Daniel Allaire
f1a7e43645
Icinga ne surveillait rien : aucun objet Host ni Service de Set-OPS, seulement
la config Debian d'origine sur localhost.
Superviser setops-sauvegarde.service aurait reproduit le defaut du jour meme :
l'unite etait VERTE sur onze noeuds pendant qu'elle n'emportait rien. Le noeud
sait qu'il a LANCE sa sauvegarde, pas qu'elle est ARRIVEE. backup-01 evalue donc
ses depots et pousse un resultat passif par noeud vers l'API Icinga.
Trois criteres, parce qu'un seul suffit a mentir : l'instantane existe, il est
recent (26 h / 50 h), il contient au moins un fichier.
Le sens du flux est delibere : le depot parle a la supervision, jamais l'inverse
— compromettre mon-01 ne donne aucun acces aux sauvegardes.
Le ttl de 6 h fait la fraicheur : si le rapporteur se tait, Icinga perime les
services tout seul. C'est le silence qui a laisse le defaut vivre un mois.
Deux erreurs corrigees par la mesure :
- --data-urlencode refuse en Bad Request (l'API veut du JSON) ; le flux, le TLS
et l'auth marchaient, seule la charge etait perdue.
- le seuil « vide » en octets signalait a tort idm-01 (2363 o) : un export LDIF
d'un annuaire a un compte pese cela. « Vide » se mesure en FICHIERS. Et le
verdict est un AVERTISSEMENT : la machine ne distingue pas « les donnees ont
disparu » de « il n'y en a pas encore ».
Reserve assumee : curl -k — l'API presente le cert de sa propre AC, pas step-ca.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
110 lines
3.5 KiB
YAML
110 lines
3.5 KiB
YAML
---
|
|
- name: Exiger la clé publique de sauvegarde
|
|
ansible.builtin.assert:
|
|
that:
|
|
- serveur_backup_pubkey | length > 0
|
|
fail_msg: "serveur_backup_pubkey requis (clé publique de la paire de sauvegarde)."
|
|
|
|
- name: Créer l'utilisateur de sauvegarde
|
|
ansible.builtin.user:
|
|
name: "{{ serveur_backup_utilisateur }}"
|
|
home: "{{ serveur_backup_racine }}"
|
|
shell: /bin/bash
|
|
create_home: true
|
|
system: true
|
|
|
|
- name: Sécuriser la racine des dépôts
|
|
ansible.builtin.file:
|
|
path: "{{ serveur_backup_racine }}"
|
|
state: directory
|
|
owner: "{{ serveur_backup_utilisateur }}"
|
|
group: "{{ serveur_backup_utilisateur }}"
|
|
mode: "0700"
|
|
|
|
- name: Autoriser la clé SSH de sauvegarde
|
|
ansible.posix.authorized_key:
|
|
user: "{{ serveur_backup_utilisateur }}"
|
|
key: "{{ serveur_backup_pubkey }}"
|
|
state: present
|
|
|
|
# --- Vérification des dépôts et rapport passif vers Icinga ---
|
|
# La liste des détenteurs d'état appartient à `client_backup`. On la LIT chez lui : deux
|
|
# listes finissent toujours par diverger, et la divergence se lirait « tout va bien ».
|
|
- name: Lire la liste des détenteurs d'état chez client_backup
|
|
ansible.builtin.include_vars:
|
|
file: "{{ role_path }}/../client_backup/vars/main.yml"
|
|
name: _catalogue_sauvegarde
|
|
|
|
- name: Adopter la liste des détenteurs d'état
|
|
ansible.builtin.set_fact:
|
|
client_backup_groupes_etat: "{{ _catalogue_sauvegarde.client_backup_groupes_etat }}"
|
|
|
|
- name: Exiger de quoi rapporter à Icinga (Vault + hôte de supervision)
|
|
ansible.builtin.assert:
|
|
that:
|
|
- serveur_backup_icinga_motdepasse | length > 0
|
|
- serveur_backup_icinga_hote | length > 0
|
|
- serveur_backup_noeuds_attendus | length > 0
|
|
fail_msg: >-
|
|
vault_icinga_api_depot requis, un hôte du groupe `serveur_icinga` doit exister, et
|
|
au moins un nœud doit détenir de l'état. Sans cela, les sauvegardes ne seraient
|
|
surveillées par personne — c'est exactement le silence qui a laissé le défaut du
|
|
2026-07-03 vivre un mois.
|
|
|
|
- name: Installer curl et le mot de passe restic pour la vérification
|
|
ansible.builtin.apt:
|
|
name: [curl, restic]
|
|
state: present
|
|
|
|
- name: Créer le répertoire des secrets Set-OPS
|
|
ansible.builtin.file:
|
|
path: /etc/setops
|
|
state: directory
|
|
owner: root
|
|
group: root
|
|
mode: "0700"
|
|
|
|
- name: Déposer le mot de passe restic (lecture des dépôts)
|
|
ansible.builtin.copy:
|
|
content: "{{ vault_restic_password }}\n"
|
|
dest: /etc/setops/restic.pass
|
|
owner: root
|
|
group: root
|
|
mode: "0600"
|
|
no_log: true
|
|
|
|
- name: Déposer le mot de passe d'API Icinga
|
|
ansible.builtin.copy:
|
|
content: "{{ serveur_backup_icinga_motdepasse }}"
|
|
dest: /etc/setops/icinga-api.pass
|
|
owner: root
|
|
group: root
|
|
mode: "0600"
|
|
no_log: true
|
|
|
|
- name: Déployer le script de vérification
|
|
ansible.builtin.template:
|
|
src: verifier-sauvegardes.sh.j2
|
|
dest: /usr/local/sbin/setops-verifier-sauvegardes.sh
|
|
owner: root
|
|
group: root
|
|
mode: "0700"
|
|
|
|
- name: Déployer l'unité et le timer de vérification
|
|
ansible.builtin.template:
|
|
src: "{{ item.s }}"
|
|
dest: "/etc/systemd/system/{{ item.d }}"
|
|
owner: root
|
|
group: root
|
|
mode: "0644"
|
|
loop:
|
|
- { s: setops-verification.service.j2, d: setops-verification.service }
|
|
- { s: setops-verification.timer.j2, d: setops-verification.timer }
|
|
|
|
- name: Activer le timer de vérification
|
|
when: not ansible_check_mode
|
|
ansible.builtin.systemd:
|
|
name: setops-verification.timer
|
|
enabled: true
|
|
state: started
|
|
daemon_reload: true
|