mathieu/essai-actions
Watch
1
0
Fork
You've already forked essai-actions
 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions

Remettre ACCESS.md d'accord avec l'infrastructure actuelle #3

New issue
Closed
opened 2026-10-11 10:06:12 +02:00 by mathieu · 3 comments
mathieu commented 2026-10-11 10:06:12 +02:00
Owner

ACCESS.md n'a pas été relu contre l'état réel depuis les décommissions de fin septembre. Écarts constatés le 2026-10-05, depuis ce seul dépôt (rien n'a été vérifié sur les hôtes) :

  • « Variables d'accès connues » ne liste que des HOMEPAGE_VAR_*. Homepage a été retiré (ADR-0005 d'infrastructure) : la liste décrit un service disparu. À l'inverse, les noms réellement présents dans secrets/secrets.sops.env (UniFi, OVH, qBittorrent, Plex, Proxmox, n8n, Uptime Kuma, FreshRSS, Kaneo…) n'y figurent pas.
  • Route Caddy hermes.internal.mlcrvn.net : « son retrait reste à autoriser séparément ». Rien ne dit qu'il ait été fait, ni qu'il soit suivi dans le projet Infrastructure.
  • « Interfaces web connues » : Kaneo (kaneo.internal.mlcrvn.net) en est absent ; Dockhand et Headplane sont à reconfirmer.
  • Le renvoi à OPERATIONS.md (§ « Dépôts Git nus sur le NAS ») ne dit pas qu'il vit dans le dépôt infrastructure.

Rappel du régime : noms seulement, jamais de valeur.

Critères d'acceptation

  • La section des variables ne décrit plus Homepage et dit où lire les noms réels — choix fait le 2026-10-05 : router vers secrets.sops.env (noms lisibles sans clé, grep -oE '^[A-Z][A-Z0-9_]*') plutôt que recopier une liste qui dériverait comme la précédente
  • Route hermes : retrait constaté et mention supprimée, ou tâche ouverte dans le projet Infrastructure et référencée ici
  • Table des interfaces web vérifiée contre infrastructure/INFRASTRUCTURE.md — Kaneo ajouté le 2026-10-05, le reste non vérifié
  • Renvoi à OPERATIONS.md qualifié (infrastructure/OPERATIONS.md)

Bloquant pour les deux cases restantes : acces/CLAUDE.md n'a pas de section « Périmètre étendu », donc un agent ne peut pas lire infrastructure/INFRASTRUCTURE.md ni le Caddyfile depuis ce dépôt. Soit Mathieu vérifie, soit le travail se fait depuis une session ouverte dans infrastructure.

Migré de Kaneo le 2026-10-11 : ACC-1 du projet « Accès », créée le 2026-10-05.

`ACCESS.md` n'a pas été relu contre l'état réel depuis les décommissions de fin septembre. Écarts constatés le 2026-10-05, depuis ce seul dépôt (rien n'a été vérifié sur les hôtes) : - **« Variables d'accès connues »** ne liste que des `HOMEPAGE_VAR_*`. Homepage a été retiré (ADR-0005 d'`infrastructure`) : la liste décrit un service disparu. À l'inverse, les noms réellement présents dans `secrets/secrets.sops.env` (UniFi, OVH, qBittorrent, Plex, Proxmox, n8n, Uptime Kuma, FreshRSS, Kaneo…) n'y figurent pas. - **Route Caddy `hermes.internal.mlcrvn.net`** : « son retrait reste à autoriser séparément ». Rien ne dit qu'il ait été fait, ni qu'il soit suivi dans le projet Infrastructure. - **« Interfaces web connues »** : Kaneo (`kaneo.internal.mlcrvn.net`) en est absent ; Dockhand et Headplane sont à reconfirmer. - Le renvoi à `OPERATIONS.md` (§ « Dépôts Git nus sur le NAS ») ne dit pas qu'il vit dans le dépôt `infrastructure`. Rappel du régime : noms seulement, jamais de valeur. ## Critères d'acceptation - [x] La section des variables ne décrit plus Homepage et dit où lire les noms réels — choix fait le 2026-10-05 : router vers `secrets.sops.env` (noms lisibles sans clé, `grep -oE '^[A-Z][A-Z0-9_]*'`) plutôt que recopier une liste qui dériverait comme la précédente - [ ] Route `hermes` : retrait constaté et mention supprimée, ou tâche ouverte dans le projet Infrastructure et référencée ici - [ ] Table des interfaces web vérifiée contre `infrastructure/INFRASTRUCTURE.md` — Kaneo ajouté le 2026-10-05, le reste non vérifié - [x] Renvoi à `OPERATIONS.md` qualifié (`infrastructure/OPERATIONS.md`) **Bloquant pour les deux cases restantes** : `acces/CLAUDE.md` n'a pas de section « Périmètre étendu », donc un agent ne peut pas lire `infrastructure/INFRASTRUCTURE.md` ni le Caddyfile depuis ce dépôt. Soit Mathieu vérifie, soit le travail se fait depuis une session ouverte dans `infrastructure`. --- *Migré de Kaneo le 2026-10-11 : ACC-1 du projet « Accès », créée le 2026-10-05.* <!-- kaneo-id: rc6xyzsftvp90y37fev54h2r -->
mathieu self-assigned this 2026-10-11 10:06:12 +02:00
mathieu commented 2026-10-11 10:06:12 +02:00
Author
Owner

