton frais la ou on s'en sert ; grafana : un echec lisible	2026-08-10 20:19:50 -04:00
serveur_icinga	reconstruction d'un trait : 43 groupes, 0 echec, 37 minutes	2026-08-13 08:49:12 -04:00
serveur_icingaweb2	icingaweb2 : habilitation par groupe d'annuaire, plus par liste d'uid	2026-08-07 19:54:41 -04:00
serveur_keycloak	keycloak : l'ancre de confiance existe — publiee hors du canal de livraison	2026-08-11 02:06:02 -04:00
serveur_loki	get_url : plus aucun sans garde — la dependance externe tombe a zero	2026-08-09 14:05:25 -04:00
serveur_nextcloud	nextcloud : epingle 34.0.2 (correctif amont)	2026-08-10 23:12:19 -04:00
serveur_nginx	nginx : dimensionner les tampons d'en-tetes pour les sessions OIDC	2026-08-08 11:06:05 -04:00
serveur_oauth2_proxy	artefacts : le controleur telecharge et pousse, la cible ne tire plus	2026-08-10 20:58:58 -04:00
serveur_openldap	identite : une declaration de politique de mot de passe, deux executants	2026-08-08 06:28:10 -04:00
serveur_ops	acces : le runner peut enfin entrer, et trois silences fermes	2026-08-24 15:50:37 -04:00
serveur_ops_site	runner : separer le pouvoir de configurer de celui de materialiser	2026-08-24 15:30:03 -04:00
serveur_postfix	frontiere : etanche — CONFORME sur 56 lignes, dans les deux sens	2026-08-09 21:33:04 -04:00
serveur_postgresql	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_powerdns	resolveur : un par tenant, et non plus un par machine	2026-08-24 16:59:34 -04:00
serveur_prometheus	idempotence : Prometheus trie ses cibles, Forgejo conserve son secret JWT	2026-08-09 14:44:03 -04:00
serveur_redis	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_resolveur	resolveur : un par tenant, et non plus un par machine	2026-08-24 16:59:34 -04:00
serveur_rspamd	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
serveur_step_ca	patient 0 debout — et quatre defauts que seul un ecosysteme DIFFERENT pouvait montrer	2026-08-23 02:53:44 -04:00
serveur_web_dorsal	empreintes muettes, courses de premier demarrage, collision de noms	2026-08-07 16:22:38 -04:00
serveur_web_frontal	empreintes muettes, courses de premier demarrage, collision de noms	2026-08-07 16:22:38 -04:00
ssh_baseline	acces : le runner peut enfin entrer, et trois silences fermes	2026-08-24 15:50:37 -04:00
ssh_hardening	reconstruction complete sans echec, et correction : ssh_hardening declarait deja	2026-08-09 13:45:24 -04:00
sudo_ansible	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
sysctl_hardening	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
systemd_ssh_auto	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00
template_cleanup	gabarit recapture : copie de travail preparee, nettoyee, convertie	2026-08-09 11:29:51 -04:00
unattended_upgrades	Set-OPS — moteur d'ecosystemes numeriques souverains (Alliance Boreale)	2026-06-24 20:17:46 -04:00