1. Sources verrouillées
Debian snapshot, Packer 1.16.0, plugin 1.5.0, OCI digests et RTPEngine source.
Source de vérité:
telephony-edge-ha + edge-cell-imagecompute-planes = historiqueChaîne de construction et promotion
Chaque gate reste fermée si la preuve attendue n’est pas produite. Aucun secret n’est intégré à l’image ou au state.
2. Labs
Image policy, firewall, runtime et santé testés séparément.
3. Attestation
Signature, SBOM, CVE, Secure Boot et UUID image cloud.
4. OpenTofu
Deux cellules, trois NIC, policy, images zonales et outputs.
5. G2 / pilote
PKI, secrets, NTP, VPN, carrier, E2E, charge et approbation.
Collecteur de santé edge privé
Code et health-lab local existent. Le collecteur n’est pas déployé sur une Instance et ne pilote encore ni drain ni failover carrier.
Indépendant et non-SPOF
navy-phone-edge-health.timer lance un oneshot root. Il n’est ni RequiredBy ni PartOf du runtime, ne le démarre pas, n’ouvre aucun listener ni port et ne participe pas au chemin d’appel.
Admission locale fail-closed
La commande health.py status refuse un snapshot ancien, incohérent ou non-ready. Aucun orchestrateur ou carrier ne consomme encore cette preuve.
Quatorze contrôles critiques
Chaque échec rend la cellule non-ready sans tuer la liveness du collecteur.
| Socle | Asterisk | RTPEngine | Kamailio |
|---|---|---|---|
| 5 contrôles runtime target, pare-feu actif, Chrony, attestation, secrets runtime |
3 contrôles unité, conteneur, boot + SIP TLS + ARI TLS |
3 contrôles unité, conteneur, ping NG loopback |
3 contrôles unité, conteneur, process/listener 5061 |
Identité du pare-feu actif
Le contrôle ne se limite pas à « nftables actif ». Il recalcule l’identité du contenu et vérifie les permissions.
Politique canonique + mode
SHA-256 de la politique normalisée et fichier root-only 0600.
Fichier de règles
SHA-256 de /etc/nftables.conf et mode 0644 attendu.
Règles réellement chargées
SHA-256 de la sortie nft list table inet navy_phone.
Quatre dérives injectées
Config, config-mode, rules-file et active-rules sont refusés séparément.
Spool local borné et privé
Les écritures sont atomiques dans un répertoire root 0700. Les trois fichiers sont 0640 et inférieurs à 64 Kio.
| Fichier | Contenu | Cardinalité / vie privée | Consommateur |
|---|---|---|---|
snapshot.json | Cellule, liveness, readiness, 14 checks, redémarrages connus | Aucun identifiant d’appel, adresse réseau, média ou payload | CLI locale seulement |
metrics.prom | Timestamp, readiness, checks, redémarrages mesurables | Labels fixes cell/check/component; métrique inconnue omise | Aucun exporter déployé |
last-transition.json | Dernière transition ready/not-ready et checks échoués | Un seul événement borné | Aucun alerting déployé |
Séparation des niveaux de preuve
Les commandes du health-lab sont simulées pour injecter les fautes. Les processus et protocoles réels sont prouvés séparément par runtime-lab.
| Niveau | Acquis | Non acquis |
|---|---|---|
| Code | Timer/service, collecteur, politique image, IaC et gates | Exécution distante |
| Health-lab | 14 fautes, 4 dérives firewall, récupération, spool, confidentialité, métrique inconnue | Commandes/processus réels |
| Runtime-lab | Kamailio 6.0.7 UID 1000, RTPEngine 26.0.1.13 pong, Asterisk 22.9.0; appel exact-socket dans un namespace partagé, double Record-Route, SDP ancré, Stasis et BYE retour | RTP bidirectionnel sur ce même appel, carrier/PSTN, cloud, média post-renégociation, capacité et SLO |
| OpenTofu | 14 tests natifs avec provider mocké | Plan/apply API réel |
| Cloud / production | Rien pour ce lot | Image, Instances, réseau, backend, drain, alerting, SLO, chaos A/B |
Supervision centrale cible
Le snapshot edge présent en code/lab n’est ni un backend, ni un SLO, ni une intégration de failover.
Collecte à concevoir
Lecture des fichiers sans nouveau listener public, backpressure et perte contrôlée.
Métriques, logs et traces
Rétention, RBAC, redaction, résidence UE et capacité à figer.
Burn-rate et runbooks
Seuils, déduplication, astreinte, fraude, MOS et escalade non opérationnels.
Aucun drain réel
Ni orchestrateur ni carrier n’utilise le snapshot; aucun failover ou retrait automatique n’est prouvé.
Source actuelle et profil historique
La migration ne doit jamais importer les ports, claims HA ou faiblesses du profil historique dans la cible carrier.
telephony-edge-ha
Deux cellules, image immuable, ARI TLS/Media WS 8089, trois NIC. Non déployé.
compute-planes
Single-zone STRIKE IT, ARI 8088 en lab et ports IA 8000/9000. Pas source de vérité carrier.