← Modification précédente Modification suivante →

Version du 16 octobre 2026 à 16:37

AJLSM-DEPLOY — Déploiement automatisé des VM Proxmox

Document consolidé au 16 octobre 2026. Cette procédure réunit la page du 15 octobre et la recette actuelle. Elle remplace leurs indications opérationnelles divergentes. L’original du 15 octobre reste archivé séparément.

Référence technique : scripts reçus de Saturne3, puis lot de recette avec lanceur du cycle et assistant YAML.

1. Périmètre et résultat de la recette

Le cycle technique a été exécuté sur MERCURE3 sans erreur signalée. Les vérifications finales transmises confirment :

connexion SSH avec le compte ajlsm ;
élévation sudo avec le mot de passe défini pendant le cycle ;
hostname mercure3.ajlsm.com ;
volume racine ext4 de 97 Gio, dont 85 Gio disponibles lors du contrôle.

Le cycle couvre le clonage, les ressources, l’initialisation du clone, l’extension de la racine, l’identité système, le réseau, SSH, le mot de passe et le certificat TLS interne.

NFS, les configurations applicatives Apache2, Pleade, Drupal et Matomo ne font pas encore partie de ce cycle. Certains logiciels peuvent déjà être présents dans le modèle : leur présence ne constitue pas une configuration applicative du projet.

2. Où exécuter les commandes

Machine	Rôle	Exemple d’invite
Mac de l’administrateur	Transfert des archives par scp	Invite locale du Mac
Saturne3	Préparation YAML, scripts Proxmox et cycle	root@Saturne3
MERCURE3	Vérifications dans la VM	ajlsm@mercure3 ou root@mercure3

Les scripts de déploiement sont exécutés sur Saturne3, pas dans MERCURE3. Après « ssh ajlsm@10.0.0.43 », attendre l’invite de la VM avant de saisir les commandes suivantes. Pour revenir de root@mercure3 à Saturne3 : un exit quitte sudo, puis un second exit ferme SSH.

3. Organisation des fichiers

/root/ajlsm-deploy/
  archives/                         Archives reçues, conservées comme références
  recettes/20261016/
    ajlsm-deploy-cycle/             Lot technique validé et assistant ajouté
    ajlsm-deploy-assistant/         Distribution de l’assistant et tests
    ajlsm-deploy-documentation/     Présent guide et modèles YAML

/etc/ajlsm/deploy/projets/mercure3.yaml   Configuration actuellement utilisée
/usr/local/sbin/                        Scripts installés antérieurement

Le lot de recette contient ajlsm-deploy, ajlsm-deploy-check, ajlsm-deploy-resources, ajlsm-deploy-cycle et les modules ajlsm_deploy_common.py, ajlsm_deploy_rootgrow.py et ajlsm_deploy_postconfig.py. L’assistant ajlsm-deploy-yaml a été ajouté à ce même dossier.

Conserver exécutables et modules ensemble. Utiliser les chemins ./ depuis le dossier de recette pour ne pas appeler une ancienne version de /usr/local/sbin. Les anciennes archives « ajlsm-deploy-revise » et « correction-suggestions » ne sont pas la référence courante : elles précèdent les phases supplémentaires reçues dans l’archive serveur.

Prérequis : Python 3.9 ou supérieur, PyYAML 6, outils Proxmox sur le nœud cible et prérequis du modèle AJLSM. Les phases invitées utilisent notamment l’agent QEMU, ajlsm-clone-init, Python, systemd et Netplan. L’extension actuelle cible ext4/LVM sur /dev/sda3, avec un seul PV et un seul LV.

4. Les deux fichiers de préconfiguration

4.1. projet-vierge.yaml

Ce modèle reprend toute la structure actuelle sans valeur opérationnelle préremplie. Chaque champ doit être renseigné. Seul proxmox.vmid peut rester null : il signifie alors attribution automatique.

Le modèle comporte deux interfaces dont les valeurs sont null. Adapter le nombre d’interfaces avant la saisie si nécessaire. Pour déterminer ce nombre par les questions de l’assistant, utiliser plutôt le mode --new.

Un modèle vierge est volontairement refusé par --check. Il ne doit jamais être passé directement au lanceur du cycle.

4.2. mercure3-reference.yaml

Ce fichier conserve les valeurs du projet validé : modèle 506 sur Saturne3, nom MERCURE3, 8 vCPU, 24576 Mio de RAM maximale, 16384 Mio minimale, disque 100 Gio, extension racine activée et paramètres réseau du projet.

Il permet de reconstruire une nouvelle VM avec la même configuration technique si le modèle, le stockage, les bridges et les préparatifs externes sont toujours disponibles. Il ne sauvegarde ni les données de l’ancienne VM, ni ses UUID, machine-id, clés hôte SSH ou mots de passe. Ces identités sont traitées par le cycle et ne sont pas à recopier.

Avec vmid: null, le VMID de remplacement peut différer de celui de l’ancienne VM. Le VMID 505 observé pendant la recette n’est pas une réservation permanente.

Ne pas lancer cette référence tant que MERCURE3 existe encore. Le clonage refuse un nom déjà présent. Pour tester une deuxième VM en parallèle, définir un autre nom, hostname, des IP distinctes et préparer DNS/OPNsense/Ansible en conséquence.

4.3. Valeurs acceptées

projet.environnement et tags : interne, client, prod. Les tags sont une liste sans doublons ; [] est admis.
CPU, mémoire et taille du disque : entiers strictement positifs ; mémoire minimale inférieure ou égale à la maximale.
Booléens : utiliser true ou false sans guillemets.
Interfaces Proxmox : net suivi de chiffres ; interfaces invitées : ens suivi de chiffres.
Adresses d’interfaces : IPv4/CIDR. Loopback : IPv4/32. Passerelle et DNS : IPv4 sans préfixe.
Passerelle : interface déclarée et adresse appartenant à son sous-réseau, distincte des adresses de la VM.
Hostname : nom DNS en minuscules.
Serveur, bridge et stockage : valeurs adaptées à l’infrastructure ; aucune liste fermée inventée.

Les clés inconnues ou répétées sont refusées. Ne pas ajouter de sections applicatives avant l’évolution coordonnée du schéma et des scripts. Ne pas utiliser [à renseigner] : les crochets créent une liste YAML.

5. Préparer et valider le YAML

Sur Saturne3, se placer dans le lot de recette :

cd /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle

5.1. Vérifier un fichier existant sans le modifier

./ajlsm-deploy-yaml /etc/ajlsm/deploy/projets/mercure3.yaml --check

Le message de succès signifie que les valeurs et leur cohérence locale sont conformes. Il ne certifie pas la préparation des services externes.

Voici un exemple :

projet:
  code: mercure3
  nom: MERCURE3
  environnement: interne

proxmox:
  serveur: Saturne3
  template_vmid: 506
  vmid: null
  nom_vm: MERCURE3

  cpu:
    sockets: 1
    cores: 8

  memoire:
    maximale_mib: 24576
    minimale_mib: 16384

  disque_systeme:
    stockage: local-zfs
    taille_gib: 100
    etendre_volume_racine: true

  demarrage_auto: true

  tags:
    - interne

systeme:
  hostname: mercure3.ajlsm.com

reseau:
  interfaces:
    - nom: net0
      bridge: vmbr2
      systeme: ens18
      ipv4: 10.0.0.43/24

    - nom: net1
      bridge: vmbr1
      systeme: ens19
      ipv4: 192.168.123.27/24

  loopback:
    ipv4: 51.83.117.113/32

  passerelle:
    ipv4: 10.0.0.4
    interface: ens18

  dns:
    - 10.0.0.4

5.2. Compléter le modèle vierge

Après extraction du présent lot documentaire :

./ajlsm-deploy-yaml \
  /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-documentation/projet-vierge.yaml \
  --output /root/ajlsm-deploy/recettes/20261016/nouveau-projet.yaml

Toutes les valeurs obligatoires seront demandées. Pour saisir de nouveau le projet MERCURE3, consulter mercure3-reference.yaml comme fiche de paramètres, sans lancer de déploiement.

# Préconfiguration AJLSM vierge : aucune valeur d’infrastructure préremplie.
# Compléter avec ajlsm-deploy-yaml ; ne pas déployer ce modèle tel quel.
# null = champ à renseigner, SAUF proxmox.vmid où null = attribution automatique.
# Les crochets [à renseigner] sont interdits : ils représenteraient une liste YAML.
# Deux interfaces sont proposées : adapter leur nombre avant la saisie.
projet:
  code: null  # Obligatoire : minuscules/chiffres, tiret et souligné ; ex. mercure3.
  nom: null  # Obligatoire : nom lisible du projet.
  environnement: null  # Liste fermée : interne, client, prod.

proxmox:
  serveur: null  # Obligatoire : nom du nœud Proxmox, ex. Saturne3.
  template_vmid: null  # Obligatoire : entier positif, VM modèle existante et arrêtée.
  vmid: null  # Automatique ; sinon entier positif différent de template_vmid.
  nom_vm: null  # Obligatoire : nom de VM, lettres/chiffres/point/tiret.
  cpu:
    sockets: null  # Obligatoire : entier positif.
    cores: null  # Obligatoire : entier positif ; vCPU = sockets × cores.
  memoire:
    maximale_mib: null  # Obligatoire : entier positif, en Mio.
    minimale_mib: null  # Obligatoire : entier positif, inférieur ou égal au maximum.
  disque_systeme:
    stockage: null  # Obligatoire : identifiant de stockage Proxmox existant.
    taille_gib: null  # Obligatoire : entier positif en Gio ; aucune réduction de disque.
    etendre_volume_racine: null  # Obligatoire : true ou false ; active la phase racine.
  demarrage_auto: null  # Obligatoire : true ou false ; appliqué à l’activation réseau.
  tags: null  # Obligatoire : liste ; interne/client/prod uniquement, sans doublons ; [] admis.

systeme:
  hostname: null  # Obligatoire : nom DNS en minuscules ; vérifier sa déclaration en amont.

reseau:
  interfaces:
    - nom: null  # Obligatoire : net suivi de chiffres, conforme à la VM modèle.
      bridge: null  # Obligatoire : bridge existant, au plus 15 caractères.
      systeme: null  # Obligatoire : ens suivi de chiffres, conforme au modèle actuel.
      ipv4: null  # Obligatoire : IPv4/CIDR, ex. 10.0.0.43/24 ; adresse unique.
    - nom: null
      bridge: null
      systeme: null
      ipv4: null
  loopback:
    ipv4: null  # Obligatoire : IPv4 avec préfixe /32, distincte des interfaces.
  passerelle:
    ipv4: null  # Obligatoire : IPv4 seule, dans le sous-réseau de son interface.
    interface: null  # Obligatoire : un des noms systeme déclarés ci-dessus.
  dns: null  # Obligatoire : liste non vide d’IPv4 sans préfixe, ex. [10.0.0.4].

5.3. Créer sans modèle

./ajlsm-deploy-yaml /root/ajlsm-deploy/recettes/20261016/nouveau-projet.yaml --new

Cette commande est une alternative à la précédente : le chemin doit être inexistant. L’assistant pose les questions, y compris le nombre d’interfaces, sans reprendre implicitement les valeurs de MERCURE3.

5.4. Revoir un projet renseigné

./ajlsm-deploy-yaml /etc/ajlsm/deploy/projets/mercure3.yaml --review \
  --output /root/ajlsm-deploy/recettes/20261016/mercure3-relecture.yaml

Entrée conserve une valeur existante valide.
ANNULER, Ctrl-C ou fin d’entrée abandonnent sans enregistrer.
Tags et DNS sont saisis séparés par des virgules ; [] ou aucun signifie tags vides.
Saisir auto ou null pour un VMID automatique.
Après une incohérence, donner le chemin du champ à corriger ; ? affiche les chemins.
Le résumé complet est présenté avant confirmation OUI/NON d’enregistrement.

L’original reste intact, avec ses commentaires. La copie est réécrite en YAML, sans reprise des commentaires. Aucun fichier existant n’est écrasé. Si une destination existe, choisir un nouveau nom avec --output.

5.5. Préparatifs externes

Avant une création, vérifier séparément la réservation des IP, les déclarations DNS, les règles/routes/NAT nécessaires dans OPNsense et l’inventaire ou les préparatifs Ansible. Ne pas inscrire de mots de passe dans le YAML ; conserver les secrets dans le dispositif prévu pour leur gestion.

L’assistant actuel ne vérifie pas automatiquement ces services et ne marque pas un projet « prêt à déployer » sur cette seule base. Leur intégration reste à réaliser.

Le contrôle Proxmox autonome examine notamment le modèle, ses ressources, le stockage et les bridges. Il concerne une nouvelle création et peut refuser un projet déjà déployé :

./ajlsm-deploy-check /chemin/vers/projet.yaml

6. Afficher le plan puis lancer le cycle

6.1. Plan sans exécution

./ajlsm-deploy-cycle /chemin/vers/projet.yaml --plan

Le plan valide le YAML et affiche les commandes, sans exécuter les phases ni vérifier l’infrastructure. Il doit contenir les 11 étapes, toutes dans le dossier de recette.

6.2. Cycle réel pour une nouvelle VM

./ajlsm-deploy-cycle /chemin/vers/projet.yaml

Le lanceur exécute les phases réelles, sans simulation automatique. Il attend seulement les confirmations, les saisies nécessaires et la fin de chaque commande. Il s’arrête sur refus ou erreur. Il ne répond pas à la place de l’administrateur et ne capture pas les mots de passe.

N°	Étape	Commande réelle	Simulation facultative
1	Clonage	--clone	--dry-run
2	Ressources	--configure-resources	--resources-dry-run
3	Premier démarrage isolé	--first-boot-apply	--first-boot-dry-run
4	Extension partition/LVM/ext4	--root-grow-apply	--root-grow-dry-run
5	Identité système	--system-apply	--system-dry-run
6	Préparation Netplan	--network-apply	--network-dry-run
7	Activation réseau	--network-enable	--network-enable-dry-run
8	Audit SSH	--ssh-audit	Aucune option dédiée
9	Sécurisation SSH	--ssh-secure	Aucune option dédiée
10	Mot de passe ajlsm	--password-ajlsm	Aucune option dédiée
11	Certificat TLS interne	--tls-apply	Aucune option dédiée

L’extension racine est indispensable quand etendre_volume_racine vaut true. Agrandir le disque Proxmox ne suffit pas : la partition, le PV LVM, le LV et ext4 doivent aussi être étendus. Cette phase doit figurer après le premier démarrage, avant la personnalisation système. Avec false, la phase annonce sa désactivation.

