ajoute le stock chaud, la correction automatique et les nouveaux essais de création de stack

Stock de stacks prêtes par lab dans Redis (prise atomique en Lua, ménage
par comparaison avec Heat, disjoncteur), files gérées par Horizon, séances
planifiables. Correcteur Go sur l'hyperviseur : socket Unix, commandes lues
dans le lab.yaml uniquement, exécution par l'agent invité QEMU. Une création
de stack ratée est supprimée et réessayée deux fois, puis la session passe
en échec, visible du prof.

Corrige aussi trois défauts des étapes précédentes : la console se coupait
à la première frappe d'un navigateur (trames texte), l'élève ne pouvait pas
rejoindre une séance, la déconnexion n'avait pas de jeton CSRF.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

ansible/roles/correcteur/defaults/main.yml

@@ -0,0 +1,4 @@
+---
+correcteur_dossier: /opt/correcteur
+correcteur_socket: /run/correcteur/correcteur.sock
+correcteur_dossier_labs: /opt/labs

ansible/roles/correcteur/handlers/main.yml

@@ -0,0 +1,10 @@
+---
+- name: recharger systemd
+  ansible.builtin.systemd:
+    daemon_reload: true
+
+- name: redémarrer correcteur
+  ansible.builtin.systemd:
+    name: correcteur
+    state: restarted
+    enabled: true

ansible/roles/correcteur/meta/main.yml

@@ -0,0 +1,3 @@
+---
+dependencies:
+  - role: go

ansible/roles/correcteur/tasks/main.yml

@@ -0,0 +1,79 @@
+---
+# Étape 11 : service de correction sur l'hyperviseur. Il tourne en root :
+# il lui faut `docker exec nova_libvirt virsh` (agent invité QEMU).
+- name: créer le dossier du code source
+  ansible.builtin.file:
+    path: "{{ correcteur_dossier }}"
+    state: directory
+    owner: "{{ ansible_user }}"
+    group: "{{ ansible_user }}"
+    mode: "0755"
+
+- name: synchroniser le code source
+  become: false
+  ansible.posix.synchronize:
+    src: "{{ playbook_dir }}/../correcteur/"
+    dest: "{{ correcteur_dossier }}/"
+    delete: true
+    rsync_opts:
+      - "--exclude=/correcteur"
+      - "--exclude=/correcteur-linux-amd64"
+  notify: redémarrer correcteur
+
+# Cache et modules Go dans /root, pas dans le dossier synchronisé : sinon ils
+# appartiendraient à root et bloqueraient le rsync suivant (piège de l'étape 9).
+- name: compiler le binaire
+  ansible.builtin.command:
+    cmd: /usr/local/bin/go build -o /usr/local/sbin/correcteur .
+  args:
+    chdir: "{{ correcteur_dossier }}"
+  environment:
+    HOME: /root
+    GOFLAGS: -mod=readonly
+  changed_when: true
+  notify: redémarrer correcteur
+
+- name: lire l'id du projet OpenStack des labs
+  ansible.builtin.shell:
+    cmd: >-
+      OS_CLIENT_CONFIG_FILE=/etc/kolla/clouds-paillasse.yaml OS_CLOUD=paillasse-service
+      /opt/kolla-venv/bin/openstack token issue -f value -c project_id
+  register: correcteur_projet
+  changed_when: false
+
+- name: lire l'uid de www-data (seul client autorisé)
+  ansible.builtin.getent:
+    database: passwd
+    key: www-data
+
+- name: déployer le fichier d'environnement du service
+  ansible.builtin.copy:
+    dest: /etc/correcteur.env
+    owner: root
+    group: root
+    mode: "0644"
+    content: |
+      # Géré par Ansible (rôle correcteur). Aucun secret ici.
+      CORRECTEUR_SOCKET={{ correcteur_socket }}
+      CORRECTEUR_LABS={{ correcteur_dossier_labs }}
+      CORRECTEUR_PROJET={{ correcteur_projet.stdout | trim }}
+      CORRECTEUR_UID_CLIENT={{ ansible_facts.getent_passwd['www-data'][1] }}
+  notify: redémarrer correcteur
+
+- name: déployer le service systemd
+  ansible.builtin.template:
+    src: correcteur.service.j2
+    dest: /etc/systemd/system/correcteur.service
+    mode: "0644"
+  notify:
+    - recharger systemd
+    - redémarrer correcteur
+
+- name: appliquer les changements
+  ansible.builtin.meta: flush_handlers
+
+- name: vérifier que le service tourne
+  ansible.builtin.systemd:
+    name: correcteur
+    enabled: true
+    state: started

