Merge pull request 'docs(iso) ajout du socle de gouvernance ISO 27001 & runner devSecops' (#2) from dev/m7s into main

Reviewed-on: #2

.gitea/workflows/ci.yml

@@ -0,0 +1,25 @@
+name: Build & Push DevSecOps Runner
+
+on:
+  push:
+    branches: [ main ]
+
+jobs:
+  build-and-push-runner:
+    name: Build & Publish Runner Image to Giteastry
+    runs-on: host
+    steps:
+      - name: Checkout Code
+        uses: actions/checkout@v4
+
+      - name: Login to Giteastry
+        run: |
+          echo "${{ secrets.GITEA_TOKEN }}" | podman login container.rym.local -u ${{ gitea.actor }} --password-stdin
+
+      - name: Build Runner Image
+        run: |
+          podman build -t container.rym.local/rym/devsecops-runner:latest .
+
+      - name: Push to Giteastry
+        run: |
+          podman push container.rym.local/rym/devsecops-runner:latest

.gitea/workflows/test-ci.yml

@@ -1,39 +0,0 @@
-name: DevSecOps Pipeline - V1 Infrastructure
-
-on: [push]
-
-jobs:
-  health-check:
-    name: System & Environment Check
-    runs-on: host
-    steps:
-      - name: System Check
-        run: |
-          echo "Pipeline CI/CD opérationnel sur le VPS RYM !"
-          uname -a
-          podman --version
-
-  gitleaks-scan:
-    name: Secret Detection (Gitleaks)
-    runs-on: host
-    steps:
-      - name: Checkout Code
-        uses: actions/checkout@v4
-
-      - name: Run Gitleaks via Podman
-        run: |
-          echo "🔍 Lancement du scan Gitleaks..."
-          podman run --rm -v "$PWD":/path:z docker.io/zricethezav/gitleaks:v8.18.2 detect --source="/path" -v
-
-  trivy-iac-scan:
-    name: IaC Security & Vulnerability Scan (Trivy)
-    runs-on: host
-    needs: gitleaks-scan
-    steps:
-      - name: Checkout Code
-        uses: actions/checkout@v4
-
-      - name: Run Trivy IaC Scan
-        run: |
-          echo "🛡️ Analyse des fichiers d'infrastructure et des vulnérabilités..."
-          podman run --rm -v "$PWD":/path:z docker.io/aquasec/trivy:0.49.1 config /path

CHANGELOG.md

@@ -0,0 +1,19 @@
+# Changelog
+
+Toutes les modifications notables apportées à ce projet seront documentées dans ce fichier.
+
+Le format est basé sur [Keep a Changelog](https://keepachangelog.com/fr/1.0.0/),
+et ce projet adhère au [Semantic Versioning](https://semver.org/lang/fr/).
+
+## [Unreleased]
+
+### Ajouté
+* Socle de gouvernance ISO 27001 (`CONTRIBUTING.md`, `SECURITY.md`, `LICENSE`).
+* Image Runner CI/CD centralisée (`devsecops-runner`) sur Giteastry.
+
+### Modifié
+* Nettoyage de la dette technique : Suppression de la configuration obsolète Passbolt / Compose.
+* Redirection du dépôt `rym_infrastructure` vers l'outillage DevSecOps.
+
+## [1.0.0] - 2026-08-26
+* Initialisation du dépôt et structuration initiale de la forge.

CONTRIBUTING.md

@@ -0,0 +1,22 @@
+# Guide de Contribution & Gouvernance — RYM
+
+Ce projet suit des normes strictes d'ingénierie DevSecOps et de conformité ISO 27001.
+
+## 🔀 Workflow de Branchement (Git Flow / ISO)
+
+1. **Interdiction de Push Direct** : Aucun commit direct sur `main` ou `staging` n'est autorisé.
+2. **Nommage des Branches** :
+   * `feat/nom-fonctionnalite` : Nouvelle fonctionnalité.
+   * `fix/nom-du-bug` : Correction de bug.
+   * `sec/nom-correctif` : Correctif de sécurité.
+3. **Cycle des PRs (Pull Requests)** :
+   * `feat/*` ➔ PR vers `dev`
+   * `dev` ➔ PR vers `staging` (Validations automatisées)
+   * `staging` ➔ PR vers `main` (Déploiement effectif)
+
+## 🛡️ Exigences de Validation (CI/CD)
+
+Avant toute fusion dans `main`, la PR doit obligatoirement :
+* Réussir l'intégralité du pipeline `devsecops-ci.yml` (Lint, Scan Secret, Vulnerability Scan).
+* Obtenir la validation d'au moins un membre habilité de l'équipe Infrastructure/Sécurité.
+* Respecter la convention **Conventional Commits** (`feat:`, `fix:`, `docs:`, `ci:`).

