Vue d'ensemble¶
Le guide d'installation permet d'installer la plateforme Tradeval chez un client tiers, avec son propre domaine, son propre plan d'adressage et ses propres services externes. Il couvre une instance mono-client : une installation, un domaine, un realm. Il ne décrit pas une installation multi-tenant.
Ce que l'on installe¶
L'installation empile cinq éléments.
- Un cluster Talos, six machines virtuelles sous un hyperviseur (trois control-plane, trois workers), avec kube-vip pour publier une adresse unique d'entrée.
- Une couche
core, commune à tous les clients : réseau (Calico, kube-vip), ingress (Traefik), émission des certificats (cert-manager), résolution DNS interne (CoreDNS), coffre de secrets (Vault, External Secrets Operator). - Une couche applicative, propre au client une fois paramétrée : Keycloak pour l'authentification, les microservices .NET, les portails Next.js.
- Une exposition publique, limitée à trois hosts (
hub,portal,auth), publiée par un tunnel Cloudflare, sans port entrant ouvert sur le pare-feu. - Une exposition interne, pour les portails et interfaces qui ne doivent jamais sortir sur internet, atteinte par VPN.
Le dépôt que ce guide décrit, et sa référence¶
Ce guide ne s'installe pas seul : toutes ses commandes s'exécutent depuis une copie du dépôt
trade.infra, qui porte les manifestes et les scripts. Ce guide décrit ce dépôt à une
référence donnée, remise par l'éditeur avec cette archive, et non son état courant.
Cette distinction n'est pas formelle. Les pages qui suivent affirment des faits comptés sur le
dépôt : onze images applicatives, trois Services LoadBalancer, dix HPA, douze familles de
substitution, onze manifestes qui référencent acr-pull-secret. Ces comptes sont vrais du dépôt
à la référence décrite, et de lui seul. Un dépôt cloné plus tard peut porter une douzième API ou
un Service LoadBalancer de plus : les comptes de ce guide deviennent alors faux, sans que rien
ne le signale, et l'opérateur qui trouve douze images là où la page en annonce onze n'a aucun
moyen de savoir laquelle des deux sources fait foi.
Avant de commencer, comparer la référence de la copie clonée à celle que l'éditeur a remise :
Si les deux diffèrent, demander la version du guide qui correspond au dépôt, ou la référence du dépôt qui correspond à ce guide. Ne pas arbitrer sur site entre deux sources : un écart de compte est le symptôme d'un dépôt plus récent que le guide, pas d'une installation ratée. L'obtention de la copie, l'URL du dépôt et le répertoire de travail sont en tête de la section « Vérifier » des Prérequis.
À qui s'adresse ce guide¶
Le lecteur visé est un opérateur qui ne connaît pas ce dépôt. Il dispose :
- d'un accès physique ou hyperviseur au matériel cible ;
- d'un compte Cloudflare sur le domaine du client ;
- des accès à la couche de données externe (base applicative, bus d'évènements, cache, moteur de recherche, stockage objet, SMTP).
Il ne dispose pas du contexte historique de l'équipe qui a construit la plateforme. Tout ce qu'il doit savoir pour installer et exploiter l'instance est écrit dans ce guide, ou renvoyé explicitement vers la page qui le détaille.
Compétences requises¶
- Kubernetes : lecture de manifests,
kubectl, diagnostic de pods qui ne démarrent pas. - DNS : gestion de zone, enregistrements A et TXT, délégation.
- TLS : certificats, chaîne de confiance, challenges ACME.
- Notions de Talos : machine immuable pilotée par API, pas d'accès shell classique.
Le guide n'enseigne aucune de ces notions. Il suppose qu'elles sont acquises et se concentre sur ce qui est propre à tradeval.
Durée attendue par lot¶
Estimation par ordre de grandeur, non chronométrée sur un déploiement client réel. Elle sert à planifier une fenêtre d'intervention, pas de référence contractuelle.
| Lot | Pages | Contenu | Durée estimée |
|---|---|---|---|
| Préparation | 01 à 03 | lecture, réservation des accès et des adresses, remplissage de la fiche client | une demi-journée |
| Compréhension | 04 et 05 | architecture cible, ordre d'application des couches | une demi-journée |
| Installation | 06 et 07 | pas-à-pas d'installation, configuration des secrets | une journée à une journée et demie |
| Vérification et mise en service | 08 et 09 | observabilité, recette de conformité | une demi-journée |
| Prise en main de l'exploitation | 10 et 11 | dépannage, procédures d'exploitation courante | une demi-journée |
Ordre de lecture¶
| Page | Rôle |
|---|---|
| Vue d'ensemble | ce que l'on installe, à qui le guide s'adresse, compétences requises, durée attendue, ordre de lecture |
| Prérequis | matériel et hyperviseur, plan d'adressage à réserver, zone DNS et compte Cloudflare, couche de données externe, outils du poste opérateur, comptes et accès |
| Parametres | la fiche client : chaque variable, son exemple, les fichiers qu'elle atteint, l'effet d'une valeur fausse |
| Architecture | vue de déploiement, séparation entre ce qui est fixe et ce qui est paramétrable |
| Stratégie | ordre d'application et dépendances entre couches, place d'ArgoCD, sondes et HPA, mise à jour et retour arrière |
| Pas-à-pas | la suite d'opérations : Talos, couche core, Vault et secrets, certificats, couche de données, Keycloak et realm, applications, exposition |
| Configuration | Vault et ESO, ConfigMaps, variables figées au build, inventaire des sources par service |
| Observabilité | quelle stack de supervision déployer, tableaux de bord, ce qui reste à trancher (installation initiale, rétention, alerting) |
| Validation | recette de conformité après installation, exécutable |
| Troubleshooting | symptôme, cause, correctif |
| Exploitation | sauvegardes et restauration, renouvellement des certificats, mise à jour et ajout d'un service |
Ce que ce guide ne couvre pas¶
- La migration de données depuis un système existant.
- L'installation en environnement contraint sans accès à Cloudflare : ce cas exigerait un autre mode d'émission des certificats que le challenge DNS-01, donc une décision d'architecture préalable. Hors périmètre de ce guide, à traiter avec l'éditeur avant tout engagement.
- Le contenu applicatif des services et la conduite de projet côté client.
- Les décisions d'architecture elles-mêmes, leurs alternatives écartées et leurs conséquences acceptées : elles sont tenues par l'éditeur et ne sont pas livrées avec ce guide. Ce guide dit ce qu'il faut installer et comment, pas pourquoi ces choix ont été retenus.