Le Panthéon de la Souveraineté — Updated!
モジュール型で冗長性があり、100%自国主権のクラウドインフラストラクチャでGAFAMから独立するためのもの。技術ガイド、ゼロトラストアーキテクチャ、内部暗号化（DoT/DoH）。
🏛️ 主権のパンテオン
GAFAMから完全に独立するよう設計された、100% 主権的で冗長性と安全性を備えたクラウドインフラストラクチャ。 バージョン 1.1: プライベートネットワーク基盤、サーバーのDNSクエリ暗号化 (DoT)、マルチデータセンター対応バックアップアーキテクチャ (スイス、ドイツ、フィンランド)。
⚠️ 重要な警告と方法論
1. プロジェクトの背景とバージョニング
このプロジェクトは完全な主権のニーズから生まれ、反復的な進化をたどります:
- 背景: 主にスイス (Infomaniak) にホストされ、データはドイツとフィンランド (Hetzner) の2つのセカンダリサイトに暗号化されて複製されるインフラストラクチャ。データが単一のサイトにだけ置かれることはありません。
- v1.0 (基盤): プライベートネットワークと境界ファイアウォール (HS-01 & HS-02) の定義。基盤は獲得済み。 サーバーはプライベートネットワークで通信しますが、その名前解決リクエスト (DNS) はまだ平文で転送される可能性があります。
- v1.1 (現在 - サーバーの主権): DoT (DNS-over-TLS) のネイティブ統合。今後、各サーバー (VULCAINなど) はAEGIS基盤への自らのDNSクエリ (更新、サービス解決) を暗号化します。プライベートネットワーク上であっても、DNSに対して平文で通信するサーバーはもうありません。
- 検討中 (mTLS): サービス間の相互認証のためのmTLS (相互TLS) による大幅な堅牢化の研究。この方針はまだ研究中であり、バージョン番号はまだ割り当てられていません。
2. 著者のプロフィールと透明性
私はITの学位を持った専門家ではありません。このプロジェクトは、この5年間の独学で培ったシステム管理への情熱の結晶です。
- エラーのリスク: 公式ドキュメントを綿密に参照していますが、理解や解釈の誤りがないとは限りません。
- AI支援 (EURIA & PROMÉTHÉE の二重性):
- 現在: EURIA (Infomaniak) は、ドキュメントの執筆と、コマンドおよびアーキテクチャに関する技術支援の両方を担当しています。
- 将来 (PROMÉTHÉEプロジェクト): 専用のローカルAIが純粋に技術的な側面と機密性の高い自動化を引き継ぎ、Euriaはドキュメントと方法論に集中します。
- 注記: すべてのコマンドは人間が検証します。
- 倫理的姿勢: プライバシーポリシーに疑念があるツールは直ちに破棄します。
3. プロジェクトの現状と警告
このプロジェクトは活発な構築段階 (v1.1) にあります。
- ドキュメント: ガイドは実際のデプロイに合わせて順次作成されています。
- サービスのステータス:
- HS-01 (プライベートネットワーク): 🚧 最終化 (あと4日)。ネットワークはすでに本番稼働しており、執筆中のガイドは96時間以内に公開予定です。
- HS-02 (ファイアウォール): ✅ 検証済み。ルールマトリックス v1.1 を修正 (受信DNSを遮断、送信ICMPをブロック)。
- HS-03 (ゴールドイメージ): ✅ 検証済み。参照スナップショットの作成準備完了。
- VULCAIN: デプロイ中 (最優先事項)。AEGISへのDoTを使用するよう設定されます。
- AEGIS: DoT/DoHアーキテクチャが定義され、デプロイ準備完了。
- バックアップ (ARK): マルチDCアーキテクチャ (スイス、ドイツ、フィンランド) が仕様で検証済み、デプロイ中。
- 🛑 警告: テスト環境で各ステップを検証せずに、本番環境に何もデプロイしないでください。
4. 責任の制限
教育目的かつ個人向けのプロジェクトです。データのセキュリティとバックアップ戦略は、すべてお客様の責任となります。
📜 哲学と目標
冗長性があり、エンドツーエンドで暗号化され、独立したインフラストラクチャを構築できることを実証します。
3つの基本柱 (v1.1):
- 主権と冗長性: スイス (Infomaniak) でのプライマリホスティングと、ドイツおよびフィンランド (Hetzner) へのバックアップ複製。
