# Intrants de base du SITE-Technolibre — les valeurs-racines dont tout le reste dérive.
# ⚠ Ce qui est marqué <<…>> est à relever sur place. Voir COLLECTE.md.
---
# LE DOMAINE INTERNE DU SITE, pas celui de son locataire. Chezlepro utilise
# `genese.internal` ; deux sites qui porteraient le même nom de zone ne pourraient pas
# coexister dans un même résolveur. Proposition : `technolibre.site` ou `atelier.internal`.
domaine_interne: socle.internal
organisation: TechnoLibre

# Par où l'administration entre. Chez Chezlepro c'est la patte LAN de la frontière ;
# ici ce sera la patte de gestion de l'OPNsense (10.23.0.1) ou un accès direct.
rebond: ansible@10.31.0.1
# LE NOM REEL DE LA CLE, pas un nom plausible. Celle-ci existe sur le poste et sert
# deja a la flotte de TechnoLibre ; `~/.ssh/technolibre` ne designait rien.
cle_ssh: ~/.ssh/id_ed25519_ansible_technolibre

integrations_exemptes: {}

# La clé publique du runner du site — GÉNÉRÉE au premier déploiement de `site-ops-01`,
# puis recopiée ici. Laisser vide au départ : c'est normal.
runner_cle_publique: ""

# LE GABARIT. Sur un nœud unique il n'y a pas d'autre machine pour le porter :
# ne jamais le personnaliser, et ne jamais convertir une VM i440fx en q35.
gabarit:
  # LE MEME GABARIT QUE LE RESTE DE LA FLOTTE. 99998 est son PRECEDENT — garde ici
  # pour que l'on sache d'ou l'on vient, jamais clone.
  vmid: 9006
  precedent: 99998
  nom: modeleSetOPS-minimal
  noeud: atelier
  machine: q35
  bios: ovmf
  stockage: local-lvm

# Clé publique du compte de dépôt des sauvegardes du site lui-même — générée au
# déploiement de `site-backup-01`, recopiée ensuite.
# LA MOITIE PUBLIQUE de la paire de sauvegarde du site. Sa jumelle privee vit dans
# `underlay.vault.yml` — jamais versionnee. C'est cette cle-ci que le depot autorise :
# la publier est sans risque, et c'est meme le seul moyen qu'elle serve.
backup_pubkey: "ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAINf8O1ASPbRE2J+3uOrdJBRFJZCap8WeHjupdboI1KKF sauvegarde site-technolibre"

nftables_admin_ssh: []
supervision_courriel: sysadmin@technolibre.ca

# LA REPLICATION DU DNS PUBLIC AVEC UN SITE PAIR (2026-09-16).
#
# Deux serveurs de noms, sur deux reseaux distincts, tenus par deux organisations : c'est ce
# qui garde un domaine joignable quand l'un tombe — et le registre des `.ca` en exige deux.
# Chaque site replique les zones publiques de l'autre, par le tunnel WireGuard.
#
# DECLAREE DES DEUX COTES, OU PAS DU TOUT. Declaree d'un seul cote, un site servirait des
# zones que son pair ne replique pas : le second serveur de noms serait vide sans que
# personne le voie. La preuve refuse une relation sans son vis-a-vis.
#
# `inactif` : le serveur du pair n'existe pas encore. Rien n'est emis tant qu'elle l'est.
dns_public_pairs:
  - site: SITE-Chezlepro
    etat: inactif