OPS-Patient0/README.md

# OPS-Patient0 — l'écosystème d'origine

> **Pour qui :** l'**exploitant** de la lignée. Ce dépôt est le plan d'un écosystème
> Set-OPS comme les autres — mais de celui dont les autres descendent.

## Ce qu'il est

Patient 0 est le **plus petit écosystème complet** : une PKI, un DNS, un edge, une
**forge**, et un **poste d'exploitation**. Cinq machines. Sa raison d'être tient en une
phrase :

> porter les dépôts qui fabriquent les écosystèmes, et les servir à ses enfants.

Un tenant ordinaire existe pour ses gens : Chezlepro héberge de l'identité, du courriel,
de la collaboration. Patient 0 n'héberge que **la lignée**.

## Ce qu'il remplace

Aujourd'hui encore, tout ce qui fabrique Chezlepro dépend de `eregion.chezlepro.ca` — une
machine **hors flotte**, montée à la main, que Set-OPS ne déploie pas, ne sauvegarde pas
et ne prouve pas. C'est un point unique de défaillance, situé exactement là où il fait le
plus mal : à la racine.

Patient 0 le remplace par un écosystème **bâti par le moteur, sauvegardé par le moteur,
vérifié par le harnais**. On ne déplace pas le point unique de défaillance : on l'élimine.

## La boucle, et comment elle se casse

Pour rebâtir patient 0, il faut le dépôt du moteur — qui vit sur patient 0. On n'échappe
pas à ça par la ruse, mais par le **nombre**. Le génome doit exister en au moins trois
endroits vivants, sans coordination :

```
patient 0 (la forge mère)  ·  le poste de l'exploitant  ·  restic hors cluster
        + chaque écosystème enfant, qui en porte un miroir
```

N'importe quel survivant réamorce les autres. Une famille, pas un maître.

## État au 2026-08-23 : matérialisé

Les cinq machines tournent. L'adressage dérive du seul seed `index: 29` — supernet
`10.29.0.0/16`, zones en `10.29.(15+zone).0/24`, VLAN `1290+zone`.

| machine | fonction | adresse | ce qu'elle porte |
|---|---|---|---|
| `infra-edge-01` | infra-edge | `10.29.16.11` | nginx — publie `forge.genese.internal` |
| `infra-dns-01` | infra-dns | `10.29.19.11` | PowerDNS autoritatif |
| `infra-pki-01` | infra-pki | `10.29.19.21` | step-ca — l'autorité interne |
| `ops-01` | ops | `10.29.19.41` | le **poste d'exploitation** |
| `forge-01` | forge | `10.29.21.11` | Forgejo — le génome, **et** le cache d'artefacts |

**Forgejo tourne sur SQLite**, pas sur une VM PostgreSQL dédiée : une base qu'une
poignée de personnes sollicite ne justifie pas un serveur, une zone, un secret et une
sauvegarde de plus. Moins de surface sur la machine dont tout descend.

**Ni courriel ni base de données centrale.** Le plan en a porté au stade projet ; ils ont
été retirés. Patient 0 n'a pas d'usagers à notifier.

**Sauvegarde** : `infra-pki-01` et `forge-01` poussent leur état vers
`eregion.chezlepro.ca` — les deux seules machines qui détiennent quelque chose
d'irremplaçable (les clés de l'AC, les dépôts).

**Il est hébergé par la fabric de Chezlepro** (`SITE-Chezlepro`), au même titre qu'un
autre tenant. Il n'a pas d'underlay à lui.

**Il sert ses propres binaires.** `forge-01` porte aussi la source d'artefacts
(apt-cacher-ng) : toute la flotte y prend ses paquets Debian au lieu d'aller chez Debian.
La forge est la source, du code **et** des binaires. Éprouvé en coupant l'amont — un
paquet en cache est servi en `0 o/s`, un paquet absent est refusé par un `503`.

**Il résout par lui-même.** Les quatre hôtes clients interrogent un Unbound local, qui
tient la zone `genese.internal` de `infra-dns-01` et **récurse depuis les serveurs
racine** pour le reste — `forward-addr` = 0, aucun résolveur tiers n'est consulté.
`infra-dns-01` reste hors du groupe : un autoritatif ne se résout pas auprès de lui-même
par un récurseur local.