ansible/roles/correcteur/templates/correcteur.service.j2

@@ -0,0 +1,31 @@
+[Unit]
+Description=Correcteur des labs Syllabus (étape 11)
+# Géré par Ansible (rôle correcteur) — ne pas modifier à la main.
+After=docker.service
+Requires=docker.service
+
+[Service]
+Type=simple
+# root pour joindre le socket Docker ; groupe www-data pour que le socket
+# Unix créé (0660) ne soit joignable que par root et le portail.
+User=root
+Group=www-data
+EnvironmentFile=/etc/correcteur.env
+Environment=HOME=/run/correcteur
+ExecStart=/usr/local/sbin/correcteur
+Restart=on-failure
+RestartSec=2
+
+RuntimeDirectory=correcteur
+RuntimeDirectoryMode=0750
+NoNewPrivileges=true
+ProtectSystem=strict
+ProtectHome=true
+PrivateTmp=true
+ProtectKernelTunables=true
+ProtectKernelModules=true
+ProtectControlGroups=true
+RestrictAddressFamilies=AF_UNIX
+
+[Install]
+WantedBy=multi-user.target

ansible/roles/go/defaults/main.yml

@@ -0,0 +1,4 @@
+---
+# Partagé par proxy-console et correcteur, compilés sur le serveur.
+go_version: "1.27.1"
+go_sha256: "63d339f0da5ab53635a56f2490a7984dfe12dfcff22ad749f63edaf590168445"

ansible/roles/go/tasks/main.yml

@@ -1,14 +1,14 @@
 ---
-- name: télécharger Go {{ proxy_console_go_version }} (archive officielle, somme vérifiée)
+- name: télécharger Go {{ go_version }} (archive officielle, somme vérifiée)
   ansible.builtin.get_url:
-    url: "https://go.dev/dl/go{{ proxy_console_go_version }}.linux-amd64.tar.gz"
-    dest: "/tmp/go{{ proxy_console_go_version }}.linux-amd64.tar.gz"
-    checksum: "sha256:{{ proxy_console_go_sha256 }}"
+    url: "https://go.dev/dl/go{{ go_version }}.linux-amd64.tar.gz"
+    dest: "/tmp/go{{ go_version }}.linux-amd64.tar.gz"
+    checksum: "sha256:{{ go_sha256 }}"
     mode: "0644"
 
 - name: vérifier si Go est déjà installé dans cette version
   ansible.builtin.command: /usr/local/go/bin/go version
-  register: proxy_console_go_deja_installe
+  register: go_deja_installe
   failed_when: false
   changed_when: false
 
@@ -16,11 +16,11 @@
   ansible.builtin.file:
     path: /usr/local/go
     state: absent
-  when: proxy_console_go_version not in (proxy_console_go_deja_installe.stdout | default(''))
+  when: go_version not in (go_deja_installe.stdout | default(''))
 
 - name: extraire Go dans /usr/local
   ansible.builtin.unarchive:
-    src: "/tmp/go{{ proxy_console_go_version }}.linux-amd64.tar.gz"
+    src: "/tmp/go{{ go_version }}.linux-amd64.tar.gz"
     dest: /usr/local
     remote_src: true
     creates: /usr/local/go/bin/go

ansible/roles/portail/handlers/main.yml

@@ -7,8 +7,10 @@
   ansible.builtin.systemd:
     daemon_reload: true
 
-- name: redémarrer le worker de file
+# Horizon garde le code et la configuration en mémoire : à redémarrer après
+# chaque déploiement ou changement de .env.
+- name: redémarrer horizon
   ansible.builtin.systemd:
-    name: portail-worker
+    name: portail-horizon
     state: restarted
     enabled: true

ansible/roles/portail/tasks/03-code.yml

@@ -44,7 +44,7 @@
       - "--exclude=/public/hot"
       - "--exclude=/.git"
   register: portail_code_synchronise
-  notify: redémarrer le worker de file
+  notify: redémarrer horizon
 
 - name: installer les dépendances PHP (composer)
   ansible.builtin.command:
@@ -120,11 +120,13 @@
     - { cle: "OS_APPLICATION_CREDENTIAL_SECRET", valeur: "" }
     - { cle: "REDIS_PREFIX", valeur: "" }
     - { cle: "LABS_DOSSIER", valeur: "/opt/labs" }
+    # > timeout des superviseurs Horizon (300 s, config/horizon.php)
+    - { cle: "REDIS_QUEUE_RETRY_AFTER", valeur: "330" }
   no_log: true
   register: portail_env_mis_a_jour
-  # queue:work charge la configuration une seule fois au démarrage : sans
+  # Horizon charge la configuration une seule fois au démarrage : sans
   # redémarrage, il garderait l'ancien mot de passe après une rotation.
-  notify: redémarrer le worker de file
+  notify: redémarrer horizon
 
