Étape 1: Création du template de VM avec Packer

rocky10-base.pkr.hcl       # packer{} (plugin), source xenserver-iso, build{} (provisioners)
variables.pkr.hcl          # toutes les variables (descriptions FR)
example.pkrvars.hcl        # modèle à copier en xkub.auto.pkrvars.hcl (gitignored)
http/ks.cfg                # kickstart servi par le serveur HTTP de Packer
http/ansible-windows.pub   # clé PUBLIQUE servie au kickstart (versionnée, = ../keys/...)
scripts/10-guest-tools.sh  # EPEL + xe-guest-utilities + dnf update
scripts/20-cloud-init.sh   # datasource NoCloud
scripts/90-cleanup.sh      # généralisation (machine-id, clés SSH, seed cloud-init)

Arborescence du projet Packer.

# ============================================================================
# rocky10-base.pkr.hcl — Source + build du template Rocky Linux 10
# Plugin : vatesfr/xenserver (builder xenserver-iso). Cf. cookbook 01.
# ============================================================================

packer {
  required_plugins {
    xenserver = {
      version = ">= 0.9.0"
      source  = "github.com/vatesfr/xenserver"
    }
  }
}

source "xenserver-iso" "rocky10" {
  # --- Connexion à l'hôte XCP-ng (XAPI) ---
  remote_host     = var.remote_host
  remote_username = var.remote_username
  remote_password = var.remote_password
  remote_ssh_port = var.remote_ssh_port

  # --- Emplacements XCP-ng ---
  sr_name       = var.sr_name
  sr_iso_name   = var.sr_iso_name
  network_names = var.network_names

  # --- Source ISO ---
  iso_url      = var.iso_url
  iso_checksum = var.iso_checksum

  # --- VM de build / futur template ---
  vm_name         = var.vm_name
  vm_description  = var.vm_description
  vcpus_max       = var.vcpus
  vcpus_atstartup = var.vcpus
  vm_memory       = var.vm_memory
  disk_size       = var.disk_size
  firmware        = "bios"

  # --- Kickstart servi par le serveur HTTP intégré de Packer ---
  # Le dossier http/ contient ks.cfg ET ansible-windows.pub (clé publique servie
  # au kickstart, qui la récupère par curl — pas de mot de passe nécessaire).
  http_directory  = "http"
  boot_wait       = var.boot_wait
  install_timeout = var.install_timeout
  # Détection d'IP par phone-home HTTP : la VM de build (DHCP) télécharge le kickstart
  # depuis le serveur HTTP de Packer, qui capture l'IP source. Le plugin vatesfr/xenserver
  # n'expose pas de ssh_host fixe ; "tools" est exclu (guest tools installés seulement au
  # provisioning). L'IP reste la même avant/après reboot (bail DHCP stable sur la MAC).
  ip_getter = "http"
  # PIÈGE EL10 : Rocky Linux 10 amorce l'ISO avec GRUB2 (et non isolinux), même en
  # BIOS. Les touches d'édition diffèrent : 'e' pour éditer l'entrée (pas <tab>),
  # on complète la ligne 'linux ...', puis Ctrl-X pour démarrer.
  boot_command = [
    "<wait5>",
    "<up><wait>",        # sélectionner « Install Rocky Linux Minimal 10.2 »
    "e<wait>",           # éditer l'entrée GRUB2
    "<down><down><end>", # fin de la ligne « linux /images/pxeboot/vmlinuz ... »
    " inst.text inst.ks=http://{{ .HTTPIP }}:{{ .HTTPPort }}/ks.cfg",
    "<wait><leftCtrlOn>x<leftCtrlOff>", # démarrer
  ]

  # --- Connexion SSH post-install (par clé ansible-windows) ---
  ssh_username     = var.ssh_username
  ssh_key_path     = var.ssh_private_key_path
  ssh_wait_timeout = "60m"

  # --- Finalisation : convertir la VM en template ET la conserver sur l'hôte ---
  # keep_vm = "always" : le template reste dans XCP-ng à la fin du build (objectif
  # phase 1 = template réutilisable dans XO, pas seulement un fichier XVA local).
  # Avec "never" (défaut du plugin), la VM était convertie en template, exportée en
  # XVA dans output-rocky10/, puis DÉTRUITE de l'hôte → invisible dans XO.
  skip_set_template = false
  keep_vm           = "always"
}

build {
  name    = "rocky10-base"
  sources = ["source.xenserver-iso.rocky10"]

  # Hostname OS aligné sur le nom de la VM/template (source unique = var.vm_name).
  # Il sera de toute façon redéfini par clone via cloud-init (Terraform, phase 2) ;
  # ici c'est surtout une question de cohérence VM XCP-ng <-> hostname OS.
  provisioner "shell" {
    inline = ["sudo hostnamectl set-hostname ${var.vm_name}"]
  }