Commentaire Kaneo du 2026-10-05 20:53 UTC

Vérification du 2026-10-05, faite depuis le dépôt infrastructure et en lecture seule sur frontend. Aucune case cochée : la session acces les cochera en appliquant les corrections.

Route hermes.internal.mlcrvn.net : retirée le 2026-09-27

  • Commit 48f59df d'infrastructure (2026-09-28, « chore(reseau): retirer les restes de nector, Hermes et du VLAN 6 ») : la route Caddy @hermes a été retirée le 2026-09-27 sur autorisation de Mathieu, avec l'entrée Headscale hermes.internal, l'entrée DNS UniFi, le VLAN 6 et la zone Agents. Le détail est dans infrastructure/INFRASTRUCTURE.md, section « VLANs ».
  • Constat en production : grep -i hermes /etc/caddy/Caddyfile sur frontend ne trouve rien. La sauvegarde Caddyfile.pre-hermes-removal-20260927-233004 existe.
  • Correction : supprimer la phrase d'ACCESS.md. Aucune tâche Infrastructure n'est nécessaire.

Table « Interfaces web connues »

Sources : infrastructure/INFRASTRUCTURE.md, /etc/caddy/Caddyfile de frontend et un test HTTP de chaque URL.

  • Proxmox https://10.42.10.2:8006 : correct (INFRASTRUCTURE.md, tableau des hôtes, pve = 10.42.10.2). HTTP 200.
  • NAS dsm.internal.mlcrvn.net ou nas.storage.mlcrvn.net:5001 : correct. INFRASTRUCTURE.md, § NAS : « Accès DSM complet : dsm.internal.mlcrvn.net ». Caddy fait @dsm → diskstation_tls 5001. Les deux URL répondent 200.
  • NAS, partage public : correct. Caddy fait redir /sharing/* https://share.mlcrvn.net{uri} permanent, et share.mlcrvn.net pointe vers DSM 7001. Vérifié : 301 vers share.mlcrvn.net.
  • UniFi https://10.42.2.1 : correct (INFRASTRUCTURE.md : « Passerelle UniFi (UCG Max) connue à 10.42.2.1 »). HTTP 200.
  • Headscale https://control.mlcrvn.net : correct (bloc Caddy control.mlcrvn.net → localhost:8080).
  • Headplane https://control.mlcrvn.net/admin : confirmé. Caddy a reverse_proxy /admin* localhost:3000, INFRASTRUCTURE.md l. 100 le confirme, et l'URL répond 302 vers la connexion.
  • Dockhand https://dockhand.internal.mlcrvn.net : confirmé. Caddy a @dockhand → docker 3200, l'URL figure dans l'inventaire des services d'INFRASTRUCTURE.md et répond 200.
  • Kaneo https://kaneo.internal.mlcrvn.net : URL fausse, à remplacer par https://projet.mlcrvn.net. Le nom interne a été retiré à la bascule du 2026-10-05 (commit 69569bc, infrastructure/kaneo/README.md : « Le nom interne kaneo.internal.mlcrvn.net a été retiré à la bascule »). Le Caddyfile n'a plus de route kaneo.internal, qui ne répond plus. Le service est désormais public, derrière CrowdSec, avec authentification obligatoire.

Ajouts proposés, qui sont de vraies consoles d'administration (INFRASTRUCTURE.md, inventaire des services, et routes Caddy présentes) :

  • Uptime Kuma (supervision) : https://status.internal.mlcrvn.net (Caddy @status → docker 3001).
  • Grafana (métriques) : https://grafana.internal.mlcrvn.net (Caddy @grafana → docker 3030).
  • crowdsec-web-ui (décisions CrowdSec) : https://crowdsec.internal.mlcrvn.net (Caddy @crowdsec_ui → docker 3010).

Non proposés : Prometheus, une interface de requêtes plutôt qu'une console, et les services applicatifs (FreshRSS, Homebox, Stash, Actual, n8n).

