Reprendre la documentation de déploiement, qui vivait dans alpinux-owni
Ce dépôt d'infrastructure décrit la machine ; le déploiement de ce site-ci le regarde lui, et le tenir ailleurs garantissait qu'il divergerait du code qu'il décrit. Repris tel quel depuis alpinux-owni/docs/, où il est supprimé en retour. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01SFbwnJurBwTs7x7t93ecku
This commit is contained in:
Alpinux
parent
8655c250ec
commit
ab0cc146ea
1 changed files with 156 additions and 0 deletions
156
INFRASTRUCTURE.md
Normal file
156
INFRASTRUCTURE.md
Normal file
|
|
@ -0,0 +1,156 @@
|
||||||
|
# static.alpinux.org — infrastructure
|
||||||
|
|
||||||
|
Configuration de référence pour `static.alpinux.org` (CDN assets Alpinux + tableau de bord).
|
||||||
|
|
||||||
|
## Fichiers
|
||||||
|
|
||||||
|
| Fichier | Description |
|
||||||
|
|---------|-------------|
|
||||||
|
| `static.alpinux.org.vhost.conf` | Configuration Apache — **référence audit, non déployé manuellement** |
|
||||||
|
| `static-cdn.service` | Systemd unit pour l'app Flask (tableau de bord) |
|
||||||
|
|
||||||
|
## Gestion via ISPConfig
|
||||||
|
|
||||||
|
Le VirtualHost est **créé et géré par ISPConfig** (`https://owni.alpinux.org:8080`).
|
||||||
|
|
||||||
|
Pour recréer ou reconfigurer le site :
|
||||||
|
1. *Sites → Ajouter un site web* — domaine `static.alpinux.org`
|
||||||
|
2. Onglet *SSL* → activer **Let's Encrypt**
|
||||||
|
3. PHP désactivé (onglet Options avancées)
|
||||||
|
|
||||||
|
## Tableau de bord Flask (app/)
|
||||||
|
|
||||||
|
L'app Flask (`static/app/`) sert la page d'accueil de `static.alpinux.org` après authentification AlpID.
|
||||||
|
|
||||||
|
### Déploiement
|
||||||
|
|
||||||
|
Depuis le poste de développement :
|
||||||
|
|
||||||
|
```bash
|
||||||
|
cd org.alpinux.owni/static
|
||||||
|
scripts/deploy-app.sh
|
||||||
|
```
|
||||||
|
|
||||||
|
Le script :
|
||||||
|
- rsync `app/` → `/opt/static-cdn/` sur le serveur (hors web root)
|
||||||
|
- crée le venv Python et installe les dépendances
|
||||||
|
- installe et démarre `static-cdn.service` via systemd
|
||||||
|
|
||||||
|
Créer le fichier `/opt/static-cdn/.env` sur le serveur après le premier déploiement :
|
||||||
|
|
||||||
|
```bash
|
||||||
|
ssh alpinux.org
|
||||||
|
nano /opt/static-cdn/.env
|
||||||
|
sudo systemctl restart static-cdn
|
||||||
|
```
|
||||||
|
|
||||||
|
### Apache — directives proxy
|
||||||
|
|
||||||
|
Ajouter dans ISPConfig → Sites → `static.alpinux.org` → onglet **Options** → champ
|
||||||
|
**Directives Apache personnalisées SSL** :
|
||||||
|
|
||||||
|
```apache
|
||||||
|
# Fichiers CDN publics — Apache sert directement depuis DocumentRoot
|
||||||
|
ProxyPass /logo/ !
|
||||||
|
ProxyPass /wiki/ !
|
||||||
|
ProxyPass /error/ !
|
||||||
|
ProxyPass /favicon.ico !
|
||||||
|
ProxyPass /robots.txt !
|
||||||
|
|
||||||
|
# Tableau de bord → Flask sur 127.0.0.1:5003
|
||||||
|
RequestHeader set X-Forwarded-Proto "https"
|
||||||
|
ProxyPreserveHost On
|
||||||
|
ProxyPass / http://127.0.0.1:5003/
|
||||||
|
ProxyPassReverse / http://127.0.0.1:5003/
|
||||||
|
```
|
||||||
|
|
||||||
|
Note : `/stats/` n'est **pas** exclu — il est servi par Flask avec authentification AlpID.
|
||||||
|
|
||||||
|
`RequestHeader set X-Forwarded-Proto "https"` est indispensable : sans lui, Flask génère
|
||||||
|
le `redirect_uri` en HTTP et Keycloak refuse le callback.