  # ansible-windows dispose de sudo NOPASSWD (posé par le kickstart).
  provisioner "shell" {
    execute_command = "sudo -E bash '{{ .Path }}'"
    scripts = [
      "scripts/10-guest-tools.sh",
      "scripts/20-cloud-init.sh",
      "scripts/90-cleanup.sh",
    ]
  }
}

rocky10-base.pkr.hcl

# ============================================================================
# variables.pkr.hcl — Template Rocky Linux 10 (xkub.coolcorp.priv)
# Toutes les variables du build. Les secrets ne portent PAS de valeur ici :
# ils sont fournis par variables d'environnement PKR_VAR_* (cf. CONVENTIONS.md).
# ============================================================================

# --- Connexion à l'hôte XCP-ng (API XAPI) -----------------------------------
variable "remote_host" {
  type        = string
  description = "Adresse de l'hôte XCP-ng (pool master) sur lequel Packer construit la VM."
}

variable "remote_username" {
  type        = string
  default     = "root"
  description = "Compte XAPI de l'hôte XCP-ng."
}

variable "remote_password" {
  type        = string
  sensitive   = true
  description = "Mot de passe XAPI. À fournir via PKR_VAR_remote_password (jamais en clair dans un fichier versionné)."
}

variable "remote_ssh_port" {
  type        = number
  default     = 22
  description = "Port SSH de l'hôte XCP-ng (utilisé par le plugin pour piloter le build)."
}

# --- Emplacements XCP-ng ----------------------------------------------------
variable "sr_name" {
  type        = string
  description = "Nom du Storage Repository où créer le disque de la VM puis le template."
}

variable "sr_iso_name" {
  type        = string
  description = "Nom du SR de type ISO où Packer téléverse l'ISO Rocky Linux."
}

variable "network_names" {
  type        = list(string)
  description = "Réseau(x) XCP-ng à attacher à la VM de build (DHCP + accès aux dépôts requis)."
}

# --- Source ISO Rocky Linux 10 ----------------------------------------------
variable "iso_url" {
  type        = string
  default     = "https://download.rockylinux.org/pub/rocky/10/isos/x86_64/Rocky-10.2-x86_64-minimal.iso"
  description = "URL de l'ISO Rocky Linux 10 minimal."
}

variable "iso_checksum" {
  type        = string
  default     = "sha256:aac6ac3ce781b91a91ce78463405f66c611a5dca4b3840c79e5e01d97302f6c8"
  description = "Empreinte de l'ISO (Rocky-10.2-x86_64-minimal.iso)."
}

# --- Définition de la VM de build / template --------------------------------
variable "vm_name" {
  type        = string
  default     = "prdtplroc501"
  description = "Nom du template produit (convention de nommage prd du projet)."
}

variable "vm_description" {
  type        = string
  default     = "Template generique Rocky Linux 10 - xkub.coolcorp.priv (Packer)"
  description = "Description du template dans XO."
}

variable "vcpus" {
  type        = number
  default     = 2
  description = "vCPU de la VM de build (le dimensionnement final est fait par Terraform au clone)."
}

variable "vm_memory" {
  type        = number
  default     = 2048
  description = "RAM (Mo) de la VM de build."
}

variable "disk_size" {
  type        = number
  default     = 20480
  description = "Taille (Mo) du disque du template. Étendu par rôle au clone (cloud-init growpart)."
}

# --- Connexion SSH post-install ---------------------------------------------
variable "ssh_username" {
  type        = string
  default     = "ansible-windows"
  description = "Compte utilisé par Packer pour provisionner la VM (créé par le kickstart)."
}

variable "ssh_private_key_path" {
  type        = string
  description = "Chemin LOCAL (poste W11) vers la clé PRIVÉE ansible-windows. Hors dépôt."
}

# --- Timings -----------------------------------------------------------------
variable "boot_wait" {
  type        = string
  default     = "10s"
  description = "Délai avant l'envoi du boot_command (laisser le menu d'amorçage s'afficher)."
}

variable "install_timeout" {
  type        = string
  default     = "60m"
  description = "Durée maximale de l'installation Anaconda."
}

variables.pkr.hcl

# ============================================================================
# ks.cfg — Kickstart Rocky Linux 10, template générique xkub.coolcorp.priv
# Servi par le serveur HTTP intégré de Packer (http/). Voir cookbook 01.
# Aucun secret ici : ansible-windows reçoit sa clé publique par curl et a son
# mot de passe verrouillé ; Packer se connecte ensuite par clé privée.
# ============================================================================

text
lang en_US.UTF-8
keyboard --vckeymap=fr --xlayouts='fr'
timezone Europe/Paris --utc