*Commentaire Kaneo du 2026-10-05 20:53 UTC* Vérification du 2026-10-05, faite depuis le dépôt `infrastructure` et en lecture seule sur `frontend`. Aucune case cochée : la session `acces` les cochera en appliquant les corrections. ## Route `hermes.internal.mlcrvn.net` : retirée le 2026-09-27 - Commit `48f59df` d'`infrastructure` (2026-09-28, « chore(reseau): retirer les restes de nector, Hermes et du VLAN 6 ») : la route Caddy `@hermes` a été retirée le 2026-09-27 sur autorisation de Mathieu, avec l'entrée Headscale `hermes.internal`, l'entrée DNS UniFi, le VLAN 6 et la zone `Agents`. Le détail est dans `infrastructure/INFRASTRUCTURE.md`, section « VLANs ». - Constat en production : `grep -i hermes /etc/caddy/Caddyfile` sur `frontend` ne trouve rien. La sauvegarde `Caddyfile.pre-hermes-removal-20260927-233004` existe. - Correction : supprimer la phrase d'ACCESS.md. Aucune tâche Infrastructure n'est nécessaire. ## Table « Interfaces web connues » Sources : `infrastructure/INFRASTRUCTURE.md`, `/etc/caddy/Caddyfile` de `frontend` et un test HTTP de chaque URL. - **Proxmox** `https://10.42.10.2:8006` : correct (INFRASTRUCTURE.md, tableau des hôtes, `pve` = `10.42.10.2`). HTTP 200. - **NAS** `dsm.internal.mlcrvn.net` ou `nas.storage.mlcrvn.net:5001` : correct. INFRASTRUCTURE.md, § NAS : « Accès DSM complet : `dsm.internal.mlcrvn.net` ». Caddy fait `@dsm` → `diskstation_tls 5001`. Les deux URL répondent 200. - **NAS, partage public** : correct. Caddy fait `redir /sharing/* https://share.mlcrvn.net{uri} permanent`, et `share.mlcrvn.net` pointe vers DSM 7001. Vérifié : 301 vers `share.mlcrvn.net`. - **UniFi** `https://10.42.2.1` : correct (INFRASTRUCTURE.md : « Passerelle UniFi (UCG Max) connue à `10.42.2.1` »). HTTP 200. - **Headscale** `https://control.mlcrvn.net` : correct (bloc Caddy `control.mlcrvn.net` → `localhost:8080`). - **Headplane** `https://control.mlcrvn.net/admin` : **confirmé**. Caddy a `reverse_proxy /admin* localhost:3000`, INFRASTRUCTURE.md l. 100 le confirme, et l'URL répond 302 vers la connexion. - **Dockhand** `https://dockhand.internal.mlcrvn.net` : **confirmé**. Caddy a `@dockhand` → `docker 3200`, l'URL figure dans l'inventaire des services d'INFRASTRUCTURE.md et répond 200. - **Kaneo** `https://kaneo.internal.mlcrvn.net` : **URL fausse**, à remplacer par `https://projet.mlcrvn.net`. Le nom interne a été retiré à la bascule du 2026-10-05 (commit `69569bc`, `infrastructure/kaneo/README.md` : « Le nom interne `kaneo.internal.mlcrvn.net` a été retiré à la bascule »). Le Caddyfile n'a plus de route `kaneo.internal`, qui ne répond plus. Le service est désormais public, derrière CrowdSec, avec authentification obligatoire. Ajouts proposés, qui sont de vraies consoles d'administration (INFRASTRUCTURE.md, inventaire des services, et routes Caddy présentes) : - **Uptime Kuma (supervision)** : `https://status.internal.mlcrvn.net` (Caddy `@status` → `docker 3001`). - **Grafana (métriques)** : `https://grafana.internal.mlcrvn.net` (Caddy `@grafana` → `docker 3030`). - **crowdsec-web-ui (décisions CrowdSec)** : `https://crowdsec.internal.mlcrvn.net` (Caddy `@crowdsec_ui` → `docker 3010`). Non proposés : Prometheus, une interface de requêtes plutôt qu'une console, et les services applicatifs (FreshRSS, Homebox, Stash, Actual, n8n).
mathieu commented 2026-10-11 10:06:12 +02:00
Author
Owner

Commentaire Kaneo du 2026-10-05 21:30 UTC

Complément du 2026-10-05 : kaneo.internal.mlcrvn.net n'existe plus nulle part, ce qui confirme la correction de la ligne Kaneo (→ https://projet.mlcrvn.net).

  • DNS LAN UniFi : enregistrement retiré par Mathieu (scripts/unifi/unifi_dns_record.py remove), relu par l'API ("records": []). Le nom ne résout plus sur 10.42.2.1.
  • Headscale (frontend) : entrée retirée de /etc/headscale/extra-records.json, sauvegarde extra-records.json.pre-kaneo-internal-removal-20261005-225634, Headscale redémarré, /health à pass, nœuds reconnectés.
  • Caddy : aucune route kaneo.internal (déjà constaté).
  • Dépôt infrastructure : commit 4b8c200 (extra-records.json, commentaire du script de sauvegarde, kaneo/README.md, kaneo/Caddyfile.kaneo qui décrit maintenant le site block réel de projet.mlcrvn.net), fusionné dans main en 6f45b75 et poussé sur le NAS.

