Ce que vous voyez
Les nouveaux bilans ne sont plus centralisés, même si les appels peuvent continuer.
État d’avancement:Prévu, non construitfiche de référencemise en service interdite pour l’instantÉtat réel:contrat statiquecible Scaleway privéeaucun runtimesource backend inconnueNO-GO
Choisissez votre lectureCommencez par la vue sans jargon si vous découvrez le sujet.
À qui s’adresse chaque lecture?
Je veux comprendre: direction, équipes métier, communication, achats et première visite. Exploitation: opérateur, support et astreinte. Vue architecte: architecte, ingénieur et sécurité. Tout afficher: revue complète de la fiche.
« Je veux comprendre » affiché. Ce choix sera repris sur les autres fiches. La décision de mise en service et les risques restent toujours visibles.
Comprendre cette fonction en 60 secondes
Le résumé donne le rôle, le trajet, le risque, le responsable et la limite de preuve en moins d’une minute. Les dépendances et exemples restent disponibles juste après, sans jargon imposé.
Résumé essentiel
Ce que c’est et à quoi cela sert
Choisir un collecteur de santé disponible.
Envoyer les bilans de santé vers l’un des deux collecteurs sans demander aux cellules de les connaître.
Une comparaison utile
Comme une chaîne de témoins: chaque étape reçoit, garde et transmet.
Ce qui entre
Une cellule envoie son bilan à une adresse privée stable.
Qui en bénéficie et quel résultat attendre
Un collecteur disponible reçoit le bilan.
L’équipe chargée de détecter et traiter les pannes.
État actuel
Prévu, non construit. Cette fonction est prévue. Sa construction, son intégration et sa mise en service ne sont pas prouvées. Mise en service interdite pour l’instant.
Risque principal
Les nouveaux bilans ne sont plus centralisés, même si les appels peuvent continuer.
Responsable
Responsable de l’accès aux collecteurs. Autorité de décision: Architecte réseau privé.
Décision suivante
Autoriser l’adresse commune quand elle dirige les états vers un collecteur disponible sans perte silencieuse.
Voir les dépendances, preuves et solutions de secours
Ce qui entre, en langage courant
Une cellule envoie son bilan à une adresse privée stable.
Ce dont il dépend
Des bilans de santé récents, du réseau privé et des étapes voisines de la chaîne d’alerte.
Comment le service continue
L’équipe vérifie manuellement les étapes voisines. Les appels continuent seulement si leur chemin est indépendant; aucune notification humaine ne doit être supposée.
En cas de panne et pour vos données
Une adresse commune est prévue pour envoyer les bilans de santé vers l’un des deux points de collecte. Si cette adresse tombe, les bilans ne sont plus rassemblés, mais les appels continuent. Cette adresse n’existe pas encore: elle est seulement décrite, et rien ne sort du réseau privé.
Preuve attendue avant la prochaine étape
Panne successive des deux collecteurs, retour à la normale, contrôle des accès et absence de route publique.
Statut expliqué
Cette fonction est prévue, mais cette fiche ne prouve pas encore qu’elle est construite, reliée au reste ou mise en service. Il reste à le construire, à le tester, à préparer son exploitation et à faire approuver sa mise en service.
Exemple concret
Une cellule envoie son bilan à une adresse privée stable. Un collecteur disponible reçoit le bilan.
Voir l’exemple technique précis
L’exporter vise 10.72.40.50:9443; le LB choisit A ou B avec un contrôle TCP.
Voir les questions et réponses selon votre rôle
Les six lectures ci-dessous reprennent les mêmes faits. Elles ne créent pas une seconde source de vérité.
- Direction
- Question: Peut-on compter sur cette fonction aujourd’hui?
Réponse: Cette fonction est prévue, mais cette fiche ne prouve pas encore qu’elle est construite, reliée au reste ou mise en service. Autoriser l’adresse commune quand elle dirige les états vers un collecteur disponible sans perte silencieuse. - Métier
- Question: Quel service rend-elle concrètement?
Réponse: Envoyer les bilans de santé vers l’un des deux collecteurs sans demander aux cellules de les connaître. Un collecteur disponible reçoit le bilan. - Achats et conformité
- Question: De quoi dépend l’engagement et qu’est-ce qui manque?
Réponse: Des bilans de santé récents, du réseau privé et des étapes voisines de la chaîne d’alerte. Il reste à le construire, à le tester, à préparer son exploitation et à faire approuver sa mise en service. Preuve attendue: Panne successive des deux collecteurs, retour à la normale, contrôle des accès et absence de route publique. - Communication
- Question: Que peut-on annoncer sans faire de fausse promesse?
Réponse: Vous pouvez expliquer l’objectif suivant: Envoyer les bilans de santé vers l’un des deux collecteurs sans demander aux cellules de les connaître. Ne présentez pas cette fonction comme disponible en production: Cette fonction est prévue, mais cette fiche ne prouve pas encore qu’elle est construite, reliée au reste ou mise en service. - Exploitation
- Question: Qui agit et quel est le premier geste sans risque?
Réponse: Responsable de l’accès aux collecteurs. Autorité de décision: Architecte réseau privé. Vérifier l’heure du dernier état et les étapes juste avant et après. Un silence de supervision ne signifie jamais que tout va bien. - Technique
- Question: Où sont les contrats exacts?
Réponse: Utilisez la « Vue architecte ». Elle montre les entrées, les sorties, les interfaces, les données, la sécurité et les preuves provenant de la fiche d’autorité.
Trajet simple, de la situation au résultat
Le trajet montre ce qui déclenche cette fonction, le service qu’elle rend et le résultat obtenu. Il reste lisible sans fonction interactive.