 - name: installer les dépendances JS (npm)
   ansible.builtin.command:

ansible/roles/portail/tasks/04-labs.yml

@@ -15,3 +15,14 @@
     src: "{{ playbook_dir }}/../labs/"
     dest: /opt/labs/
     delete: true
+
+# Le catalogue (table labs) suit les lab.yaml déposés. En www-data : un
+# artisan lancé en root peut créer un storage/logs/laravel.log que PHP-FPM
+# ne pourrait plus écrire.
+- name: synchroniser le catalogue des labs
+  ansible.builtin.command:
+    cmd: runuser -u www-data -- php artisan labs:synchroniser
+  args:
+    chdir: "{{ portail_dossier_app }}"
+  register: portail_labs_synchronises
+  changed_when: "'créé' in portail_labs_synchronises.stdout"

ansible/roles/portail/tasks/06-queue-scheduler.yml

@@ -1,25 +1,38 @@
 ---
-# Étape 10 : CreerStackLab et SupprimerStackLab sont des jobs Redis — il faut
-# un worker pour les exécuter, et un cron pour l'expiration automatique.
-- name: déployer le service systemd du worker de file
+# Étape 11 : Laravel Horizon remplace le simple `queue:work` de l'étape 10.
+# Deux files (sessions, stock), plusieurs processus chacune : config/horizon.php.
+- name: arrêter l'ancien worker de l'étape 10
+  ansible.builtin.systemd:
+    name: portail-worker
+    state: stopped
+    enabled: false
+  failed_when: false
+
+- name: supprimer l'unité de l'ancien worker
+  ansible.builtin.file:
+    path: /etc/systemd/system/portail-worker.service
+    state: absent
+  notify: recharger systemd
+
+- name: déployer le service systemd de Horizon
   ansible.builtin.template:
-    src: portail-worker.service.j2
-    dest: /etc/systemd/system/portail-worker.service
+    src: portail-horizon.service.j2
+    dest: /etc/systemd/system/portail-horizon.service
     mode: "0644"
   notify:
     - recharger systemd
-    - redémarrer le worker de file
+    - redémarrer horizon
 
-- name: appliquer les changements du worker
+- name: appliquer les changements
   ansible.builtin.meta: flush_handlers
 
-- name: activer et démarrer le worker de file
+- name: activer et démarrer Horizon
   ansible.builtin.systemd:
-    name: portail-worker
+    name: portail-horizon
     enabled: true
     state: started
 
-- name: planifier le scheduler Laravel (expiration des sessions de lab)
+- name: planifier le scheduler Laravel (expiration, stock chaud)
   ansible.builtin.cron:
     name: "scheduler Laravel (portail Syllabus)"
     user: www-data

ansible/roles/portail/templates/portail-horizon.service.j2

@@ -0,0 +1,20 @@
+[Unit]
+Description=Laravel Horizon du portail Syllabus (files sessions et stock — étape 11)
+# Géré par Ansible (rôle portail) — ne pas modifier à la main.
+After=network.target docker.service
+
+[Service]
+Type=simple
+User=www-data
+Group=www-data
+WorkingDirectory={{ portail_dossier_app }}
+ExecStart=/usr/bin/php{{ portail_php_version }} artisan horizon
+Restart=always
+RestartSec=3
+# Sur SIGTERM, Horizon laisse finir les jobs en cours (jusqu'à 300 s) :
+# systemd doit attendre au moins autant avant de tuer.
+TimeoutStopSec=320
+KillSignal=SIGTERM
+
+[Install]
+WantedBy=multi-user.target

ansible/roles/portail/templates/portail-worker.service.j2

@@ -1,16 +0,0 @@
-[Unit]
-Description=Worker de file du portail Syllabus (CreerStackLab, SupprimerStackLab — étape 10)
-# Géré par Ansible (rôle portail) — ne pas modifier à la main.
-After=network.target
-
-[Service]
-Type=simple
-User=www-data
-Group=www-data
-WorkingDirectory={{ portail_dossier_app }}
-ExecStart=/usr/bin/php{{ portail_php_version }} artisan queue:work --sleep=1 --tries=1 --max-time=3600
-Restart=always
-RestartSec=3
-
-[Install]
-WantedBy=multi-user.target

ansible/roles/proxy-console/defaults/main.yml

@@ -1,6 +1,4 @@
 ---
-proxy_console_go_version: "1.27.1"
-proxy_console_go_sha256: "63d339f0da5ab53635a56f2490a7984dfe12dfcff22ad749f63edaf590168445"
 proxy_console_dossier: /opt/proxy-console
 proxy_console_ecoute: "127.0.0.1:8081"
 proxy_console_redis: "127.0.0.1:6380"

ansible/roles/proxy-console/meta/main.yml

@@ -0,0 +1,3 @@
+---
+dependencies:
+  - role: go

ansible/roles/proxy-console/tasks/main.yml

@@ -1,6 +1,3 @@
 ---
-- name: installer Go
-  ansible.builtin.import_tasks: 01-go.yml
-
 - name: déployer et démarrer le service
   ansible.builtin.import_tasks: 02-service.yml