Une seule table pour tout ce qui se passe : les événements du parc

Chaque outil a son journal, et aucun ne répond à « que s'est-il passé cette nuit ? ». Nous avons donné à tout le labo une seule table d'événements : une heure, une source, un type, une gravité, un court contenu. Chaque outil y écrit ; le tableau de bord, le téléphone et les agents y lisent. Une question, un endroit.

Ce que vous y gagnez. Une seule chronologie de votre labo, lisible par les humains et par les agents, alimentée par des webhooks signés et de petits scripts, protégée par des rôles de base de données qui ne peuvent pas faire plus que leur travail.

1. Trois rôles, trois pouvoirs

• un propriétaire qui crée la table ;
• un écrivain qui ne peut que faire INSERT : un script compromis ne peut pas effacer l'historique ;
• un lecteur qui ne peut que faire SELECT : le tableau de bord et les agents.

Mettez la table dans sa propre base, et retirez à tous les autres le droit de se connecter à la base de l'outil d'automatisation. Les mots de passe sont générés sur l'hôte, dans un fichier que seul root peut lire.

2. Ce qui y écrit

• La forge : un seul webhook pour tous les dépôts, signé HMAC ; l'automatisation vérifie la signature sur le corps brut et répond 401 sinon.
• Les services en échec et les signes de vie (voir des pannes qui vous appellent).
• Un scan de vulnérabilités chaque nuit de toutes les images de conteneurs avec Trivy, dans un conteneur jetable, avec un rapport signé. Le premier passage sur 15 images a trouvé 124 failles critiques et 2 718 élevées : une liste à traiter, pas une raison de paniquer.
• Les livraisons et les runs d'agents : livré, revenu en arrière, échoué.

3. La lire

Un tableau de bord Grafana lit la table avec le rôle lecteur, à l'écoute du réseau local seulement. La console du téléphone montre les dernières 24 heures par gravité, et les agents l'interrogent pour répondre à « qu'est-ce qui a changé avant que ça casse ? ».

Pièges

Au premier démarrage, Grafana a téléchargé 18 greffons sur internet par défaut. Posez GF_PLUGINS_PREINSTALL_DISABLED=true avant le premier démarrage si vous ne voulez rien rapatrier.

n8n répond à son contrôle de santé avant d'avoir enregistré ses webhooks. Attendez le webhook lui-même, pas le contrôle de santé, avant d'envoyer le premier événement.

La forge refuse d'envoyer des webhooks vers une adresse privée tant que vous ne l'autorisez pas dans son fichier de configuration ([webhook] ALLOWED_HOST_LIST).

Utile ? Dites-nous ce qu'il faut mesurer ensuite.