# Source d'installation : dépôts en ligne (ISO minimal + accès réseau au build)
url --mirrorlist="https://mirrors.rockylinux.org/mirrorlist?arch=$basearch&repo=BaseOS-10"
repo --name=AppStream --mirrorlist="https://mirrors.rockylinux.org/mirrorlist?arch=$basearch&repo=AppStream-10"

# Réseau : DHCP au build. La VM de build est éphémère ; Packer découvre son IP via
# ip_getter=http (le système garde la même IP au reboot, bail DHCP stable sur la MAC).
# Le template reste générique : chaque clone reçoit son réseau via cloud-init NoCloud
# (Terraform, phase 2). Les IP FIXES des nœuds du cluster, c'est phase 2, pas ici.
# Le hostname n'est PAS fixé ici : il est aligné sur var.vm_name par un provisioner
# (cf. rocky10-base.pkr.hcl), puis redéfini par clone via cloud-init.
network --bootproto=dhcp --device=link --activate

# Comptes
rootpw --lock
# ansible-windows est créé en %post (clé SSH + sudoers NOPASSWD)

# Sécurité : SELinux enforcing, firewalld actif (cf. CLAUDE.md règle 11)
selinux --enforcing
firewall --enabled --ssh
services --enabled=sshd,chronyd

# Partitionnement : LVM, PAS de swap (prérequis kubelet)
# PIÈGE EL10 : Rocky 10 étiquette le disque en GPT. Un système BIOS sur disque GPT
# exige une partition 'biosboot' de 1 MiB (sinon « Kickstart insufficient » au build).
clearpart --all --initlabel
part biosboot --fstype=biosboot --size=1
part /boot --fstype=xfs --size=1024
part pv.01 --size=1 --grow
volgroup vg00 pv.01
logvol / --fstype=xfs --name=root --vgname=vg00 --size=1 --grow
bootloader --location=mbr

%packages
@^minimal-environment
cloud-init
chrony
python3
tar
curl-minimal
policycoreutils-python-utils
-iwl*-firmware
%end

%post --erroronfail --log=/root/ks-post.log
set -x

# --- Compte d'automatisation ansible-windows ---
useradd -m -G wheel -s /bin/bash ansible-windows
passwd -l ansible-windows
echo 'ansible-windows ALL=(ALL) NOPASSWD: ALL' > /etc/sudoers.d/ansible-windows
chmod 0440 /etc/sudoers.d/ansible-windows

# --- Clé publique récupérée depuis le serveur HTTP de Packer ---
# (même dossier que ce kickstart ; on déduit l'URL de /proc/cmdline)
KSURL=$(sed -n 's/.*inst.ks=\([^ ]*\).*/\1/p' /proc/cmdline)
BASE=$(dirname "$KSURL")
install -d -m 0700 -o ansible-windows -g ansible-windows /home/ansible-windows/.ssh
curl -fsSL "$BASE/ansible-windows.pub" -o /home/ansible-windows/.ssh/authorized_keys || true
# Garde-fou : sans clé valide, le template serait inutilisable (SSH par clé uniquement).
# Couplé à « %post --erroronfail », ce exit 1 fait échouer l'install AU BUILD (et non
# 8 min plus tard au SSH) si ansible-windows.pub manque sur le serveur HTTP de Packer.
if ! grep -q '^ssh-' /home/ansible-windows/.ssh/authorized_keys 2>/dev/null; then
  echo "ERREUR: ansible-windows.pub absent/illisible depuis le serveur HTTP de Packer" >&2
  exit 1
fi
chmod 0600 /home/ansible-windows/.ssh/authorized_keys
chown ansible-windows:ansible-windows /home/ansible-windows/.ssh/authorized_keys
restorecon -R /home/ansible-windows/.ssh

# --- Durcissement SSH ---
sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config

# --- Phone-home : permet à Packer (ip_getter=http) d'apprendre l'IP de la VM ---
curl -fsS "$BASE/ks.cfg" > /dev/null || true
%end

reboot

http/ks.cfg

#!/usr/bin/env bash
# ----------------------------------------------------------------------------
# 10-guest-tools.sh — Guest tools XCP-ng + mise à jour système
# PIÈGE EL10 : sur Rocky Linux 10, xe-guest-utilities n'est PAS dans les dépôts
# de base. Le paquet 'xe-guest-utilities-latest' est fourni par EPEL 10.
# Sans ces guest tools, XO/Terraform ne remontent pas l'IP des VMs.
# ----------------------------------------------------------------------------
set -euxo pipefail

