Architecture Réelle du Système Server Admin

                    Poste de dev (make deploy/backup/restore)
                                    │  Ansible over SSH
                                    ▼
        ┌──────────────────────────────────────────────────────────┐
        │        AWS Lightsail — Debian — 18.158.207.98            │
        │        user: admin — tous les repos dans /home/admin/app │
        │                                                          │
        │  /home/admin/app/                                        │
        │  ├── sever-admin/          ← ce repo (orchestration +    │
        │  │                            stack infra partagée)      │
        │  ├── clarajob_sa/          ← repo appli ClaraJob         │
        │  │     └── docker-compose.yml (à la racine)              │
        │  ├── marketisia/           ← repo appli PredictX         │
        │  │     └── docker/docker-compose.yml                     │
        │  ├── auth-server/          ← repo Keycloak + sa DB       │
        │  │     └── docker-compose.yml                            │
        │  └── main-server-proxy/    ← repo Traefik                │
        │        └── docker-compose.yml                            │
        │                                                          │
        │  Tous les containers partagent le réseau Docker externe  │
        │  ─────────────  proxy_server_network  ─────────────────  │
        └──────────────────────────────────────────────────────────┘

# Depuis /home/admin/app/sever-admin :
docker compose up -d                # tout le stack infra
docker compose up -d grafana        # un seul service
docker compose -f docker-compose.observability.yml up -d   # un seul groupe

sever-admin/
├── Makefile                  # 6 cibles : help, ping, backup, restore, deploy, setup-cron
├── Jenkinsfile               # Pipeline CI/CD (backup pre-deploy + deploy)
├── .vault_password           # (racine, non versionné en clair) — copié sur le serveur par setup-cron
└── ansible/
    ├── ansible.cfg           # inventory, vault_password_file=~/.vault_sever_admin,
    │                         # roles_path=roles, host_key_checking=False, pipelining
    ├── inventory/
    │   ├── hosts.yml         # production: vps-main (18.158.207.98, user admin)
    │   │                     # local: localhost (ansible_connection: local)
    │   └── group_vars/
    │       ├── all/
    │       │   ├── vars.yml  # variables publiques (chemins, services, URLs git)
    │       │   └── vault.yml # 🔐 secrets chiffrés (credentials DB, token registry)
    │       └── local/
    │           └── vars.yml  # surcharges pour ENV=local
    ├── playbooks/
    │   ├── deploy.yml        # 19 cibles — validation + backups pre-deploy + déploiement
    │   ├── backup.yml        # 4 bases + all
    │   ├── restore.yml       # 4 bases + minio-service
    │   └── setup-cron.yml    # crons de backup sur le serveur
    └── roles/
        ├── deploy/           # git pull → stop → docker login → pull(si TAG) → up -d
        │                     # → pause 10s → vérif container → rescue/rollback
        ├── deploy_frontend/  # git pull → build dans un container jetable (build_image/
        │                     # build_command, défaut npm ci && npm run build sur node)
        │                     # OU pull image si TAG → restart nginx → vérif → rollback
        ├── backup/           # pg_dump / mongodump / mysqldump dans le container
        │                     # → vérif dump non vide → fichier description
        ├── restore/          # psql / mongorestore --drop / mysql depuis le dump
        └── restore_minio/    # mc mirror backup → volume, avec arrêt/redémarrage MinIO

Poste de dev
 ├─ ~/.ssh/serverAdminSSHKeypair.pem    → SSH vers admin@18.158.207.98
 └─ ~/.vault_sever_admin                → déchiffre inventory/group_vars/all/vault.yml

Serveur
 ├─ /home/admin/.ssh/id_ed25519         → le serveur pull les repos GitLab (deploy Ansible)
 ├─ /opt/.vault_password                → utilisé par les crons de backup (root, 600)
 └─ Secrets injectés aux containers via variables d'environnement compose

Vault (vault.yml) contient :
 vault_marketisia_sa_db_{name,user,pass}
 vault_clarajob_ddl_db_{name,user,pass}
 vault_clarajob_mongo_db_{name,user,pass}
 vault_auth_server_db_{name,user,pass}
 vault_gitlab_registry_token             (deploy token read-only registry.gitlab.com)