alliance-boreale/RUNBOOK.md

🛠 RUNBOOK — Alliance Boréale (Day-1 / Day-2)

Opérations courantes

• Modifier la SSOT :
  1. créer une branche, éditer configure/configure.yaml
  2. node configure/export.mjs
  3. commit + PR → CI verte → merge
• Ajouter un tenant/site : tenants/<code>.yaml, MAJ tenant_id_map, noms & VLAN/VNI
• Ajouter un service : entrée inventory (plan, IP, tags, checks…), regénérer & déployer

PKI

• Délivrer/renouveler les certs services (5–8) via ACME interne
• Rotation semestrielle ; publier CRL ; surveiller expirations

Monitoring

• Prometheus : fraîcheur / targets down
• Icinga2 : checks ping4 + services applicatifs ; hostgroups → escalades

DNS

• Zone principale depuis out/zonefile.zone ; TTL par défaut 300s
• CNAME/TXT/MX personnalisables via dns.records dans la SSOT

CI / Qualité

• Lint YAML, export SSOT, tests (si ajoutés), build docs
• Branches protégées : PR + approbation (CODEOWNERS)

Sauvegarde & Restauration

• Mirror du dépôt (forge → autre remote)
• Sauvegarde configure/configure.yaml + out/*
• Reprise : cloner constitution, réimporter SSOT, regénérer, redéployer

Sécurité

• Journaux d’accès (forge, artefacts)
• Inventaire Icinga/Prometheus à jour
• Rotation credentials CI & tokens Forge

Incidents — check rapide

1. Impact (DNS, certs, réseau)
2. Contournement (bascule PKI/ACME, TTL DNS)
3. Correctif SSOT → export → déploiement
4. Post-mortem → PR doc