- Security by Design (サーバーの暗号化):
- 現在 (v1.1): サーバー自体が DoT (DNS-over-TLS) プロトコルを使用してAEGISへのDNSクエリを暗号化します。
- トラフィックルール: 必須でないすべての送信トラフィックは、ファイアウォールによって厳密にブロックされるか、DNSレベルでフィルタリングされます。
- 将来 (mTLS検討): 証明書による相互認証の実装可能性。
- 論理的なデプロイ順序: プライベートネットワーク → エントリポイント (VULCAIN) → DNS基盤 (AEGIS) → ビジネスサービス。
🤝 信頼できるサードパーティ
| サードパーティ | 役割 | 選定理由 | 主権 |
|---|---|---|---|
| Infomaniak 🇨🇭 | プライマリホスティング | スイスにデータを保管。DPA署名済み。真のエコロジー。 | ✅ 完全 |
| Hetzner 🇩🇪 🇫🇮 | セカンダリホスティング (バックアップ) | 厳格な冗長性: コールドストレージを2つのDC (ドイツ & フィンランド) に複製。 | ✅ 欧州 |
| CrowdSec 🇫🇷 | 脅威インテリジェンス | 悪意のあるIPのコミュニティ共有。 | ✅ 欧州 |
| Certum 🇵🇱 | SSL & S/MIME証明書 | eIDAS 準拠の欧州認証局。Let's Encrypt の代替。 | ✅ 欧州 |
| Debian 🌍 | オペレーティングシステム | 普遍的で安定したコミュニティベース。 | ✅ オープンスタンダード |
| Docker 🇺🇸 | コンテナ化 | 事実上の標準。アクティブなテレメトリなしで使用。 | ✅ 標準 |
🗺️ プロジェクトアーキテクチャ (12の神々)
| 順序 | 神 | 役割 | 検証済み技術スタック | 原産国 | ステータス |
|---|---|---|---|---|---|
| 01 | VULCAIN 🔥 | リバースプロキシ & WAF | Traefik + CrowdSec + ALTCHA (PoW) | 🇫🇷/🇦🇹 | 🚧 進行中 |
| 02 | AEGIS 🛡️ | 主権DNS & VPN | WireGuard + AdGuard (DoH/DoQ) + Unbound (DoT + DNSSEC) | 🇺🇸/🇨🇾/🇳🇱 | ⏳ 近日公開 |
| 03 | ARGUS 👁️ | モニタリング | Grafana + Prometheus + Node Exporter | 🇸🇪/🇺🇸 | ⏳ 近日公開 |
| 04 | JANUS 🚪 | アイデンティティ & SSO | Bitwarden + Authentik (SSO)* | 🇺🇸/🇺🇸* | 📋 監査予定 |
| 05 | ARK 🗄️ | マルチDCバックアップ | Restic + Swift (CH) + S3 (DE/FI) | 🇩🇪/🇨🇭/🇫🇮 | ✅ 検証済み |
| 06 | HERMÈS 📧 | メール | (未定) | - | ⚪ 未着手 |
| 07 | MIDAS 💰 | 財務 | (未定) | - | ⚪ 未着手 |
| 08 | DIANE 🏹 | 地図 & NTP | Valhalla + Photon | 🇩🇪 | ✅ 検証済み |
| 09 | VERITAS 🔍 | 検索 | SearXNG | 🇫🇷 | ✅ 検証済み |
| 10 | HÉPHAÏSTOS 🔨 | Gitフォージ | Forgejo | 🌍 | ✅ 検証済み |
| 11 | MNÉMOSYNE ☁️ | クラウド & ファイル | Nextcloud Hub | 🇩🇪 | ✅ 検証済み |
| 12 | PROMÉTHÉE 🔥 | ローカルAI | Ollama + Mixtral | 🇫🇷 | ✅ 検証済み |
🔍 進化の焦点: DoTからmTLSへ
- バージョン 1.1 (DoT): 各サーバーはAEGISへのDNSクエリを暗号化します。
- 将来の検討 (mTLS): 完全なゼロトラストを実現するための証明書による相互認証。
🧩 「レゴ」哲学: モジュール性と普遍性
- 🏗️ 特別編 (クラウド固有): 基盤ガイド (ネットワーク、ファイアウォール、イメージ) はパブリッククラウド専用に設計されています。
- 🌍 神々の普遍性: 基盤が構築されると、インストールガイドはパブリッククラウド、VPS、ローカルと互換性があります。
構築順序 (v1.1):
