# 🛠 RUNBOOK — Alliance Boréale (Day-1 / Day-2)

## Opérations courantes
- **Modifier la SSOT** :
  1) créer une branche, éditer `configure/configure.yaml`
  2) `node configure/export.mjs`
  3) commit + PR → CI verte → merge
- **Ajouter un tenant/site** : `tenants/<code>.yaml`, MAJ `tenant_id_map`, noms & VLAN/VNI
- **Ajouter un service** : entrée `inventory` (plan, IP, tags, checks…), regénérer & déployer

## PKI
- Délivrer/renouveler les certs services (5–8) via ACME interne
- Rotation semestrielle ; publier CRL ; surveiller expirations

## Monitoring
- Prometheus : fraîcheur / targets down
- Icinga2 : checks `ping4` + services applicatifs ; hostgroups → escalades

## DNS
- Zone principale depuis `out/zonefile.zone` ; TTL par défaut 300s
- CNAME/TXT/MX personnalisables via `dns.records` dans la SSOT

## CI / Qualité
- Lint YAML, export SSOT, tests (si ajoutés), build docs
- Branches protégées : PR + approbation (CODEOWNERS)

## Sauvegarde & Restauration
- Mirror du dépôt (forge → autre remote)
- Sauvegarde `configure/configure.yaml` + `out/*`
- Reprise : cloner constitution, réimporter SSOT, regénérer, redéployer

## Sécurité
- Journaux d’accès (forge, artefacts)
- Inventaire Icinga/Prometheus à jour
- Rotation credentials CI & tokens Forge

## Incidents — check rapide
1) Impact (DNS, certs, réseau)  
2) Contournement (bascule PKI/ACME, TTL DNS)  
3) Correctif SSOT → export → déploiement  
4) Post-mortem → PR doc