39 lines
1.8 KiB
YAML
39 lines
1.8 KiB
YAML
|
---
|
||
|
|
# Creation des ROLES DE REALM — extrait de `rbac-oidc.yml` le 2026-08-08.
|
||
|
|
#
|
||
|
|
# Ces roles sont un PREREQUIS de `groupes-ldap.yml`, qui les attache aux groupes projetes
|
||
|
|
# depuis l'annuaire. Ils vivaient pourtant dans `rbac-oidc.yml`, execute APRES — et le
|
||
|
|
# defaut est reste invisible aussi longtemps que le realm a existe avec ses roles deja
|
||
|
|
# crees par un passage precedent.
|
||
|
|
#
|
||
|
|
# La premiere reconstruction from-zero l'a fait tomber au premier essai : realm neuf, et
|
||
|
|
# `groupes-ldap` a tente d'attacher `grafana-admin` a un groupe alors que seuls les roles
|
||
|
|
# integres (`offline_access`, `uma_authorization`, `default-roles-*`) existaient.
|
||
|
|
#
|
||
|
|
# Les deux autres etapes de `rbac-oidc.yml` restent APRES `clients-oidc.yml` : elles
|
||
|
|
# posent un mapper sur les clients et assignent des roles a des utilisateurs. Trois
|
||
|
|
# dependances distinctes, trois moments distincts — les melanger etait le defaut.
|
||
|
|
- name: Assurer les roles de realm (kcadm, idempotent)
|
||
|
|
ansible.builtin.shell:
|
||
|
|
executable: /bin/bash
|
||
|
|
cmd: |
|
||
|
|
set -euo pipefail
|
||
|
|
KC={{ serveur_keycloak_home }}/bin/kcadm.sh
|
||
|
|
"$KC" config credentials --server http://localhost:8080 --realm master \
|
||
|
|
--user {{ serveur_keycloak_admin_user }} --password "$KC_ADMIN_PW" >/dev/null
|
||
|
|
if "$KC" get roles/{{ item }} -r {{ serveur_keycloak_realm }} >/dev/null 2>&1; then
|
||
|
|
echo SETOPS_OK
|
||
|
|
else
|
||
|
|
"$KC" create roles -r {{ serveur_keycloak_realm }} -s name={{ item }} >/dev/null
|
||
|
|
echo SETOPS_CHANGED
|
||
|
|
fi
|
||
|
|
environment:
|
||
|
|
KC_ADMIN_PW: "{{ serveur_keycloak_admin_password }}"
|
||
|
|
loop: "{{ serveur_keycloak_realm_roles }}"
|
||
|
|
register: serveur_keycloak_role_reg
|
||
|
|
changed_when: "'SETOPS_CHANGED' in serveur_keycloak_role_reg.stdout"
|
||
|
|
no_log: true
|
||
|
|
when:
|
||
|
|
- not ansible_check_mode
|
||
|
|
- serveur_keycloak_realm_roles | length > 0
|