Set-OPS-Public/roles/serveur_resolveur/tasks/main.yml

---
- name: Exiger la zone souveraine et un réseau autorisé
  ansible.builtin.assert:
    that:
      - serveur_resolveur_zone_interne | length > 0
      - serveur_resolveur_reseaux_autorises | length > 0
    fail_msg: >-
      serveur_resolveur exige `domaine_interne` et au moins un réseau dans
      `serveur_resolveur_reseaux_autorises`. Un résolveur sans liste d'accès serait
      soit muet, soit un relais ouvert.

- name: Installer le résolveur
  ansible.builtin.apt:
    name: "{{ serveur_resolveur_paquets }}"
    state: present
    update_cache: true
  when: not ansible_check_mode

- name: Déployer la configuration Set-OPS
  ansible.builtin.template:
    src: setops.conf.j2
    dest: /etc/unbound/unbound.conf.d/setops.conf
    owner: root
    group: root
    mode: "0644"
  notify: Redémarrer le résolveur

- name: Valider la configuration avant de la servir
  ansible.builtin.command: unbound-checkconf
  changed_when: false
  when: not ansible_check_mode

- name: Activer et démarrer le résolveur
  ansible.builtin.systemd:
    name: "{{ serveur_resolveur_service }}"
    enabled: true
    state: started
  when: not ansible_check_mode

- name: Appliquer les redémarrages avant de vérifier
  ansible.builtin.meta: flush_handlers

# ÉCRIRE, PUIS RELIRE (D-68). Un résolveur « active » qui ne répond pas est le pire des
# cas : toute la flotte pointe vers lui, et découvre la panne en essayant de résoudre.
- name: Répond-il vraiment, pour l'interne ET pour l'Internet ?
  ansible.builtin.command: "dig @{{ ansible_host }} {{ item.nom }} {{ item.type }} +short"
  register: serveur_resolveur_controle
  changed_when: false
  failed_when: serveur_resolveur_controle.stdout | trim == ''
  loop:
    - { nom: "{{ serveur_resolveur_zone_interne }}", type: "SOA" }
    - { nom: "deb.debian.org", type: "A" }
  loop_control:
    label: "{{ item.nom }} {{ item.type }}"
  when: not ansible_check_mode

# --- Sonde de supervision (docs/supervision-conception.md) --------------------------
# Le role qui possede la verite depose sa propre sonde ; le porteur (`client_sante`) la
# fait tourner et pousse le verdict, sans savoir ce qu'elle mesure.
- name: Assurer le repertoire des sondes de supervision
  ansible.builtin.file:
    path: /usr/local/lib/setops/sondes
    state: directory
    owner: root
    group: root
    mode: "0755"

- name: Deposer la sonde « resolution »
  ansible.builtin.template:
    src: sonde-resolution.sh.j2
    dest: /usr/local/lib/setops/sondes/resolution.sh
    owner: root
    group: root
    mode: "0750"