Le démarrage et la personnalisation se font réseau isolé. Netplan est préparé avant activation des liens. La phase d’activation contrôle le réseau et applique demarrage_auto.

Le certificat TLS interne ne constitue pas, à lui seul, une configuration des applications du projet ou un certificat publiquement reconnu.

6.3. Mode manuel

Chaque phase peut être lancée séparément avec ./ajlsm-deploy suivi du YAML et de son option. Après succès, le lot courant affiche deux lignes pour l’étape suivante : Simulation et Exécution. Si la simulation n’existe pas, il le signale. Aucune suggestion n’est exécutée automatiquement.

Les simulations peuvent consulter l’invité et émettre des sondes ARP selon la phase : elles ne sont pas toutes des contrôles hors ligne. L’absence de réponse ARP ne remplace pas la réservation des adresses dans l’inventaire réseau.

7. Erreur, annulation et reprise

Conserver la sortie complète et diagnostiquer la phase fautive avant de reprendre. Une phase peut être partiellement effectuée ; le lanceur n’effectue ni suppression de VM ni restauration globale automatique.

./ajlsm-deploy-cycle /chemin/vers/projet.yaml --from extension-racine

--from inclut l’étape indiquée et saute les précédentes à la demande de l’administrateur. Il ne certifie pas leur état. Les contrôles propres aux phases restent actifs. Le lanceur ne possède pas de journal persistant global de progression.

Ne pas relancer le cycle depuis le clonage sur une VM existante pour terminer une étape. Ne pas relancer des étapes déjà terminées uniquement parce qu’une commande manuelle les suggère. Les suggestions suivent l’ordre théorique et ne constituent pas un inventaire de l’état de la VM.

Codes de sortie : 0 succès, 1 annulation, 2 erreur. Le lanceur normalise les autres codes d’échec de ses sous-processus en erreur et ne poursuit pas.

8. Vérifications finales

Sur Saturne3, avec le VMID réellement annoncé au clonage :

qm list
qm status VMID
qm config VMID

Remplacer VMID par l’identifiant vérifié. Contrôler le nom, les CPU, la RAM, le disque, les liens réseau et onboot selon le YAML.

Depuis Saturne3, ouvrir la connexion et attendre l’invite de la VM :

ssh ajlsm@10.0.0.43

Dans MERCURE3, saisir sudo -i, attendre l’authentification et l’invite root, puis :

hostname
lsblk
df -hT /
ip -br addr
ip route
resolvectl status

Résultat vérifié pendant la recette : hostname mercure3.ajlsm.com, racine ext4 97 Gio. Les tailles disponibles évoluent avec l’utilisation. Les commandes SSH et TLS du cycle vérifient leurs propres résultats ; compléter par les tests d’accès attendus dans le réseau cible.

9. Reconstruire MERCURE3 ultérieurement

Conserver le fichier mercure3-reference.yaml, le lot de scripts validé et l’identification du modèle utilisé.
Comparer la référence au YAML effectivement utilisé avant reconstruction ; actualiser les changements d’infrastructure.
Identifier et sauvegarder les données à conserver : le YAML n’est pas une sauvegarde de VM.
Vérifier explicitement l’identité de l’ancienne VM et traiter séparément son arrêt et sa suppression volontaire. Le cycle ne détruit jamais automatiquement une VM existante.
Contrôler DNS, OPNsense, Ansible et les réservations d’IP. Ne pas laisser deux VM actives avec les mêmes adresses.
Valider la référence avec --check, afficher le --plan, puis lancer le cycle sur la référence après libération de la cible.
Relever le nouveau VMID et effectuer les vérifications finales.

On retrouve ainsi les paramètres de la VM, sans chercher à reproduire ses anciennes identités techniques.

10. Protections et détails techniques

10.1. Isolation, identité et journal de personnalisation

Le clone est arrêté après création, avec onboot désactivé et les interfaces isolées. Le premier démarrage s’effectue dans cet état d’isolation. Les phases système et réseau vérifient l’identité de la cible et l’UUID attendu selon leurs contrôles propres.

La personnalisation système conserve dans l’invité :

/var/lib/ajlsm/system-personalisation/state.json
/var/lib/ajlsm/system-personalisation/backup/

Ce journal décrit la transaction d’identité, pas l’ensemble du cycle. Ne pas le supprimer pour forcer une nouvelle exécution. Après interruption, conserver les sauvegardes et examiner l’état réel avant reprise.

La VM 515 est signalée comme hors périmètre par la documentation historique. Elle ne fait pas partie de la recette MERCURE3 et ne doit pas être ciblée par cette procédure.

10.2. Audit SSH : lecture dans la VM, écriture possible sur Saturne3

La phase --ssh-audit commence par synchroniser l’identité SSH :

Lire la clé publique /etc/ssh/ssh_host_ed25519_key.pub dans la VM via l’agent QEMU.
Valider le format ED25519 et sa structure binaire attendue.
Lire indépendamment la clé exposée sur le réseau avec ssh-keyscan -T 8 -t ed25519.
Comparer les clés : une divergence, une absence ou un format invalide provoque un refus.
Après concordance seulement, sauvegarder /root/.ssh/known_hosts sur Saturne3, travailler sur une copie et remplacer le fichier avec la nouvelle entrée vérifiée pour l’IP cible.
Contrôler les connexions par clé, les clés autorisées, sudo et l’état du compte ajlsm.

Les autres entrées d’hôtes sont conservées ; le traitement retire aussi les anciennes entrées hachées correspondant à l’IP cible. Les sauvegardes utilisent le préfixe known_hosts.ajlsm-backup. dans /root/.ssh/.

L’audit n’est donc pas entièrement sans écriture : ses lectures dans la VM sont accompagnées d’une mise à jour possible de known_hosts sur Saturne3. Ne jamais contourner une divergence en effaçant aveuglément known_hosts.

10.3. Sécurisation SSH et mot de passe

--ssh-secure effectue un audit préalable, prépare un fichier SSH dédié, vérifie la syntaxe et les valeurs effectives, puis recharge SSH. Il désactive l’authentification SSH par mot de passe et conserve root par clé. Les connexions root et ajlsm par clé sont revérifiées par le code reçu.

Le mot de passe local ajlsm reste utile pour sudo. --password-ajlsm utilise un terminal interactif et lance passwd dans la VM, avec sa double saisie masquée. Le secret n’est pas inscrit dans le YAML ni dans la ligne de commande. La procédure historique prévoit un report manuel dans le registre ODS d’administration ; appliquer les règles internes de gestion des secrets. Ne pas joindre ce registre à une documentation publique.

10.4. Certificat TLS interne et Apache

--tls-apply lit le certificat /etc/ssl/ajlsm/server.crt. Si le CN et le SAN correspondent déjà au hostname attendu, la phase termine sans réinitialisation. Sinon, après confirmation, elle appelle /usr/local/sbin/ajlsm-init-tls.sh dans la VM. Ce dernier script doit être présent dans le modèle ; son contenu n’était pas inclus dans l’archive des scripts de déploiement reçue.

Après une initialisation réussie, le module contrôle le certificat, apache2ctl configtest et systemctl is-active apache2. Ce contrôle technique d’Apache ne constitue pas une recette des VirtualHosts et des applications du projet.

La documentation historique désigne /home/ajlsm/README, hérité de TEMPLATE3, comme README applicatif Pleade/Drupal. Le conserver séparément du README-ajlsm-deploy de l’outil de déploiement ; ne pas remplacer l’un par l’autre.

10.5. Attente réseau au premier démarrage

La recette du 15 octobre signalait environ 60 secondes d’attente dans systemd-networkd-wait-online lorsque les interfaces étaient isolées. Ce constat historique n’a pas empêché l’agent QEMU ni ajlsm-clone-init de répondre. Une optimisation éventuelle du modèle reste distincte du déploiement ; ne pas désactiver le service sans vérifier ses dépendances.

11. Maintenance, sauvegardes et manuel

11.1. Identifier les fichiers réellement exécutés

La recette du 16 octobre utilise le dossier /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/. Elle ne démontre pas une mise à jour globale de /usr/local/sbin/. Toujours distinguer le lot validé et les programmes installés.

Dans le dossier de recette :

./ajlsm-deploy --help
./ajlsm-deploy-cycle --help
./ajlsm-deploy-yaml --help
python3 -m py_compile ajlsm-deploy ajlsm-deploy-check ajlsm-deploy-resources ajlsm-deploy-cycle ajlsm-deploy-yaml ajlsm_deploy_common.py ajlsm_deploy_rootgrow.py ajlsm_deploy_postconfig.py

Une compilation vérifie la syntaxe, pas le bon déroulement d’une phase ni les prérequis serveur.

11.2. Sauvegarder et restaurer un lot cohérent

Conserver ensemble programmes, modules et configuration de référence. Sauvegarder le lot complet avant une installation ou une correction. Exemple sur Saturne3 :

tar -czf "/root/ajlsm-deploy/archives/lot-recette-$(date +%Y%m%d-%H%M%S).tar.gz" \
  -C /root/ajlsm-deploy/recettes/20261016 ajlsm-deploy-cycle

Une restauration doit porter sur un ensemble compatible. Ne pas réinstaller uniquement ajlsm-deploy.bak-20261015 : ce fichier peut précéder les modules et phases nécessaires. L’ancienne sauvegarde et les répertoires de revue sont des références historiques à inventorier avant nettoyage.

Ne pas supprimer INSTRUCTIONS-TEST.txt ou d’autres fichiers de /root/ajlsm-deploy-review/ sur la seule base de l’ancienne page. Leur archivage et le nettoyage ne font pas partie de cette mise à jour documentaire.

11.3. Page man

La page du 15 octobre indique un manuel installé en /usr/local/man/man8/ajlsm-deploy.8 et une sauvegarde hors man8 dans /root/ajlsm-deploy-review/sauvegardes-man/. Ce sont des informations historiques, dont l’état actuel n’a pas été vérifié pendant la recette du 16 octobre.

Pour identifier la page disponible sur Saturne3 :

man -w ajlsm-deploy
man 8 ajlsm-deploy

Une page absente ne signifie pas que le script est absent : --help est l’aide intégrée de l’exécutable. Le manuel installé doit être réconcilié avec le cycle et l’assistant avant d’être considéré comme référence de cette version. En attendant, le présent guide et l’aide des fichiers du lot de recette décrivent le fonctionnement courant.

Last login: Fri Oct 16 15:21:06 on ttys000
jlarvers@MacBook-Pro ~ % ssh saturne3
Linux Saturne3 7.0.14-23-pve #1 SMP PREEMPT_DYNAMIC PMX 7.0.14-23 (2026-10-07T20:25Z) x86_64

