What's left to do ?

Bone of the project

• Remplacer le setup actuel d'Authentik avec l'opérateur Weebo-Authentik
  • Migrer Authentik vers CNPG
  • Migrer les utilisateurs et groupes existants vers l'opérateur
  • Migrer les applications existantes vers l'opérateur
• ProxyAuthK8S - Will wait for 0.2.0 - Ouroboros
  • Point d'accés externe au cluster Kubernetes pour l'authentification OIDC
  • Rejeter toutes requêtes qui ne viendrais pas de ProxyAuthK8S ?
  • Expo : kube.weebo.poc
  • Expo a travers le noeud principal ?
• Setup RustFS
  • OIDC
  • Operator officielle
  • Expo : s3-main.weebo.poc
• Angos
  • OIDC user : Allow users to login with OIDC
  • OIDC Kube : Allow Kubernetes to authenticate with OIDC (e.g. Create a Dockerconfigjson from service account that can be used to pull images from a private registry)
    • Cote angos : [auth.oidc.kube] sur l'issuer du cluster, ServiceAccount dedie + ClusterRoleBinding pour lire la JWKS, et une policy en lecture seule pour ce provider. Un pod qui presente son propre jeton projete (audience angos) est authentifie
    • Cote noeud : pull d'image sans imagePullSecret, verifie de bout en bout le 2026-09-08. Quatre pieces, dans cet ordre : DaemonSet installeur (namespace angos-node, PSA privileged), drapeaux kubelet Talos, entree DNS + CA du registre pour containerd, et le ClusterRole angos-image-pull-audience sans lequel l'apiserver refuse au noeud le jeton pour l'audience angos
  • OIDC CI : Directly push images to angos registry from GitHub Actions using OIDC
  • Page /me/ : rend a l'utilisateur connecte son propre jeton OIDC et la commande docker login prete a coller, servie par oauth2-proxy depuis un ConfigMap
  • UI web : SSO navigateur via oauth2-proxy, sur la meme application Authentik que le device grant. angos ne lit aucun cookie, l'IngressRoute ne route par le proxy que ce qui porte la session ou n'est pas une route d'API
  • Scan d'images : StatefulSet angos-scanner (trivy par defaut), active registre par registre via scan: true, desactive partout par defaut. Identite Basic dediee dans Vault, mot de passe et hash argon2id ecrits par terraform, rapport SARIF attache en referrer de l'image
    • Verifie en local (podman) de bout en bout le 2026-09-13 : push -> job -> rapport. Reste a activer sur le cluster
    • grype ne recoit pas les credentials de [scanner.registry] en 1.8.0 et pull en anonyme ; contourne par GRYPE_REGISTRY_AUTH_* dans le chart, a retirer quand upstream corrige
  • Expo : registry.pkg.weebo.poc
• Batlehub - Blockage, waiting for 1.3.0 release
  • OIDC : Allow users to login with OIDC
  • OIDC Kube : Allow Kubernetes to authenticate with OIDC (e.g. Create a configuration in pod from service account that can be used to pull artifacts from a private registry)
  • OIDC CI : Directly push artifacts to batlehub registry from GitHub Actions using OIDC (Like VsCode Extension or other)
  • Expo :
    • pkg.weebo.poc
    • npm.pkg.weebo.poc
    • *.pkg.weebo.poc
• Kuberarmor
• Kloak
• Weebo Si Hardening
  • NetPolicy
  • DWOC restrictions
  • Image Pull Policy
  • Image Registry
  • Package Registry
• Eclipse Che
  • Expo : cde.dev.weebo.poc && *.cde.dev.weebo.poc
• Properly apply a CiliumNetworkPolicy with default deny for all
• [ ] Setup Stalwart as an internal mail system for the cluster and connect every app to it (prevent mail to go outside the cluster)
  • Weebo.poc for internal messaging (entre les apps du cluster et les utilisateurs du cluster ou user <-> user)
  • weebo.[fr/net/untruc] for external messaging si nécessaire plus tard
  • Mettre en place un script de provisioning, si un objet authentik user a une annotations stalwart/email, alors créer le mail dans stalwart et le lier à l'utilisateur authentik https://stalw.art/docs/auth/backend/oidc/
  • Idem, si un user n'existe plus dans Authentik, verouiller le mail dans Stalwart

Documentation

• Installation Guide

• User Guide

• Big Picture Infra

• Big Picture Database

• Big Picture Monitoring

• Big Picture Registry

• Big Picture Security

• Big Picture Dev Environment

• Macro Infra

  • Kubernetes/Talos
  • Cilium
  • Authentification
    • Authentik
      • Weebo-Authentik Operator
      • Outpost
      • PreAuth-Proxy
    • Dex
  • Vault
    • PKI
    • Secrets
    • External Secrets
  • ArgoCD
    • Bonne pratique GitOps
    • Segmentation des applications
  • Cert-Manager / Trust Manager
  • Storage
    • Longhorn
    • LocalStorage
  • ProxyAuthK8S

• Database

  • PostgreSQL
    • CNPG
  • MongoDB
    • MongoDB Operator
  • ClickHouse
    • ClickHouse Operator
  • RustFS
    • RustFS Operator
    • OIDC

• Monitoring

  • ClickStack
  • OpenTelemetry eBPF Instrumentation
  • Otel Collector

• Registry

  • Batlehub
    • Mode d'authentification (OIDC / KUBE / ETC)
    • Gestion des registres
    • Analyse de sécurité des packages
    • Exposition des registres (pkg.weebo.poc, npm.pkg.weebo.poc, *.pkg.weebo.poc)
    • D-2 ?
  • Angos
    • Mode d'authentification (OIDC / KUBE / ETC)
    • Gestion des registres
    • Analyse de sécurité des images
    • D-2 ?

• Security

  • Kloak
  • KubeArmor
  • Weebo-SI Hardening

• Dev Environment

  • Eclipse Che
  • Future components ?
    • Plateform ingineering ?
    • Git provider Integration ?
    • podman build/run ?