Aucune case cochée : la session acces les cochera en appliquant les corrections.

*Commentaire Kaneo du 2026-10-05 21:30 UTC* Complément du 2026-10-05 : `kaneo.internal.mlcrvn.net` n'existe plus nulle part, ce qui confirme la correction de la ligne Kaneo (→ `https://projet.mlcrvn.net`). - **DNS LAN UniFi** : enregistrement retiré par Mathieu (`scripts/unifi/unifi_dns_record.py remove`), relu par l'API (`"records": []`). Le nom ne résout plus sur `10.42.2.1`. - **Headscale (`frontend`)** : entrée retirée de `/etc/headscale/extra-records.json`, sauvegarde `extra-records.json.pre-kaneo-internal-removal-20261005-225634`, Headscale redémarré, `/health` à `pass`, nœuds reconnectés. - **Caddy** : aucune route `kaneo.internal` (déjà constaté). - **Dépôt `infrastructure`** : commit `4b8c200` (`extra-records.json`, commentaire du script de sauvegarde, `kaneo/README.md`, `kaneo/Caddyfile.kaneo` qui décrit maintenant le site block réel de `projet.mlcrvn.net`), fusionné dans `main` en `6f45b75` et poussé sur le NAS. Aucune case cochée : la session `acces` les cochera en appliquant les corrections.
mathieu commented 2026-10-11 13:24:01 +02:00
Author
Owner

Copie de l'essai de migration Kaneo → Forgejo du 2026-10-11 (rendu validé avant la vraie migration). Le ticket réel est mathieu/acces-suivi#1. Fermé comme doublon.

Copie de l'essai de migration Kaneo → Forgejo du 2026-10-11 (rendu validé avant la vraie migration). Le ticket réel est mathieu/acces-suivi#1. Fermé comme doublon.
mathieu 2026-10-11 13:24:16 +02:00
Sign in to join this conversation.
No Branch/Tag specified
Branches Tags
main
No results found.
Labels
Clear labels   
Compat/Breaking
Breaking change that won't be backward compatible

  
Décommissions et revue d'usage

   
Garde-fous

   
Harnais d'évaluation

   
Kind/Bug
Something is not working

  
Kind/Documentation
Documentation changes

  
Kind/Enhancement
Improve existing functionality

  
Kind/Feature
New functionality

  
Kind/Security
This is security issue

  
Kind/Testing
Issue or pull request related to testing

  
Outillage agent
  
Priority
Critical
 The priority is critical

  
Priority
High
 The priority is high

  
Priority
Low
 The priority is low

  
Priority
Medium
 The priority is medium

  
Reviewed
Confirmed
 Issue has been confirmed

  
Reviewed
Duplicate
 This issue or pull request already exists

  
Reviewed
Invalid
 Invalid issue

  
Reviewed
Won't Fix
 This issue won't be fixed

  
Sauvegarde hors site

   
Skills
  
Status
Abandoned
 Somebody has started to work on this but abandoned work

  
Status
Blocked
 Something is blocking this issue or pull request

  
Status
Need More Info
 Feedback is required to reproduce issue or to continue work

  
code
Lane code (ADR-0020) : implémente le ticket, pousse une branche, ouvre une PR

  
fix
Déclenche la lane fix (ADR-0020) : corrige la PR d'après sa CI en échec ou ses revues, pousse sur sa branche

  
needs-info
Tri : il manque une information que seul l'auteur peut donner

  
ready-for-agent
Tri : plus aucune décision à prendre, implémentable par un agent (ne déclenche rien)

  
ready-for-human

   
review
Déclenche la lane review (ADR-0020) : relit la PR et publie un verdict

  
triage
Déclenche la lane triage (ADR-0020) : trie le ticket et propose des étiquettes

No labels
Compat/Breaking
Décommissions et revue d'usage
Garde-fous
Harnais d'évaluation
Kind/Bug
Kind/Documentation
Kind/Enhancement
Kind/Feature
Kind/Security
Kind/Testing
Outillage agent
Priority
Critical
Priority
High
Priority
Low
Priority
Medium
Reviewed
Confirmed
Reviewed
Duplicate
Reviewed
Invalid
Reviewed
Won't Fix
Sauvegarde hors site
Skills
Status
Abandoned
Status
Blocked
Status
Need More Info
code
fix
needs-info
ready-for-agent
ready-for-human
review
triage
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
mathieu
1 participant
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set

Reference
mathieu/essai-actions#3
No description provided.