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
Last login: Fri Oct 16 09:46:02 2026 from 109.190.129.96
root@Saturne3:~# qm status 505
qm config 505
status: running
agent: 1
balloon: 16384
boot: order=scsi0;net0
cores: 8
cpu: x86-64-v2-AES
memory: 24576
meta: creation-qemu=11.0.0,ctime=1779439732
name: MERCURE3
net0: virtio=BC:24:11:D5:B4:C2,bridge=vmbr2,firewall=1,link_down=0
net1: virtio=BC:24:11:E8:F0:BD,bridge=vmbr1,firewall=1,link_down=0
numa: 0
onboot: 1
ostype: l26
scsi0: local-zfs:vm-505-disk-0,iothread=1,size=100G
scsihw: virtio-scsi-single
smbios1: uuid=f47653e5-e87f-4765-bd41-46bb2eaac990
sockets: 1
tags: interne
vmgenid: d0cfe3f4-9292-4c03-81d9-662131e54889
root@Saturne3:~# qm set 505 --onboot 0
qm shutdown 505 --timeout 120
qm status 505
update VM 505: -onboot 0
status: stopped
root@Saturne3:~# PROJET_YAML=/etc/ajlsm/deploy/projets/mercure3.yaml
root@Saturne3:~# ./ajlsm-deploy "$PROJET_YAML" --clone
-bash: ./ajlsm-deploy: No such file or directory
root@Saturne3:~# history
    1  Ne pas lancer toutes les phases dans un script ou une chaîne de
    2  commandes.
    3  PHASE 1 - CLONAGE
    4  Simulation :
    5      ajlsm-deploy "$PROJET" --dry-run
    6  Clonage :
    7      ajlsm-deploy "$PROJET" --clone
    8  Le clone est créé sans démarrage.
    9  Vérifier le VMID réellement attribué.
   10  PHASE 2 - CONFIGURATION DES RESSOURCES
   11  Simulation :
   12      ajlsm-deploy "$PROJET" --resources-dry-run
   13  Application :
   14      ajlsm-deploy "$PROJET" --configure-resources
   15  Configuration des ressources CPU, RAM et disque.
   16  L'agrandissement du disque Proxmox ne suffit pas à agrandir le
   17  système de fichiers à l'intérieur de la VM.
   18  PHASE 3 - PREMIER DEMARRAGE ISOLE
   19  Simulation :
   20      ajlsm-deploy "$PROJET" --first-boot-dry-run
   21  Application :
   22      ajlsm-deploy "$PROJET" --first-boot-apply
   23  Le clone démarre avec ses interfaces réseau isolées.
   24  Le programme contrôle notamment l'agent QEMU et l'initialisation
   25  du clone.
   26  Ne pas activer manuellement les interfaces réseau.
   27  PHASE 4 - EXTENSION DU VOLUME RACINE
   28  Simulation :
   29      ajlsm-deploy "$PROJET" --root-grow-dry-run
   30  Application :
   31      ajlsm-deploy "$PROJET" --root-grow-apply
   32  Cette phase étend la partition, le volume LVM et le système de
   33  fichiers ext4 selon la configuration prévue.
   34  Elle doit être effectuée après le premier démarrage et avant la
   35  personnalisation système.
   36  En cas d'erreur, ne pas poursuivre sans diagnostic.
   37  PHASE 5 - PERSONNALISATION SYSTEME
   38  Simulation :
   39      ajlsm-deploy "$PROJET" --system-dry-run
   40  Application :
   41      ajlsm-deploy "$PROJET" --system-apply
   42  Personnalisation de l'identité système, notamment du hostname
   43  et du machine-id.
   44  La VM reste isolée du réseau.
   45  Les informations de transaction sont conservées dans :
   46      /var/lib/ajlsm/system-personalisation/
   47  Ne pas supprimer ces informations pour forcer une nouvelle opération.
   48  PHASE 6 - CONFIGURATION NETPLAN
   49  Simulation :
   50      ajlsm-deploy "$PROJET" --network-dry-run
   51  Application :
   52      ajlsm-deploy "$PROJET" --network-apply
   53  Préparation de Netplan et vérification de sa génération.
   54  Les interfaces Proxmox restent isolées.
   55  PHASE 7 - ACTIVATION DU RESEAU
   56  Simulation :
   57      ajlsm-deploy "$PROJET" --network-enable-dry-run
   58  Application :
   59      ajlsm-deploy "$PROJET" --network-enable
   60  Avant activation, le programme effectue les contrôles prévus,
   61  notamment la recherche de conflits d'adresses IPv4 par ARP.
   62  Après activation, vérifier :
   63  - Les adresses IPv4.
   64  - La route par défaut.
   65  - La passerelle.
   66  - Les DNS.
   67  - L'adresse loopback, si elle est configurée.
   68  - Le paramètre onboot de la VM.
   69  Le mécanisme de repli en cas d'échec réseau reste à valider
   70  par un test réel de panne.
   71  PHASE 8 - AUDIT SSH
   72      ajlsm-deploy "$PROJET" --ssh-audit
   73  Avant l'audit SSH, le programme synchronise l'identification
   74  du serveur dans /root/.ssh/known_hosts sur Saturne3.
   75  Il compare :
   76  - La clé publique ED25519 obtenue directement dans la VM
   77    via l'agent QEMU.
   78  - La clé ED25519 présentée sur le réseau via ssh-keyscan.
   79  Si les clés diffèrent, l'opération est refusée.
   80  Si elles correspondent, known_hosts peut être actualisé après
   81  sauvegarde.
   82  L'audit ne modifie pas la configuration SSH de la VM.
   83  ATTENTION :
   84  Bien que l'audit soit sans modification de la configuration SSH
   85  invitée, la synchronisation préalable peut modifier le fichier
   86  known_hosts de Saturne3.
   87  PHASE 9 - SECURISATION SSH
   88      ajlsm-deploy "$PROJET" --ssh-secure
   89  Cette phase désactive l'authentification SSH par mot de passe
   90  et conserve l'accès root par clé publique.
   91  Vérifier impérativement les accès par clé avant de confirmer.
   92  Après application, refaire un audit :
   93      ajlsm-deploy "$PROJET" --ssh-audit
   94  PHASE 10 - MOT DE PASSE DU COMPTE AJLSM
   95      ajlsm-deploy "$PROJET" --password-ajlsm
   96  Le mot de passe est demandé interactivement avec double saisie.
   97  Ne pas inscrire de mot de passe dans le YAML ou dans une commande.
   98  PHASE 11 - CERTIFICAT TLS INTERNE
   99      ajlsm-deploy "$PROJET" --tls-apply
  100  Initialisation ou vérification du certificat TLS interne.
  101  Vérifier le résultat et le fonctionnement du service concerné.
  102  6. VERIFICATIONS FINALES
  103  ------------------------
  104  Sur Saturne3, avec le VMID réellement attribué :
  105      qm status VMID
  106      qm config VMID
  107  Dans la VM :
  108      hostnamectl
  109      ip -br addr
  110      ip route
  111      resolvectl status
  112  Pour vérifier le volume racine :
  113      lsblk
  114      df -hT /
  115      pvs
  116      vgs
  117      lvs
  118  Pour vérifier SSH depuis Saturne3 :
  119      ssh root@ADRESSE_IP_VM
  120  Adapter VMID et ADRESSE_IP_VM au projet.
  121  Ne jamais accepter aveuglément une empreinte SSH différente.
  122  7. CONFIRMATIONS ET CODES DE RETOUR
  123  -----------------------------------
  124  Chaque modification nécessite une confirmation.
  125  La réponse par défaut est NON.
  126  Respecter la confirmation réellement demandée par la version
  127  installée du programme.
  128  Codes de retour :
  129      0 : succès
  130      1 : annulation
  131      2 : erreur
  132  Une erreur impose un diagnostic avant de poursuivre.
  133  8. REPRISE APRES INCIDENT
  134  -------------------------
  135  En cas d'échec :
  136  1. Ne pas lancer la phase suivante.
  137  2. Conserver la sortie complète du programme.
  138  3. Vérifier le VMID et l'identité de la VM.
  139  4. Contrôler son état dans Proxmox.
  140  5. Vérifier que le réseau est toujours isolé si nécessaire.
  141  6. Examiner les sauvegardes et informations de transaction.
  142  7. Corriger la cause avant de reprendre.
  143  Ne jamais supprimer une VM pour recommencer sans avoir vérifié
  144  son identité et ses données.
  145  Ne jamais modifier manuellement known_hosts pour contourner
  146  une erreur de correspondance de clés SSH.
  147  9. MAINTENANCE DES SCRIPTS
  148  --------------------------
  149  Vérifier la syntaxe Python :
  150      python3 -m py_compile \
  151          /usr/local/sbin/ajlsm-deploy \
  152          /usr/local/sbin/ajlsm_deploy_rootgrow.py \
  153          /usr/local/sbin/ajlsm_deploy_postconfig.py
  154  Les trois scripts forment un ensemble cohérent.
  155  Effectuer une sauvegarde avant toute modification.
  156  Ne pas restaurer un module isolément sans vérifier sa
  157  compatibilité avec les autres.
  158  10. ETAT DES VALIDATIONS AU 15 OCTOBRE 2026
  159  -------------------------------------------
  160  Recette MERCURE3 :
  161  - Clonage depuis TEMPLATE3.
  162  - Configuration des ressources.
  163  - Premier démarrage isolé.
  164  - Personnalisation système.
  165  - Configuration Netplan.
  166  - Contrôle ARP.
  167  - Activation réseau.
  168  - Vérifications réseau.
  169  Tests fonctionnels isolés du 15 octobre :
  170  - Validation de la comparaison des clés ED25519.
  171  - Acceptation de deux clés identiques.
  172  - Refus de clés différentes.
  173  - Refus de clés malformées.
  174  - Préservation de known_hosts en cas de refus.
  175  - Conservation des autres entrées de known_hosts.
  176  - Compilation Python des trois scripts.
  177  Restent à confirmer lors d'un déploiement complet avec les
  178  dernières versions des scripts :
  179  - Extension du volume racine.
  180  - Enchaînement complet des phases.
  181  - Synchronisation SSH avec une nouvelle VM réelle.
  182  - Sécurisation SSH et postconfiguration.
  183  - Repli en cas d'échec réseau.
  184  11. PRECAUTIONS
  185  ---------------
  186  TEMPLATE3 : VMID 506, modèle de clonage.
  187  MERCURE3 : VMID 505, VM utilisée pour la recette.
  188  Ces identifiants ne doivent jamais être réutilisés aveuglément.
  189  La VM 515 est indépendante de cette procédure et ne doit pas
  190  être modifiée.
  191  Le README applicatif présent sur TEMPLATE3 et MERCURE3 ne doit
  192  pas être remplacé par ce document.
  193  12. DOCUMENTATION COMPLEMENTAIRE
  194  --------------------------------
  195  Aide rapide :
  196      ajlsm-deploy --help
  197  Manuel système :
  198      man ajlsm-deploy
  199  Documentation technique complète :
  200      AJLSM-DEPLOY - Déploiement automatisé des VM Proxmox
  201      (documentation MediaWiki AJLSM)
  202  Le manuel et la documentation MediaWiki doivent être maintenus
  203  en cohérence avec les scripts.
  204  FIN DU README
  205  =============
  206  FIN_README
  207        chmod 644 /usr/local/sbin/README-ajlsm-deploy;     echo "README créé : /usr/local/sbin/README-ajlsm-deploy"; fi
  208  ls -l /usr/local/sbin/README-ajlsm-deploy
  209  head -20 /usr/local/sbin/README-ajlsm-deploy
  210  ls -l /usr/local/sbin/README-ajlsm-deploy
  211  head -20 /usr/local/sbin/README-ajlsm-deploy
  212  vim /usr/local/sbin/README-ajlsm-deploy
  213  man -w ajlsm-deploy
  214  cat /usr/local/man/man8/ajlsm-deploy.8
  215  python3 - <<'PY'
  216  from pathlib import Path
  217  from datetime import datetime
  218  import shutil
  219  path = Path("/usr/local/man/man8/ajlsm-deploy.8")
  220  original = path.read_text(encoding="utf-8")
  221  updated = original
  222  old_audit = r""".TP
  223  .B \-\-ssh-audit
  224  Contrôler en lecture seule les empreintes de clés autorisées, la configuration
  225  SSH, sudo et l'accès par clé au compte ajlsm.
  226  """
  227  new_audit = r""".TP
  228  .B \-\-ssh-audit
  229  Identifier la VM Proxmox concernée, synchroniser sa clé d'hôte SSH ED25519
  230  dans /root/.ssh/known_hosts sur Saturne3, puis contrôler les clés autorisées,
  231  la configuration SSH, sudo et l'accès par clé au compte ajlsm.
  232  .PP
  233  Avant l'audit, la clé publique ED25519 est récupérée directement dans
  234  l'invité via l'agent QEMU, puis comparée à la clé présentée sur le réseau
  235  par ssh-keyscan. La structure de la clé est vérifiée. Une clé malformée,
  236  une divergence ou une récupération impossible provoque un refus.
  237  .PP
  238  Lorsque les clés correspondent, le programme peut actualiser
  239  /root/.ssh/known_hosts après sauvegarde. Les anciennes entrées associées
  240  à l'adresse IP, y compris les entrées hachées, sont supprimées de la copie
  241  de travail avant insertion de la clé vérifiée. Les autres entrées sont
  242  conservées. Le remplacement est atomique.
  243  .PP
  244  L'audit de la configuration SSH dans l'invité est en lecture seule,
  245  mais la synchronisation préalable peut modifier known_hosts sur Saturne3.
  246  """
  247  old_examples = r"""\&./ajlsm-deploy projet-test.yaml --root-grow-apply
  248  \&./ajlsm-deploy projet-test.yaml --ssh-audit
  249  \&./ajlsm-deploy projet-test.yaml --ssh-secure
  250  \&./ajlsm-deploy projet-test.yaml --password-ajlsm
  251  \&./ajlsm-deploy projet-test.yaml --tls-apply
  252  \&./ajlsm-deploy projet-test.yaml --system-dry-run
  253  \&./ajlsm-deploy projet-test.yaml --system-apply
  254  \&./ajlsm-deploy projet-test.yaml --network-dry-run
  255  \&./ajlsm-deploy projet-test.yaml --network-apply
  256  \&./ajlsm-deploy projet-test.yaml --network-enable-dry-run
  257  \&./ajlsm-deploy projet-test.yaml --network-enable
  258  """
  259  new_examples = r"""\&./ajlsm-deploy projet-test.yaml --root-grow-apply
  260  \&./ajlsm-deploy projet-test.yaml --system-dry-run
  261  \&./ajlsm-deploy projet-test.yaml --system-apply
  262  \&./ajlsm-deploy projet-test.yaml --network-dry-run
  263  \&./ajlsm-deploy projet-test.yaml --network-apply
  264  \&./ajlsm-deploy projet-test.yaml --network-enable-dry-run
  265  \&./ajlsm-deploy projet-test.yaml --network-enable
  266  \&./ajlsm-deploy projet-test.yaml --ssh-audit
  267  \&./ajlsm-deploy projet-test.yaml --ssh-secure
  268  \&./ajlsm-deploy projet-test.yaml --ssh-audit
  269  \&./ajlsm-deploy projet-test.yaml --password-ajlsm
  270  \&./ajlsm-deploy projet-test.yaml --tls-apply
  271  """
  272  old_limit = r"""L'absence de réponse ARP ne garantit pas qu'une IP est libre, et ne
  273  remplace
  274  pas l'inventaire réseau. Le repli réseau nécessite
  275  une recette sur une VM dédiée.
  276  """
  277  new_limit = r"""L'absence de réponse ARP ne garantit pas qu'une IP est libre, et ne
  278  remplace
  279  pas l'inventaire réseau. Le repli réseau nécessite
  280  une recette sur une VM dédiée.
  281  .PP
  282  La synchronisation des clés SSH a été validée par tests fonctionnels
  283  isolés le 15 octobre 2026 : clés concordantes, divergentes et malformées,
  284  préservation de known_hosts en cas de refus. Elle reste à confirmer
  285  lors d'un nouveau déploiement complet sur une VM réelle.
  286  """
  287  replacements = [
  288      ("section SSH", old_audit, new_audit),
  289      ("ordre des exemples", old_examples, new_examples),
  290      ("limites et validation", old_limit, new_limit),
  291  ]
  292  for label, old, new in replacements:
  293      count = updated.count(old)
  294      if count != 1:
  295          raise SystemExit(
  296              f"ERREUR : section '{label}' trouvée {count} fois. "
  297              "Aucune modification effectuée."
  298          )
  299      updated = updated.replace(old, new, 1)
  300  backup = path.with_name(
  301      path.name + ".bak-" + datetime.now().strftime("%Y%m%d-%H%M%S")
  302  )
  303  shutil.copy2(path, backup)
  304  path.write_text(updated, encoding="utf-8")
  305  print("Manuel actualisé :", path)
  306  print("Sauvegarde       :", backup)
  307  print("Sections modifiées : SSH, exemples, limites.")
  308  PY
  309  man 8 ajlsm-deploy
  310  man 8 ajlsm-deploy | col -b | grep -n -E   'known_hosts|ssh-keyscan|ED25519|déploiement complet'
  311  mkdir -p /root/ajlsm-deploy-review/sauvegardes-man
  312  mv /usr/local/man/man8/ajlsm-deploy.8.bak-20261015-235157    /root/ajlsm-deploy-review/sauvegardes-man/
  313  man 8 ajlsm-deploy >/dev/null
  314  echo "=== INTERFACES RESEAU ==="
  315  ip -br -4 addr
  316  echo
  317  echo "=== ROUTE VERS EOLE3 ==="
  318  ip route get 192.168.123.202
  319  ip route get 51.178.110.230
  320  echo
  321  echo "=== MONTAGES NFS ==="
  322  findmnt -t nfs,nfs4 -o SOURCE,TARGET,FSTYPE,OPTIONS
  323  echo
  324  echo "=== CONNEXIONS ACTIVES VERS EOLE3 ==="
  325  ss -tn state established | grep -E   '192\.168\.123\.202|51\.178\.110\.230' || true
  326  echo
  327  echo "=== STOCKAGES PROXMOX ==="
  328  pvesm status
  329  echo "=== REFERENCES A EOLE3 DANS LES TACHES CRON ==="
  330  grep -RInE   'eole3|51\.178\.110\.230|192\.168\.123\.202'   /etc/cron.d /etc/crontab /var/spool/cron/crontabs   2>/dev/null || true
  331  echo
  332  echo "=== REFERENCES A EOLE3 DANS LES SCRIPTS LOCAUX ==="
  333  grep -RInE   'eole3|51\.178\.110\.230|192\.168\.123\.202'   /usr/local/sbin /usr/local/bin   2>/dev/null | head -60
  334  echo
  335  echo "=== TIMERS SYSTEMD ==="
  336  systemctl list-timers --all --no-pager
  337  exit
  338  qm status 505
  339  qm config 505
  340  qm set 505 --onboot 0
  341  qm shutdown 505 --timeout 120
  342  qm status 505
  343  PROJET_YAML=/etc/ajlsm/deploy/projets/mercure3.yaml
  344  ./ajlsm-deploy "$PROJET_YAML" --clone
  345  history
root@Saturne3:~# cd  /usr/local/sbin
root@Saturne3:/usr/local/sbin# ls -la
total 216
drwxr-xr-x  3 root root  4096 Oct 15 23:50 .
drwxr-xr-x 11 root root  4096 Mar 27  2026 ..
-rw-r--r--  1 root root 10453 Oct 15 23:44 README-ajlsm-deploy
drwxr-xr-x  2 root root  4096 Oct 15 23:26 __pycache__
-rwxr-x---  1 root root 66119 Oct 15 23:17 ajlsm-deploy
-rwxr-xr-x  1 root root 11954 Oct 15 21:41 ajlsm-deploy-check
-rwxr-xr-x  1 root root  6874 Oct 15 21:41 ajlsm-deploy-resources
-rwxr-xr-x  1 root root  2945 Oct 15 11:19 ajlsm-deploy.avant-clonage
-rwxr-xr-x  1 root root 10383 Oct 15 12:05 ajlsm-deploy.avant-first-boot
-rwxr-xr-x  1 root root  9664 Oct 15 11:51 ajlsm-deploy.avant-integration-ressources
-rwxr-x---  1 root root 18851 Oct 15 12:51 ajlsm-deploy.bak-20261015
-rw-r--r--  1 root root 10349 Oct 15 21:41 ajlsm_deploy_common.py
-rw-r--r--  1 root root  9595 Oct 15 23:26 ajlsm_deploy_postconfig.py
-rw-r--r--  1 root root  6192 Oct 15 22:14 ajlsm_deploy_rootgrow.py
-rwx------  1 root root   863 Apr 20 11:03 backup_pbs_saturne3.sh
-rwx------  1 root root  5289 Oct 14 12:55 supervision_rapport.sh
-rwxr-x---  1 root root  4112 Oct 14 12:23 supervision_updates.sh
-rw-r--r--  1 root root  1673 Oct 13 17:15 supervision_updates_collect.py
root@Saturne3:/usr/local/sbin# ./ajlsm-deploy "$PROJET_YAML" --clone

