92 lines
4 KiB
Markdown
92 lines
4 KiB
Markdown
# Arch System
|
||
|
||
Configuration et outillage de reconstruction de mon poste **ArchASP**.
|
||
|
||
Ce dépôt couvre la partie système : paquets, services, stockage, énergie, démarrage, outils root et automatisations locales. Les dotfiles complets restent dans un dépôt séparé.
|
||
|
||
## Objectifs
|
||
|
||
- documenter l’état réel du poste ;
|
||
- reconstruire une installation Arch sans recopier aveuglément des UUID ou des secrets ;
|
||
- conserver les outils personnalisés nécessaires au quotidien ;
|
||
- distinguer les services permanents des services lancés à la demande ;
|
||
- préparer les migrations de disque Btrfs/Limine/Snapper/Secure Boot.
|
||
|
||
## Organisation
|
||
|
||
- `scripts/backup.sh` : actualise les inventaires et les configurations suivies ;
|
||
- `scripts/audit.sh` : contrôle rapide de l’état du système ;
|
||
- `scripts/deploy.sh` : restauration par étapes, sans écraser automatiquement `fstab` ni le boot ;
|
||
- `scripts/prepare-disk.sh` : préparation destructive d’un disque pour une nouvelle installation ;
|
||
- `inventory/` : informations générées sur le poste ;
|
||
- `manifests/` : services intentionnellement activés ;
|
||
- `rootfs/` : configurations et helpers installables en root ;
|
||
- `Dotfiles_ArchAP` : dépôt séparé pour les configurations, scripts et unités utilisateur ;
|
||
- `templates/` : fichiers nécessitant une adaptation à la machine ;
|
||
- `docs/` : procédures d’entretien, de restauration et de migration SSD.
|
||
|
||
La [référence de reconstruction](docs/reconstruction-baseline.md) distingue la cible
|
||
documentée de l’état observé sur ArchASP le 2 octobre 2026. Son
|
||
[suivi d’audit](docs/audits/2026-10-02-followup.md) précise les preuves, les
|
||
limites d’accès et les décisions encore ouvertes. Les inventaires du 26 juillet
|
||
restent des observations datées, pas une cible automatique de déploiement.
|
||
|
||
## Mise à jour du dépôt
|
||
|
||
**Changement de comportement :** sans argument, `backup.sh` crée désormais un
|
||
candidat d’export **privé hors du dépôt** pour revue. Il ne modifie plus
|
||
automatiquement les listes, configurations ou inventaires suivis par Git et
|
||
ne sauvegarde ni données personnelles ni clés. Sa présence locale ne prouve
|
||
pas une copie hors disque. Voir le [contrat d’export](docs/backup.md).
|
||
|
||
```bash
|
||
./scripts/check-repo.sh
|
||
./scripts/backup.sh --dry-run
|
||
# Après décision explicite de collecter sur la machine concernée :
|
||
./scripts/backup.sh
|
||
```
|
||
|
||
Relire le manifeste et **tous** les fichiers candidats avant toute reprise
|
||
manuelle dans Git ou publication : noms de services, métadonnées de stockage,
|
||
configurations et modèle Limine peuvent contenir des informations sensibles ou
|
||
propres à la machine. Aucun candidat n’est promu automatiquement en référence
|
||
de reconstruction.
|
||
|
||
## Restauration
|
||
|
||
Le déploiement est volontairement découpé :
|
||
|
||
```bash
|
||
./scripts/deploy.sh --packages
|
||
./scripts/deploy.sh --configs
|
||
./scripts/deploy.sh --tools
|
||
./scripts/deploy.sh --services
|
||
```
|
||
|
||
Pour tout appliquer :
|
||
|
||
```bash
|
||
./scripts/deploy.sh --all
|
||
```
|
||
|
||
`/etc/fstab`, `limine.conf`, les clés Secure Boot et les connexions réseau ne sont jamais restaurés automatiquement.
|
||
|
||
## Socle historiquement documenté
|
||
|
||
- Arch Linux, Sway/SwayFX et Wayland ;
|
||
- Btrfs avec `@`, `@home`, `@log`, `@pkg` et `@/.snapshots` ;
|
||
- Limine + limine-snapper-sync ;
|
||
- Secure Boot géré par `sbctl` ;
|
||
- zram 6 Gio ; l’affirmation ancienne « sans swapfile permanent » ne décrit
|
||
plus à elle seule le poste observé le 2 octobre 2026 ;
|
||
- TLP avec seuil de charge ASUS à 60 % ;
|
||
- Nextcloud, Proton Mail Bridge, VMware et Samba lancés uniquement à la demande.
|
||
|
||
Ce socle n’est pas une certification de réinstallation. Le poste observé possède
|
||
aussi des swaps supplémentaires, CUPS disponible au démarrage et nginx utilisé
|
||
localement pour Trainlog. Leur portée sur une future installation reste à
|
||
décider dans la référence de reconstruction.
|
||
|
||
## Sécurité
|
||
|
||
Le dépôt est public. Aucun mot de passe, token, clé privée, fichier `.netrc`, base SQLite, connexion NetworkManager ou configuration WireGuard ne doit y être ajouté.
|