Upgrade all services for Traefik v2 ; clean Compose files ; update doc

pica-traefik/README.md

@@ -7,36 +7,28 @@ Ce service doit être lancé sur l'ensemble des machines de l'infrastructure.
 
 ### Configuration
 
-La configuration a lieu dans le fichier [traefik.toml](./traefik.toml).
+La configuration a lieu dans les fichiers [traefik.toml](./traefik.toml) et [traefik_dynamic.toml](./traefik_dynamic.toml).
 Notez que toute modification dans ce fichier impactera l'ensemble des machines, puisque le même fichier est utilisé pour l'ensemble des machines.
 
 À des fins de tests, il peut être modifié localement sur les machines, mais doit toujours rester synchronisé avec ce dépôt à long terme.
 
 Pour la génération des certificats, Traefik utilise Let's Encrypt. Il n'y a aucune configuration à faire de ce côté. Attention, le nombre de certificats générables est limité à 50 par semaine.
 
-Si on lance plein de conteneurs de tests, on utilisera temporairement [l'environnement de qualification](https://letsencrypt.org/fr/docs/staging-environment/) de Let's Encrypt, en ajoutant la directive `caServer = "https://acme-staging-v02.api.letsencrypt.org/directory"` sous la section `[acme]`.
+Si on lance plein de conteneurs de tests, on utilisera temporairement [l'environnement de qualification](https://letsencrypt.org/fr/docs/staging-environment/) de Let's Encrypt, en ajoutant la directive `caServer = "https://acme-staging-v02.api.letsencrypt.org/directory"` sous la section `[certificatesResolvers.letsencrypt.acme]`.
 
 ### Lancement
 
-Assurez-vous que le dossier `/DATA/docker/traefik/certs` existe.
-C'est dans ce dossier que seront conservés tous les certificats générés par Traefik.
+Au premier lancement, assurez-vous que :
+* Le dossier `/DATA/docker/traefik/certs` existe
+* Créez un fichier `acme.json` à l'intérieur
+* Changez son propriétaire à `root`
+* Changez ses permissions à `600`
+
+C'est dans ce fichier que seront conservés tous les certificats générés par Traefik.
 
 ### Mise à jour
 
 Il suffit de mettre à jour le tag de l'image dans Compose.
-Attention, Traefik v2 introduit énormément de changements et [nous ne sommes pas certains](https://wiki.picasoft.net/doku.php?id=technique:adminsys:migration-traefik-v2) de la manière d'effectuer la migration.
-
-Aussi, Traefik v1.6 est utilisé pour tenterd d'éviter un bug introduit dans la 1.7, qui rend certains services redémarrés inaccessibles (voir [cette discussion](https://team.picasoft.net/picasoft/pl/66aorsxhtffrjytyhnecn436wa)).
-
-Avant toute mise à jour, il faudra discuter avec l'équipe technique et modifier ce README le cas échéant.
-
-### Todo
-
-*Voir si on peut passer Traefik en "host" au niveau du réseau pour qu'il ait accès à tous les réseaux* :
-https://kanban.picasoft.net/b/7fCn765LCNGraBhxA/team-technique-picasoft/kjvc3iw2pFvszCTcR
-
-Actuellement, Traefik est dans le réseau `docker_default` sur toutes les machines, et les conteneurs souhaitant être accessibles via Traefik doivent être explicitement dans ce réseau.
-
-Ceci induit une complexité supplémentaire au niveau des fichiers Compose.
+Lire la documentation [sur les mises à jour mineures](https://docs.traefik.io/v2.2/migration/v2/) pour voir s'il y a des opérations à effectuer ou des options dépréciées.
 