=== PRÉCONTRÔLES ===
[OK] Configuration YAML chargée

=== CONTRÔLES PROXMOX ===
[OK] VM source 506 présente
[OK] VM source 506 arrêtée
[OK] QEMU Guest Agent activé dans la configuration
[OK] Disque source scsi0 : 32 Gio
[OK] Prochain VMID proposé : 511 (non réservé)
[OK] CPU : 1 socket(s) × 8 cœur(s) = 8 vCPU
[OK] RAM : 16384 à 24576 Mio
[OK] Stockage local-zfs actif
[OK] Disque demandé : 100 Gio
[OK] Tags : interne

=== CONTRÔLES RÉSEAU ===
[OK] Bridge vmbr2 présent
[OK] net0 / ens18 : 10.0.0.43/24
[OK] Bridge vmbr1 présent
[OK] net1 / ens19 : 192.168.123.27/24
[OK] IP loopback : 51.83.117.113/32
[OK] Passerelle : 10.0.0.4 via ens18
[OK] DNS : 10.0.0.4
[AVERTISSEMENT] Disponibilité réelle des IP non vérifiée sur le réseau

=== BILAN ===
Erreurs : 0
Avertissements : 1
Précontrôles satisfaits. Aucune modification effectuée.

Commande suggérée (à lancer manuellement) :
/usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --dry-run

[ERREUR] Une VM nommée MERCURE3 existe déjà :
  VMID 505 : stopped
root@Saturne3:/usr/local/sbin# qm destroy 505
qm config 505
Configuration file 'nodes/Saturne3/qemu-server/505.conf' does not exist
root@Saturne3:/usr/local/sbin# ./ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --clone

=== PRÉCONTRÔLES ===
[OK] Configuration YAML chargée

=== CONTRÔLES PROXMOX ===
[OK] VM source 506 présente
[OK] VM source 506 arrêtée
[OK] QEMU Guest Agent activé dans la configuration
[OK] Disque source scsi0 : 32 Gio
[OK] Prochain VMID proposé : 505 (non réservé)
[OK] CPU : 1 socket(s) × 8 cœur(s) = 8 vCPU
[OK] RAM : 16384 à 24576 Mio
[OK] Stockage local-zfs actif
[OK] Disque demandé : 100 Gio
[OK] Tags : interne

=== CONTRÔLES RÉSEAU ===
[OK] Bridge vmbr2 présent
[OK] net0 / ens18 : 10.0.0.43/24
[OK] Bridge vmbr1 présent
[OK] net1 / ens19 : 192.168.123.27/24
[OK] IP loopback : 51.83.117.113/32
[OK] Passerelle : 10.0.0.4 via ens18
[OK] DNS : 10.0.0.4
[AVERTISSEMENT] Disponibilité réelle des IP non vérifiée sur le réseau

=== BILAN ===
Erreurs : 0
Avertissements : 1
Précontrôles satisfaits. Aucune modification effectuée.

Commande suggérée (à lancer manuellement) :
/usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --dry-run

=== PLAN DE CLONAGE ===
Source   : VM 506
Clone    : MERCURE3
VMID     : 505
Stockage : local-zfs
Type     : clone complet
Réseau   : isolation avant premier démarrage
Onboot   : désactivé
Démarrage: aucun

Pour créer la VM 505, confirmer (OUI/NON) : oui

[ACTION] Clonage en cours...
[OK] VM 505 créée
[ACTION] Isolation de net0
[ACTION] Isolation de net1
[OK] Adresses MAC du clone distinctes de TEMPLATE3
[OK] Clone arrêté
[OK] Démarrage automatique désactivé
[OK] Toutes les interfaces réseau isolées

=== CLONAGE TERMINÉ ===
VM 505 : MERCURE3
État : arrêtée, réseau isolé, onboot=0
Aucun démarrage effectué.
Prochaine phase : ressources CPU/RAM/disque.

Commande suggérée (à lancer manuellement) :
/usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --resources-dry-run
root@Saturne3:/usr/local/sbin# /usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --resources-dry-run

=== RESSOURCES : MERCURE3 (VM 505) ===
[OK] VM arrêtée, réseau isolé, onboot=0
[MODIFICATION] CPU : 2 x 4 -> 1 x 8
[MODIFICATION] RAM : 8192 -> 24576 Mio ; balloon : non défini -> 16384 Mio
[MODIFICATION] Disque scsi0 : 32 -> 100 Gio

[DRY-RUN] Aucune modification effectuée.

Commande suggérée (à lancer manuellement) :
/usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --configure-resources
root@Saturne3:/usr/local/sbin# /usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --configure-resources

=== RESSOURCES : MERCURE3 (VM 505) ===
[OK] VM arrêtée, réseau isolé, onboot=0
[MODIFICATION] CPU : 2 x 4 -> 1 x 8
[MODIFICATION] RAM : 8192 -> 24576 Mio ; balloon : non défini -> 16384 Mio
[MODIFICATION] Disque scsi0 : 32 -> 100 Gio

Pour appliquer les ressources à la VM 505, confirmer (OUI/NON) : oui
[ACTION] CPU : 2 x 4 -> 1 x 8
[ACTION] RAM : 8192 -> 24576 Mio ; balloon : non défini -> 16384 Mio
[ACTION] Disque scsi0 : 32 -> 100 Gio

[OK] Ressources configurées et vérifiées.
[OK] VM toujours arrêtée et réseau isolé.

Commande suggérée (à lancer manuellement) :
/usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --first-boot-dry-run
root@Saturne3:/usr/local/sbin# /usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --first-boot-apply

=== PREMIER DÉMARRAGE : MERCURE3 (VM 505) ===
[OK] Démarrage automatique désactivé, interfaces isolées
État actuel : stopped

Pour démarrer la VM 505 avec le réseau isolé, confirmer (OUI/NON) : oui
[ACTION] Démarrage de la VM 505 avec interfaces isolées
[OK] Agent QEMU disponible
[OK] ajlsm-clone-init terminé avec succès
[OK] UUID matériel conforme : ab93f3d0-c137-428c-acad-81f3196329c6
[OK] Phase de premier démarrage validée ; interfaces toujours isolées

Commande suggérée (à lancer manuellement) :
/usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --system-dry-run
root@Saturne3:/usr/local/sbin# /usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --system-dry-run
[OK] Agent QEMU disponible
[OK] ajlsm-clone-init terminé avec succès
Cible : MERCURE3 VM505, UUID ab93f3d0-c137-428c-acad-81f3196329c6, hostname mercure3.ajlsm.com
État de reprise : nouvelle transaction
[DRY-RUN] Sauvegarder hostname, hosts et les deux machine-id dans l'invité
[DRY-RUN] Préparer une identité aléatoire persistante, puis redémarrer isolé
[DRY-RUN] Vérifier boot_id, identité PID1, hostname, hosts et isolation

Commande suggérée (à lancer manuellement) :
/usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --system-apply
root@Saturne3:/usr/local/sbin# /usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --system-apply
[OK] Agent QEMU disponible
[OK] ajlsm-clone-init terminé avec succès
Cible : MERCURE3 VM505, UUID ab93f3d0-c137-428c-acad-81f3196329c6, hostname mercure3.ajlsm.com
État de reprise : nouvelle transaction

Cible : VM505 — mercure3.ajlsm.com
Cette opération modifiera l’identité système et redémarrera la VM avec le réseau isolé.
Confirmer (OUI/NON) : oui
[ACTION] Identité disque préparée ; identité active non encore validée
[OK] Agent QEMU disponible
[OK] ajlsm-clone-init terminé avec succès
[OK] Nouveau démarrage et identité active vérifiés ; VM505 toujours isolée

Commande suggérée (à lancer manuellement) :
/usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --network-dry-run
root@Saturne3:/usr/local/sbin# /usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --network-dry
[OK] Agent QEMU disponible
[OK] ajlsm-clone-init terminé avec succès
Cible : MERCURE3 VM505 ; reseau Proxmox isole
  ens18: 10.0.0.43/24
  ens19: 192.168.123.27/24
  lo: 51.83.117.113/32 ; passerelle: 10.0.0.4 (ens18) ; DNS: 10.0.0.4
[DRY-RUN] Sauvegarder le Netplan initial, ecrire la configuration et executer netplan generate
[DRY-RUN] Aucune modification ni activation reseau
[OK] Déploiement terminé ; procéder aux vérifications finales du manuel.
root@Saturne3:/usr/local/sbin# /usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --network-apply
[OK] Agent QEMU disponible
[OK] ajlsm-clone-init terminé avec succès
Cible : MERCURE3 VM505 ; reseau Proxmox isole
  ens18: 10.0.0.43/24
  ens19: 192.168.123.27/24
  lo: 51.83.117.113/32 ; passerelle: 10.0.0.4 (ens18) ; DNS: 10.0.0.4
Cette operation remplace Netplan dans l'invite, sans activer les interfaces Proxmox.
Confirmer (OUI/NON) : oui
[OK] Netplan ecrit et netplan generate valide : {"changed": true, "backup": true}
[OK] VM505 toujours isolee ; aucune activation des liens

Commande suggérée (à lancer manuellement) :
/usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --network-enable-dry-run
root@Saturne3:/usr/local/sbin# /usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --network-enable
[OK] Agent QEMU disponible
[OK] ajlsm-clone-init terminé avec succès
[OK] ARP DAD 10.0.0.43 sur vmbr2 (aucune reponse)
[OK] ARP DAD 192.168.123.27 sur vmbr1 (aucune reponse)
[OK] VM505 UUID=ab93f3d0-c137-428c-acad-81f3196329c6, clone et Netplan valides, reseau isole
Activer le reseau de cette VM (OUI/NON) : oui
[OK] ARP DAD 10.0.0.43 sur vmbr2 (aucune reponse)
[OK] ARP DAD 192.168.123.27 sur vmbr1 (aucune reponse)
[OK] Adresses, loopback, route, DNS et ping passerelle valides
[OK] VM505 : reseau actif et controle, onboot conforme au YAML

Commande suggérée (à lancer manuellement) :
/usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --ssh-audit
root@Saturne3:/usr/local/sbin# /usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --ssh-audit
[OK] Clé ED25519 vérifiée via QEMU : 10.0.0.43
[OK] known_hosts actualisé avec sauvegarde conservée
=== Contrôle SSH, sans modification ===
Identité : mercure3.ajlsm.com

Clés autorisées ajlsm :
4096 SHA256:zGdW2VjyzL/p30BjtNy6dzXIahBWTH9djZLc62IKCAk siva@MacBook-Pro-de-Sivakavi.local (RSA)
256 SHA256:lVtwxE0No+RZNyOXpf64JBCnMYIk9YaMw43clCV92hk jlarvers@MacBook-Pro.lan (ED25519)
256 SHA256:HAHGVQ2Afy6vGJpLhJ2vftXonwV31QNOiFHH6t5BfB4 modou-mbp (ED25519)

Configuration effective SSH :
permitrootlogin prohibit-password
pubkeyauthentication yes
passwordauthentication yes
kbdinteractiveauthentication no

Règles sudo pour ajlsm :
User ajlsm may run the following commands on mercure3.ajlsm.com:
    (ALL : ALL) ALL

Etat du mot de passe ajlsm :
ajlsm P 2026-05-22 0 99999 7 -1
[OK] Connexion ajlsm par clé vérifiée.

