Le modele `forge` posait `client_smtp` sur deux machines alors qu'aucun MTA ne figure au
plan. La dependance causale (client_smtp -> serveur_postfix actif) aurait REFUSE le
deploiement, et l'aurait refuse tard : apres le clonage.
Porter des depots n'exige pas d'envoyer du courriel. Le jour ou la forge devra notifier,
ce sera un relais declare, pas une integration orpheline.
Registre valide, inventaire regenere.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
`ansible-vault` chiffre avec la cle de voute de l'exploitant — le mot de passe n'a jamais
transite, seul son chemin. Les valeurs sont tirees au hasard (40 caracteres) et n'ont ete
affichees nulle part. La voute est ignoree par git : seul le gabarit est versionne.
CAS PARTICULIER, `vault_backup_ssh_privkey` : une VRAIE paire de cles ed25519 a ete
generee. La privee est en voute ; la PUBLIQUE est dans cle-publique-sauvegarde.txt, a
poser sur le depot restic le jour venu. Une cle publique n'est pas un secret.
DEUX SECRETS MANQUENT DELIBEREMENT — `proxmox_api_token_id` et `_secret`. Ils
n'ont pas le prefixe `vault_` et echappaient au reperage : le gabarit les nomme
desormais. Ils doivent etre CREES DANS PROXMOX, propres a patient 0 (Datacenter >
Permissions > API Tokens). Recopier le jeton d'un autre tenant leur donnerait la meme
clef, et on ne pourrait plus en revoquer un sans revoquer l'autre.
P18 refuse donc encore patient 0, et c'est le comportement voulu : la preuve attend une
action humaine, elle ne l'invente pas.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Inscrit par `make genome-inscrire` : moteur Set-OPS-public au commit 742bcbf, sous
l'etiquette signee v2026.08.21 ; instance, hebergeur et modeles avec leur remote et leur
commit.
Sans ce fichier, un ecosysteme fabrique aujourd'hui ne sait plus dans un an de quel moteur
il descend ni a quel etat. C'est la mutation sans memoire — le seul vrai risque d'une
lignee. P40 le verifie : chaque depot se retrouve, chaque commit existe encore, chacun
porte un remote.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Le commentaire annoncait « les QUATRE valeurs qui rattachent un tenant a une fabric ».
D-80, corrigee le 2026-08-13, en compte TROIS : noeud, stockage, gabarit. Le pont des VM
de la flotte est le VNet DERIVE de leur zone (t29fron, t29serv, t29donn, t29appl) ;
`proxmox_clone_pont: vmbr1` ne sert qu'aux clones manuels hors plan.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Il n'etait qu'un plan : rien ne devait lui reserver de VLAN ni de regles. Il est
maintenant destine a etre materialise, donc il doit exister AVANT `make sdn-appliquer` —
sinon ses zones ne sont creees nulle part et ses VM naissent sur un reseau non provisionne.
VERIFIE apres bascule, sur le cluster reel (VPN monte) :
- placement : noeud asgard, stockage TrueNAS, pont vmbr1, gabarit 99998 — les quatre
existent. Le gabarit dore a survecu au rasage des VM.
- SDN : 3 zones, 16 VNet, 16 sous-reseaux, aucune collision.
- frontiere : 52 regles, 16 routes, devis coherent.
- harnais complet du moteur : 38 OK, 0 echec, 0 saute.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Aujourd'hui, tout ce qui fabrique Chezlepro vit sur `eregion` — une machine HORS FLOTTE,
montee a la main, que Set-OPS ne deploie pas, ne sauvegarde pas et ne prouve pas. Un
ecosysteme entier depend d'un point unique que le moteur ignore.
Patient 0 le remplace par le plus petit ecosysteme COMPLET (PKI, DNS, edge, courriel,
PostgreSQL, forge — six machines), bati par le moteur, sauvegarde par le moteur, verifie
par le harnais. On ne deplace pas le point unique de defaillance : on l'elimine.
Derive du modele `forge`, avec trois ecarts assumes :
- INDEX 29 (10.29.0.0/16, VLAN 1291-1296), choisi libre : 13 lab, 17 Chezlepro,
23 Technolibre ; les index bas (1, 11) ont deja force deux renumerotages.
- `federe: false` — patient 0 est EXCLU des devis du site tant qu'il n'est pas
materialise. Une flotte en cours de reconstruction n'a pas a se voir reserver des VLAN
et des regles pour un ecosysteme qui n'existe pas (c'est exactement ce qui avait
injecte les adresses d'un tenant perime dans le pare-feu partage, le 2026-08-12).
A basculer a `true` AVANT `make sdn-appliquer`, le jour du deploiement.
- `forge-01` recoit 80G au lieu du defaut : elle hebergera les depots de TOUTE la
lignee, pas seulement les siens.
Le modele `forge` dont il derive etait lui-meme perime sur deux points, corriges ici :
`client_pki` liste a la main alors que l'integration est devenue universelle, et un FQDN
expose reste en `exemple.internal`. Les modeles PRIVES ne sont pas couverts par le
harnais — P17 ne decouvre que le modele public.
VERIFIE : les quatre registres valident, le gabarit de voute couvre les 20 secrets exiges,
l'inventaire est genere et applique. Et sur l'instance de l'exploitant, en pleine
reconstruction : `make verifier` -> 38 OK, 0 echec, 0 saute ; les devis ne voient
toujours que Chezlepro et Technolibre.
CE QUI N'EST PAS ICI, ET NE LE SERA JAMAIS : le mot de passe de la voute. C'est le seul
objet que la reproduction exige d'un humain — le mettre dans la forge reviendrait a
enfermer la cle dans le coffre.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