Dockerfile

@@ -0,0 +1,16 @@
+FROM docker.io/alpine:3.19
+
+# Dépendances de base et sécurité
+RUN apk add --no-cache \
+    bash \
+    curl \
+    git \
+    python3 \
+    py3-pip \
+    docker-cli
+
+# Outils DevSecOps pré-installés
+RUN pip install --no-cache-dir yamllint && \
+    curl -sSLo /usr/local/bin/kubectl "https://dl.k8s.io/release/$(curl -L -s https://dl.k8s.io/release/stable.txt)/bin/linux/amd64/kubectl" && \
+    curl -sSLo /usr/local/bin/helm "https://get.helm.sh/helm-v3.14.0-linux-amd64.tar.gz" && \
+    chmod +x /usr/local/bin/kubectl

LICENSE

@@ -0,0 +1,7 @@
+PROPRIETARY AND CONFIDENTIAL — RYM INFRASTRUCTURE
+
+Copyright (c) 2026 RYM. Tous droits réservés.
+
+Ce code source et l'ensemble de ses composants associés sont la propriété exclusive de RYM.
+Toute copie, modification, distribution ou utilisation non autorisée par écrit de ce logiciel
+est strictement interdite.

README.md

@@ -1,26 +1,17 @@
-# Infrastructure Passbolt — RYM
+# Tooling Infrastructure & DevSecOps Runner — RYM
 
-Ce dépôt contient la définition Infrastructure as Code (IaC) pour le déploiement du gestionnaire de secrets **Passbolt CE** sur l'infrastructure RYM.
+Ce dépôt contient la définition et le cycle de vie de l'image de build centralisée (**DevSecOps Runner**), stockée sur **Giteastry**. 
 
-## 🚀 Composants
+Il sert de socle d'outillage hermétique pour l'ensemble des pipelines CI/CD de la forge RYM.
 
-* **Passbolt CE** : Instance applicative principale (Web / API)
+## 🚀 Composants hébergés
-* **PostgreSQL 15** : Base de données relationnelle persistante
 
-## 🛠️ Déploiement
+* **Runner CI/CD Custom** : Image Alpine contenant l'outillage pré-installé (`kubectl`, `helm`, `yamllint`, `gitleaks`).
+* **Giteastry Mirror** : Registre local hébergeant les binaires et conteneurs pour garantir une exécution 100 % isolée d'Internet.
 
-### 1. Prérequis
+## 🛠️ Usage
-S'assurer que `podman` et `podman-compose` sont installés sur le serveur hôte.
 
-### 2. Configuration
+L'image est construite automatiquement à chaque fusion sur `main` et publiée sur :
-Copier le fichier d'exemple et configurer les secrets :
+`container.rym.local/rym/devsecops-runner:latest`
-```bash
-cp .env.example .env
-# Éditer .env avec les identifiants réels de production
 
-3. Lancement
+Maintenu par l'équipe Infrastructure & Sécurité RYM.
-Bash
-
-podman-compose up -d
-
-Maintenu par l'équipe Infrastructure RYM.

SECURITY.md

@@ -0,0 +1,25 @@
+# Politique de Sécurité — RYM
+
+## 🛡️ Engagement Zero Trust & Confidentialité
+
+L'infrastructure et les applications RYM sont conçues selon les principes Zero Trust et ISO 27001. Toute vulnérabilité identifiée doit être traitée de manière responsable.
+
+## 🚨 Signalement d'une Vulnérabilité
+
+Si vous découvrez une faille de sécurité ou une faiblesse de configuration :
+
+1. **Ne créez pas de Ticket (Issue) public.**
+2. Envoyez un rapport détaillé à l'équipe Sécurité via :
+   * **Email sécurisé** : `security@rym.local` (ou canal chiffré interne).
+3. Incluez dans votre rapport :
+   * La description du composant impacté.
+   * Les étapes permettant de reproduire le problème.
+   * L'impact potentiel identifié.
+
+## ⏱️ Délais d'intervention (SLA)
+
+* **Accusé de réception** : Sous 24 heures ouvrées.
+* **Évaluation & Analyse d'impact** : Sous 48 heures.
+* **Correction (Patch)** : 
+  * *Critique / Élevé* : < 72 heures.
+  * *Moyen / Faible* : Prochaine itération de release.

podman-compose.yml

@@ -1,34 +0,0 @@
-version: '3.7'
-
-services:
-  db:
-    image: docker.io/library/postgres:15-alpine
-    container_name: passbolt_db
-    environment:
-      POSTGRES_DB: ${POSTGRES_DB}
-      POSTGRES_USER: ${POSTGRES_USER}
-      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD}
-    volumes:
-      - /opt/passbolt/db:/var/lib/postgresql/data:Z
-    restart: unless-stopped
-
-  passbolt:
-    image: passbolt/passbolt:latest-ce
-    container_name: passbolt_app
-    environment:
-      APP_FULL_BASE_URL: ${PASSBOLT_URL}
-      DATASOURCES_DEFAULT_DRIVER: Cake\Database\Driver\Postgres
-      DATASOURCES_DEFAULT_HOST: passbolt_db
-      DATASOURCES_DEFAULT_PORT: "5432"
-      DATASOURCES_DEFAULT_USERNAME: ${POSTGRES_USER}
-      DATASOURCES_DEFAULT_PASSWORD: ${POSTGRES_PASSWORD}
-      DATASOURCES_DEFAULT_DATABASE: ${POSTGRES_DB}
-      DATASOURCES_DEFAULT_ENCODING: utf8
-    volumes:
-      - /opt/passbolt/gpg:/etc/passbolt/gpg:Z
-      - /opt/passbolt/jwt:/etc/passbolt/jwt:Z
-    ports:
-      - "127.0.0.1:8080:80"
-    depends_on:
-      - db
-    restart: unless-stopped