Commande suggérée (à lancer manuellement) :
/usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --ssh-secure
root@Saturne3:/usr/local/sbin# /usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --ssh-secure
=== Contrôle SSH, sans modification ===
Identité : mercure3.ajlsm.com

Clés autorisées ajlsm :
4096 SHA256:zGdW2VjyzL/p30BjtNy6dzXIahBWTH9djZLc62IKCAk siva@MacBook-Pro-de-Sivakavi.local (RSA)
256 SHA256:lVtwxE0No+RZNyOXpf64JBCnMYIk9YaMw43clCV92hk jlarvers@MacBook-Pro.lan (ED25519)
256 SHA256:HAHGVQ2Afy6vGJpLhJ2vftXonwV31QNOiFHH6t5BfB4 modou-mbp (ED25519)

Configuration effective SSH :
permitrootlogin prohibit-password
pubkeyauthentication yes
passwordauthentication yes
kbdinteractiveauthentication no

Règles sudo pour ajlsm :
User ajlsm may run the following commands on mercure3.ajlsm.com:
    (ALL : ALL) ALL

Etat du mot de passe ajlsm :
ajlsm P 2026-05-22 0 99999 7 -1
[OK] Connexion ajlsm par clé vérifiée.
Appliquer PasswordAuthentication no et root par clé seulement [oui/non] : oui
[OK] SSH sécurisé ; root reste autorisé par clé.
[OK] Connexions root et ajlsm par clé toujours fonctionnelles.

Commande suggérée (à lancer manuellement) :
/usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --password-ajlsm
root@Saturne3:/usr/local/sbin# /usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --password-ajlsm
Ouvrir passwd ajlsm sur MERCURE3 [oui/non] : oui
Le mot de passe sera demandé deux fois par passwd sur la VM.
Il ne sera pas enregistré dans le script. Le reporter manuellement dans le fichier ODS.
New password: 
Retype new password: 
passwd: password updated successfully
Connection to 10.0.0.43 closed.
[OK] Mot de passe ajlsm modifié ; vérifier ensuite sudo -i depuis ajlsm.

Commande suggérée (à lancer manuellement) :
/usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --tls-apply
root@Saturne3:/usr/local/sbin# /usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --tls-apply
mercure3.ajlsm.com
subject=CN=clone-ab93f3d0-c13.internal
X509v3 Subject Alternative Name: 
    DNS:clone-ab93f3d0-c13.internal

Initialiser le certificat TLS interne [oui/non] : oui
Initialisation TLS pour : mercure3.ajlsm.com
....++++++++++++++++++++++++++++++++++++++++++*..+...++++++++++++++++++++++++++++++++++++++++++*........+............+...+.............+..+.......+.....................+..+............+.+.....+.+...+..+.+...+...........+.+...............+..............+.........+....+.....+.+.........+....................+...+..........+..............+.+.....+...+++++
...........+..+...+.............+.....+....+..+......+.........+......+.......++++++++++++++++++++++++++++++++++++++++++*.........++++++++++++++++++++++++++++++++++++++++++*....................+................+...+......+.....+....+.....+.........+...+....+...+..+..........+.........+.........+..+....+++++
-----
Syntax OK

Initialisation TLS terminée.
Sauvegarde : /etc/ssl/ajlsm/backup.8vB54QHP
subject=CN=mercure3.ajlsm.com
notBefore=Oct 16 13:54:38 2026 GMT
notAfter=Oct 13 13:54:38 2036 GMT
subject=CN=mercure3.ajlsm.com
X509v3 Subject Alternative Name: 
    DNS:mercure3.ajlsm.com
active

[OK] Phases techniques terminées ; les opérations applicatives seront traitées séparément.
root@Saturne3:/usr/local/sbin# 
root@Saturne3:/usr/local/sbin# 
root@Saturne3:/usr/local/sbin# 
root@Saturne3:/usr/local/sbin# 
root@Saturne3:/usr/local/sbin# 
root@Saturne3:/usr/local/sbin# 
root@Saturne3:/usr/local/sbin# 
root@Saturne3:/usr/local/sbin# 
root@Saturne3:/usr/local/sbin# 
root@Saturne3:/usr/local/sbin# ssh ajlsm@10.0.0.43
sudo -i
hostname
lsblk
df -hT /
Welcome to Ubuntu 26.04.1 LTS (GNU/Linux 7.0.0-38-generic x86_64)

 * Documentation:  https://docs.ubuntu.com
 * Management:     https://landscape.canonical.com
 * Support:        https://ubuntu.com/pro

 System information as of Fri Oct 16 03:56:00 PM CEST 2026

  System load:  0.35               Processes:              190
  Usage of /:   54.2% of 14.66GB   Users logged in:        0
  Memory usage: 3%                 IPv4 address for ens18: 10.0.0.43
  Swap usage:   0%

 * Canonical Workshop gives developers fast, composable, reproducible, and
   secure developer environments that are perfect for agentic workflows.

   https://ubuntu.com/workshop

Expanded Security Maintenance for Applications is not enabled.

1 update can be applied immediately.
To see these additional updates run: apt list --upgradable

9 additional security updates can be applied with ESM Apps.
Learn more about enabling ESM Apps service at https://ubuntu.com/esm


You have new mail.
Last login: Thu Oct 15 08:18:27 2026 from 10.40.0.2
ajlsm@mercure3:~$ sudo -i
[sudo: authenticate] Password:                     
root@mercure3:~# hostname
lsblk
df -hT /
mercure3.ajlsm.com
NAME                      MAJ:MIN RM  SIZE RO TYPE MOUNTPOINTS
sda                         8:0    0  100G  0 disk 
├─sda1                      8:1    0    1M  0 part 
├─sda2                      8:2    0    2G  0 part /boot
└─sda3                      8:3    0   30G  0 part 
  └─ubuntu--vg-ubuntu--lv 252:0    0   15G  0 lvm  /
Filesystem                        Type  Size  Used Avail Use% Mounted on
/dev/mapper/ubuntu--vg-ubuntu--lv ext4   15G  8.0G  6.0G  58% /
root@mercure3:~# pvs
vgs
lvs -o lv_path,lv_size,vg_name
findmnt -no SOURCE,FSTYPE /
command -v growpart
  PV         VG        Fmt  Attr PSize   PFree 
  /dev/sda3  ubuntu-vg lvm2 a--  <30.00g 15.00g
  VG        #PV #LV #SN Attr   VSize   VFree 
  ubuntu-vg   1   1   0 wz--n- <30.00g 15.00g
  Path                     LSize   VG       
  /dev/ubuntu-vg/ubuntu-lv <15.00g ubuntu-vg
/dev/mapper/ubuntu--vg-ubuntu--lv ext4
/usr/bin/growpart
root@mercure3:~# 
root@mercure3:~# lsblk
pvs
vgs
df -hT /
NAME                      MAJ:MIN RM  SIZE RO TYPE MOUNTPOINTS
sda                         8:0    0  100G  0 disk 
├─sda1                      8:1    0    1M  0 part 
├─sda2                      8:2    0    2G  0 part /boot
└─sda3                      8:3    0   30G  0 part 
  └─ubuntu--vg-ubuntu--lv 252:0    0   15G  0 lvm  /
  PV         VG        Fmt  Attr PSize   PFree 
  /dev/sda3  ubuntu-vg lvm2 a--  <30.00g 15.00g
  VG        #PV #LV #SN Attr   VSize   VFree 
  ubuntu-vg   1   1   0 wz--n- <30.00g 15.00g
Filesystem                        Type  Size  Used Avail Use% Mounted on
/dev/mapper/ubuntu--vg-ubuntu--lv ext4   15G  8.0G  6.0G  58% /
root@mercure3:~# growpart /dev/sda 3
CHANGED: partition=3 start=4198400 old: size=62908416 end=67106815 new: size=205516767 end=209715166
root@mercure3:~# /usr/local/sbin/ajlsm-deploy --help
-bash: /usr/local/sbin/ajlsm-deploy: No such file or directory
root@mercure3:~# exit
logout
ajlsm@mercure3:~$ exit
logout
Connection to 10.0.0.43 closed.
root@Saturne3:~# /usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --root-grow-apply
=== EXTENSION RACINE : VM 505 (APPLY) ===
Étendre la partition, le LVM et ext4 de la VM 505 [OUI/NON] : oui
[ETAT] {"disk_bytes": 107374182400, "grow_partition": false, "lv": "/dev/ubuntu-vg/ubuntu-lv", "partition_free_bytes_approx": 16896, "pv": "/dev/sda3", "root": "/dev/mapper/ubuntu--vg-ubuntu--lv ext4", "vg": "ubuntu-vg", "vg_free_bytes": 89120571392}
[ACTION] pvresize /dev/sda3
[ACTION] lvextend -r -l +100%FREE /dev/ubuntu-vg/ubuntu-lv
[OK] Extension racine vérifiée : Filesystem                        Type  Size  Used Avail Use% Mounted on
/dev/mapper/ubuntu--vg-ubuntu--lv ext4   97G  8.0G   85G   9% /


Commande suggérée (à lancer manuellement) :
/usr/local/sbin/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --system-apply
[OK] Déploiement terminé ; procéder aux vérifications finales du manuel.
root@Saturne3:~# Read from remote host 141.95.206.118: Connection reset by peer
Connection to 141.95.206.118 closed.
client_loop: send disconnect: Broken pipe
jlarvers@MacBook-Pro ~ % ssh saturne3
Linux Saturne3 7.0.14-23-pve #1 SMP PREEMPT_DYNAMIC PMX 7.0.14-23 (2026-10-07T20:25Z) x86_64

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
Last login: Fri Oct 16 16:02:53 2026 from 109.190.129.96
root@Saturne3:~# ls -la
total 208
drwx------  9 root root  4096 Oct 16 16:44  .
drwxr-xr-x 18 root root  4096 Apr  1  2026  ..
-rw-------  1 root root 14581 Oct 16 16:36  .bash_history
-rw-r--r--  1 root root   607 Mar  2  2026  .bashrc
drwxr-xr-x  3 root root  4096 Apr  2  2026  .cache
drwx------  5 root root  4096 Apr 20 10:28  .config
-rw-r--r--  1 root root    35 Apr 30 11:01  .forward
-rw-------  1 root root    28 Oct 15 23:52  .lesshst
drwxr-xr-x  3 root root  4096 Apr  1  2026  .local
-rw-r--r--  1 root root    50 Apr  1  2026  .ovhrc
-rw-------  1 root root    37 Apr 20 11:05  .pbs_token_saturne3
-rw-r--r--  1 root root   132 Mar  2  2026  .profile
-rw-------  1 root root  1024 Apr  1  2026  .rnd
-rw-r--r--  1 root root    75 Apr 20 10:24  .selected_editor
drwx------  2 root root  4096 Oct 16 15:53  .ssh
-rw-------  1 root root 16696 Oct 15 23:50  .viminfo
-rw-r--r--  1 root root 32718 Oct 16 16:06  ajlsm-deploy-actuel.tar.gz
-rw-r--r--  1 root root 46186 Oct 16 16:44  ajlsm-deploy-cycle.zip
drwxr-x---  8 root root  4096 Oct 15 23:53  ajlsm-deploy-review
-rw-------  1 root root   161 Apr  2  2026  dead.letter
drwxr-xr-x  6 root root  4096 Oct 14 13:16  export-supervision-svn
-rw-r--r--  1 root root 12216 Oct 15 23:52 'm-deploy | col -b | grep -n -E '
-rw-r--r--  1 root root  4680 Oct 14 13:19  supervision-ajlsm-2026-10-14.tar.gz
drwxr-xr-x  2 root root  4096 Oct 13 17:15  supervision-test
root@Saturne3:~# mkdir -p /root/ajlsm-deploy/archives
mkdir -p /root/ajlsm-deploy/recettes/20261016

mv /root/ajlsm-deploy-actuel.tar.gz /root/ajlsm-deploy/archives/
mv /root/ajlsm-deploy-cycle.zip /root/ajlsm-deploy/archives/

unzip /root/ajlsm-deploy/archives/ajlsm-deploy-cycle.zip \
  -d /root/ajlsm-deploy/recettes/20261016

cd /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle
chmod 750 ajlsm-deploy ajlsm-deploy-check ajlsm-deploy-resources ajlsm-deploy-cycle
-bash: unzip: command not found
-bash: cd: /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle: No such file or directory
chmod: cannot access 'ajlsm-deploy-check': No such file or directory
chmod: cannot access 'ajlsm-deploy-resources': No such file or directory
chmod: cannot access 'ajlsm-deploy-cycle': No such file or directory
root@Saturne3:~# mkdir -p /root/ajlsm-deploy/archives
mkdir -p /root/ajlsm-deploy/recettes/20261016

mv /root/ajlsm-deploy-actuel.tar.gz /root/ajlsm-deploy/archives/
mv /root/ajlsm-deploy-cycle.zip /root/ajlsm-deploy/archives/

unzip /root/ajlsm-deploy/archives/ajlsm-deploy-cycle.zip \
  -d /root/ajlsm-deploy/recettes/20261016

cd /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle
chmod 750 ajlsm-deploy ajlsm-deploy-check ajlsm-deploy-resources ajlsm-deploy-cycle
mv: cannot stat '/root/ajlsm-deploy-actuel.tar.gz': No such file or directory
mv: cannot stat '/root/ajlsm-deploy-cycle.zip': No such file or directory
-bash: unzip: command not found
-bash: cd: /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle: No such file or directory
chmod: cannot access 'ajlsm-deploy-check': No such file or directory
chmod: cannot access 'ajlsm-deploy-resources': No such file or directory
chmod: cannot access 'ajlsm-deploy-cycle': No such file or directory
root@Saturne3:~# python3 -m zipfile -e \
  /root/ajlsm-deploy/archives/ajlsm-deploy-cycle.zip \
  /root/ajlsm-deploy/recettes/20261016 &&
cd /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle &&
chmod 750 ajlsm-deploy ajlsm-deploy-check ajlsm-deploy-resources ajlsm-deploy-cycle &&
./ajlsm-deploy-cycle /etc/ajlsm/deploy/projets/mercure3.yaml --plan

=== ÉTAPE 1/11 : clonage ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --clone --agent-timeout 300

=== ÉTAPE 2/11 : ressources ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --configure-resources --agent-timeout 300

=== ÉTAPE 3/11 : premier-demarrage ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --first-boot-apply --agent-timeout 300

=== ÉTAPE 4/11 : extension-racine ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --root-grow-apply --agent-timeout 300

=== ÉTAPE 5/11 : identite ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --system-apply --agent-timeout 300

=== ÉTAPE 6/11 : netplan ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --network-apply --agent-timeout 300

=== ÉTAPE 7/11 : activation-reseau ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --network-enable --agent-timeout 300

=== ÉTAPE 8/11 : audit-ssh ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --ssh-audit --agent-timeout 300

=== ÉTAPE 9/11 : securisation-ssh ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --ssh-secure --agent-timeout 300

