Daneel : Rendre la gestion du mot de passe PostgreSQL instructive

2026-08-04T14:09:30Z

Rendre la gestion du mot de passe PostgreSQL instructive

@@ Ligne 41 : / Ligne 41 : @@
 <syntaxhighlight lang="bash">
 read -r -s -p 'Mot de passe PostgreSQL Gitea: ' GITEA_DB_PASSWORD
-printf '\\n'
+printf '\n'
 printf '%s' "$GITEA_DB_PASSWORD" | podman secret create --replace gitea-postgres-password -
 unset GITEA_DB_PASSWORD
 </syntaxhighlight>
-Le mot de passe du rôle PostgreSQL doit correspondre au secret avant de redémarrer Gitea. Une rotation doit donc être effectuée avec une commande SQL locale contrôlée, puis le secret doit être remplacé et Gitea redémarré.
+=== Visualiser la valeur actuelle ===
 == Étapes de configuration ==

Daneel : Créer la documentation de configuration Gitea

2026-08-04T08:33:41Z

Créer la documentation de configuration Gitea

Nouvelle page

= Trace install tas - Gitea =

Gitea fournit le service Git local de '''tas'''.

== Accès et exposition ==

* URL canonique : <code>https://gitea.lololand.org/</code>
* Accès externe alternatif : <code>https://lololand.hopto.org:25702/</code>
* Publication locale : <code>127.0.0.1:8105</code> vers le port conteneur <code>3000</code>
* Le serveur SSH interne de Gitea est désactivé ; la surface publiée est HTTP/HTTPS.

== Runtime ==

Le runtime est '''Podman rootless + Quadlet + systemd utilisateur'''.

* Application : <code>/home/loic/.config/containers/systemd/gitea.container</code>
* PostgreSQL : <code>/home/loic/.config/containers/systemd/postgresql-gitea.container</code>
* Réseau : <code>gitea-net</code>, assuré par <code>/home/loic/.config/systemd/user/gitea-network.service</code>
* Données Gitea : volume Podman <code>gitea_data</code> monté sur <code>/data</code>
* Cache Gitea : volume Podman <code>gitea_cache</code> monté sur <code>/cache</code>
* Données PostgreSQL : <code>/media/loic/nem/gitea/postgres</code>
* Reverse proxy : bloc Gitea dans <code>/etc/caddy/Caddyfile</code>

Images actuellement utilisées et tags versionnés :

* <code>docker.io/gitea/gitea:1.27.1</code>
* <code>docker.io/library/postgres:17.10</code>

== Secret PostgreSQL ==

Les Quadlets ne contiennent plus la valeur du mot de passe. Les deux conteneurs utilisent le secret Podman <code>gitea-postgres-password</code> : <code>POSTGRES_PASSWORD</code> pour PostgreSQL et <code>GITEA__database__PASSWD</code> pour Gitea.

La valeur n'est jamais publiée dans cette documentation. Pour vérifier uniquement la présence du secret :

<syntaxhighlight lang="bash">
podman secret inspect gitea-postgres-password
</syntaxhighlight>

Pour créer ou remplacer le secret sans l'écrire dans un Quadlet :

<syntaxhighlight lang="bash">
read -r -s -p 'Mot de passe PostgreSQL Gitea: ' GITEA_DB_PASSWORD
printf '\\n'
printf '%s' "$GITEA_DB_PASSWORD" | podman secret create --replace gitea-postgres-password -
unset GITEA_DB_PASSWORD
</syntaxhighlight>

Le mot de passe du rôle PostgreSQL doit correspondre au secret avant de redémarrer Gitea. Une rotation doit donc être effectuée avec une commande SQL locale contrôlée, puis le secret doit être remplacé et Gitea redémarré.

== Étapes de configuration ==

# Créer le réseau <code>gitea-net</code> et le maintenir par <code>gitea-network.service</code>.
# Créer le secret Podman <code>gitea-postgres-password</code>.
# Démarrer PostgreSQL avec le volume persistant et le secret injecté dans <code>POSTGRES_PASSWORD</code>.
# Démarrer Gitea avec le même secret injecté dans <code>GITEA__database__PASSWD</code>.
# Configurer Gitea pour PostgreSQL sur <code>gitea-db:5432</code>, avec la base et l'utilisateur <code>gitea</code>.
# Publier le port HTTP local <code>8105</code> via Caddy vers <code>gitea.lololand.org</code> et le port externe <code>25702</code>.
# Vérifier systemd, PostgreSQL, la réponse HTTP locale et la réponse publique.

== Commandes de vérification ==

<syntaxhighlight lang="bash">
systemctl --user daemon-reload
systemctl --user is-active gitea-network.service postgresql-gitea.service gitea.service
podman exec gitea-db pg_isready -U gitea -d gitea
podman exec gitea gitea --version
podman exec gitea-db postgres --version
curl -fsS -o /dev/null -w '%{http_code}\\n' http://127.0.0.1:8105/
</syntaxhighlight>

== Sauvegarde et retour arrière ==

Le backup de la modification du 4 août 2026 est dans :

<code>/home/loic/backups/gitea-quadlet-hardening-20260804T102558+0200/</code>

Restaurer les Quadlets depuis ce dossier, exécuter <code>systemctl --user daemon-reload</code>, puis redémarrer PostgreSQL et Gitea dans cet ordre. Ne pas supprimer le volume PostgreSQL lors d'un retour arrière.

== Vérifications du 4 août 2026 ==

* Gitea <code>1.27.1</code> actif.
* PostgreSQL <code>17.10</code> actif et <code>pg_isready</code> positif.
* HTTP local : <code>200</code>.
* HTTP public sur <code>https://gitea.lololand.org/</code> : <code>200</code>.
* Aucun mot de passe en clair dans les deux Quadlets Gitea/PostgreSQL.

Trace install tas - Gitea - Historique des versions

Daneel : Rendre la gestion du mot de passe PostgreSQL instructive

Daneel : Créer la documentation de configuration Gitea

Daneel : Rendre la gestion du mot de passe PostgreSQL instructive

Daneel : Créer la documentation de configuration Gitea