Suivre le flux
Partie documentée: Choisir un collecteur de santé disponible.
Une cellule envoie son bilan à une adresse privée stable.
Envoyer les bilans de santé vers l’un des deux collecteurs sans demander aux cellules de les connaître.
Un collecteur disponible reçoit le bilan.
Comment lire ce trajet: avancez avec les flèches du clavier ou parcourez les étapes dans l’ordre. Les contrats exacts restent dans la « Vue architecte ».
Étape 1 sur 3: Une cellule envoie son bilan à une adresse privée stable.
Impact utile: Un collecteur disponible reçoit le bilan.
En cas de panne: Les nouveaux bilans ne sont plus centralisés, même si les appels peuvent continuer.
Responsable: Responsable de l’accès aux collecteurs. Autorité de décision: Architecte réseau privé.
Premiers gestes en cas de problème
Reconnaître ce qui se passe, protéger le service et prévenir le bon responsable sans improviser.
Première action sans risque
Vérifier l’heure du dernier état et les étapes juste avant et après. Un silence de supervision ne signifie jamais que tout va bien.
Solution de secours
L’équipe vérifie manuellement les étapes voisines. Les appels continuent seulement si leur chemin est indépendant; aucune notification humaine ne doit être supposée.
Qui prévenir et où lire les preuves
Responsable de l’accès aux collecteurs. Autorité de décision: Architecte réseau privé. La procédure de production reste à créer et valider avant la mise en service. Ouvrir la fiche d’architecture et de preuve du domaine.
Besoin d’un terme technique? Ouvrir les définitions
- VIP
- adresse IP virtuelle
- LB
- répartiteur de charge
- TCP passthrough
- transport sans terminer TLS
Décision actuelle: mise en service interdite pour l’instant. Cette fonction est prévue, mais cette fiche ne prouve pas encore qu’elle est construite, reliée au reste ou mise en service. Ce qui reste à faire: Il reste à le construire, à le tester, à préparer son exploitation et à faire approuver sa mise en service.Décision actuelle: promotion NO-GO, pas de mise en production. Ce composant décrit une cible. Aucun runtime, intégration complète ou déploiement n’est prouvé. Blockers: Implémentation, lab fermé, sécurité, exploitation, SLO et déploiement approuvé restent entièrement à prouver.
Exploitation et comportement de panne
Owner cible: SRE plateforme. Non-rôle: aucune inspection du payload, aucune alerte, aucune décision carrier.
| Nominal | Dégradé | Failover | Observabilité / SLO |
|---|---|---|---|
| Accepte TCP/9443 sur la VIP et choisit un collecteur dont le port répond. | Un backend TCP fermé est retiré; un backend qui accepte TCP mais refuse l’enveloppe peut rester vu sain. | Le comportement managé et la conservation des connexions ne sont pas exercés. Aucun drain ou retour runtime prouvé. | Métriques LB, erreurs backend, saturation, disponibilité et temps de reprise restent à qualifier. |
Panne, reprise et surveillance
Modes de panne connus, comportement de reprise et signaux à mesurer avant toute mise en service.
| Modes de panne | Reprise après incident | Signaux à mesurer |
|---|---|---|
| Aucun état n’est conservé par ce composant cible: pas de connexion à restaurer côté répartition. La reprise dépendrait du retour d’un collecteur sain. Aucune preuve locale de reprise n’existe: seule une topologie statique et un vérificateur sont acquis; le comportement managé et le retour à la normale restent à exercer. | Aujourd’hui, seul un contrat statique et un vérificateur existent; aucune métrique de répartition n’est produite. Avant promotion, mesurer erreurs backend, saturation, disponibilité de l’adresse virtuelle, temps de détection d’un collecteur mort et conservation des connexions pendant une bascule. |
Déplier ou replier les détails d’architecture
Interfaces, dépendances et configuration
Une frontière management privée qui conserve le certificat client jusqu’au collecteur.
| Entrée | Sorties | Contrat | Dépendances |
|---|---|---|---|
Exporters edge vers 10.72.40.50:9443. | 10.72.41.10:9443 et 10.72.42.10:9443. | TCP passthrough TLS, sans Proxy Protocol, health check TCP. | Routage RFC1918, service LB privé Scaleway et collecteurs A/B. Aucun module OpenTofu de déploiement n’existe. |
Source dépôt: infra/telephony/edge-health-alerting/ha-topology.example.json et vérificateur statique. Gate: G2 infra opérable.
Frontière de confiance: Frontière management privée candidate: une adresse virtuelle stable accepterait TCP/9443 des exporters et répartirait vers deux collecteurs, sans terminer TLS ni inspecter le contenu. Tout resterait en RFC1918; le contrôle du passage relèverait du service de répartition privé Scaleway, encore non déployé.
Déplier ou replier les détails de sécurité et de preuve
Sécurité, souveraineté et données
Le LB ne doit pas devenir une terminaison de confiance implicite.
TLS de bout en bout
Le certificat client telemetry reste visible uniquement au collecteur. Le LB transmet les octets et ne reçoit aucun secret applicatif.
Adresse source non prouvée
Le CIDR source réellement présenté par le backend LB n’est pas mesuré. Firewall, isolation tenant, logs et résidence UE restent à valider.
| Données et souveraineté UE | Le composant transporterait des octets chiffrés sans jamais voir de secret applicatif ni contenu d’appel. Le tiers nommé est Scaleway, pour un service privé encore non déployé. Le CIDR source réellement présenté, l’isolation tenant, les journaux et la résidence UE restent à valider. | ||
|---|---|---|---|