=== ÉTAPE 10/11 : mot-de-passe ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --password-ajlsm --agent-timeout 300

=== ÉTAPE 11/11 : tls ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --tls-apply --agent-timeout 300

[PLAN] Aucune phase exécutée.
root@Saturne3:~/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle# 
root@Saturne3:~/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle# 
root@Saturne3:~/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle# qm config 505
agent: 1
balloon: 16384
boot: order=scsi0;net0
cores: 8
cpu: x86-64-v2-AES
memory: 24576
meta: creation-qemu=11.0.0,ctime=1779439732
name: MERCURE3
net0: virtio=BC:24:11:F6:BC:A4,bridge=vmbr2,firewall=1,link_down=0
net1: virtio=BC:24:11:A5:17:8E,bridge=vmbr1,firewall=1,link_down=0
numa: 0
onboot: 1
ostype: l26
scsi0: local-zfs:vm-505-disk-0,iothread=1,size=100G
scsihw: virtio-scsi-single
smbios1: uuid=ab93f3d0-c137-428c-acad-81f3196329c6
sockets: 1
tags: interne
vmgenid: d71326df-130f-4394-bd68-6f8c493047e1
root@Saturne3:~/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle# qm set 505 --onboot 0 &&
qm shutdown 505 --timeout 120 &&
qm destroy 505 &&
./ajlsm-deploy-cycle /etc/ajlsm/deploy/projets/mercure3.yaml
update VM 505: -onboot 0

=== ÉTAPE 1/11 : clonage ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --clone --agent-timeout 300

=== PRÉCONTRÔLES ===
[OK] Configuration YAML chargée

=== CONTRÔLES PROXMOX ===
[OK] VM source 506 présente
[OK] VM source 506 arrêtée
[OK] QEMU Guest Agent activé dans la configuration
[OK] Disque source scsi0 : 32 Gio
[OK] Prochain VMID proposé : 505 (non réservé)
[OK] CPU : 1 socket(s) × 8 cœur(s) = 8 vCPU
[OK] RAM : 16384 à 24576 Mio
[OK] Stockage local-zfs actif
[OK] Disque demandé : 100 Gio
[OK] Tags : interne

=== CONTRÔLES RÉSEAU ===
[OK] Bridge vmbr2 présent
[OK] net0 / ens18 : 10.0.0.43/24
[OK] Bridge vmbr1 présent
[OK] net1 / ens19 : 192.168.123.27/24
[OK] IP loopback : 51.83.117.113/32
[OK] Passerelle : 10.0.0.4 via ens18
[OK] DNS : 10.0.0.4
[AVERTISSEMENT] Disponibilité réelle des IP non vérifiée sur le réseau

=== BILAN ===
Erreurs : 0
Avertissements : 1
Précontrôles satisfaits. Aucune modification effectuée.

=== PLAN DE CLONAGE ===
Source   : VM 506
Clone    : MERCURE3
VMID     : 505
Stockage : local-zfs
Type     : clone complet
Réseau   : isolation avant premier démarrage
Onboot   : désactivé
Démarrage: aucun

Pour créer la VM 505, confirmer (OUI/NON) : oui

[ACTION] Clonage en cours...
[OK] VM 505 créée
[ACTION] Isolation de net0
[ACTION] Isolation de net1
[OK] Adresses MAC du clone distinctes de TEMPLATE3
[OK] Clone arrêté
[OK] Démarrage automatique désactivé
[OK] Toutes les interfaces réseau isolées

=== CLONAGE TERMINÉ ===
VM 505 : MERCURE3
État : arrêtée, réseau isolé, onboot=0
Aucun démarrage effectué.
Prochaine phase : ressources CPU/RAM/disque.

=== ÉTAPE 2/11 : ressources ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --configure-resources --agent-timeout 300

=== RESSOURCES : MERCURE3 (VM 505) ===
[OK] VM arrêtée, réseau isolé, onboot=0
[MODIFICATION] CPU : 2 x 4 -> 1 x 8
[MODIFICATION] RAM : 8192 -> 24576 Mio ; balloon : non défini -> 16384 Mio
[MODIFICATION] Disque scsi0 : 32 -> 100 Gio

Pour appliquer les ressources à la VM 505, confirmer (OUI/NON) : oui
[ACTION] CPU : 2 x 4 -> 1 x 8
[ACTION] RAM : 8192 -> 24576 Mio ; balloon : non défini -> 16384 Mio
[ACTION] Disque scsi0 : 32 -> 100 Gio

[OK] Ressources configurées et vérifiées.
[OK] VM toujours arrêtée et réseau isolé.

=== ÉTAPE 3/11 : premier-demarrage ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --first-boot-apply --agent-timeout 300

=== PREMIER DÉMARRAGE : MERCURE3 (VM 505) ===
[OK] Démarrage automatique désactivé, interfaces isolées
État actuel : stopped

Pour démarrer la VM 505 avec le réseau isolé, confirmer (OUI/NON) : oui
[ACTION] Démarrage de la VM 505 avec interfaces isolées
[OK] Agent QEMU disponible
[OK] ajlsm-clone-init terminé avec succès
[OK] UUID matériel conforme : 89aea8cb-9fd5-4b3b-9e06-a80cfa014f5b
[OK] Phase de premier démarrage validée ; interfaces toujours isolées

=== ÉTAPE 4/11 : extension-racine ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --root-grow-apply --agent-timeout 300
=== EXTENSION RACINE : VM 505 (APPLY) ===
Étendre la partition, le LVM et ext4 de la VM 505 [OUI/NON] : oui
[ETAT] {"disk_bytes": 107374182400, "grow_partition": true, "lv": "/dev/ubuntu-vg/ubuntu-lv", "partition_free_bytes_approx": 73015492608, "pv": "/dev/sda3", "root": "/dev/mapper/ubuntu--vg-ubuntu--lv ext4", "vg": "ubuntu-vg", "vg_free_bytes": 16106127360}
[ACTION] growpart /dev/sda 3
[ACTION] pvresize /dev/sda3
[ACTION] lvextend -r -l +100%FREE /dev/ubuntu-vg/ubuntu-lv
[OK] Extension racine vérifiée : Filesystem                        Type  Size  Used Avail Use% Mounted on
/dev/mapper/ubuntu--vg-ubuntu--lv ext4   97G  8.0G   85G   9% /


=== ÉTAPE 5/11 : identite ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --system-apply --agent-timeout 300
[OK] Agent QEMU disponible
[OK] ajlsm-clone-init terminé avec succès
Cible : MERCURE3 VM505, UUID 89aea8cb-9fd5-4b3b-9e06-a80cfa014f5b, hostname mercure3.ajlsm.com
État de reprise : nouvelle transaction

Cible : VM505 — mercure3.ajlsm.com
Cette opération modifiera l’identité système et redémarrera la VM avec le réseau isolé.
Confirmer (OUI/NON) : oui
[ACTION] Identité disque préparée ; identité active non encore validée
[OK] Agent QEMU disponible
[OK] ajlsm-clone-init terminé avec succès
[OK] Nouveau démarrage et identité active vérifiés ; VM505 toujours isolée

=== ÉTAPE 6/11 : netplan ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --network-apply --agent-timeout 300
[OK] Agent QEMU disponible
[OK] ajlsm-clone-init terminé avec succès
Cible : MERCURE3 VM505 ; reseau Proxmox isole
  ens18: 10.0.0.43/24
  ens19: 192.168.123.27/24
  lo: 51.83.117.113/32 ; passerelle: 10.0.0.4 (ens18) ; DNS: 10.0.0.4
Cette operation remplace Netplan dans l'invite, sans activer les interfaces Proxmox.
Confirmer (OUI/NON) : oui
[OK] Netplan ecrit et netplan generate valide : {"changed": true, "backup": true}
[OK] VM505 toujours isolee ; aucune activation des liens

=== ÉTAPE 7/11 : activation-reseau ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --network-enable --agent-timeout 300
[OK] Agent QEMU disponible
[OK] ajlsm-clone-init terminé avec succès
[OK] ARP DAD 10.0.0.43 sur vmbr2 (aucune reponse)
[OK] ARP DAD 192.168.123.27 sur vmbr1 (aucune reponse)
[OK] VM505 UUID=89aea8cb-9fd5-4b3b-9e06-a80cfa014f5b, clone et Netplan valides, reseau isole
Activer le reseau de cette VM (OUI/NON) : oui
[OK] ARP DAD 10.0.0.43 sur vmbr2 (aucune reponse)
[OK] ARP DAD 192.168.123.27 sur vmbr1 (aucune reponse)
[OK] Adresses, loopback, route, DNS et ping passerelle valides
[OK] VM505 : reseau actif et controle, onboot conforme au YAML

=== ÉTAPE 8/11 : audit-ssh ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --ssh-audit --agent-timeout 300
[OK] Clé ED25519 vérifiée via QEMU : 10.0.0.43
[OK] known_hosts actualisé avec sauvegarde conservée
=== Contrôle SSH, sans modification ===
Identité : mercure3.ajlsm.com

Clés autorisées ajlsm :
4096 SHA256:zGdW2VjyzL/p30BjtNy6dzXIahBWTH9djZLc62IKCAk siva@MacBook-Pro-de-Sivakavi.local (RSA)
256 SHA256:lVtwxE0No+RZNyOXpf64JBCnMYIk9YaMw43clCV92hk jlarvers@MacBook-Pro.lan (ED25519)
256 SHA256:HAHGVQ2Afy6vGJpLhJ2vftXonwV31QNOiFHH6t5BfB4 modou-mbp (ED25519)

Configuration effective SSH :
permitrootlogin prohibit-password
pubkeyauthentication yes
passwordauthentication yes
kbdinteractiveauthentication no

Règles sudo pour ajlsm :
User ajlsm may run the following commands on mercure3.ajlsm.com:
    (ALL : ALL) ALL

Etat du mot de passe ajlsm :
ajlsm P 2026-05-22 0 99999 7 -1
[OK] Connexion ajlsm par clé vérifiée.

=== ÉTAPE 9/11 : securisation-ssh ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --ssh-secure --agent-timeout 300
=== Contrôle SSH, sans modification ===
Identité : mercure3.ajlsm.com

Clés autorisées ajlsm :
4096 SHA256:zGdW2VjyzL/p30BjtNy6dzXIahBWTH9djZLc62IKCAk siva@MacBook-Pro-de-Sivakavi.local (RSA)
256 SHA256:lVtwxE0No+RZNyOXpf64JBCnMYIk9YaMw43clCV92hk jlarvers@MacBook-Pro.lan (ED25519)
256 SHA256:HAHGVQ2Afy6vGJpLhJ2vftXonwV31QNOiFHH6t5BfB4 modou-mbp (ED25519)

Configuration effective SSH :
permitrootlogin prohibit-password
pubkeyauthentication yes
passwordauthentication yes
kbdinteractiveauthentication no

Règles sudo pour ajlsm :
User ajlsm may run the following commands on mercure3.ajlsm.com:
    (ALL : ALL) ALL

Etat du mot de passe ajlsm :
ajlsm P 2026-05-22 0 99999 7 -1
[OK] Connexion ajlsm par clé vérifiée.
Appliquer PasswordAuthentication no et root par clé seulement [oui/non] : oui
[OK] SSH sécurisé ; root reste autorisé par clé.
[OK] Connexions root et ajlsm par clé toujours fonctionnelles.

=== ÉTAPE 10/11 : mot-de-passe ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --password-ajlsm --agent-timeout 300
Ouvrir passwd ajlsm sur MERCURE3 [oui/non] : oui
Le mot de passe sera demandé deux fois par passwd sur la VM.
Il ne sera pas enregistré dans le script. Le reporter manuellement dans le fichier ODS.
New password: 
Retype new password: 
passwd: password updated successfully
Connection to 10.0.0.43 closed.
[OK] Mot de passe ajlsm modifié ; vérifier ensuite sudo -i depuis ajlsm.

=== ÉTAPE 11/11 : tls ===
/usr/bin/python3 /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy /etc/ajlsm/deploy/projets/mercure3.yaml --tls-apply --agent-timeout 300
mercure3.ajlsm.com
subject=CN=clone-89aea8cb-9fd.internal
X509v3 Subject Alternative Name: 
    DNS:clone-89aea8cb-9fd.internal

Initialiser le certificat TLS interne [oui/non] : oui
Initialisation TLS pour : mercure3.ajlsm.com
...+......+.+..+.......+...+.....+......++++++++++++++++++++++++++++++++++++++++++*.+....+...+..+......+.++++++++++++++++++++++++++++++++++++++++++*....+...............+.....+....+............+..+......+........................+.+.........+.....+......+....+...+++++
...+..........+...++++++++++++++++++++++++++++++++++++++++++*.+....+...+...+..............+............+.+........+.+...............+...........++++++++++++++++++++++++++++++++++++++++++*...+......+...+....+.................+....+..+...+....+.....+..........+......+.....................+...+...+.....+...+.+...+........+...+.......+..+..........+..+....+..+....+.........+...........+...................+......+.....+.............+..+.+...............+............+......+.....+.+.........+....................+.......+............+...+..+......+.+.........+..+.......+...+.................+.+.....+.+..............+.+...............+........+......+.........+.......+.....+....+..+.......+......+...........+...+......+.........+............+.+..+.......+......+.....+....+.....+.............+........+.........+.+............+......+.....+..........+......+.....+....+......+.....+.+...+..+............+......+......+....+...........+.+..+.+..............+............................+...+.....+.......+..+..........+.....+.......+....................+....+..+.......+..+....+.........+...........+.+.........+...........+....+.........+...........+..........+.....+......+.+.....+.......+..+......+...+++++
-----
Syntax OK

Initialisation TLS terminée.
Sauvegarde : /etc/ssl/ajlsm/backup.ZSmJKspN
subject=CN=mercure3.ajlsm.com
notBefore=Oct 16 14:58:53 2026 GMT
notAfter=Oct 13 14:58:53 2036 GMT
subject=CN=mercure3.ajlsm.com
X509v3 Subject Alternative Name: 
    DNS:mercure3.ajlsm.com
active


[OK] Cycle technique terminé ; procéder aux vérifications finales.
root@Saturne3:~/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle# ssh ajlsm@10.0.0.43
sudo -i
hostname
df -hT /
Welcome to Ubuntu 26.04.1 LTS (GNU/Linux 7.0.0-38-generic x86_64)

 * Documentation:  https://docs.ubuntu.com
 * Management:     https://landscape.canonical.com
 * Support:        https://ubuntu.com/pro

 System information as of Fri Oct 16 05:00:42 PM CEST 2026

  System load:  0.09              Processes:              193
  Usage of /:   8.2% of 96.34GB   Users logged in:        0
  Memory usage: 3%                IPv4 address for ens18: 10.0.0.43
  Swap usage:   0%

 * Canonical Workshop gives developers fast, composable, reproducible, and
   secure developer environments that are perfect for agentic workflows.

   https://ubuntu.com/workshop

Expanded Security Maintenance for Applications is not enabled.

