Installazione conforme per la PA¶

Questa pagina è per l'ufficio IT e il Responsabile per la transizione digitale (RTD). Elenca, norma per norma, cosa fa già il software e cosa resta da fare in fase di installazione e messa in esercizio.

Checklist¶

Messa in esercizio passo per passo¶

1. Infrastruttura¶

• Una VM o un servizio container su cloud qualificato ACN, con almeno 1 vCPU e 1 GB di RAM per app e motore a regole. Un LLM locale (--profile llm) richiede almeno 4 vCPU e 8 GB di RAM.
• Docker Engine e Compose v2, con aggiornamenti di sicurezza automatici del sistema operativo.
• Database: PostgreSQL 17. Si può usare il container spazio-comune-db del pacchetto oppure, meglio in esercizio, un PostgreSQL gestito sul cloud qualificato (DATABASE_URL con sslmode=require), che offre backup, cifratura a riposo e ripristino a un istante preciso.

2. Rete e HTTPS¶

Mettere un reverse proxy davanti all'app, con TLS 1.2 o superiore e certificato valido. Pubblicare solo la porta dell'app: il server di inferenza e Ollama restano sulla rete interna di Compose.

server {
  listen 443 ssl http2;
  server_name prenota.comune.example.it;
  ssl_protocols TLSv1.2 TLSv1.3;
  add_header Strict-Transport-Security "max-age=31536000" always;
  limit_req zone=prenota burst=20 nodelay;     # rate limiting

  location / {
    proxy_pass http://127.0.0.1:8000;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-Proto https;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  }
}

3. Configurazione e segreti¶

cp .env.example .env && chmod 600 .env
# BASE_URL=https://prenota.comune.example.it
# SECRET_KEY, UFFICIO_PASSWORD, CUSTODE_PASSWORD, FEED_TOKEN: valori casuali robusti
# COOKIE_SECURE=true
docker compose up --build -d

Il significato di ogni variabile è in Configurazione (.env). In esercizio i segreti vanno in un vault o nei secret della piattaforma, non in chiaro sul disco.

4. Backup e continuità¶

# backup giornaliero del database PostgreSQL (container spazio-comune-db)
docker exec spazio-comune-db pg_dump -U spazio -Fc spazio_comune > /backup/spazio-comune-$(date +%F).dump

Conservare i backup cifrati su un sito diverso e provare il ripristino almeno una volta prima del pilota.

5. Log, monitoraggio e aggiornamenti¶

• Healthcheck: GET /api/v1/health (app) e GET /health (inferenza), già usati dai container.
• Centralizzare i log (docker logs spazio-comune-app) con una conservazione coerente con l'informativa privacy.
• Aggiornare con regolarità le immagini e le dipendenze Python, ad esempio con pip-audit e una scansione delle immagini in CI.

6. Prima del pilota¶

• HTTPS attivo e COOKIE_SECURE=true
• Segreti robusti e non versionati
• Integrazioni MyPay SIL e SPID/CIE collaudate in ambiente di test
• Backup provato
• Registro dei trattamenti e informativa approvati dal RPD
• Dichiarazione di accessibilità aggiornata
• Valutazione d'impatto IA (se si attiva un LLM)
• Repository pubblico e publiccode.yml aggiornati