🧠 Des Nextcloud associatifs avec Ansible, AlmaLinux, SELinux et Collabora sous Podman

Jusqu’à présent, le système d’exploitation de base était Debian 12. 🐧

🎯 Les objectifs techniques concrets de la nouvelle pile

La nouvelle infrastructure n’est pas un simple changement de distribution. C’est une évolution d’architecture mûrement réfléchie.
Les objectifs concrets du nouveau setup :

• 🌐 Nginx avec prise en charge de HTTP/3 et QUIC pour des performances modernes au niveau de la couche transport et une diffusion web pérenne
• 🗄️ MariaDB comme backend relationnel, pour une persistance des données prévisible et performante
• 🔥 Pare-feu basé sur iptables pour un filtrage de paquets déterministe et un contrôle explicite du trafic
• 🔐 Certificats Let’s Encrypt pour une gestion du cycle de vie TLS automatisée et gratuite

L’idée est de faire tourner une pile légère, performante et cryptographiquement solide, avec le moins de surface d’attaque superflue possible.

🔄 Stratégie de migration : de Debian à AlmaLinux

Je prépare actuellement une refonte complète de l’infrastructure. Cette fois, j’ai délibérément choisi AlmaLinux, une distribution compatible Red Hat.

Ce choix s’explique en partie par l’envie de mieux connaître l’écosystème Red Hat, mais surtout par mon intérêt pour SELinux. 🛡️

Pour simplifier, SELinux ajoute une couche de sécurité supplémentaire par-dessus les permissions Linux classiques.
Au lieu de se reposer uniquement sur les droits utilisateur/groupe, il impose un contrôle d’accès fondé sur des politiques : les services ne peuvent effectuer que les actions explicitement autorisées. Même si un processus est compromis, SELinux peut l’empêcher d’interagir avec des composants système sans rapport.

Je suis déjà bien avancé dans la migration — mais à ce stade, tout tourne autour d’une seule chose : tester, tester et encore tester. 🧪

📄 Collabora : des installations manuelles à la conteneurisation

Dans mes setups précédents, l’intégration de Collabora Online était toujours installée à la main.
En production chez les associations, cela provoquait régulièrement des frictions : problèmes de compatibilité, instabilité d’exploitation et obligation récurrente de s’en tenir à des versions plus anciennes. 😩

À la longue, cette charge permanente est devenue si pénible que j’ai même envisagé de passer à une offre Nextcloud hébergée commerciale. 💸

D’un point de vue purement financier, l’hébergement managé n’est plus beaucoup plus cher qu’un vServer privé.
La vraie différence se situe dans le contrôle, la flexibilité et la liberté d’architecture.

De plus, certains hébergeurs Nextcloud comptabilisent le nombre d’utilisateurs Collabora actifs simultanément et facturent un supplément au-delà de certains seuils — un modèle qui colle mal à une infrastructure portée par des bénévoles. 🚫

🐳 Grande avancée : Collabora déployé avec Podman

Aujourd’hui, j’ai fait une vraie percée du côté de Collabora.

Sur les conseils de ChatGPT (oui… je l’avoue 😅), j’ai migré le service Collabora vers un déploiement autonome en conteneur avec Podman.
Nextcloud se connecte désormais à ce point de terminaison externe au lieu d’héberger l’application en interne.

Cette approche est généralement considérée comme plus stable, plus facile à maintenir et plus propre à exploiter que le modèle classique intégré à l’application. 🧱

Cela dit, ce setup doit encore être validé en profondeur.
D’autres tests sont inévitables — et en parallèle, je vais continuer à creuser le comportement de SELinux dans les environnements conteneurisés. 🔍

⚙️ Où en est Ansible et prochaines étapes

La base de code Ansible est déjà opérationnelle, mais loin d’être « terminée ». Mon workflow actuel est volontairement itératif :

• Détruire le vServer de test Nextcloud 💣
• Tout réinstaller à partir de zéro 🧰
• Peaufiner les playbooks 📜
• Et on recommence 🔁

Cette boucle « on casse, on reconstruit » est voulue — c’est le chemin le plus court vers un état d’infrastructure reproductible et déterministe.

📦 Téléchargement : playbook Ansible (bêta)

L’état actuel du projet Ansible est déjà entièrement exécutable et tourne de bout en bout sans erreur dans mes environnements de test.
Cependant, avant de l’utiliser chez vous, vous devez adapter toutes les valeurs sensibles et propres à votre environnement
(par ex. noms d’hôte, domaines, identifiants, secrets, adresses IP).

Vous pouvez télécharger l’archive zip actuelle du projet Ansible ici :

👉 Télécharger la pile Ansible Nextcloud (bêta)

Notez que cette base de code est actuellement en version bêta.
Les playbooks fonctionnent, mais le projet est toujours en développement actif et s’améliore en continu.
Je travaille déjà à des améliorations et optimisations, et je prévois de publier une version mise à jour dans les prochains jours.

⚠️ Avertissement

Ce projet est fourni en l’état, sans aucune garantie d’aucune sorte.
Son utilisation se fait entièrement sous votre propre responsabilité.
Je vous recommande vivement de tester les playbooks dans un environnement hors production avant d’envisager tout déploiement en production.

Infrastructure as code. La communauté d’abord. Totalement souverain. 🏴‍☠️