dnf -y update

# EPEL pour disposer de xe-guest-utilities-latest
dnf -y install epel-release
dnf -y install xe-guest-utilities-latest

# Agent invité Xen : sur EL10, xe-linux-distribution.service EST le service principal
# (il lance le démon xe-daemon, qui remonte l'IP/metrics vers XenStore → lues par XO et
# Terraform en phase 2). Il n'existe PAS de xe-daemon.service séparé. On enable sans
# « || true » : si ça échoue, on veut que le build s'arrête (guest tools = critiques).
systemctl enable xe-linux-distribution.service

scripts/10-guest-tools.sh

#!/usr/bin/env bash
# ----------------------------------------------------------------------------
# 20-cloud-init.sh — Configuration cloud-init pour le datasource NoCloud
# C'est ce datasource qu'utilise ensuite le provider Terraform xenorchestra
# (attributs cloud_config / cloud_network_config) pour injecter hostname/IP.
# ----------------------------------------------------------------------------
set -euxo pipefail

dnf -y install cloud-init

# Restreindre cloud-init au seul datasource NoCloud (évite les sondes inutiles)
cat > /etc/cloud/cloud.cfg.d/90-datasource.cfg <<'EOF'
datasource_list: [ NoCloud, None ]
EOF

systemctl enable cloud-init-local.service cloud-init.service cloud-config.service cloud-final.service

scripts/20-cloud-init.sh

#!/usr/bin/env bash
# ----------------------------------------------------------------------------
# 90-cleanup.sh — Généralisation du template (DOIT être le dernier provisioner)
# Objectif : chaque clone obtient un machine-id, des clés SSH hôte et un seed
# cloud-init uniques. Sans ça, tous les clones partageraient la même identité.
# ----------------------------------------------------------------------------
set -euxo pipefail

# Effacer les profils réseau du build (connexion DHCP créée par l'installeur) : le
# template reste générique. Chaque clone reçoit son réseau via cloud-init NoCloud
# (provider Terraform xenorchestra, phase 2), sans hériter d'un profil du build.
rm -f /etc/NetworkManager/system-connections/*
rm -f /etc/sysconfig/network-scripts/ifcfg-*

# Réinitialiser cloud-init (seed + logs) pour qu'il rejoue au 1er boot du clone
cloud-init clean --logs --seed || true

# machine-id régénéré au prochain boot
truncate -s 0 /etc/machine-id
# /var/lib/dbus/machine-id : compat ancienne ; sur Rocky 10 minimal le dossier
# /var/lib/dbus n'existe pas (systemd/dbus-broker lit directement /etc/machine-id).
# Ne recréer le lien que si le dossier existe, sinon le build échoue (set -e).
if [ -d /var/lib/dbus ]; then
  rm -f /var/lib/dbus/machine-id
  ln -sf /etc/machine-id /var/lib/dbus/machine-id
fi

# Clés d'hôte SSH régénérées au 1er boot (unités sshd-keygen de Rocky)
rm -f /etc/ssh/ssh_host_*

# Caches et journaux
dnf clean all
rm -rf /var/cache/dnf/* /tmp/* /var/tmp/*
find /var/log -type f -exec truncate -s 0 {} \;
rm -f /root/ks-post.log

# Historique shell
: > /root/.bash_history || true
: > /home/ansible-windows/.bash_history || true

scripts/90-cleanup.sh

# ============================================================================
# example.pkrvars.hcl — MODÈLE de variables (versionné, valeurs fictives)
# Copier en « xkub.auto.pkrvars.hcl » (ignoré par git) puis renseigner.
#   PowerShell : Copy-Item example.pkrvars.hcl xkub.auto.pkrvars.hcl
# Le mot de passe XCP-ng NE figure PAS ici : il passe par la variable
# d'environnement PKR_VAR_remote_password.
# ============================================================================

# --- Hôte XCP-ng ---
remote_host     = "192.168.10.10" # adresse XAPI du pool master XCP-ng
remote_username = "root"

# --- Emplacements XCP-ng (noms tels qu'affichés dans Xen Orchestra) ---
sr_name       = "Local storage"                            # SR du disque/template
sr_iso_name   = "ISOs"                                     # SR de type ISO
network_names = ["Pool-wide network associated with eth0"] # réseau LAN (DHCP + Internet)

# --- Clé privée ansible-windows (sur le poste W11, hors dépôt) ---
ssh_private_key_path = "C:/Users/vburgun/.ssh/ansible-windows"

# --- (Optionnel) surcharges ---
# vm_name   = "prdtplroc501"
# disk_size = 20480

example.pkrvars.hcl