|
||||||
|
|
||||||
|
### Variables d'environnement (`/opt/static-cdn/.env`)
|
||||||
|
|
||||||
|
| Variable | Obligatoire | Valeur / Description |
|
||||||
|
|----------|-------------|----------------------|
|
||||||
|
| `SECRET_KEY` | oui | Chaîne aléatoire longue (`python3 -c "import secrets; print(secrets.token_hex(32))"`) |
|
||||||
|
| `ALPID_CLIENT_ID` | oui | `static-cdn` (client créé dans Keycloak) |
|
||||||
|
| `ALPID_CLIENT_SECRET` | oui | Secret généré par Keycloak |
|
||||||
|
| `ALPID_DISCOVERY_URL` | oui | `https://alpid.alpinux.org/realms/master/.well-known/openid-configuration` |
|
||||||
|
| `ADMIN_GROUPS` | non | Groupes Keycloak autorisés (défaut : `admins`) — nécessite le claim `groups` activé côté Keycloak |
|
||||||
|
| `ADMIN_EMAILS` | non | Emails autorisés séparés par virgule — fallback si `groups` n'est pas dans le token |
|
||||||
|
| `ASSETS_ROOT` | oui | `/var/www/clients/client1/web17/web` |
|
||||||
|
| `STATS_FILE` | non | `/opt/static-cdn/goaccess.html` — rapport HTML GoAccess |
|
||||||
|
| `STATS_JSON` | non | `/opt/static-cdn/goaccess.json` — statistiques par fichier (badges "vues" dans browse) |
|
||||||
|
|
||||||
|
### Keycloak — realm et client
|
||||||
|
|
||||||
|
- **Realm** : `master` (seul realm actif sur cette instance AlpID)
|
||||||
|
- **Client ID** : `static-cdn`
|
||||||
|
- **Redirect URI** : `https://static.alpinux.org/auth/callback`
|
||||||
|
- **Scopes demandés** : `openid profile email` — le scope `groups` n'est **pas** activé
|
||||||
|
sur ce client ; l'autorisation se fait via `ADMIN_EMAILS` ou, si les deux sont absents,
|
||||||
|
tous les utilisateurs AlpID sont acceptés
|
||||||
|
|
||||||
|
### Logique d'autorisation (priorité décroissante)
|
||||||
|
|
||||||
|
1. Claim `groups` présent dans le token → vérification contre `ADMIN_GROUPS`
|
||||||
|
2. `ADMIN_EMAILS` défini dans `.env` → l'email du compte doit figurer dans la liste
|
||||||
|
3. Ni l'un ni l'autre → tout utilisateur authentifié via AlpID est accepté
|
||||||
|
|
||||||
|
Pour restreindre à un seul administrateur :
|
||||||
|
```
|
||||||
|
ADMIN_EMAILS=cedric.alpinux@acemail.fr
|
||||||
|
```
|
||||||
|
|
||||||
|
## Chemin web root
|
||||||
|
|
||||||
|
ISPConfig attribue `/var/www/clients/client1/web17/web` au site `static.alpinux.org`.
|
||||||
|
Appartient à `web17:client1` (`drwx--x---`) — `sudo rsync` requis pour y écrire.
|
||||||
|
|
||||||
|
### ACL pour l'app Flask
|
||||||
|
|
||||||
|
Le service tourne en tant qu'`abonnelc` qui n'est ni `web17` ni dans `client1`.
|
||||||
|
Une ACL POSIX lui donne les droits de lecture nécessaires :
|
||||||
|
|
||||||
|
```bash
|
||||||
|
sudo setfacl -R -m u:abonnelc:rx /var/www/clients/client1/web17/web
|
||||||
|
sudo setfacl -d -m u:abonnelc:rx /var/www/clients/client1/web17/web
|
||||||
|
```
|
||||||
|
|
||||||
|
ISPConfig peut réinitialiser les permissions du web root lors d'une modification du site —
|
||||||
|
relancer ces deux commandes si le tableau de bord retourne une `PermissionError`.
|
||||||
|
|
||||||
|
## Statistiques GoAccess
|
||||||
|
|
||||||
|
### Génération manuelle
|
||||||
|
|
||||||
|
```bash
|
||||||
|
sudo goaccess /var/log/ispconfig/httpd/static.alpinux.org/access.log \
|
||||||
|
--log-format=COMBINED --no-global-config \
|
||||||
|
--output=/opt/static-cdn/goaccess.html
|
||||||
|
sudo goaccess /var/log/ispconfig/httpd/static.alpinux.org/access.log \
|
||||||
|
--log-format=COMBINED --no-global-config \
|
||||||
|
--output=/opt/static-cdn/goaccess.json
|
||||||
|
sudo chown abonnelc: /opt/static-cdn/goaccess.html /opt/static-cdn/goaccess.json
|
||||||
|
```
|
||||||
|
|
||||||
|
### Cron quotidien (root)
|
||||||
|
|
||||||
|
```cron
|
||||||
|
0 4 * * * goaccess /var/log/ispconfig/httpd/static.alpinux.org/access.log \
|
||||||
|
--log-format=COMBINED --no-global-config \
|
||||||
|
--output=/opt/static-cdn/goaccess.html && \
|
||||||
|
goaccess /var/log/ispconfig/httpd/static.alpinux.org/access.log \
|
||||||
|
--log-format=COMBINED --no-global-config \
|
||||||
|
--output=/opt/static-cdn/goaccess.json && \
|
||||||
|
chown abonnelc: /opt/static-cdn/goaccess.html /opt/static-cdn/goaccess.json
|
||||||
|
```
|
||||||
|
|
||||||
|
Le rapport JSON alimente les **badges "Vues"** dans le navigateur de fichiers (browse).
|
||||||
|
Sans ce fichier, les badges sont masqués.
|
||||||
|
|
||||||
|
## Accès rsync (assets CDN)
|
||||||
|
|
||||||
|
Les assets sont synchronisés via `static/scripts/push-assets.sh` / `pull-assets.sh`.
|
||||||
|
Le dossier `app/` est exclu du rsync (déployé séparément, non servi depuis le web root).
|
||||||
Loading…
Reference in a new issue