## Le génome, sur sa forge

Les dépôts vivent sous l'organisation `genome` :

| dépôt | miroir de l'amont |
|---|---|
| `set-ops-public` | **oui** — toutes les 8 h |
| `ops-patient0` | **oui** — toutes les 8 h |
| `site-chezlepro` | **oui** — toutes les 8 h, authentifié |
| `set-ops-modeles` | **oui** — toutes les 8 h, authentifié |
| `ops-chezlepro` | non, et privé — le plan d'un tenant voisin, sans usage ici |

Les quatre miroirs suivent `forge.alliance-boreale.ca`. Les deux dépôts privés sont lus
par un jeton de **lecture seule** (`vault_miroir_amont`, portée unique
`read:repository`) : un jeton capable d'écrire chez le parent inverserait le sens de la
filiation — l'enfant pourrait réécrire le génome dont il est issu.

Les quatre restent **lisibles** sur la forge de patient 0, et c'est ainsi que son poste
d'exploitation les clone : en anonyme, sans détenir aucun justificatif.

L'étiquette signée `v2026.08.21` a traversé le miroir intacte — la provenance reste
vérifiable depuis l'enfant.

## Le poste d'exploitation

`ops-01` porte `/opt/setops` : Ansible épinglé (core 2.18), le génome cloné **depuis sa
propre forge**, et les deux symlinks de D-80.

```
Set-OPS-public/instance      -> OPS-Patient0        quel tenant on pilote
Set-OPS-public/underlay.yml  -> SITE-Chezlepro/…    sur quelle fabric il repose
```

Ce qu'il **n'a pas**, et n'aura jamais : le mot de passe de la voûte, saisi à
l'exécution ; le fichier de voûte lui-même, hors dépôt ; `underlay.vault.yml`, les
secrets du monde physique. Il lit la **carte** de la fabric, jamais ses **clés**.

D'où une ligne nette, mesurée depuis la machine :

```
make instancier      DIFF VIDE : le plan reproduit exactement l'inventaire actuel
make underlay-plan   refusé — aucune voûte
```

Il reproduit sa propre structure sans aucun secret. Il ne touche pas à la fabric sans
qu'un humain apporte la clé.

## Ce que ce dépôt contient, et ce qu'il ne contiendra jamais

| | |
|---|---|
| `plan/` | les cinq machines, leurs zones, leurs applications |
| `inventories/production/group_vars/` | les intrants, le placement Proxmox, le **gabarit** de voûte |
| `inventories/production/hosts.yml` | **généré** depuis le plan — ne jamais l'éditer à la main |
| `parente.yml` | de quels dépôts, à quels commits, cet écosystème descend |
| la voûte et son mot de passe | **jamais**. Ni ici, ni dans aucun dépôt : c'est le seul objet que la reproduction exige d'un humain |

Conséquence à connaître, et qui n'est pas un défaut :

```
la STRUCTURE se reconstruit depuis la forge
les SECRETS se restaurent depuis la sauvegarde (restic)
```

Deux sources distinctes, qu'un même incident n'atteint pas ensemble.

## Deux réglages à connaître

**`index: 29`** — tout l'adressage en dérive. Choisi libre : 13 est le lab, 17 Chezlepro,
23 Technolibre. Les index bas (1, 11) ont déjà forcé deux renumérotages, ils tombaient
dans des plages occupées par du matériel.

**`federe: true`** — patient 0 est pris en compte par les devis du site : la frontière,
le SDN et le pare-feu de l'hyperviseur lui réservent ses zones. Il est resté à `false`
tant qu'il n'était qu'un plan, et a été basculé **avant** `make sdn-appliquer` — sinon
ses VLAN n'auraient existé nulle part.

## Ce qui reste devant

- [ ] **Décider où il vit.** Sur `asgard`, la perte du cluster emporte patient 0 *et*
      Chezlepro d'un coup. Ailleurs, la famille survit à la perte du cluster. Le
      déménagement tient en **trois** valeurs de `group_vars/proxmox.yml` — nœud, stockage,
      gabarit. Le pont n'en fait pas partie : chaque VM atterrit sur le VNet dérivé de sa
      zone.
- [ ] **Les dépôts tiers en HTTPS** (Smallstep, Grafana, Icinga) vont encore en direct :
      les faire passer par le cache demande de réécrire leurs sources en
      `http://cache/<remap>/…`. Les dépôts Debian, eux, sont couverts.