infrastructure/default.nix

/*
  Copyright :
  - Maurice Debray <maurice.debray@dgnum.eu>  2023
  - Tom Hubrecht <tom.hubrecht@dgnum.eu>      2023

  Ce logiciel est un programme informatique servant à déployer des
  configurations de serveurs via NixOS.

  Ce logiciel est régi par la licence CeCILL soumise au droit français et
  respectant les principes de diffusion des logiciels libres. Vous pouvez
  utiliser, modifier et/ou redistribuer ce programme sous les conditions
  de la licence CeCILL telle que diffusée par le CEA, le CNRS et l'INRIA
  sur le site "http://www.cecill.info".

  En contrepartie de l'accessibilité au code source et des droits de copie,
  de modification et de redistribution accordés par cette licence, il n'est
  offert aux utilisateurs qu'une garantie limitée. Pour les mêmes raisons,
  seule une responsabilité restreinte pèse sur l'auteur du programme, le
  titulaire des droits patrimoniaux et les concédants successifs.

  A cet égard l'attention de l'utilisateur est attirée sur les risques
  associés au chargement, à l'utilisation, à la modification et/ou au
  développement et à la reproduction du logiciel par l'utilisateur étant
  donné sa spécificité de logiciel libre, qui peut le rendre complexe à
  manipuler et qui le réserve donc à des développeurs et des professionnels
  avertis possédant des connaissances informatiques approfondies. Les
  utilisateurs sont donc invités à charger et tester l'adéquation du
  logiciel à leurs besoins dans des conditions permettant d'assurer la
  sécurité de leurs systèmes et ou de leurs données et, plus généralement,
  à l'utiliser et l'exploiter dans les mêmes conditions de sécurité.

  Le fait que vous puissiez accéder à cet en-tête signifie que vous avez
  pris connaissance de la licence CeCILL, et que vous en avez accepté les
  termes.
*/

{
  sources ? import ./npins,
  pkgs ? import sources.nixpkgs { },
  nix-pkgs ? import sources.nix-pkgs { inherit pkgs; },
}:

let
  git-checks = (import (builtins.storePath sources.git-hooks)).run {
    src = ./.;

    hooks = {
      statix = {
        enable = true;
        stages = [ "pre-push" ];
        settings.ignore = [
          "**/lon.nix"
          "**/npins"
        ];
      };

      deadnix = {
        enable = true;
        stages = [ "pre-push" ];
      };

      nixfmt-rfc-style = {
        enable = true;
        stages = [ "pre-push" ];
      };

      commitizen.enable = true;
    };
  };

  terranixConfig = import "${sources.terranix}/core" {
    inherit pkgs;
    strip_nulls = true;
    terranix_config.imports = [ ./terranix ];
  };
  terranixConfigFile = (pkgs.formats.json { }).generate "config.tf.json" terranixConfig.config;
in

{
  inherit terranixConfigFile terranixConfig;

  nodes = builtins.mapAttrs (
    host: { site, ... }: "${host}.${site}.infra.dgnum.eu"
  ) (import ./meta/nodes.nix);

  dns = import ./meta/dns.nix;

  mkCacheSettings = import ./machines/storage01/tvix-cache/cache-settings.nix;

  shells = {
    default = pkgs.mkShell {
      name = "dgnum-infra";

      packages = [
        (pkgs.writeShellScriptBin "tf" ''
          set -eo pipefail
          ln -snf ${terranixConfigFile} config.tf.json
          exec ${pkgs.lib.getExe pkgs.opentofu} "$@"
        '')
        (pkgs.writeShellScriptBin "decryptAndSourceEnvironment" ''
          set -eo pipefail

          # TODO: don't hardcode me.
          SECRET_FILE=".credentials/admin-environment.age"
          IDENTITIES=()
          for identity in [ "$HOME/.ssh/id_ed25519" "$HOME/.ssh/id_rsa" ]; do
            test -r "$identity" || continue
            IDENTITIES+=(-i)
            IDENTITIES+=("$identity")
          done

          test "''${#IDENTITIES[@]}" -eq 0 && echo "[agenix-shell] WARNING: no readable identities found!"

          test -f "$SECRET_FILE" || echo "[agenix-shell] WARNING: encrypted environment file $SECRET_FILE not found!"
          export eval $(${pkgs.lib.getExe pkgs.rage} --decrypt "''${IDENTITIES[@]}" -o - $SECRET_FILE)

          echo "[agenix-shell] Repository-wide secrets loaded in the environment."
        '')
        (pkgs.nixos-generators.overrideAttrs (_: {
          version = "1.8.0-unstable";
          src = builtins.storePath sources.nixos-generators;
        }))
        pkgs.npins
        pkgs.rage

        (pkgs.callPackage ./lib/colmena { inherit (nix-pkgs) colmena; })
        (pkgs.callPackage "${sources.agenix}/pkgs/agenix.nix" { })
        (pkgs.callPackage "${sources.lon}/nix/packages/lon.nix" { })

      ] ++ (import ./scripts { inherit pkgs; });

      shellHook = ''
        ${git-checks.shellHook}
        # If we want to export these environments, we need to source it, not call it.
        source $(which decryptAndSourceEnvironment)
      '';

      preferLocalBuild = true;
    };

    pre-commit = pkgs.mkShell {
      name = "pre-commit-shell";

      shellHook = ''
        ${git-checks.shellHook}
      '';
    };
  };
}