34 lines
1.5 KiB
Text
34 lines
1.5 KiB
Text
|
#!/bin/bash
|
||
|
|
# GENERE par Set-OPS (role serveur_step_ca). Ne pas editer a la main.
|
||
|
|
#
|
||
|
|
# SONDE « autorite » — l'autorite de certification repond et sa racine est valide
|
||
|
|
#
|
||
|
|
# Contrat : docs/supervision-conception.md (API des greffons Nagios) — une ligne, 0/1/2.
|
||
|
|
# Mise en defaut PAR PARAMETRE : `serveur_step_ca_sonde_url` (port ferme).
|
||
|
|
set -uo pipefail
|
||
|
|
|
||
|
|
URL={{ serveur_step_ca_sonde_url }}
|
||
|
|
RACINE={{ serveur_step_ca_sonde_racine }}
|
||
|
|
JOURS={{ serveur_step_ca_sonde_racine_jours }}
|
||
|
|
|
||
|
|
s=$(curl -sk --max-time 10 "${URL}/health" 2>/dev/null)
|
||
|
|
printf '%s' "${s}" | grep -q '"status"[[:space:]]*:[[:space:]]*"ok"' \
|
||
|
|
|| { echo "L'autorite ne repond pas sur ${URL} — plus aucun certificat ne se renouvellera, et ils vivent 24 h."; exit 2; }
|
||
|
|
|
||
|
|
# LA RACINE, DONT PERSONNE NE SURVEILLE L'EXPIRATION. Elle vit des ANNEES, donc on n'y
|
||
|
|
# pense jamais — et le jour ou elle expire, toute la confiance interne tombe d'un bloc,
|
||
|
|
# sans qu'aucun renouvellement de certificat d'hote n'y change quoi que ce soit.
|
||
|
|
if [[ -r "${RACINE}" ]]; then
|
||
|
|
fin=$(openssl x509 -in "${RACINE}" -noout -enddate 2>/dev/null | cut -d= -f2)
|
||
|
|
if [[ -n "${fin}" ]]; then
|
||
|
|
reste=$(( ( $(date -d "${fin}" +%s) - $(date +%s) ) / 86400 ))
|
||
|
|
if (( reste <= JOURS )); then
|
||
|
|
echo "AUTORITE VIVANTE, mais sa RACINE expire dans ${reste} jour(s) — toute la confiance interne tombera d'un bloc.|racine=${reste}j;${JOURS};0;;"
|
||
|
|
exit 2
|
||
|
|
fi
|
||
|
|
echo "Autorite vivante ; racine valide ${reste} jour(s).|racine=${reste}j;${JOURS};0;;"
|
||
|
|
exit 0
|
||
|
|
fi
|
||
|
|
fi
|
||
|
|
echo "Autorite vivante (racine non lisible depuis cet hote)."
|