-Il serait peut être bon de permettre à Traefik d'accéder à tous les réseaux et de supprimer énormément de directives "inutiles" dans les Compose.
+La mise à jour vers Traefik v2 a été effectuée ; quelques détails sont à consulter [sur le wiki](https://wiki.picasoft.net/doku.php?id=technique:adminsys:migration-traefik-v2).

pica-uploads/docker-compose.yml

@@ -2,11 +2,11 @@ version: "3.7"
 
 volumes:
   uploads:
-    external: true
+    name: uploads
 
 networks:
   sftp:
-  docker_default:
+  proxy:
     external: true
 
 services:
@@ -17,7 +17,7 @@ services:
       - uploads:/home/pica/uploads
       - ./secrets/sftp.secrets:/etc/sftp/users.conf:ro
     ports:
-      - "2222:22"
+      - 2222:22
     networks:
       - sftp
     restart: unless-stopped
@@ -28,9 +28,10 @@ services:
     volumes:
       - uploads:/var/www/html
     labels:
-      - "traefik.frontend.rule=Host:uploads.picasoft.net"
-      - "traefik.port=80"
-      - "traefik.enable=true"
-    restart: unless-stopped
+      traefik.http.routers.uploads.entrypoints: websecure
+      traefik.http.routers.uploads.rule: Host(`uploads.picasoft.net`)
+      traefik.http.services.uploads.loadbalancer.server.port: 80
+      traefik.enable: true
     networks:
-      - docker_default
+      - proxy
+    restart: unless-stopped

pica-wekan/docker-compose.yml

@@ -4,10 +4,10 @@ volumes:
   wekan:
 
 networks:
-  docker_default:
+  proxy:
     external: true
   wekan:
-    name: "wekan"
+    name: wekan
 
 services:
   wekan-db:
@@ -40,11 +40,12 @@ services:
     depends_on:
       - wekan-db
     labels:
-      traefik.frontend.rule: Host:kanban.picasoft.net
-      traefik.port: 8080
+      traefik.http.routers.wekan-app.entrypoints: websecure
+      traefik.http.routers.wekan-app.rule: Host(`kanban.picasoft.net`)
+      traefik.http.services.wekan-app.loadbalancer.server.port: 8080
       traefik.enable: true
     networks:
-      - docker_default
+      - proxy
       - wekan
     restart: unless-stopped
 
@@ -55,9 +56,10 @@ services:
     environment:
       - KANBAN_URL=https://kanban.picasoft.net
     networks:
-      - docker_default
+      - proxy
     labels:
+      traefik.http.routers.wekan-filter-hooks.entrypoints: websecure
+      traefik.http.routers.wekan-filter-hooks.rule: Host(`kanban.picasoft.net`) && Path('/forward_hooks')
+      traefik.http.services.wekan-filter-hooks.loadbalancer.server.port: 5000
       traefik.enable: true
-      traefik.port: 5000
-      traefik.frontend.rule: Host:kanban.picasoft.net;Path:/forward_hooks
     restart: unless-stopped

template/docker-compose.yml

@@ -23,7 +23,7 @@ networks:
   app:
   # This is the reverse-proxy default network : put all services
   # that need to be served via Traefik in this network
-  docker_default:
+  proxy:
     external: true
 
 services:
@@ -48,10 +48,10 @@ services:
     # entrypoint, for exemple.
     init: true
     # If the container has to be reached from
-    # the Internet, put in docker_default
+    # the Internet, put in proxy
     # Otherwise, just in its own network
     networks:
-      - docker_default
+      - proxy
       - app
     volumes:
       # Mount the Docker Volume in the container
@@ -72,10 +72,12 @@ services:
     # redirected to this container.
     # Change the port to the exposed port of the
     # container.
+    # Replace ".app" by the container name.
     labels:
       traefik.enable: true
-      traefik.frontend.rule: "Host:app.picasoft.net"
-      traefik.port: 80
+      traefik.http.routers.app.entrypoints: websecure
+      traefik.http.routers.app.rule: Host(`app.picasoft.net`)
+      traefik.http.services.app.loadbalancer.server.port: 80
     # If the service has a database,
     # tell Compose that it depends on it (i.e.)
     # should be launched if the service is launched