- ネットワーク基盤 (HS-01): 目に見えない土台 (ようやく所定の位置に！)。
- ファイアウォール (HS-02): 壁と装甲ドア。
- ゴールドイメージ (HS-03): セキュアなシステムの型。
- サービス: デプロイされ、接続されます。
🤡 再順序付けに関する著者の注記: 「特別編 #2」がすでに公開されているのに、「特別編 #1」がなかなか公開されなかったことにお気づきかもしれません。いいえ、これはセキュリティ上の欠陥ではなく、「窓からのデプロイ」 と呼ばれる実験的な機能です。 情熱的な建築家らしく、私は基礎 (ネットワーク) を流し込む前に、雨戸 (ファイアウォール) を塗り、家具 (ゴールドイメージ) を選ぶことから始めました。それは最も明白なことですが、しばしば見えません...壁を建てられないと気づくまでは。🤦♂️ ご安心ください: ネットワークはすでに舞台裏で構築済みでした！ HS-01ガイドは、私が自動操縦で敷設していたこれらの基礎をどのように流し込んだかを説明するために登場するだけです。
📚 ドキュメントとデプロイガイド
🗂️ ドキュメントの構成
ドキュメントは docs/ フォルダに整理されています:
-
📂 00_HORS-SERIES : パブリッククラウド固有の横断的ガイド。
- ⏳ 近日公開予定: HS-01 : プライベートネットワークの構築 (本当の土台！)
- ✅ 公開中: HS-02 : 境界ファイアウォール (要塞の壁)
- ✅ 公開中: HS-03 : Debianゴールドイメージの作成 (システムの型)
🔄 「特別編」の交差に関する注記: 番号が変わったことにお気づきかもしれませんか？ これは正常です (そして意図的です！)。 当初、ファイアウォールはHS-01、ネットワークはHS-02でした (失念)。まだ存在しないネットワークをフィルタリングするのは難しいことに気づきました！ 🤦♂️ そこで、論理的なデプロイ順序を尊重するために完全な再編成を実施しました: 1. ネットワーク (HS-01) → 2. ファイアウォール (HS-02) → 3. イメージ (HS-03)。 以前の番号体系に従っていた場合は、お詫び申し上げます！ 現在は修正され、一貫性が確保されています。
-
📂 01_DIVINITES : 個別のデプロイガイド (クラウド、VPS & ローカル互換)。
-
📂 99_COMMUN : 共有リソース。
🚀 どこから始めるか？ (クイックスタート)
- このREADMEを読んで v1.1アーキテクチャを理解してください。
- セキュリティ基盤をデプロイします (順番通りに！):
- 📄 特別編 #1: プライベートネットワーク (土台)。
- 📄 特別編 #2: 境界ファイアウォール (セキュリティ)。
- 📄 特別編 #3: Debianゴールドイメージ (システム)。
- 今後の公開にご注目ください:
- 🔥 VULCAINガイド – 執筆中。
- 🛡️ AEGISガイド – 近日公開予定。
💡 ヒント: 更新通知を受け取るには、このリポジトリをスター (⭐) 登録してください。
💰 経済モデルとホスティング
-
プライマリホスティング: Infomaniak (スイス)。
-
セカンダリホスティング (バックアップ): Hetzner (ドイツ & フィンランド)。
-
冗長性: 3つの異なるデータセンター。暗号化されたバックアップ (AES-256)。
-
目標コスト: 月額200€〜300€。
-
プロジェクトへの支援:
🚀 ロードマップ (v1.1 - 構築)
- フェーズ 0: 設計とツール
- 特別編の再編成 – 論理的な順序の修正 (ネットワーク → ファイアウォール → イメージ)。
- HS-02 & HS-03の公開 – ファイアウォールとゴールドイメージ。
- HS-01の公開 – プライベートネットワーク (欠けていた土台)。
- フェーズ 1: VULCAIN – プロキシのデプロイ。
- フェーズ 2: AEGIS – DNS基盤のデプロイ。
- フェーズ 3: ARK & データ – マルチDCバックアップ。
- mTLSの検討 – 実装の研究。
🤝 貢献とライセンス
ライセンス:
- コンテンツ (ガイド): CC BY-SA 4.0
- 記載されているソフトウェア: 各「神」は、その構成ソフトウェアのライセンスを尊重します。
「デジタル主権は購入する製品ではなく、自ら築くアーキテクチャである。時には、建物を立たせるためにレンガを動かす必要がある。」