1 update can be applied immediately.
To see these additional updates run: apt list --upgradable

9 additional security updates can be applied with ESM Apps.
Learn more about enabling ESM Apps service at https://ubuntu.com/esm


You have new mail.
Last login: Thu Oct 15 08:18:27 2026 from 10.40.0.2
ajlsm@mercure3:~$ sudo -i
[sudo: authenticate] Password:                     
root@mercure3:~# hostname
df -hT /
mercure3.ajlsm.com
Filesystem                        Type  Size  Used Avail Use% Mounted on
/dev/mapper/ubuntu--vg-ubuntu--lv ext4   97G  8.0G   85G   9% /
root@mercure3:~# exit
logout
ajlsm@mercure3:~$ exit
logout
Connection to 10.0.0.43 closed.
root@Saturne3:~# python3 -m zipfile -e \
  /root/ajlsm-deploy/archives/ajlsm-deploy-assistant.zip \
  /root/ajlsm-deploy/recettes/20261016
root@Saturne3:~# install -m 750 \
  /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-assistant/ajlsm-deploy-yaml \
  /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy-yaml
root@Saturne3:~# cd /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle &&
./ajlsm-deploy-yaml /etc/ajlsm/deploy/projets/mercure3.yaml --check
[OK] Valeurs YAML valides. Aucun fichier modifié, aucun contrôle d’infrastructure effectué.
root@Saturne3:~/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle# ./ajlsm-deploy-yaml /etc/ajlsm/deploy/projets/mercure3.yaml --review \
  --output /root/ajlsm-deploy/recettes/20261016/mercure3-relecture.yaml
Assistant local : ANNULER permet de quitter sans enregistrer.
Les commentaires du fichier source restent dans l’original ; la copie sera réécrite en YAML.

projet.code — texte obligatoire ; syntaxe : [a-z0-9][a-z0-9_-]*
Valeur actuelle : mercure3
Nouvelle valeur (Entrée = conserver) : 

projet.nom — texte obligatoire
Valeur actuelle : MERCURE3
Nouvelle valeur (Entrée = conserver) : 

projet.environnement — interne, client ou prod
Valeur actuelle : interne
Nouvelle valeur (Entrée = conserver) : 

proxmox.serveur — texte obligatoire ; syntaxe : [A-Za-z0-9][A-Za-z0-9.-]*
Valeur actuelle : Saturne3
Nouvelle valeur (Entrée = conserver) : 

proxmox.template_vmid — entier strictement positif
Valeur actuelle : 506
Nouvelle valeur (Entrée = conserver) : 

proxmox.vmid — null ou auto = automatique ; sinon entier positif
Valeur actuelle : null
Nouvelle valeur (Entrée = conserver) : 

proxmox.nom_vm — texte obligatoire ; syntaxe : [A-Za-z0-9][A-Za-z0-9.-]*
Valeur actuelle : MERCURE3
Nouvelle valeur (Entrée = conserver) : 

proxmox.cpu.sockets — entier strictement positif
Valeur actuelle : 1
Nouvelle valeur (Entrée = conserver) : 

proxmox.cpu.cores — entier strictement positif
Valeur actuelle : 8
Nouvelle valeur (Entrée = conserver) : 

proxmox.memoire.maximale_mib — entier strictement positif
Valeur actuelle : 24576
Nouvelle valeur (Entrée = conserver) : 

proxmox.memoire.minimale_mib — entier strictement positif
Valeur actuelle : 16384
Nouvelle valeur (Entrée = conserver) : 

proxmox.disque_systeme.stockage — texte obligatoire ; syntaxe : [A-Za-z0-9][A-Za-z0-9_.-]*
Valeur actuelle : local-zfs
Nouvelle valeur (Entrée = conserver) : 

proxmox.disque_systeme.taille_gib — entier strictement positif
Valeur actuelle : 100
Nouvelle valeur (Entrée = conserver) : 

proxmox.disque_systeme.etendre_volume_racine — true ou false
Valeur actuelle : true
Nouvelle valeur (Entrée = conserver) : 

proxmox.demarrage_auto — true ou false
Valeur actuelle : true
Nouvelle valeur (Entrée = conserver) : 

proxmox.tags — interne, client, prod séparés par virgules ; [] = aucun
Valeur actuelle : [interne]
Nouvelle valeur (Entrée = conserver) : 

systeme.hostname — nom DNS en minuscules
Valeur actuelle : mercure3.ajlsm.com
Nouvelle valeur (Entrée = conserver) : 

reseau.interfaces[0].nom — texte obligatoire ; syntaxe : net[0-9]+
Valeur actuelle : net0
Nouvelle valeur (Entrée = conserver) : 

reseau.interfaces[0].bridge — texte obligatoire ; syntaxe : [A-Za-z0-9_.-]{1,15}
Valeur actuelle : vmbr2
Nouvelle valeur (Entrée = conserver) : 

reseau.interfaces[0].systeme — texte obligatoire ; syntaxe : ens[0-9]+
Valeur actuelle : ens18
Nouvelle valeur (Entrée = conserver) : 

reseau.interfaces[0].ipv4 — IPv4/CIDR, ex. 10.0.0.43/24
Valeur actuelle : 10.0.0.43/24
Nouvelle valeur (Entrée = conserver) : 

reseau.interfaces[1].nom — texte obligatoire ; syntaxe : net[0-9]+
Valeur actuelle : net1
Nouvelle valeur (Entrée = conserver) : 

reseau.interfaces[1].bridge — texte obligatoire ; syntaxe : [A-Za-z0-9_.-]{1,15}
Valeur actuelle : vmbr1
Nouvelle valeur (Entrée = conserver) : 

reseau.interfaces[1].systeme — texte obligatoire ; syntaxe : ens[0-9]+
Valeur actuelle : ens19
Nouvelle valeur (Entrée = conserver) : 

reseau.interfaces[1].ipv4 — IPv4/CIDR, ex. 10.0.0.43/24
Valeur actuelle : 192.168.123.27/24
Nouvelle valeur (Entrée = conserver) : 

reseau.loopback.ipv4 — IPv4/CIDR, ex. 10.0.0.43/24
Valeur actuelle : 51.83.117.113/32
Nouvelle valeur (Entrée = conserver) : 

reseau.passerelle.ipv4 — IPv4 sans préfixe
Valeur actuelle : 10.0.0.4
Nouvelle valeur (Entrée = conserver) : 

reseau.passerelle.interface — texte obligatoire ; syntaxe : ens[0-9]+
Valeur actuelle : ens18
Nouvelle valeur (Entrée = conserver) : 

reseau.dns — IPv4 sans préfixes, séparées par virgules
Valeur actuelle : [10.0.0.4]
Nouvelle valeur (Entrée = conserver) : 

=== PROJET PROPOSÉ ===
projet:
  code: mercure3
  nom: MERCURE3
  environnement: interne
proxmox:
  serveur: Saturne3
  template_vmid: 506
  vmid: null
  nom_vm: MERCURE3
  cpu:
    sockets: 1
    cores: 8
  memoire:
    maximale_mib: 24576
    minimale_mib: 16384
  disque_systeme:
    stockage: local-zfs
    taille_gib: 100
    etendre_volume_racine: true
  demarrage_auto: true
  tags:
  - interne
systeme:
  hostname: mercure3.ajlsm.com
reseau:
  interfaces:
  - nom: net0
    bridge: vmbr2
    systeme: ens18
    ipv4: 10.0.0.43/24
  - nom: net1
    bridge: vmbr1
    systeme: ens19
    ipv4: 192.168.123.27/24
  loopback:
    ipv4: 51.83.117.113/32
  passerelle:
    ipv4: 10.0.0.4
    interface: ens18
  dns:
  - 10.0.0.4

[OK] Valeurs et cohérence YAML validées par le validateur du déploiement.
[NON VÉRIFIÉS] DNS, OPNsense, Ansible, objets Proxmox et disponibilité des IP.
Enregistrer la nouvelle copie dans /root/ajlsm-deploy/recettes/20261016/mercure3-relecture.yaml ? OUI/NON : oui
[ENREGISTRÉ] /root/ajlsm-deploy/recettes/20261016/mercure3-relecture.yaml
Contrôle Proxmox en lecture seule, à lancer sur le nœud cible avant un nouveau déploiement :
/root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle/ajlsm-deploy-check /root/ajlsm-deploy/recettes/20261016/mercure3-relecture.yaml
root@Saturne3:~/ajlsm-deploy/recettes/20261016/ajlsm-deploy-cycle# Read from remote host 141.95.206.118: Connection reset by peer
Connection to 141.95.206.118 closed.
client_loop: send disconnect: Broken pipe
jlarvers@MacBook-Pro ~ % ssh saturne3
Linux Saturne3 7.0.14-23-pve #1 SMP PREEMPT_DYNAMIC PMX 7.0.14-23 (2026-10-07T20:25Z) x86_64

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
Last login: Fri Oct 16 16:43:10 2026 from 109.190.129.96
root@Saturne3:~# man -w ajlsm-deploy
/usr/local/man/man8/ajlsm-deploy.8
root@Saturne3:~# man -w ajlsm-deploy
/usr/local/man/man8/ajlsm-deploy.8
root@Saturne3:~# scp root@141.95.206.118:/usr/local/man/man8/ajlsm-deploy.8 ~/Downloads/ajlsm-deploy-existant.8
The authenticity of host '141.95.206.118 (141.95.206.118)' can't be established.
ED25519 key fingerprint is SHA256:GaOnRcly/RWj3rX8/2/Y/gdlagmDypNNvo0xRK1kQaE.
This host key is known by the following other names/addresses:
    ~/.ssh/known_hosts:21: [hashed name]
    ~/.ssh/known_hosts:26: [hashed name]
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '141.95.206.118' (ED25519) to the list of known hosts.
scp: open local "/root/Downloads/ajlsm-deploy-existant.8": No such file or directory
root@Saturne3:~# python3 -m zipfile -e \
  /root/ajlsm-deploy/archives/ajlsm-deploy-man.zip \
  /root/ajlsm-deploy/recettes/20261016 &&
cd /root/ajlsm-deploy/recettes/20261016/ajlsm-deploy-man
root@Saturne3:~/ajlsm-deploy/recettes/20261016/ajlsm-deploy-man# SAUVEGARDE_MAN=$(mktemp -d /root/ajlsm-deploy/archives/man-avant-20261016.XXXXXX)

for NOM_MAN in ajlsm-deploy ajlsm-deploy-cycle ajlsm-deploy-yaml ajlsm-deploy-check ajlsm-deploy-resources; do
  for SUFFIXE_MAN in .8 .8.gz; do
    PAGE_MAN="/usr/local/man/man8/$NOM_MAN$SUFFIXE_MAN"
    if [ -e "$PAGE_MAN" ] || [ -L "$PAGE_MAN" ]; then
      cp -a "$PAGE_MAN" "$SAUVEGARDE_MAN/" || break 2
    fi
  done
done

printf 'Sauvegarde : %s\n' "$SAUVEGARDE_MAN"
Sauvegarde : /root/ajlsm-deploy/archives/man-avant-20261016.WiJHQn
root@Saturne3:~/ajlsm-deploy/recettes/20261016/ajlsm-deploy-man# install -d -m 755 /usr/local/man/man8

for NOM_MAN in ajlsm-deploy ajlsm-deploy-cycle ajlsm-deploy-yaml ajlsm-deploy-check ajlsm-deploy-resources; do
  install -m 644 "man8/$NOM_MAN.8" "/usr/local/man/man8/$NOM_MAN.8" || break
done

