ajoute le stock chaud, la correction automatique et les nouveaux essais de création de stack

Stock de stacks prêtes par lab dans Redis (prise atomique en Lua, ménage
par comparaison avec Heat, disjoncteur), files gérées par Horizon, séances
planifiables. Correcteur Go sur l'hyperviseur : socket Unix, commandes lues
dans le lab.yaml uniquement, exécution par l'agent invité QEMU. Une création
de stack ratée est supprimée et réessayée deux fois, puis la session passe
en échec, visible du prof.

Corrige aussi trois défauts des étapes précédentes : la console se coupait
à la première frappe d'un navigateur (trames texte), l'élève ne pouvait pas
rejoindre une séance, la déconnexion n'avait pas de jeton CSRF.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

ansible/roles/correcteur/defaults/main.yml

@@ -0,0 +1,4 @@
+---
+correcteur_dossier: /opt/correcteur
+correcteur_socket: /run/correcteur/correcteur.sock
+correcteur_dossier_labs: /opt/labs

ansible/roles/correcteur/handlers/main.yml

@@ -0,0 +1,10 @@
+---
+- name: recharger systemd
+  ansible.builtin.systemd:
+    daemon_reload: true
+
+- name: redémarrer correcteur
+  ansible.builtin.systemd:
+    name: correcteur
+    state: restarted
+    enabled: true

ansible/roles/correcteur/meta/main.yml

@@ -0,0 +1,3 @@
+---
+dependencies:
+  - role: go

ansible/roles/correcteur/tasks/main.yml

@@ -0,0 +1,79 @@
+---
+# Étape 11 : service de correction sur l'hyperviseur. Il tourne en root :
+# il lui faut `docker exec nova_libvirt virsh` (agent invité QEMU).
+- name: créer le dossier du code source
+  ansible.builtin.file:
+    path: "{{ correcteur_dossier }}"
+    state: directory
+    owner: "{{ ansible_user }}"
+    group: "{{ ansible_user }}"
+    mode: "0755"
+
+- name: synchroniser le code source
+  become: false
+  ansible.posix.synchronize:
+    src: "{{ playbook_dir }}/../correcteur/"
+    dest: "{{ correcteur_dossier }}/"
+    delete: true
+    rsync_opts:
+      - "--exclude=/correcteur"
+      - "--exclude=/correcteur-linux-amd64"
+  notify: redémarrer correcteur
+
+# Cache et modules Go dans /root, pas dans le dossier synchronisé : sinon ils
+# appartiendraient à root et bloqueraient le rsync suivant (piège de l'étape 9).
+- name: compiler le binaire
+  ansible.builtin.command:
+    cmd: /usr/local/bin/go build -o /usr/local/sbin/correcteur .
+  args:
+    chdir: "{{ correcteur_dossier }}"
+  environment:
+    HOME: /root
+    GOFLAGS: -mod=readonly
+  changed_when: true
+  notify: redémarrer correcteur
+
+- name: lire l'id du projet OpenStack des labs
+  ansible.builtin.shell:
+    cmd: >-
+      OS_CLIENT_CONFIG_FILE=/etc/kolla/clouds-paillasse.yaml OS_CLOUD=paillasse-service
+      /opt/kolla-venv/bin/openstack token issue -f value -c project_id
+  register: correcteur_projet
+  changed_when: false
+
+- name: lire l'uid de www-data (seul client autorisé)
+  ansible.builtin.getent:
+    database: passwd
+    key: www-data
+
+- name: déployer le fichier d'environnement du service
+  ansible.builtin.copy:
+    dest: /etc/correcteur.env
+    owner: root
+    group: root
+    mode: "0644"
+    content: |
+      # Géré par Ansible (rôle correcteur). Aucun secret ici.
+      CORRECTEUR_SOCKET={{ correcteur_socket }}
+      CORRECTEUR_LABS={{ correcteur_dossier_labs }}
+      CORRECTEUR_PROJET={{ correcteur_projet.stdout | trim }}
+      CORRECTEUR_UID_CLIENT={{ ansible_facts.getent_passwd['www-data'][1] }}
+  notify: redémarrer correcteur
+
+- name: déployer le service systemd
+  ansible.builtin.template:
+    src: correcteur.service.j2
+    dest: /etc/systemd/system/correcteur.service
+    mode: "0644"
+  notify:
+    - recharger systemd
+    - redémarrer correcteur
+
+- name: appliquer les changements
+  ansible.builtin.meta: flush_handlers
+
+- name: vérifier que le service tourne
+  ansible.builtin.systemd:
+    name: correcteur
+    enabled: true
+    state: started

ansible/roles/correcteur/templates/correcteur.service.j2

@@ -0,0 +1,31 @@
+[Unit]
+Description=Correcteur des labs Syllabus (étape 11)
+# Géré par Ansible (rôle correcteur) — ne pas modifier à la main.
+After=docker.service
+Requires=docker.service
+
+[Service]
+Type=simple
+# root pour joindre le socket Docker ; groupe www-data pour que le socket
+# Unix créé (0660) ne soit joignable que par root et le portail.
+User=root
+Group=www-data
+EnvironmentFile=/etc/correcteur.env
+Environment=HOME=/run/correcteur
+ExecStart=/usr/local/sbin/correcteur
+Restart=on-failure
+RestartSec=2
+
+RuntimeDirectory=correcteur
+RuntimeDirectoryMode=0750
+NoNewPrivileges=true
+ProtectSystem=strict
+ProtectHome=true
+PrivateTmp=true
+ProtectKernelTunables=true
+ProtectKernelModules=true
+ProtectControlGroups=true
+RestrictAddressFamilies=AF_UNIX
+
+[Install]
+WantedBy=multi-user.target