if command -v mandb >/dev/null 2>&1; then
  mandb
fi
Purging old database entries in /usr/share/man...
Processing manual pages under /usr/share/man...
Checking for stray cats under /usr/share/man...
Checking for stray cats under /var/cache/man...
Purging old database entries in /usr/share/man/pl...
Processing manual pages under /usr/share/man/pl...
Checking for stray cats under /usr/share/man/pl...
Checking for stray cats under /var/cache/man/pl...
Purging old database entries in /usr/share/man/ru...
Processing manual pages under /usr/share/man/ru...
Checking for stray cats under /usr/share/man/ru...
Checking for stray cats under /var/cache/man/ru...
Purging old database entries in /usr/share/man/id...
Processing manual pages under /usr/share/man/id...
Checking for stray cats under /usr/share/man/id...
Checking for stray cats under /var/cache/man/id...
Purging old database entries in /usr/share/man/es...
Processing manual pages under /usr/share/man/es...
Checking for stray cats under /usr/share/man/es...
Checking for stray cats under /var/cache/man/es...
Purging old database entries in /usr/share/man/zh_TW...
Processing manual pages under /usr/share/man/zh_TW...
Checking for stray cats under /usr/share/man/zh_TW...
Checking for stray cats under /var/cache/man/zh_TW...
Purging old database entries in /usr/share/man/sl...
Processing manual pages under /usr/share/man/sl...
Checking for stray cats under /usr/share/man/sl...
Checking for stray cats under /var/cache/man/sl...
Purging old database entries in /usr/share/man/pt...
Processing manual pages under /usr/share/man/pt...
Checking for stray cats under /usr/share/man/pt...
Checking for stray cats under /var/cache/man/pt...
Purging old database entries in /usr/share/man/hr...
Processing manual pages under /usr/share/man/hr...
Checking for stray cats under /usr/share/man/hr...
Checking for stray cats under /var/cache/man/hr...
Purging old database entries in /usr/share/man/pt_BR...
Processing manual pages under /usr/share/man/pt_BR...
Checking for stray cats under /usr/share/man/pt_BR...
Checking for stray cats under /var/cache/man/pt_BR...
Purging old database entries in /usr/share/man/hu...
Processing manual pages under /usr/share/man/hu...
Checking for stray cats under /usr/share/man/hu...
Checking for stray cats under /var/cache/man/hu...
Purging old database entries in /usr/share/man/da...
Processing manual pages under /usr/share/man/da...
Checking for stray cats under /usr/share/man/da...
Checking for stray cats under /var/cache/man/da...
Purging old database entries in /usr/share/man/cs...
Processing manual pages under /usr/share/man/cs...
Checking for stray cats under /usr/share/man/cs...
Checking for stray cats under /var/cache/man/cs...
Purging old database entries in /usr/share/man/tr...
Processing manual pages under /usr/share/man/tr...
Checking for stray cats under /usr/share/man/tr...
Checking for stray cats under /var/cache/man/tr...
Purging old database entries in /usr/share/man/fr...
Processing manual pages under /usr/share/man/fr...
Checking for stray cats under /usr/share/man/fr...
Checking for stray cats under /var/cache/man/fr...
Purging old database entries in /usr/share/man/nl...
Processing manual pages under /usr/share/man/nl...
Checking for stray cats under /usr/share/man/nl...
Checking for stray cats under /var/cache/man/nl...
Purging old database entries in /usr/share/man/ko...
Processing manual pages under /usr/share/man/ko...
Checking for stray cats under /usr/share/man/ko...
Checking for stray cats under /var/cache/man/ko...
Purging old database entries in /usr/share/man/zh_CN...
Processing manual pages under /usr/share/man/zh_CN...
Checking for stray cats under /usr/share/man/zh_CN...
Checking for stray cats under /var/cache/man/zh_CN...
Purging old database entries in /usr/share/man/sv...
Processing manual pages under /usr/share/man/sv...
Checking for stray cats under /usr/share/man/sv...
Checking for stray cats under /var/cache/man/sv...
Purging old database entries in /usr/share/man/ro...
Processing manual pages under /usr/share/man/ro...
Checking for stray cats under /usr/share/man/ro...
Checking for stray cats under /var/cache/man/ro...
Purging old database entries in /usr/share/man/uk...
Processing manual pages under /usr/share/man/uk...
Checking for stray cats under /usr/share/man/uk...
Checking for stray cats under /var/cache/man/uk...
Purging old database entries in /usr/share/man/sr...
Processing manual pages under /usr/share/man/sr...
Checking for stray cats under /usr/share/man/sr...
Checking for stray cats under /var/cache/man/sr...
Purging old database entries in /usr/share/man/ja...
Processing manual pages under /usr/share/man/ja...
Checking for stray cats under /usr/share/man/ja...
Checking for stray cats under /var/cache/man/ja...
Purging old database entries in /usr/share/man/de...
Processing manual pages under /usr/share/man/de...
Checking for stray cats under /usr/share/man/de...
Checking for stray cats under /var/cache/man/de...
Purging old database entries in /usr/share/man/fi...
Processing manual pages under /usr/share/man/fi...
Checking for stray cats under /usr/share/man/fi...
Checking for stray cats under /var/cache/man/fi...
Purging old database entries in /usr/share/man/it...
Processing manual pages under /usr/share/man/it...
Checking for stray cats under /usr/share/man/it...
Checking for stray cats under /var/cache/man/it...
Purging old database entries in /usr/local/man...
Processing manual pages under /usr/local/man...
Updating index cache for path `/usr/local/man/man8'. Wait...done.
Checking for stray cats under /usr/local/man...
Checking for stray cats under /var/cache/man/oldlocal...
1 man subdirectory contained newer manual pages.
5 manual pages were added.
0 stray cats were added.
0 old database entries were purged.
root@Saturne3:~/ajlsm-deploy/recettes/20261016/ajlsm-deploy-man# man -w ajlsm-deploy
man 8 ajlsm-deploy
man 8 ajlsm-deploy-cycle
man 8 ajlsm-deploy-yaml
/usr/local/man/man8/ajlsm-deploy.8

AJLSM-DEPLOY(8)                                     Administration système                                     AJLSM-DEPLOY(8)

NOM
       ajlsm-deploy - déployer une VM Proxmox par phases contrôlées

SYNOPSIS
       ajlsm-deploy projet.yaml PHASE [--agent-timeout secondes]
       ajlsm-deploy-check projet.yaml [--phase proxmox] [--yaml-only]
       ajlsm-deploy-resources projet.yaml (--dry-run | --apply)

DESCRIPTION
       Programme  à  exécuter  sur  le  nœud Proxmox cible, avec les droits administrateur. Chaque invocation traite une seule
       phase.  Le YAML est validé avant les commandes externes.

       Après succès, les suggestions affichent les commandes de simulation et d'exécution de la prochaine étape, ou de l'étape
       simulée.  Les étapes sans simulation dédiée le signalent explicitement.  Ces suggestions ne sont jamais  exécutées  au‐
       tomatiquement.  Elles décrivent l'ordre théorique, sans mémoriser l'état du cycle.

       Pour  enchaîner les onze étapes sans en oublier, utiliser ajlsm-deploy-cycle(8).  Ce lanceur conserve les confirmations
       et les saisies interactives.

ORDRE DES PHASES
       1. --clone
              Créer le clone complet, désactiver onboot, isoler les interfaces, vérifier l'arrêt et les  adresses  MAC.  Aucun
              démarrage.  Simulation : --dry-run, qui comprend les précontrôles.

       2. --configure-resources
              Configurer  et vérifier CPU, mémoire, balloon et disque scsi0.  Exige une VM arrêtée, onboot désactivé et inter‐
              faces isolées.  La réduction du disque est interdite.  Simulation : --resources-dry-run.

       3. --first-boot-apply
              Démarrer le clone isolé, attendre l'agent QEMU et ajlsm-clone-init, puis vérifier les identités  attendues.   Si
              la VM tourne déjà, reprendre les contrôles sans redémarrage.  Simulation : --first-boot-dry-run.

       4. --root-grow-apply
              Après  le  premier démarrage et avant la personnalisation système, étendre la partition, le PV LVM, le LV racine
              et ext4.  Cette étape dépend de etendre_volume_racine dans le YAML.  Simulation : --root-grow-dry-run.

       5. --system-apply
              Personnaliser hostname, hosts et machine-id, redémarrer isolé et vérifier l'identité active. Respecter le  jour‐
              nal de transaction.  Simulation : --system-dry-run.

       6. --network-apply
              Sauvegarder  et  écrire Netplan dans l'invité, puis exécuter netplan generate. Les liens Proxmox restent isolés.
              Simulation : --network-dry-run.

       7. --network-enable
              Contrôler identité, configuration et conflits ARP, activer les liens, vérifier adresses, loopback, route, DNS et
              passerelle, puis appliquer demarrage_auto.  Un mécanisme de repli tente de rétablir l'isolation en cas  d'échec.
              Simulation : --network-enable-dry-run.

       8. --ssh-audit
              Comparer  la  clé  ED25519 lue via QEMU à celle exposée sur le réseau, actualiser known_hosts après concordance,
              puis vérifier les accès, clés autorisées, sudo et état du compte ajlsm.  Aucune simulation dédiée.

       9. --ssh-secure
              Après audit et confirmation, désactiver l'authentification SSH par mot de passe, conserver root par  clé,  véri‐
              fier  la  configuration,  recharger  SSH  et  contrôler les connexions root et ajlsm par clé.  Aucune simulation
              dédiée.

       10. --password-ajlsm
              Ouvrir passwd pour ajlsm dans la VM avec double saisie native masquée.  Un terminal interactif est  obligatoire.
              Le mot de passe n'est pas placé dans le YAML ni la ligne de commande.  Aucune simulation dédiée.

       11. --tls-apply
              Vérifier  le  certificat TLS interne. Si CN et SAN correspondent déjà au hostname, ne pas réinitialiser.  Sinon,
              après confirmation, appeler ajlsm-init-tls.sh dans la VM, puis vérifier certificat, syntaxe  Apache  et  service
              actif.  Aucune simulation dédiée.

OPTIONS COMMUNES
       --agent-timeout secondes
              Entier  strictement  positif,  défaut 300.  Délai transmis aux attentes utilisant l'agent QEMU.  Il ne constitue
 Manual page ajlsm-deploy(8) line 1/219 32% (press h for help or q to quit)

12. État des validations et limites

Date / source	Vérification	Portée
15/10/2026, page historique	Déploiements initiaux jusqu’à l’activation réseau	Résultats historiques conservés ; ne décrivent pas à eux seuls le cycle actuel
15/10/2026, page historique	Comparaison ED25519, clés divergentes ou malformées, préservation de known_hosts	Tests isolés rapportés dans la documentation reçue, non rejoués lors de cette consolidation
16/10/2026, tests locaux du lot cycle	Ordre des 11 étapes, arrêt sur refus/erreur, reprise et suggestions	8 tests réussis, incluant des sous-cas ; sous-processus des phases simulés
16/10/2026, sorties Saturne3 transmises	Cycle technique complet sur un nouveau clone MERCURE3	Terminé sans erreur signalée, extension racine incluse
16/10/2026, sorties invitées transmises	SSH ajlsm, sudo, hostname et racine ext4	Confirmés ; mercure3.ajlsm.com et 97 Gio pour /
16/10/2026, tests locaux assistant	Création, correction, copie, validation et annulation	14 tests réussis, saisies simulées
16/10/2026, sortie Saturne3 transmise	Assistant --check sur mercure3.yaml	Valeurs YAML valides ; aucune écriture ni validation externe
16/10/2026, vérification locale des modèles	Modèle vierge complété par l’assistant	Paramètres identiques à la référence MERCURE3 ; original intact
À réaliser	Essai réel du mécanisme de repli après échec d’activation réseau	Non confirmé ; le succès du parcours nominal ne valide pas ce scénario
À réaliser	Vérifications automatiques DNS, OPNsense, Ansible et recette applicative	Hors périmètre actuel

Le message de fin du cycle signifie que ses phases ont retourné un succès. Il ne vaut pas validation des applications ni détection de toutes les défaillances possibles. Conserver les vérifications finales et les limites propres aux phases.

13. Réconciliation avec la page du 15 octobre

L’original reçu est conservé intégralement dans historique/guide-20261015.mediawiki. Il sert de trace, pas de seconde procédure opérationnelle concurrente.

Le présent document remplace les indications opérationnelles anciennes :

confirmations CLONER/APPLIQUER/DEMARRER remplacées par OUI/NON ;
parcours manuel seul remplacé par le choix entre mode manuel et cycle interactif ;
liste des étapes incluant l’extension racine, SSH, mot de passe et TLS ;
extension racine et cycle complet désormais validés sur la recette du 16 octobre ;
suggestions manuelles affichant les deux commandes disponibles, sans oublier l’extension racine ;
création et relecture du YAML par l’assistant, sans écraser l’original ;
ajout du modèle vierge et de la référence MERCURE3 renseignée ;
séparation explicite des scripts installés, du lot de recette, du manuel historique et de la future installation.

Les détails encore utiles de l’ancienne page sur l’isolation, les transactions, ED25519, les sauvegardes, le README applicatif et les limites de validation sont repris ci-dessus. Une nouvelle mise à jour fonctionnelle doit modifier cette procédure directement plutôt que superposer une nouvelle section corrective à une ancienne procédure contradictoire.

14. Suites prévues

Prévoir les paramètres NFS, sites Apache2, Pleade, Drupal et Matomo dans le même YAML lorsque leurs exigences seront définies. Modifier ensemble le schéma, l’assistant, les modèles, les précontrôles, les phases et leur documentation. Documenter les références aux secrets plutôt que leurs valeurs.

L’intégration des contrôles DNS, OPNsense et Ansible précédera une déclaration automatisée de disponibilité du projet. Le modèle actuel ne contient pas encore ces nouvelles sections.

« Déploiement technique d’une VM AJLSM » : différence entre les versions

Jlarvers (discussion | contributions)

Version du 16 octobre 2026 à 16:37

Sommaire

AJLSM-DEPLOY — Déploiement automatisé des VM Proxmox

1. Périmètre et résultat de la recette

2. Où exécuter les commandes

3. Organisation des fichiers

4. Les deux fichiers de préconfiguration

4.1. projet-vierge.yaml

4.2. mercure3-reference.yaml

4.3. Valeurs acceptées

5. Préparer et valider le YAML

5.1. Vérifier un fichier existant sans le modifier

5.2. Compléter le modèle vierge

5.3. Créer sans modèle

5.4. Revoir un projet renseigné

5.5. Préparatifs externes

6. Afficher le plan puis lancer le cycle

6.1. Plan sans exécution

6.2. Cycle réel pour une nouvelle VM

6.3. Mode manuel

7. Erreur, annulation et reprise

8. Vérifications finales

9. Reconstruire MERCURE3 ultérieurement

10. Protections et détails techniques

10.1. Isolation, identité et journal de personnalisation

10.2. Audit SSH : lecture dans la VM, écriture possible sur Saturne3

10.3. Sécurisation SSH et mot de passe

10.4. Certificat TLS interne et Apache

10.5. Attente réseau au premier démarrage

11. Maintenance, sauvegardes et manuel

11.1. Identifier les fichiers réellement exécutés

11.2. Sauvegarder et restaurer un lot cohérent

11.3. Page man

12. État des validations et limites

13. Réconciliation avec la page du 15 octobre

14. Suites prévues

Menu de navigation

« Déploiement technique d’une VM AJLSM » : différence entre les versions

Jlarvers (discussion | contributions)

Version du 16 octobre 2026 à 16:37

AJLSM-DEPLOY — Déploiement automatisé des VM Proxmox

1. Périmètre et résultat de la recette

2. Où exécuter les commandes

3. Organisation des fichiers

4. Les deux fichiers de préconfiguration

4.1. projet-vierge.yaml

4.2. mercure3-reference.yaml

4.3. Valeurs acceptées

5. Préparer et valider le YAML

5.1. Vérifier un fichier existant sans le modifier

5.2. Compléter le modèle vierge

5.3. Créer sans modèle

5.4. Revoir un projet renseigné

5.5. Préparatifs externes

6. Afficher le plan puis lancer le cycle

6.1. Plan sans exécution

6.2. Cycle réel pour une nouvelle VM

6.3. Mode manuel

7. Erreur, annulation et reprise

8. Vérifications finales

9. Reconstruire MERCURE3 ultérieurement

10. Protections et détails techniques

10.1. Isolation, identité et journal de personnalisation

10.2. Audit SSH : lecture dans la VM, écriture possible sur Saturne3

10.3. Sécurisation SSH et mot de passe

10.4. Certificat TLS interne et Apache

10.5. Attente réseau au premier démarrage

11. Maintenance, sauvegardes et manuel

11.1. Identifier les fichiers réellement exécutés

11.2. Sauvegarder et restaurer un lot cohérent

11.3. Page man

12. État des validations et limites

13. Réconciliation avec la page du 15 octobre

14. Suites prévues

Menu de navigation

Rechercher

« Déploiement technique d’une VM AJLSM » : différence entre les versions